Ce que l'omnibus numérique sur l'IA change pour les entreprises qui utilisent l'IA (règlement (UE) 2026/1744)

Le règlement (UE) 2026/1744 modifie l'AI Act, le règlement (UE) 2024/1689, en 43 points. Le tableau reprend les changements qui comptent pour une entreprise qui utilise des systèmes d'IA sans fabriquer de produits à haut risque.

L'article 5, paragraphe 1, point b bis), interdit « la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule des images, des vidéos, des contenus audio ou tout autre matériel similaire réalistes représentant les parties intimes d'une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans le consentement libre, spécifique, éclairé, univoque et explicite de cette personne pour cette production ou manipulation ».

Le point b ter) interdit « la mise sur le marché, la mise en service ou l'utilisation d'un système d'IA qui génère ou manipule tout matériel ou spectacle au sens de l'article 2, points c) et e), de la directive 2011/93/UE, sauf lorsqu'une défense “sans droit” s'applique en vertu du droit national ». La directive 2011/93/UE est la directive de l'UE relative à la lutte contre les abus sexuels et l'exploitation sexuelle des enfants.

Pour une entreprise qui utilise l'IA, c'est la règle applicable aux déployeurs, à l'article 5, paragraphe 1 bis, point b), qui compte : « l'utilisation d'un système d'IA qui génère ou manipule le matériel ou les spectacles visés au paragraphe 1, premier alinéa, points b bis) et b ter), n'est interdite que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel ou ces spectacles ». Le paragraphe 1 ter ajoute qu'une manipulation qui n'accroît pas la visibilité des parties intimes représentées ni ne modifie la nature des activités sexuellement explicites représentées ne constitue pas une manipulation au sens du point b bis).

La date figure à l'article 113, troisième alinéa, point a), modifié : « les chapitres I et II s'appliquent à partir du 2 février 2025, à l'exception de l'article 5, paragraphe 1, premier alinéa, points b bis) et b ter), et de l'article 5, paragraphes 1 bis et 1 ter, qui s'appliquent à partir du 2 décembre 2026 ». Le non-respect d'une interdiction de l'article 5 expose à des amendes pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu (article 99, paragraphe 3, non modifié). Pour les PME, et désormais les petites entreprises à moyenne capitalisation, le montant le plus bas s'applique.

Une obligation voisine s'applique déjà. Depuis le 2 août 2026, l'article 50, paragraphe 4, prévoit : « Les déployeurs d'un système d'IA qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage indiquent que les contenus ont été générés ou manipulés par une IA. »

L'article 4 a été remplacé. Les fournisseurs et les déployeurs prennent toujours des mesures pour favoriser la maîtrise de l'IA de leur personnel et des autres personnes agissant pour leur compte, et l'article 4, paragraphe 1, se termine désormais ainsi : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu. » L'ancienne formule, « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA », a disparu.

Ce que l'obligation demande aujourd'hui, ce qu'attendent les questions-réponses de la Commission et une checklist avec registre des formations figurent sur la page consacrée à la maîtrise de l'IA selon l'article 4. Les nouvelles interdictions ont leur place dans cette formation : les personnes qui génèrent des images, des vidéos ou de l'audio doivent savoir ce qui est interdit.

L'article 26, les obligations des déployeurs de systèmes d'IA à haut risque. Aucun point du règlement 2026/1744 ne le modifie. Les déployeurs utilisent le système conformément à la notice d'utilisation, confient le contrôle humain à des personnes disposant des compétences, de la formation et de l'autorité nécessaires (article 26, paragraphe 2), surveillent le système, conservent les journaux sous leur contrôle pendant au moins six mois (article 26, paragraphe 6) et informent les travailleurs avant d'utiliser un système à haut risque sur le lieu de travail. Seule la date de départ a bougé, par l'article 113.

Les obligations de transparence de l'article 50. Seul l'article 50, paragraphe 7, sur les codes de bonne pratique, a été remplacé. L'indication des hypertrucages du paragraphe 4 et l'obligation de marquage du paragraphe 2 restent rédigées comme avant.

Les pratiques interdites d'origine de l'article 5, paragraphe 1, points a) à h), applicables depuis le 2 février 2025, les définitions du déployeur (article 3, point 4) et de la maîtrise de l'IA (article 3, point 56), la liste des usages à haut risque de l'annexe III et le plafond des amendes pour les pratiques interdites de l'article 99, paragraphe 3.

La façon dont ces obligations s'appliquent à une entreprise qui utilise des LLM est décrite sur la page des obligations du déployeur selon l'AI Act.

Les nouvelles interdictions s'appliquent à partir du 2 décembre 2026. Ces étapes s'intègrent aux documents que la plupart des entreprises tiennent déjà.

Les règles d'utilisation sont plus simples à tenir quand l'accès aux modèles passe par un seul point. Standard Compute est une façon de le faire pour les API de modèles, Claude Code et Claude Desktop : chaque personne et chaque application reçoit sa propre clé, le tout sous un seul compte d'entreprise. Choisissez les modèles que chaque clé peut utiliser, afin que chaque application et chaque membre de l'équipe obtienne exactement les modèles que vous approuvez.

Choisissez précisément quels fournisseurs d'inférence peuvent traiter vos données, pour toute l'entreprise, une équipe ou une seule clé. Chaque modification d'administration est enregistrée avec la valeur avant et après, de sorte que la trace de qui pouvait utiliser quel modèle se trouve à côté de votre politique.

Ces réglages décident quels modèles et quels fournisseurs peuvent être utilisés. Ils n'examinent pas les prompts ni les sorties, et ne rendent aucun usage licite.