J-29. Le 2 décembre 2026, deux bascules s’opèrent dans l’AI Act : le marquage des contenus devient obligatoire pour les systèmes d’IA mis sur le marché avant le 2 août 2026, et deux nouvelles interdictions entrent en application. Voici qui est concerné et comment s’y préparer en quatre semaines.
L’essentiel en 30 secondes. Le 2 décembre 2026 n’est pas une date de plus dans le calendrier de l’AI Act : c’est la fin du sursis accordé aux systèmes d’IA génératifs « historiques ». À compter de cette date, l’obligation de marquage lisible par machine des contenus générés (article 50, paragraphe 2) s’applique aussi aux systèmes mis sur le marché avant le 2 août 2026 — c’est-à-dire à l’essentiel du parc installé. Le même jour, deux interdictions ajoutées par le Digital Omnibus entrent en application : les systèmes de « nudification » générant des contenus intimes non consentis et ceux générant des contenus pédopornographiques, passibles des sanctions maximales — 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Bascule n° 1 : le marquage s’étend aux systèmes antérieurs au 2 août 2026
Depuis le 2 août 2026, les fournisseurs de systèmes générant du texte, des images, de l’audio ou de la vidéo doivent intégrer un marquage lisible par machine identifiant les contenus comme générés ou manipulés par IA — filigranes, métadonnées, signatures, selon l’état de l’art. Les systèmes déjà sur le marché au 2 août bénéficiaient d’un délai : il expire le 2 décembre 2026. Concrètement, c’est la quasi-totalité des outils génératifs en production qui entre dans l’obligation — les modèles historiques, les solutions SaaS intégrées de longue date, les systèmes internes développés avant l’été.
Précision utile : aucune obligation rétroactive ne pèse sur les contenus produits avant l’entrée en application — même si la Commission encourage leur étiquetage. Et les exceptions demeurent : fonction d’assistance à l’édition standard, traitements ne modifiant pas substantiellement les données d’entrée. Pour le détail des quatre obligations de transparence, voyez notre guide de l’article 50.
Si vous êtes déployeur — le cas de la plupart des entreprises — l’obligation technique pèse sur vos fournisseurs, mais c’est maintenant qu’il faut leur écrire : quel mécanisme de marquage, conforme à quel standard, à quelle date ? Une réponse écrite versée à votre dossier de conformité vaut diligence ; un silence vaut alerte — et argument de renégociation.
Bascule n° 2 : deux nouvelles pratiques interdites
Le Digital Omnibus (règlement (UE) 2026/1744) a complété l’article 5 par deux interdictions applicables au 2 décembre 2026 : les systèmes d’IA générant des contenus sexuellement explicites et intimes non consentis — les applications dites de « nudification » — et ceux générant du matériel d’abus sexuel sur mineurs. Elles rejoignent les huit pratiques interdites depuis février 2025 (notation sociale, manipulation exploitant les vulnérabilités, reconnaissance des émotions au travail et à l’école…).
La portée dépasse les éditeurs de ces outils : fournisseurs de modèles à usage général (dont les garde-fous doivent empêcher ces usages), plateformes qui distribuent ou hébergent des applications, intégrateurs d’API génératives — chacun doit vérifier que son produit ne permet pas ces usages et que ses conditions d’utilisation comme ses mesures techniques le documentent. Les pratiques interdites relèvent du plafond maximal de sanctions : 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial.
Votre checklist des quatre semaines
| Vous êtes… | À faire avant le 2 décembre 2026 |
|---|---|
| Fournisseur d’un système génératif antérieur au 2 août 2026 | Déployer le marquage lisible par machine (filigrane, métadonnées) ; documenter la solution retenue et sa robustesse dans le dossier technique |
| Déployeur de solutions génératives | Interroger chaque fournisseur par écrit sur son dispositif de marquage ; consigner les réponses ; prévoir l’alternative si un fournisseur reste muet |
| Fournisseur de modèles ou d’API | Vérifier les garde-fous contre la génération de contenus intimes non consentis et pédocriminels ; mettre à jour CGU et mesures techniques |
| Toute organisation | Mettre à jour le registre des systèmes d’IA et la documentation de littératie — les deux premiers points qu’un contrôle vérifie |
La checklist de conformité AI Act — gratuite
Inscrivez-vous à la newsletter DPO 101 et recevez par e-mail la checklist complète de conformité AI Act — 47 actions concrètes réparties sur 17 onglets, prête à l’emploi. En bonus chaque mois : nos analyses et décryptages sur la réglementation IA.
Notre newsletter est fondée sur votre consentement à la recevoir. Désinscrivez-vous à tout moment en un clic. En savoir plus
Et après le 2 décembre ?
La prochaine grande marche est le 2 décembre 2027 — les obligations haut risque de l’annexe III, reportées par le Digital Omnibus, puis l’annexe I au 2 août 2028. Les fournisseurs concernés ont désormais un outil pour s’y préparer, la norme harmonisée EN 18286. Pour une vue d’ensemble du règlement, notre FAQ AI Act en 25 questions — et pour structurer le tout, votre DPO externalisé outillé par Comply101.
FAQ — L’échéance du 2 décembre 2026
Que change le 2 décembre 2026 dans l’AI Act ?
Deux choses : l’obligation de marquage lisible par machine des contenus générés (article 50(2)) s’étend aux systèmes d’IA mis sur le marché avant le 2 août 2026, et deux nouvelles interdictions entrent en application — les systèmes de « nudification » et ceux générant des contenus pédopornographiques.
Les contenus générés avant cette date doivent-ils être marqués ?
Non. Il n’existe aucune obligation rétroactive de marquer les contenus produits avant l’entrée en application de l’obligation ; la Commission encourage toutefois leur étiquetage volontaire. L’obligation porte sur les contenus générés par le système à compter de la date applicable.
Qui est responsable du marquage : le fournisseur ou l’utilisateur ?
Le fournisseur du système génératif doit intégrer le marquage lisible par machine (article 50(2)). Le déployeur — l’entreprise utilisatrice — a de son côté l’obligation de signaler les deepfakes et certains textes d’information (article 50(4)), et tout intérêt à obtenir de ses fournisseurs la preuve écrite de leur conformité.
Quelles sanctions pour les nouvelles interdictions ?
Les pratiques interdites de l’article 5 relèvent du plafond maximal : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Les interdictions relatives à la « nudification » et aux contenus pédocriminels, ajoutées par le Digital Omnibus, sont applicables à compter du 2 décembre 2026.
Article rédigé par Assaf Bensoussan, DPO externe et fondateur de DPO 101, cabinet de conseil en protection des données (500+ structures accompagnées). Mis à jour le 3 novembre 2026.
Sources : règlement (UE) 2024/1689, articles 5, 50 et 99 ; règlement (UE) 2026/1744 (Digital Omnibus) ; Commission européenne, lignes directrices transparence du 20 juillet 2026.
