AI Act, 2 août 2026 : ce que les PME doivent exiger de leurs fournisseurs d'IA
À J-34, les pouvoirs de sanction de la Commission s'activent et les obligations GPAI deviennent pleinement applicables. Voici ce qu'une PME doit verrouiller dans ses contrats fournisseurs.
Le 2 août 2026, deux choses changent au titre du règlement (UE) 2024/1689 (AI Act) : la Commission active ses pouvoirs de sanction, avec des amendes pouvant atteindre 3 % du chiffre d'affaires mondial, et les obligations applicables aux fournisseurs de modèles d'IA à usage général (GPAI) deviennent pleinement applicables. Pour une PME utilisatrice, cela ne crée pas d'obligation directe sur le modèle, mais cela rend immédiatement utile la traçabilité contractuelle des engagements de son fournisseur.
Pourquoi cette date compte même si vous n'êtes pas développeur d'IA
La conformité GPAI pèse sur le fournisseur du modèle, pas sur l'utilisateur final. Mais en cas de contrôle ou de demande d'un client, vous devrez démontrer que vous avez raisonnablement obtenu les éléments de conformité auprès de votre prestataire. Sans clause, vous n'avez aucun levier pour les exiger.
Trois exigences contractuelles minimales
D'abord, demander au prestataire une déclaration de conformité au chapitre V de l'AI Act à compter du 2 août 2026, incluant la documentation technique, la politique de conformité au droit d'auteur et le résumé des contenus d'entraînement. Ensuite, prévoir un délai de réponse court (15 jours est raisonnable) pour communiquer ces éléments sur demande. Enfin, qualifier expressément le manquement comme manquement grave ouvrant droit à résiliation.
Ce qui n'est pas encore tranché
Le Digital Omnibus AI Act fait l'objet d'un accord politique du 7 mai 2026 mais n'a pas encore été publié au JOUE. Le périmètre exact des reports IA haut risque (annexe III au 2 décembre 2027, annexe I au 2 août 2028) pourra encore évoluer à la marge. Prévoyez une clause de revue annuelle pour ne pas figer une rédaction qui sera obsolète dans six mois.