Le Digital Omnibus a repoussé les obligations des systèmes à haut risque à décembre 2027. Mais l'article 50, qui vise directement les chatbots et les contenus générés, s'applique depuis le 2 août 2026. Beaucoup d'organisations ont retenu le report et raté l'échéance.
Le Digital Omnibus, entré en vigueur le 27 juillet 2026, a redistribué les échéances. Voici l'état du calendrier.
Reporté : les obligations des systèmes à haut risque de l'annexe III passent du 2 août 2026 au 2 décembre 2027. Celles de l'annexe I — systèmes intégrés à des produits déjà réglementés — vont jusqu'au 2 août 2028.
Non reporté : l'article 50 sur les obligations de transparence est délibérément resté en dehors du report. Il s'applique depuis le 2 août 2026 et concerne les fournisseurs comme les déployeurs de chatbots, de générateurs de contenus synthétiques, de systèmes de reconnaissance d'émotions et d'outils de deepfake.
Également en vigueur : l'article 4 sur l'obligation de formation des équipes, et les pouvoirs de sanction — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.
Autrement dit : si vous exploitez un chatbot destiné au public, votre échéance est passée. Si vous exploitez un système à haut risque, vous avez gagné seize mois — à condition de vous en servir.
L'article 50 est court, mais ses conséquences pratiques touchent l'interface, le code et la documentation.
Toute personne qui interagit avec un système IA doit le savoir, sauf si c'est évident au vu du contexte. En pratique : votre chatbot doit se présenter comme tel, de façon lisible, dès le début de l'échange.
Les contenus synthétiques — texte, image, audio, vidéo — doivent être marqués dans un format lisible par machine et détectable comme artificiellement généré. Ce qui suppose un choix technique de marquage, pas seulement une mention visuelle.
Les contenus qui imitent des personnes, des lieux ou des événements réels doivent être identifiés comme tels. Des exceptions existent pour les usages artistiques et satiriques, à condition que la mention ne dénature pas l'œuvre.
Les personnes exposées à un système de reconnaissance d'émotions ou de catégorisation biométrique doivent en être informées, avec un traitement des données conforme au RGPD.
Je suis consultant technique en sécurité, pas avocat. La distinction est importante et elle joue en votre faveur.
Inventaire de vos systèmes IA et positionnement de chacun dans les catégories du règlement : interdit, haut risque, transparence, risque minimal. C'est ce qui détermine vos obligations réelles — et souvent, ce qui rassure : tout n'est pas à haut risque.
Le règlement exige un niveau approprié de robustesse et de cybersécurité sans dire comment l'atteindre. L'OWASP Top 10 for LLM Applications fournit ce référentiel technique, reconnu et vérifiable, sur lequel s'appuyer.
La documentation exigible ne s'improvise pas la veille d'un contrôle : description du système, mesures de sécurité, tests menés, résultats obtenus, journalisation. Je produis la partie technique, à jour et défendable.
La différence avec un accompagnement purement documentaire : je teste réellement vos systèmes. Un dossier de conformité qui affirme une robustesse jamais vérifiée est un risque, pas une protection.
Le report ne concerne que les systèmes à haut risque des annexes I et III. L'article 50 sur la transparence s'applique depuis le 2 août 2026 et n'a pas été reporté. Si vous exploitez un chatbot ouvert au public ou générez des contenus synthétiques, vous êtes concerné maintenant.
Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements les plus graves. Les pouvoirs de sanction sont en vigueur.
Dans la majorité des cas, non. Un chatbot de service client relève généralement des obligations de transparence de l'article 50, pas du haut risque. La classification dépend de l'usage : un système qui intervient dans l'accès à l'emploi, au crédit, à l'éducation ou à des services essentiels bascule vers le haut risque. C'est la première chose que l'on établit.
Pour l'interprétation juridique, la contractualisation et l'analyse des responsabilités, oui. Mon périmètre est technique : classification, mesures de sécurité, tests, documentation. Les deux se complètent — un cabinet juridique produira rarement la preuve technique que vos garde-fous résistent réellement.
Oui. L'article 50 impose des obligations aux déployeurs, notamment sur l'information des personnes exposées au système et le marquage des contenus. Utiliser la solution d'un tiers ne transfère pas l'ensemble des obligations à ce tiers.
À partir de 8 000 €, selon le nombre de systèmes à classifier et l'état de votre documentation existante. Un suivi trimestriel est possible pour maintenir la conformité à mesure que vos systèmes évoluent.
Trente minutes pour classifier vos systèmes et identifier les obligations qui vous concernent réellement aujourd'hui.