Le haut risque de l'annexe III est fixé au 2 décembre 2027

Deux fichiers ont été lus le 27 septembre 2026. Le règlement (UE) 2024/1689 a été signé à Bruxelles le 13 juin 2024 et publié au Journal officiel L, 2024/1689, le 12 juillet 2024 [1]. Le règlement (UE) 2026/1744 a été signé à Strasbourg le 8 juillet 2026 et publié au Journal officiel L, 2026/1744, le 24 juillet 2026 [2]. Il modifie le premier, ainsi que les règlements (UE) 2018/1139 et (UE) 2023/1230. Seules les modifications lues du règlement sur l'intelligence artificielle sont suivies ici.

Le fichier EUR-Lex du texte de 2024 porte en tête le lien « Modified by 32026R1744 », daté du 27 juillet 2026. Le corps de ses articles 113 et 111 reste le texte d'origine. On ne le cite comme droit en vigueur que pour les dispositions que le règlement de 2026 ne remplace pas [1]. Le calendrier ci-dessous est cette reconstruction. Il ne se présente pas comme une consolidation officielle.

L'article 113, avant et après le remplacement

L'article 113 d'origine énonce : « Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne. » Il ajoute : « Il est applicable à partir du 2 août 2026. » Le considérant 1 du règlement de 2026 date cette entrée en vigueur au 1er août 2024 [2]. La phrase sur le 2 août 2026 ne figure pas parmi les points remplacés. Elle reste la date générale, sous la réserve du « Toutefois ».

Le règlement de 2026 remplace le troisième alinéa de l'article 113. Le point a) nouveau dispose : « les chapitres I et II s'appliquent à partir du 2 février 2025, à l'exception de l'article 5, paragraphe 1, premier alinéa, points b bis) et b ter), et de l'article 5, paragraphes 1 bis et 1 ter, qui s'appliquent à partir du 2 décembre 2026 » [2].

Le point c) nouveau dispose : « le chapitre III, sections 1, 2 et 3, à l'exception de l'article 6, paragraphe 5, s'applique à partir : i) du 2 décembre 2027 en ce qui concerne les systèmes d'IA classés comme étant à haut risque en vertu de l'article 6, paragraphe 2, et de l'annexe III ; et ii) du 2 août 2028 en ce qui concerne les systèmes d'IA classés à haut risque en vertu de l'article 6, paragraphe 1, et de l'annexe I. » [2]

Le point d) nouveau dispose : « les articles 102 à 110 sont applicables à partir du 27 juillet 2026. » Le point b) d'origine n'est pas réécrit : « le chapitre III, section 4, le chapitre V, le chapitre VII, le chapitre XII et l'article 78 s'appliquent à partir du 2 août 2025, à l'exception de l'article 101 » [1].

Le considérant 1 du règlement de 2026 écrit encore que le règlement de 2024 « est entré en vigueur le 1er août 2024. L'entrée en application de ses dispositions est échelonnée, étant entendu que toutes les règles entreront en application au plus tard le 2 août 2027. » [2] Pour le haut risque de l'annexe I, le dispositif fixe le 2 août 2028. Le point c) d'origine, remplacé, disposait : « l'article 6, paragraphe 1, et les obligations correspondantes du présent règlement s'appliquent à partir du 2 août 2027 » [1].

Le considérant 40 évoque toujours le 2 août 2026 comme date générale. Il « convient donc de fixer » plus tard les sections 1, 2 et 3 du chapitre III. La date initiale écartée pour ces obligations de haut risque est le 2 août 2026 [2].

Le chapitre I n'a pas été résumé article par article. Le contenu de la section 4 du chapitre III, des chapitres V et VII, de l'article 78 et de l'article 101 n'a pas été détaillé. Les articles 102 à 110 non plus. Le chapitre IV, celui de l'article 50, suit la date générale du 2 août 2026, sous la réserve de l'article 111, paragraphe 4 [1].

Ce qui reste devant

Le 2 décembre 2026 vise aussi, pour les systèmes qui génèrent des contenus de synthèse audio, image, vidéo ou texte déjà mis sur le marché avant le 2 août 2026, l'article 50, paragraphe 2, « d'ici au 2 décembre 2026 ». Le paragraphe 5 de l'article 6 est exclu des dates de haut risque du point c). Aucune autre date n'a été lue pour lui [2].

L'article 111, paragraphe 2, tel que remplacé, applique le règlement aux opérateurs de systèmes à haut risque déjà mis sur le marché ou en service avant la date d'application du chapitre III visée à l'article 113 uniquement en cas d'importantes modifications de conception. Les fournisseurs et déployeurs de systèmes à haut risque destinés aux autorités publiques se conforment « au plus tard le 2 août 2030 » [2].

Pratiques interdites : huit points déjà, quatre ajouts plus tard

Les points a) à h) de l'article 5 sont dans le texte d'origine. Ils suivent les chapitres I et II, applicables depuis le 2 février 2025. Les points b bis) et b ter), et les paragraphes 1 bis et 1 ter, en sont absents : le règlement de 2026 les insère pour le 2 décembre 2026. Au 27 septembre 2026, ces ajouts ne s'appliquent pas encore [1].

Le point a) vise des techniques subliminales, ou délibérément manipulatrices ou trompeuses, avec une altération substantielle du comportement et un préjudice important. Le point b) vise l'exploitation de vulnérabilités dues à l'âge, au handicap ou à la situation sociale ou économique. Le point c) vise une évaluation ou une classification sociale conduisant à un traitement préjudiciable. Le point d) vise l'évaluation du risque qu'une personne commette une infraction pénale, uniquement sur la base du profilage ou de traits de personnalité, sauf pour étayer une évaluation humaine déjà fondée sur des faits objectifs et vérifiables liés à une activité criminelle [1].

Le point e) vise des bases de données de reconnaissance faciale par moissonnage non ciblé d'images provenant de l'internet ou de la vidéosurveillance. Le point f) vise l'inférence des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. Le point g) vise la catégorisation biométrique pour déduire la race, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l'orientation sexuelle. Il ne couvre pas l'étiquetage ou le filtrage d'ensembles acquis légalement, ni la catégorisation dans le domaine répressif [1].

Le point h) vise l'identification biométrique à distance en temps réel dans des espaces accessibles au public, à des fins répressives, sauf nécessité stricte pour les objectifs listés : recherche de victimes, menace imminente, localisation d'un suspect pour une infraction punissable d'au moins quatre ans. Le détail du paragraphe 2 n'a pas été recopié [1].

Au 2 décembre 2026, le point b bis) vise des images, des vidéos, de l'audio ou un matériel similaire réalistes représentant les parties intimes d'une personne identifiable, ou une personne identifiable dans des activités sexuellement explicites, sans consentement libre, spécifique, éclairé, univoque et explicite. Le point b ter) vise un matériel ou un spectacle au sens de l'article 2, points c) et e), de la directive 2011/93/UE, sauf la défense « sans droit » du droit national. Les paragraphes 1 bis et 1 ter limitent ces interdictions : destination du système, ou résultat raisonnablement prévisible sans garde-fous ; l'usage n'est interdit que si le déployeur poursuit ce but ; une manipulation qui n'accroît pas la visibilité des parties intimes ni ne change la nature des activités n'est pas une manipulation au sens du b bis) [2]. Le partage entre fournisseur et déployeur est sur la page des obligations des entreprises au titre de l'AI Act.

Deux voies de haut risque, deux dates

L'article 6, paragraphe 1, du texte d'origine classe à haut risque un système qui remplit deux conditions. Il est un composant de sécurité d'un produit de l'annexe I, ou il est lui-même ce produit. Et il fait l'objet d'une évaluation de conformité par un tiers au titre de cette législation. Le paragraphe 2 ajoute : « Outre les systèmes d'IA à haut risque visés au paragraphe 1, les systèmes d'IA visés à l'annexe III sont considérés comme étant à haut risque. » Le règlement de 2026 ne remplace pas les paragraphes 1, 2 et 3 [1].

Le paragraphe 3 ouvre une dérogation si le système de l'annexe III ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux. Quatre cas sont lus : une tâche procédurale étroite, l'amélioration d'une activité humaine déjà réalisée, la détection d'écarts sans se substituer à l'évaluation humaine, une tâche préparatoire. « Un système d'IA visé à l'annexe III est toujours considéré comme étant à haut risque lorsqu'il effectue un profilage de personnes physiques. » [1]

La liste des domaines de l'annexe III n'a pas été recopiée. Les fonctions internes sont le sujet de la page gouvernance de l'IA.

Le règlement de 2026 insère trois paragraphes dans l'article 6. Le 1 bis écarte du composant de sécurité l'assistance, l'optimisation, l'automatisation et le contrôle qualité lorsqu'ils ne sont pas liés à la sécurité. Le 1 ter traite comme un composant de sécurité une défaillance qui met en danger la santé et la sécurité. Le 1 quater dit qu'une évaluation par un tiers, limitée à des risques autres que la santé et la sécurité, notamment le spectre radioélectrique, ne remplit pas le paragraphe 1, point b). Cette lecture ne leur donne pas une date propre [2].

L'annexe I est aussi retouchée. Le règlement machines (UE) 2023/1230 passe de la section A à la section B : le point 1 de la section A est supprimé, un point 21 est ajouté en section B. Le considérant 42 explique le passage à une approche sectorielle. L'article 2, paragraphe 2, n'a pas été relu : aucune conséquence sur le champ d'application n'en est tirée ici [2].

La transparence de l'article 50, depuis le 2 août 2026

L'article 50, paragraphe 1, demande que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf si cela ressort clairement. Le paragraphe 2 demande aux fournisseurs de systèmes, y compris à usage général, qui génèrent des contenus de synthèse audio, image, vidéo ou texte, de marquer les sorties dans un format lisible par machine [1].

Le paragraphe 3 demande d'informer les personnes exposées à une reconnaissance des émotions ou à une catégorisation biométrique. Le paragraphe 4 demande le signalement des hypertrucages, et celui des textes publiés pour informer le public sur des questions d'intérêt public. L'exception lue suppose que le contenu a fait l'objet d'un examen humain ou d'un contrôle éditorial, et qu'une personne assume la responsabilité éditoriale [1].

Trois plafonds, un correctif qui n'en couvre que deux

L'article 99, paragraphe 3, vise le non-respect de l'article 5 : jusqu'à 35 000 000 EUR ou, si l'auteur est une entreprise, jusqu'à 7 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Le paragraphe 4 vise une liste d'obligations, les articles 16, 22, 23, 24 et 26, les organismes notifiés, et l'article 50 : jusqu'à 15 000 000 EUR ou 3 % du chiffre d'affaires mondial, le plus élevé étant retenu. Le paragraphe 5 vise des informations inexactes, incomplètes ou trompeuses : jusqu'à 7 500 000 EUR ou 1 %, le plus élevé étant retenu [1].

Le règlement de 2026 ne change pas ces trois plafonds. Il insère, au paragraphe 4, un point d bis) sur l'article 25, paragraphes 2 et 4. Le texte de l'article 25 n'a pas été relu. Il ajoute un paragraphe 6 bis : pour les petites entreprises à moyenne capitalisation, chaque amende des paragraphes 4 et 5 « s'élève au maximum aux pourcentages ou montants qui y sont visés, le chiffre le plus faible étant retenu ». Le paragraphe 3, celui de l'article 5, reste hors de ce 6 bis [2].

Le chapitre XII, qui contient ces sanctions, s'applique depuis le 2 août 2025, sauf l'article 101. Le texte des articles 16, 22, 23, 24, 25 et 26 n'est pas repris. Le contrôle d'un système précis est le sujet de la page sur l'audit de conformité à l'AI Act [1].

Signé le 8 juillet 2026, en vigueur le 27 juillet

Le règlement de 2026 « entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l'Union européenne. » La publication est du 24 juillet 2026. EUR-Lex date l'effet au 27 juillet 2026 et affiche « Proposal: 52025PC0836 Adopted on: 08/07/2026 ». La proposition correspondante est le COM(2025) 836 [3]. La note (4) rappelle la position du Parlement européen du 16 juin 2026 et la décision du Conseil du 29 juin 2026 [2].

La page de la bibliothèque de la Commission, consultée le 27 septembre 2026, s'intitule encore « Proposition de règlement omnibus numérique sur l’IA ». Elle affiche « Publication 19 novembre 2025 » et, sous l'étiquette « Last update », la date du 27 juillet 2026. Elle prévient : « Cette page est une traduction automatique fournie par le service eTranslation de la Commission européenne afin d’aider la compréhension. » Le paragraphe visible conjugue encore le verbe proposer au présent. On n'en tire pas le contenu du règlement adopté [4].

Le statut retenu pour le calendrier est celui du Journal officiel : adopté le 8 juillet 2026, en vigueur le 27 juillet 2026. D'autres échéances, hors ce règlement, sont réunies sur la page réglementation numérique de l'entreprise.

Ce que les textes ouverts ne nomment pas

Aucune page de la CNIL, ni aucune page d'entreprises.gouv.fr, n'a été ouverte le 27 septembre 2026. Aucune consigne de ces sites n'est citée. L'autorité française désignée n'a pas été vérifiée : son nom n'est pas écrit ici.

Les sections 2 et 3 du chapitre III, exigences et obligations du haut risque, n'ont pas été détaillées article par article. Seule leur date d'application est reprise.

Pour faire dater un système déjà en service au regard de ces échéances, décrivez l'usage et la date de mise sur le marché.

Sources

1. Règlement (UE) 2024/1689 du 13 juin 2024, Journal officiel L, 2024/1689, 12 juillet 2024 (fichier EUR-Lex du texte d'origine, non consolidé), eur-lex.europa.eu, consulté le 27 septembre 2026.
2. Règlement (UE) 2026/1744 du 8 juillet 2026, Journal officiel L, 2026/1744, 24 juillet 2026, en vigueur le 27 juillet 2026, eur-lex.europa.eu, consulté le 27 septembre 2026.
3. Proposition de la Commission COM(2025) 836, CELEX 52025PC0836, eur-lex.europa.eu, consulté le 27 septembre 2026.
4. Commission européenne, « Proposition de règlement omnibus numérique sur l'IA », publication affichée le 19 novembre 2025, dernière mise à jour affichée le 27 juillet 2026, digital-strategy.ec.europa.eu, consulté le 27 septembre 2026.