AI Act : ce qui s'applique vraiment à vos outils d'IA depuis le 2 août 2026

Le 2 août 2026 était la grande échéance de l'AI Act. Elle vient de passer, et deux récits opposés circulent depuis, tous les deux faux. Le premier dit que « l'AI Act a été reporté, il n'y a rien à faire ». Le second annonce une avalanche d'obligations pour toute entreprise qui touche à l'IA. La réalité tient en une distinction simple : ce qui a été reporté concerne les systèmes à haut risque ; ce qui s'applique concerne tout le monde.

Cet article fait le point sur ce que le règlement européen sur l'intelligence artificielle impose réellement à un professionnel qui utilise des outils d'IA au quotidien, en prenant la dictée vocale comme cas d'école. Et surtout, sur ce qu'il ne règle pas du tout, alors que beaucoup le croient.

Un règlement unique, applicable dans les 27 États membres

Premier malentendu à lever : l'AI Act n'est pas une loi nationale. C'est le règlement (UE) 2024/1689, entré en vigueur le 1^er août 2024. Deux conséquences pratiques :

• C'est un règlement, pas une directive. Il s'applique directement dans les 27 États membres, sans loi de transposition. Il n'existe donc pas de version nationale de l'AI Act : le texte est identique d'un État membre à l'autre. Chaque pays se borne à désigner ses autorités de surveillance et à fixer son régime de sanctions, dans les limites posées par le règlement.
• Sa portée est extraterritoriale. L'article 2 vise les fournisseurs qui mettent un système d'IA sur le marché de l'Union quel que soit leur lieu d'établissement, ainsi que les fournisseurs et les déployeurs établis dans un pays tiers lorsque les résultats produits par le système sont utilisés dans l'Union. Un éditeur établi hors de l'Union qui propose son outil en Europe y est donc soumis.

À noter également : le paragraphe 10 de ce même article écarte les obligations des déployeurs qui sont des personnes physiques utilisant un système d'IA dans le cadre d'une activité purement personnelle et non professionnelle. Dicter sa liste de courses n'engage rien. Dicter ses comptes rendus de mission, si.

Le calendrier réel, après l'omnibus numérique

Le 8 juillet 2026, l'Union a adopté le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet. C'est lui qui a redessiné le calendrier, et c'est de lui que vient la rumeur d'un report général. Voici ce qu'il change, et ce qu'il ne change pas.

• 2 février 2025 : les pratiques interdites de l'article 5 et l'obligation de maîtrise de l'IA de l'article 4 sont applicables. Inchangé.
• 2 août 2025 : obligations sur les modèles d'IA à usage général, gouvernance, et surtout entrée en vigueur du régime de sanctions. Inchangé.
• 2 août 2026 : application générale du règlement, et obligations de transparence de l'article 50. Inchangé.
• 2 décembre 2026 : deux nouvelles pratiques interdites ajoutées à l'article 5, visant les systèmes qui génèrent des contenus intimes réalistes d'une personne identifiable sans son consentement, et ceux qui génèrent du matériel pédopornographique. À la même date prend fin la période transitoire de quatre mois laissée aux fournisseurs de systèmes d'IA générative déjà présents sur le marché au 2 août 2026 pour se conformer au marquage de leurs contenus.
• 2 décembre 2027 : obligations des systèmes à haut risque de l'annexe III (emploi, éducation, services essentiels, justice, migration, biométrie). Reporté du 2 août 2026.
• 2 août 2028 : obligations des systèmes à haut risque de l'annexe I, ceux intégrés à des produits déjà régulés. Reporté du 2 août 2027.

Les montants, pour situer l'enjeu : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite, jusqu'à 15 millions ou 3 % pour le manquement aux obligations des fournisseurs, des déployeurs ou à la transparence de l'article 50, le montant le plus élevé étant retenu. Une nuance qui compte pour une PME ou une start-up : l'article 99, paragraphe 6, prévoit dans leur cas que c'est le plus bas des deux montants qui s'applique, et non le plus élevé.

Les quatre niveaux de risque, et où tombe un outil de dictée

L'AI Act ne régule pas l'IA en bloc : il classe les systèmes par niveau de risque, et fait dépendre les obligations de ce classement. Quatre étages, du plus contraignant au plus léger : risque inacceptable (interdit), haut risque (fortement encadré), risque spécifique de transparence (obligation d'information), risque minimal (aucune obligation particulière).

Le point que presque tout le monde manque : c'est la destination du système qui détermine sa classe, pas la technologie qu'il embarque. La même brique de reconnaissance vocale peut relever du risque minimal ou du haut risque selon l'usage auquel elle est destinée.

• Un outil destiné à transcrire la parole en texte ne figure dans aucune des huit rubriques de l'annexe III. Il relève du risque minimal.
• Le même moteur vocal destiné à évaluer des candidats lors d'un entretien d'embauche relèverait du point 4 de l'annexe III (emploi et gestion de la main-d'œuvre) : haut risque.
• Le même moteur vocal destiné à reconnaître des émotions relèverait du point 1 de l'annexe III (biométrie) : haut risque, quand il n'est pas purement et simplement interdit.

Autrement dit, la question à poser à un éditeur n'est pas « votre outil utilise-t-il de l'IA ? », mais « à quoi votre système est-il destiné, et à quel niveau de risque le classez-vous ? ». La réponse doit être argumentée, pas décorative.

Le vrai piège des outils vocaux : l'inférence d'émotions

Pour un outil qui écoute des humains parler, l'article du règlement qui mérite le plus d'attention n'est pas celui sur le haut risque, c'est l'article 5. Son paragraphe 1, point f), interdit les systèmes d'IA visant à inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement, sauf pour des raisons médicales ou de sécurité.

Ce n'est pas une obligation à venir : c'est une interdiction en vigueur depuis le 2 février 2025, dans la catégorie la plus lourdement sanctionnée du règlement. Et elle ne vise pas seulement l'éditeur : une entreprise qui déploie un tel outil auprès de ses salariés est concernée au premier chef.

La ligne à tenir est nette : transcrire n'est pas inférer. Un outil de dictée transforme ce que vous dites en texte, il n'analyse pas votre état émotionnel. En revanche, la vigilance s'impose sur les fonctionnalités que certains outils de réunion mettent en avant : analyse de sentiment des participants, score d'engagement, détection du stress ou de la tonalité. Sur un lieu de travail, ces promesses marketing peuvent basculer dans le champ de l'interdiction.

Faut-il « tatouer » un texte produit avec de l'IA ?

C'est la confusion la plus répandue depuis le 2 août 2026. L'article 50, paragraphe 2, impose aux fournisseurs de systèmes d'IA qui génèrent des contenus synthétiques audio, image, vidéo ou texte de marquer ces sorties dans un format lisible par machine. Beaucoup en concluent que tout texte écrit avec l'aide d'une IA devrait désormais porter une marque.

C'est inexact, et le règlement le dit lui-même. Le même paragraphe précise : « Cette obligation ne s'applique pas dans la mesure où les systèmes d'IA remplissent une fonction d'assistance pour la mise en forme standard ou ne modifient pas de manière substantielle les données d'entrée fournies par le déployeur ou leur sémantique. »

Un outil de dictée vocale se situe exactement dans cette exception. Il transcrit vos mots, puis corrige la ponctuation, la grammaire et les hésitations. Il ne fabrique pas de contenu à votre place et ne change pas le sens de ce que vous avez dit : il met en forme des données d'entrée que vous avez fournies. Le texte reste le vôtre. La différence avec un outil qui rédige un article à partir d'une consigne de trois lignes est de nature, pas de degré.

Deux réserves, en revanche, qu'il faut connaître :

• Article 50, paragraphe 1. Les systèmes destinés à interagir directement avec des personnes physiques doivent les informer qu'elles s'adressent à une IA. Cela vise les agents conversationnels, pas un outil de dictée, qui ne dialogue avec personne.
• Article 50, paragraphe 4. Un texte généré ou manipulé par IA et publié dans le but d'informer le public sur des questions d'intérêt public doit porter une mention. Exception importante : lorsque le contenu a fait l'objet d'un contrôle éditorial humain et qu'une personne physique ou morale assume la responsabilité éditoriale. Un journaliste qui dicte son article puis le relit reste dans l'exception.

Ce que l'AI Act impose à l'utilisateur professionnel

Le règlement distingue deux rôles principaux. Le fournisseur est celui qui développe et met le système sur le marché. Le déployeur est celui qui l'utilise sous sa propre autorité, dans un cadre professionnel. Si vous équipez vos équipes d'un outil d'IA, ou si vous l'utilisez vous-même dans le cadre de votre activité, vous êtes déployeur. Concrètement, trois choses vous concernent.

1. La maîtrise de l'IA (article 4), assouplie par l'omnibus. Le texte d'origine imposait d'assurer « un niveau suffisant » de connaissances en matière d'IA au personnel. Le règlement (UE) 2026/1744 l'a remplacé par une formule nettement plus souple : les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte ». On passe d'une obligation de résultat à une obligation de moyens, et le texte modifié précise qu'il n'impose pas de garantir un niveau déterminé. À noter : l'article 4 ne figure pas dans la liste des infractions passibles d'amende à l'article 99. L'obligation existe, mais elle n'est pas directement sanctionnée à l'échelle européenne.

2. Les pratiques interdites (article 5). Vous ne devez pas utiliser d'outil relevant de la liste noire de l'article 5, dont l'inférence d'émotions au travail évoquée plus haut. C'est la seule contrainte véritablement lourde qui pèse sur un utilisateur ordinaire, et elle est déjà en vigueur.

3. Les obligations de déployeur d'un système à haut risque (article 26). Elles sont substantielles : surveillance humaine, conservation des journaux, information des travailleurs concernés. Mais elles ne s'appliquent que si vous déployez effectivement un système classé haut risque, et pas avant le 2 décembre 2027 pour l'annexe III.

Le point capital : l'AI Act ne dit rien sur la souveraineté

C'est la confusion la plus coûteuse, parce qu'elle donne un faux sentiment de sécurité. L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'IA : ce qu'ils ont le droit de faire, comment ils doivent être documentés, ce qu'ils doivent déclarer. Il ne comporte aucune exigence de localisation des données.

Nulle part le règlement n'impose que votre audio, vos textes ou vos documents soient traités en Europe. Nulle part il ne neutralise le Cloud Act américain. Un outil peut être irréprochable au regard de l'AI Act et transférer chacune de vos dictées vers des serveurs opérés par une société soumise au droit américain, donc contraignable par une injonction américaine.

Ce qui régit ces questions, c'est le RGPD, et lui seul : la licéité du traitement, la durée de conservation, la sous-traitance, et l'encadrement des transferts hors Union européenne au titre de son chapitre V. L'AI Act le dit d'ailleurs lui-même, à son article 2, paragraphe 7 : le droit de l'Union relatif à la protection des données à caractère personnel continue de s'appliquer aux données traitées dans le cadre du règlement. Les deux textes se cumulent, l'un ne se substitue pas à l'autre.

Nous détaillons cette seconde question, de loin la plus déterminante en pratique, dans notre guide dédié : dictée vocale et RGPD, où vont vraiment vos données. On y explique pourquoi la localisation des serveurs ne suffit pas, ce que vaut réellement le Data Privacy Framework, et pourquoi la juridiction dont dépend l'éditeur prime sur l'adresse de ses datacenters. Pour les professions tenues au secret, le cadre applicable est détaillé sur notre page dédiée au secret professionnel.

6 questions à poser à un éditeur d'outil d'IA

Un moyen simple de trancher, en combinant les deux réglementations. Les premières relèvent de l'AI Act, les dernières du RGPD, et ce sont souvent celles-là qui font la différence.

1. Quelle est la destination déclarée de votre système, et à quel niveau de risque le classez-vous ? Attendez une réponse argumentée par rapport à l'annexe III, pas un simple « nous sommes conformes ».
2. Votre outil infère-t-il des émotions, ou catégorise-t-il des personnes à partir de leur voix ? Sur un lieu de travail, la bonne réponse est non, sans ambiguïté.
3. Vos sorties relèvent-elles de l'obligation de marquage de l'article 50, paragraphe 2, ou de l'exception d'assistance à la mise en forme standard ? Un éditeur sérieux sait où il se situe et pourquoi.
4. Quels modèles d'IA utilisez-vous, où sont-ils exécutés, et chez quels fournisseurs ? C'est la seule façon de savoir qui traite réellement vos données en bout de chaîne. Un éditeur qui appelle l'API d'un tiers vous expose à ce tiers, quel que soit son discours par ailleurs.
5. Mes données servent-elles à entraîner vos modèles, et combien de temps sont-elles conservées ? Les bonnes réponses : non, et zéro conservation.
6. Où mes données sont-elles traitées, par quelle société, et sous quelle juridiction ? Cherchez un traitement dans l'Union par une société européenne, pas seulement un « datacenter en Europe ».

Où se situe Fast Dictate

Fast Dictate est un outil de dictée vocale européen. Voici nos réponses aux six questions ci-dessus, dans l'ordre :

• Destination et classement : transcrire la parole en texte et l'insérer dans l'application de votre choix. Aucune des huit rubriques de l'annexe III ne s'applique : risque minimal.
• Émotions : non. Fast Dictate transcrit ce que vous dites et met le texte en forme. Il ne fait ni reconnaissance du locuteur, ni analyse de sentiment, ni catégorisation biométrique.
• Marquage des contenus : l'outil transcrit vos propres mots et corrige la ponctuation et la grammaire, sans modifier de manière substantielle vos données d'entrée ni leur sémantique. C'est précisément l'exception prévue à l'article 50, paragraphe 2.
• Modèles et lieu d'exécution : sur l'offre Pro, la transcription (Whisper Large V3) et le post-traitement linguistique (GPT-OSS-120B) sont exécutés sur des serveurs situés en France. Aucun appel à une API d'IA hors de France n'est effectué pour traiter le contenu de vos dictées, qu'il s'agisse d'OpenAI, d'Anthropic, de Google, d'AWS ou d'Azure.
• Zéro conservation des données sur toutes les offres. Votre audio est traité en mémoire le temps de la transcription, puis immédiatement supprimé, et n'est jamais réutilisé pour entraîner un modèle.
• Offre Pro : traitement exclusivement en France, sur une infrastructure certifiée ISO/IEC 27001:2022, hors du champ du Cloud Act américain, avec un DPA RGPD avancé communiqué sur demande. Les offres Free et Standard fonctionnent sur une infrastructure internationale rapide, toujours sans conservation des données.

Sur le reste, Fast Dictate fonctionne partout : Word, Gmail, Notion, votre navigateur, n'importe quel champ de texte, avec un seul raccourci sur Windows et Mac. L'offre gratuite donne 2 000 mots par semaine, sans carte bancaire.

Cet article a une visée informative et ne constitue pas un conseil juridique. La qualification d'un système d'IA dépend de sa destination et de son usage réel : en cas de doute sur votre situation, rapprochez-vous d'un conseil. Les sources officielles sont accessibles sur EUR-Lex et sur la page de la Commission européenne consacrée à la législation sur l'IA. Article à jour au 15 août 2026.

Questions fréquentes