Suivez l’actualité de l’AI Act 2026 : calendrier de mise en œuvre, guidelines du Bureau européen de l’IA, codes de pratique.
Dernières actualités
30 juillet 2026 — LLM : une faille structurelle de conception documentée à l'ICML
Art. 15 AI ActArt. 32 RGPD
Des chercheurs ont présenté à l'International Conference on Machine Learning un travail concluant qu'il est impossible de sécuriser complètement les grands modèles de langage contre les injections de prompt, en raison d'un défaut de conception. Les modèles s'appuient sur un système de balises textuelles définissant des « rôles » pour séparer les instructions système du texte fourni par l'utilisateur ; les auteurs qualifient ces balises de convention de mise en forme devenue par accident l'architecture de sécurité des modèles actuels. L'attaque exploite la confusion entre ces rôles. Les essais publiés portaient initialement sur des modèles d'OpenAI, mais les chercheurs indiquent avoir obtenu des résultats comparables sur des modèles d'Anthropic, d'Alibaba et de DeepSeek. Le travail s'inscrit dans une série de publications convergentes : des équipes de red teaming humaines atteignent des taux de succès proches de 100 % contre les modèles de frontière, et une étude de mai 2026 relève des taux d'échec de 11 % et 25 % sur des attaques automatisées. La conséquence opérationnelle est directe : un agent connecté à une messagerie, à une base documentaire ou à un système tiers doit être conçu en supposant que ses instructions peuvent être détournées par le contenu qu'il lit. Les garde-fous doivent donc se situer en aval du modèle — cloisonnement des droits d'accès, validation humaine des actions sensibles, journalisation — et non dans la formulation du prompt système. Pour un système d'IA à haut risque, cette exigence de robustesse face aux tentatives d'altération du comportement relève de l'article 15 de l'AI Act ; dès lors que l'agent manipule des données personnelles, elle rejoint l'obligation de sécurité de l'article 32 du RGPD.
30 juillet 2026 — AI Act : le Garante juge la biométrie policière italienne trop large
Art. 5 AI ActArt. 10 AI ActArt. 26 AI ActArt. 22 RGPD
Le Garante italien a rendu publics deux avis sur les décrets législatifs de transposition de l'AI Act en Italie. Le second, consacré à l'usage des systèmes d'IA par les forces de police, contient une réserve explicite : le traitement automatisé et généralisé des données biométriques des personnes accédant à des lieux ou à des événements ouverts au public n'est pas cohérent avec le règlement européen. L'autorité rappelle que l'AI Act n'autorise l'identification biométrique a posteriori que pour des recherches ciblées : le traitement doit porter exclusivement sur des enregistrements déjà acquis et répondre à un besoin opérationnel identifié, à l'exclusion de toute collecte massive et préventive. Le Garante demande en outre que le législateur ajoute une interdiction expresse d'utiliser des bases biométriques constituées par moissonnage non ciblé ou en violation de la réglementation sur les données personnelles, ainsi que des garanties renforcées sur la qualité des bases de données biométriques et sur la supervision humaine. Le premier avis, relatif au décret sur les systèmes à haut risque et sur l'IA en formation, réclame que l'autorité puisse adopter lignes directrices et recommandations, et propose d'étendre l'interdiction des décisions fondées exclusivement sur un système d'IA aux évaluations affectant significativement la relation de travail — performances, primes, progression de carrière. Cette dernière demande recoupe directement l'article 22 du RGPD sur la décision automatisée. Les deux textes ont été transmis pour avis non contraignant aux commissions parlementaires.
30 juillet 2026 — Modèles de nudification : la France saisit la Commission européenne
Art. 50 AI Act
La haut-commissaire à l'Enfance, Sarah El Haïry, a annoncé le 29 juillet 2026 saisir la Commission européenne, la plateforme Pharos et l'Arcom au sujet de modèles d'intelligence artificielle hébergés sur Hugging Face et capables de générer des images dénudées de personnes réelles sans leur consentement. La saisine fait suite à une étude de l'ONG AI Forensics selon laquelle sept des neuf outils d'édition d'images les plus utilisés sur la plateforme produisaient un faux nu à partir d'une requête élémentaire. La haut-commissaire avait déjà saisi la Commission au sujet de Grok, saisine qui avait contribué à l'ouverture d'une procédure. Le dossier se situe à l'intersection de plusieurs textes : le règlement sur les services numériques pour la responsabilité des plateformes d'hébergement et le traitement des signalements de contenus illicites, l'article 50 de l'AI Act pour le marquage des contenus synthétiques — dont les obligations deviennent applicables le 2 août 2026 — et l'article 226-8-1 du code pénal français, qui réprime la diffusion de montages à caractère sexuel réalisés sans consentement. Sur le plan opérationnel, la question posée est celle du statut du dépôt de modèle : un fichier de poids publié sur une plateforme n'est ni un contenu ni un service au sens classique, ce qui rend incertaine l'articulation entre les obligations de modération du DSA et celles pesant sur les fournisseurs de modèles au titre de l'AI Act. Les organisations qui déploient des modèles téléchargés depuis un dépôt public restent, elles, qualifiables de déployeurs au sens du règlement IA.
29 juillet 2026 — Transparence IA : Meta signe le code de bonnes pratiques européen
Art. 50 AI Act
Meta a confirmé le 28 juillet 2026 avoir signé le code de bonnes pratiques de l'Union européenne sur la transparence des contenus générés par IA. L'annonce a été publiée par Markus Reinisch, vice-président des affaires publiques pour l'Europe, qui la rattache aux travaux engagés par le groupe depuis février 2024 sur l'identification et le marquage des contenus synthétiques, en s'appuyant sur des initiatives collectives comme le Partnership on AI et la coalition C2PA. Ce code est volontaire : il décrit des modalités pratiques permettant aux fournisseurs et aux déployeurs de systèmes d'IA générative de satisfaire aux obligations de transparence de l'article 50 de l'AI Act, applicables le 2 août 2026, et la Commission l'a jugé adéquat au regard des paragraphes 2, 4 et 5 de cet article. Deux nuances méritent d'être signalées. D'une part, les fonctionnalités d'IA déjà déployées par Meta sur le marché européen bénéficient du délai de grâce prévu par le Digital Omnibus IA, qui court jusqu'au 2 décembre 2026 pour la seule obligation de marquage des systèmes déjà mis sur le marché. D'autre part, ce ralliement contraste avec la position du groupe sur le code de bonnes pratiques relatif aux modèles d'IA à usage général, qu'il avait été le seul acteur majeur à refuser de signer. Sur le plan opérationnel, l'adhésion d'un fournisseur au code ne transfère aucune obligation : un déployeur qui publie un contenu généré par IA sur un sujet d'intérêt public, ou un hypertrucage, reste tenu de le signaler pour son propre compte.
29 juillet 2026 — AI Act : l'Allemagne place la Bundesnetzagentur au centre du dispositif
Art. 70 AI ActArt. 6 AI ActArt. 43 AI Act
À quatre jours de l'échéance du 2 août 2026, l'Allemagne précise son architecture de surveillance du marché au titre de l'AI Act. La Bundesnetzagentur (agence fédérale des réseaux) indique qu'elle coordonnera les missions de surveillance du marché pour les domaines relevant de l'annexe III du règlement — infrastructures critiques, application de la loi, emploi, éducation notamment — pour lesquels aucune structure préexistante n'était en place ; elle est par ailleurs déjà l'autorité compétente pour la directive équipements radioélectriques 2014/53/UE, visée au point 6 de l'annexe I. L'article 70 de l'AI Act impose à chaque État membre de désigner au moins une autorité de surveillance du marché, plusieurs autorités pouvant se partager les missions. Le véhicule législatif national, le KI-MIG (loi sur la surveillance du marché de l'IA et la promotion de l'innovation), adopté par le Bundestag le 11 juin 2026, fait de la Bundesnetzagentur le point de contact unique auprès du Bureau européen de l'IA et le guichet central des réclamations, adossé à un centre de coordination et de compétences (KoKIVO) et à un bac à sable réglementaire. Deux dates à retenir, rappelées par l'agence : les règles de surveillance du marché applicables aux systèmes à haut risque de l'annexe III s'appliquent à compter du 2 août 2026, celles visant l'annexe I à compter du 2 août 2027. Sur le plan opérationnel, cela signifie qu'à partir de dimanche, une autorité nationale peut demander la documentation technique et la déclaration de conformité d'un système à haut risque commercialisé en Allemagne, et instruire les réclamations reçues de personnes physiques ou morales.
29 juillet 2026 — IA générative : l'ANPD brésilienne traduit son radar technologique
L'Autorité nationale brésilienne de protection des données (ANPD) a publié le 21 juillet 2026 la version anglaise de son rapport « Technology Radar — Generative Artificial Intelligence », rendant accessible hors du Brésil une analyse jusqu'ici disponible en portugais seulement. La série « Technology Radar » examine les technologies émergentes susceptibles de peser sur le paysage de la protection des données, en cartographiant les concepts structurants, le potentiel de marché et les perspectives de ces outils. Ce volet passe en revue les avancées de l'IA générative et confronte les scénarios de risque identifiés au droit brésilien (LGPD), avec deux points d'attention centraux : le moissonnage du web (web scraping), susceptible d'emporter un traitement de données personnelles, et la génération de contenus synthétiques potentiellement indiscernables de données personnelles réelles. Ces deux questions recoupent directement celles traitées par le CEPD dans ses lignes directrices sur l'anonymisation et sur le moissonnage pour l'IA générative, adoptées en juillet 2026 : la convergence des analyses de deux autorités relevant de cadres distincts constitue un signal utile pour les équipes conformité. Sur le plan opérationnel, le raisonnement sur les données synthétiques est le plus directement exploitable : un jeu de données généré à partir de données réelles ne devient anonyme que si le risque de ré-identification, y compris par recoupement avec la source d'entraînement, a été effectivement testé et documenté.
28 juillet 2026 — AI Act : la Pologne se dote de son autorité nationale de surveillance
Art. 70 AI ActArt. 74 AI Act
Le président polonais Karol Nawrocki a signé le 24 juillet 2026, au dernier jour du délai qui lui était ouvert, la loi sur les systèmes d'intelligence artificielle, texte de mise en œuvre nationale du règlement (UE) 2024/1689. Elle institue une Commission pour le développement et la sécurité de l'intelligence artificielle (KRiBSI), rattachée au ministère de la Numérisation mais assortie d'une garantie légale d'indépendance : ses agents ne relèvent que de son président — compromis trouvé en février 2026 après plusieurs mois de blocage entre les ministères du Numérique et des Finances sur le coût de l'autorité. La commission recevra les réclamations, prononcera des sanctions, pourra retirer du marché les systèmes non conformes et pilotera les bacs à sable réglementaires. Le texte confie par ailleurs au président de l'UODO, l'autorité polonaise de protection des données, un rôle d'autorité de surveillance du marché pour une partie des systèmes d'IA à haut risque : c'est l'application de l'article 74 de l'AI Act, qui réserve aux autorités de protection des données les systèmes visés aux points 6, 7 et 8 de l'annexe III et, pour certains usages répressifs, ceux du point 1. Les amendes alimenteront le budget de l'État. La KRiBSI doit être opérationnelle en novembre 2026, pour un régime pleinement applicable en 2027. La Pologne rattrape ainsi un retard partagé par plusieurs États membres, l'article 70 de l'AI Act fixant au 2 août 2025 la date limite de désignation des autorités nationales compétentes. Sur le plan opérationnel, un fournisseur ou un déployeur français actif en Pologne devra désormais identifier deux interlocuteurs distincts selon la catégorie du système concerné, et non un guichet unique.
27 juillet 2026 — Digital Omnibus IA : le règlement (UE) 2026/1744 entre en vigueur
Art. 50 AI ActArt. 6 AI Act
Le règlement (UE) 2026/1744, dit « Digital Omnibus sur l'IA », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entre en vigueur le 27 juillet, soit le troisième jour suivant sa publication — une entrée en vigueur accélérée « pour raison d'urgence », à l'approche de l'échéance de transparence du 2 août 2026. Le texte modifie le règlement (UE) 2024/1689 (AI Act) ainsi que les règlements (UE) 2018/1139 et (UE) 2023/1230 afin de simplifier la mise en œuvre du cadre européen de l'IA. Principale conséquence opérationnelle : les obligations autonomes applicables aux systèmes d'IA à haut risque sont reportées au 2 décembre 2027, ce qui redistribue le calendrier de conformité des fournisseurs et déployeurs concernés. Le texte étend par ailleurs les pouvoirs de supervision de l'AI Office et introduit de nouvelles interdictions. Il s'agit de l'aboutissement de l'un des paquets de simplification lancés par la Commission en novembre 2025.
Garder la trace de quel système d'IA tombe sous quelle échéance est exactement le type de cartographie que Legiscope tient à jour automatiquement.
27 juillet 2026 — Loi Darcos : présomption d'utilisation des œuvres contre les fournisseurs d'IA
La proposition de loi portée par la sénatrice Laure Darcos, adoptée à l'unanimité par le Sénat le 8 avril 2026 après avis favorable du Conseil d'État du 19 mars 2026, a été transmise à l'Assemblée nationale. Le texte, tenant en un article unique codifié à l'article L. 331-4-1 du code de la propriété intellectuelle, instaure une présomption simple d'utilisation : sauf preuve contraire, toute œuvre protégée est présumée avoir été utilisée par le fournisseur d'un modèle ou système d'IA dès lors qu'un indice tiré du développement, du déploiement ou des résultats générés rend cette utilisation vraisemblable. L'objectif est de combler le vide probatoire qui rend aujourd'hui ineffectif le droit d'opposition (opt-out) prévu par la directive 2019/790 : faute de transparence des fournisseurs sur les données d'entraînement, les ayants droit ne peuvent prouver l'exploitation de leurs œuvres. Sur le plan opérationnel, la charge de la preuve se déplacerait vers les fournisseurs d'IA, qui devraient documenter et, le cas échéant, démontrer l'origine licite de leurs jeux d'entraînement.
27 juillet 2026 — AI Act : les obligations de transparence applicables dès le 2 août 2026
Art. 50 AI Act
La Commission européenne a publié ses lignes directrices sur les obligations de transparence de l'article 50 de l'AI Act, qui deviennent applicables — donc opposables par les autorités de surveillance — le 2 août 2026. Tout organisme qui appose sa marque sur un système d'IA générative (y compris un chatbot interne développé sous sa propre identité) doit informer clairement les personnes qu'elles interagissent avec une IA et marquer les contenus générés dans un format lisible par machine et détectable. Les déployeurs doivent, de leur côté, signaler les hypertrucages (deepfakes), les contenus d'intérêt public générés par IA non revus, ainsi que les dispositifs de reconnaissance des émotions ou de catégorisation biométrique. Un délai de grâce court jusqu'au 2 décembre 2026 pour la seule obligation de marquage des systèmes déjà mis sur le marché. Ce calendrier résulte du Digital Omnibus (AI Omnibus) désormais publié au Journal officiel de l'UE, qui a décalé certaines échéances tout en maintenant l'application des règles de transparence. La Commission a par ailleurs jugé le code de bonnes pratiques sur la transparence des contenus générés par IA adéquat au regard de l'article 50(2), (4) et (5).
22 juillet 2026 — IA générative : Singapour impose une information spécifique des personnes
La Personal Data Protection Commission (PDPC) de Singapour a publié le 20 juillet 2026 ses lignes directrices sur l'usage des données personnelles dans les systèmes d'IA générative, au terme d'une consultation publique menée du 2 juin au 1er juillet. Nouveauté majeure : les organisations devront désormais informer spécifiquement les personnes lorsque leurs données personnelles sont utilisées pour entraîner ou améliorer un modèle d'IA générative, là où une mention de confidentialité générale (développement produit, personnalisation) suffisait auparavant. La PDPC justifie cette obligation par le risque que des données sensibles — données d'enfants, de santé ou de solvabilité — soient exposées ou reconstruites à partir d'un modèle, et par la difficulté de les corriger ou de les supprimer une fois l'entraînement effectué. Le régulateur s'abstient toutefois de prescrire des modalités précises de mise en conformité. Sur le plan opérationnel, cette approche rejoint l'esprit de l'article 50 du règlement européen sur l'IA et des articles 13 et 14 du RGPD : une information distincte et lisible sur la finalité d'entraînement de l'IA s'impose comme un standard de transparence à l'échelle internationale.
21 juillet 2026 — Hugging Face : intrusion pilotee de bout en bout par un agent IA
Art. 32 RGPD
Hugging Face a publie le 16 juillet 2026 une divulgation d'incident concernant une intrusion dans une partie de son infrastructure de production. Fait inedit : l'attaque aurait ete pilotee de bout en bout par un systeme d'agents IA autonomes, ayant execute plusieurs milliers d'actions a travers des bacs a sable ephemeres et un serveur de commande auto-migrant. Le point d'entree se situait dans le pipeline de traitement des jeux de donnees : un dataset malveillant a exploite deux chemins d'execution de code (chargeur a execution distante et injection de template), permettant un acces au niveau du noeud puis un deplacement lateral vers plusieurs clusters internes. L'entreprise indique un acces non autorise a des jeux de donnees internes et a plusieurs identifiants de service ; l'evaluation de l'impact sur les donnees de partenaires et clients reste en cours. Aucune alteration des modeles, datasets ou Spaces publics n'a ete constatee, et la chaine d'approvisionnement logicielle a ete declaree saine. Sur le plan operationnel, l'incident materialise le scenario de l'attaquant agentique et rappelle l'exigence de securite du traitement : cette obligation rejoint directement l'article 32 du RGPD, qui impose des mesures techniques adaptees a l'etat de l'art.
Ce que ca change pour vous : cartographiez vos pipelines d'ingestion de donnees et vos flux d'execution de code (chargeurs, templates), et verifiez que votre procedure de notification de violation est prete a qualifier un acces non autorise a des identifiants ou des jeux de donnees internes. Article 32 RGPD : securite du traitement — Sous-traitance securite : exigences NIS2 et RGPD
Un acces non autorise a des donnees internes releve de la gestion des violations, exactement ce que Legiscope aide a tracer et a qualifier dans les delais.
21 juillet 2026 — Le CEPD adopte ses lignes directrices sur l'anonymisation et le scraping IA
Art. 4 RGPDArt. 6 RGPD
Le 7 juillet 2026, le Comite europeen de la protection des donnees (CEPD) a adopte un triple paquet : les lignes directrices 02/2026 sur l'anonymisation au titre du RGPD, des lignes directrices sur le moissonnage (web scraping) dans le contexte de l'IA generative, et la version finale de celles consacrees aux chaines de blocs. Les deux premiers textes sont soumis a consultation publique jusqu'au 30 octobre 2026. Le volet anonymisation actualise l'avis 05/2014 du G29 en tenant compte de la jurisprudence de la CJUE et de l'essor des traitements a grande echelle ; un responsable ayant deja qualifie un jeu de donnees d'anonyme selon l'avis de 2014 n'a pas a le reevaluer, mais un reexamen periodique du risque de reidentification est recommande. Le volet scraping eclaire la question sensible de la base legale de la collecte massive pour entrainer des modeles generatifs.
21 juillet 2026 — Doctolib va exploiter les donnees de sante de ses usagers pour l'IA
Art. 9 RGPDArt. 21 RGPD
Selon CheckNews (Liberation), Doctolib a informe par e-mail ses 41 millions d'utilisateurs francais que leurs donnees medicales pourront alimenter un 'laboratoire de recherche' en IA. Le 'Doctolib AI Research Lab', qui reunit notamment l'Inria, l'Inserm, Nantes Universite et l'Universite Paris Cite, lancera en aout 2026 le projet 'Optimisation des parcours de soins grace a l'intelligence artificielle'. Le traitement porte sur des donnees de sante, categorie particuliere protegee par l'article 9 du RGPD, et repose sur un mecanisme d'opposition : les usagers doivent remplir un formulaire pour refuser, plutot que consentir a l'avance. Le choix de la base legale et l'information prealable des personnes seront determinants pour la conformite de ce reemploi secondaire de donnees sensibles.
21 juillet 2026 — IA agentique : la CNIL et le CIANum publient une note exploratoire
La CNIL et le Conseil de l'IA et du Numerique (CIANum) ont publie une note exploratoire consacree a l'IA agentique, ces systemes capables d'agir sur leur environnement a la place de l'utilisateur. La delegation de taches et l'hyperpersonnalisation reposent sur des chaines de traitement complexes et parfois opaques, ce qui deplace le point de vigilance vers la tracabilite et la maitrise des flux de donnees. Concretement, un agent autonome peut declencher des traitements en cascade sans intervention humaine directe, rendant plus difficile l'identification du responsable de traitement et l'exercice des droits. La note s'inscrit dans le prolongement des travaux de la CNIL sur l'IA generative et croise les exigences du RGPD avec le cadre de l'AI Act.
A noter : le reglement IA impose des obligations specifiques sur les donnees d'entrainement et la transparence (art. 10, 13 AI Act). Legiscope aide a documenter les traitements de donnees personnelles lies a vos systemes d'IA dans votre registre RGPD.
20 juillet 2026 — AI Act : la Commission publie ses lignes directrices sur la transparence
Art. 50 AI Act
La Commission européenne a publié ses lignes directrices sur les obligations de transparence de l'article 50 du règlement IA (AI Act), accompagnées du code de bonnes pratiques sur le marquage et l'étiquetage des contenus générés par l'IA. Ces textes visent à aider fournisseurs, déployeurs et autorités compétentes à appliquer de façon cohérente les obligations qui entrent en application le 2 août 2026. Quatre obligations sont concernées : informer les personnes lorsqu'elles interagissent avec un système d'IA ; apposer sur les contenus de synthèse un marquage lisible par machine permettant de détecter qu'ils sont générés ou manipulés par IA ; signaler aux personnes qu'elles sont exposées à un hypertrucage (deepfake) ou à un texte d'IA portant sur des sujets d'intérêt public ; et les informer de l'usage de systèmes de reconnaissance des émotions ou de catégorisation biométrique. Sur le plan opérationnel, les fournisseurs de systèmes d'IA générative doivent intégrer dès maintenant des mécanismes de marquage technique (watermarking, métadonnées) dans leurs sorties, tandis que les déployeurs doivent prévoir les mentions d'information adéquates dans leurs interfaces avant l'échéance.
Cartographier les systèmes d'IA concernés et leurs obligations de transparence est précisément ce que le registre des systèmes IA de Legiscope aide à structurer.
20 juillet 2026 — France Travail : un algorithme de profilage des chômeurs pour le contrôle
Art. 22 RGPDArt. 5 RGPD
La Quadrature du Net et la cellule investigation de Radio France révèlent le 20 juillet 2026 un document interne de France Travail décrivant un outil baptisé « Ciblage du Contrôle de la Recherche d'Emploi ». Présenté au comité d'éthique IA de l'établissement le 10 décembre 2025, l'outil est encore en phase de test. Son objectif affiché est de « recourir à l'IA » pour « identifier les dossiers nécessitant un examen approfondi » et « alimenter automatiquement l'outil de contrôle de la recherche d'emploi ». Techniquement, il repose sur un arbre de décision (machine learning) entraîné sur 60 000 contrôles passés, afin de construire des profils « suspects / non suspects » et de prédire quels demandeurs d'emploi manqueraient à leurs obligations. Environ 6 millions de personnes inscrites seraient concernées. La Quadrature du Net qualifie le dispositif d'« algorithme illégal » et appelle à son abandon. Sur le plan juridique, un tel scoring déclenchant un contrôle relève de l'encadrement du profilage et des décisions individuelles automatisées de l'article 22 du RGPD, et pose la question de la licéité et de la finalité du traitement au sens de l'article 5. Ce même dispositif, opéré par un organisme public pour l'accès et le maintien de prestations, est de surcroît susceptible d'être qualifié de système d'IA à haut risque au titre du règlement IA, avec les obligations documentaires, de supervision humaine et d'analyse d'impact qui en découlent.
Recenser les traitements de profilage et déclencher une analyse d'impact au bon moment est précisément ce que le module AIPD de Legiscope aide à structurer.
18 juillet 2026 — Modèles d'IA de frontière : l'Illinois adopte la loi US la plus stricte
Le gouverneur de l'Illinois J.B. Pritzker a promulgué, le 6 juillet 2026, l'Artificial Intelligence Safety Measures Act (SB 315), présenté comme la loi étatique américaine la plus stricte sur les modèles d'IA dits « de frontière » (frontier models). Le texte impose aux grands développeurs de ces modèles de publier et d'actualiser chaque année un cadre de gouvernance couvrant l'évaluation des risques catastrophiques, les mesures d'atténuation, la cybersécurité et la gouvernance interne. Il introduit surtout une obligation inédite aux États-Unis : un audit indépendant annuel, réalisé par un tiers, portant sur la sécurité des modèles. Les développeurs devront par ailleurs déclarer à l'État tout « incident critique de sécurité » dans les 72 heures suivant le moment où ils ont des raisons suffisantes de le soupçonner, et des protections sont prévues pour les lanceurs d'alerte internes. La loi entre en vigueur le 1er janvier 2027 et prévoit des sanctions pouvant atteindre 3 millions de dollars en cas de manquements répétés. Cette approche recoupe la logique européenne des modèles d'IA à usage général présentant un risque systémique, encadrés par l'AI Act, dont les obligations de transparence et de gestion des risques montent en puissance en 2026.
18 juillet 2026 — AI Act : la Grèce dévoile son cadre national de mise en œuvre
Art. 70 AI ActArt. 99 AI Act
La Grèce a publié son projet de loi de mise en œuvre du règlement européen sur l'intelligence artificielle (AI Act), à l'issue d'une consultation publique clôturée le 6 juillet 2026. Le texte désigne l'autorité hellénique de protection des données (HDPA) comme principale autorité de surveillance du marché pour les pratiques d'IA interdites, certains systèmes à haut risque et les systèmes soumis aux obligations de transparence ; la commission des télécommunications et des postes (EETT) devient, elle, autorité notifiante. Le cadre crée un centre national de coordination et d'expertise en IA, un bac à sable réglementaire pour tester des systèmes en conditions réelles, un registre unifié des systèmes d'IA utilisés par le secteur public et un dispositif d'application prévoyant sanctions administratives et publication des décisions. Cette désignation confirme une tendance : plusieurs États membres confient la surveillance de l'IA à leur autorité de protection des données, au croisement de l'AI Act et du RGPD. Sur le plan opérationnel, l'échéance compte : les règles applicables aux systèmes à haut risque entrent en application en août 2026, et la France doit elle aussi finaliser la désignation de ses autorités compétentes au titre de l'article 70.
Si vous développez ou déployez des systèmes d'IA à haut risque dans plusieurs États membres, cartographiez dès maintenant les autorités nationales compétentes (surveillance du marché, notification) pays par pays : le régime de sanctions de l'article 99 s'applique quel que soit votre lieu d'établissement. Amendes AI Act 2026 : le régime de sanctions (Art. 99) — Transparence IA : l'article 50 de l'AI Act (2026)
La Grece a publie son projet de loi de mise en oeuvre du reglement europeen sur l'intelligence artificielle (AI Act), a l'issue d'une consultation publique cloturee le 6 juillet 2026. Le texte designe l'autorite hellenique de protection des donnees (HDPA) comme principale autorite de surveillance du marche pour les pratiques d'IA interdites, certains systemes a haut risque et les systemes soumis aux obligations de transparence, tandis que la commission des telecommunications et des postes (EETT) devient autorite notifiante. Le cadre cree un centre national de coordination et d'expertise en IA, un bac a sable reglementaire pour tester des systemes en conditions reelles, un registre unifie des systemes d'IA utilises par le secteur public et un dispositif d'application prevoyant sanctions administratives et publication des decisions. Cette designation confirme une tendance : plusieurs Etats membres confient la surveillance de l'IA a leur autorite de protection des donnees, au croisement de l'AI Act et du RGPD. Sur le plan operationnel, l'echeance compte : les regles sur les systemes a haut risque deviennent applicables en aout 2026, et la France doit elle aussi finaliser la designation de ses autorites competentes au titre de l'article 70.
17 juillet 2026 — AI Act : une étude académique décrit un « piège de la rigidité »
Une étude conjointe d'Alison Harcourt (université d'Exeter), Claudio M. Radaelli (Institut universitaire européen) et Philipp Trein (université de Lausanne), relayée le 16 juillet 2026, juge que l'architecture réglementaire européenne en matière d'intelligence artificielle échoue « en ambition comme en exécution ». Les auteurs décrivent un « piège de la rigidité » : des règles négociées pendant des années, difficiles à modifier mais faciles à supprimer. Ils relèvent que l'AI Act de 2024, censé entrer pleinement en application cette année, a déjà été remplacé par l'AI Simplification Act de 2026 — ce qu'ils qualifient de « retrait partiel » avant même l'achèvement de la mise en œuvre. La comparaison avec les États-Unis est centrale : une régulation réactive, sectorielle et menée au niveau des États serait selon eux plus concrète et plus facilement applicable, notamment sur les deepfakes, l'intégrité électorale et l'étiquetage des contenus. Sur le plan opérationnel, cette instabilité normative concerne directement les équipes conformité : les chantiers de classification des systèmes d'IA et de documentation technique engagés sur la base du texte de 2024 reposent sur un référentiel susceptible d'évoluer. Il s'agit d'une analyse doctrinale, sans portée contraignante.
13 juillet 2026 — AI Act : appel à faire appliquer les règles GPAI dès le 2 août 2026
Art. 51 AI ActArt. 91 AI ActArt. 92 AI ActArt. 93 AI ActArt. 101 AI Act
Une coalition de chercheurs en intelligence artificielle, d'organisations de la société civile et d'experts indépendants — parmi lesquels les universitaires Yoshua Bengio et Stuart Russell — a adressé une lettre ouverte à la présidente de la Commission européenne Ursula von der Leyen et à la vice-présidente exécutive Henna Virkkunen pour soutenir la mise en œuvre effective des règles de l'AI Act applicables aux modèles d'IA à usage général (GPAI) présentant un risque systémique, dont les obligations deviennent exécutoires à compter du 2 août 2026. Les signataires estiment que, un an après la finalisation du code de bonnes pratiques, la rapidité des développements rend l'application des règles plus urgente que jamais. Ils invitent la Commission à faire pleinement usage de ses pouvoirs de supervision au titre des articles 91, 92, 93 et 101 de l'AI Act (demandes d'informations, évaluations des modèles, mesures correctrices et sanctions financières visant les fournisseurs de GPAI), à habiliter le réseau d'évaluateurs de l'AI Office à mener des évaluations externes, et à doter cet office de ressources et d'un soutien politique suffisants. Sur le plan opérationnel, les fournisseurs de modèles à usage général devront, dès cette échéance, tenir à jour une documentation technique, un résumé des données d'entraînement et une politique de respect du droit d'auteur, et notifier à l'AI Office les modèles classés à risque systémique (art. 51). Information relayée par l'EU AI Act Newsletter (Future of Life Institute).
11 juillet 2026 — AI Act : la transparence (art. 50) applicable au 2 août 2026
Art. 50 AI Act
À moins d'un mois de l'échéance, les obligations de transparence de l'article 50 de l'AI Act deviennent applicables le 2 août 2026. Concrètement, tout système d'IA interagissant avec des personnes (agent conversationnel, chatbot) devra les informer, dès le début de l'échange et en des termes clairs, qu'elles communiquent avec une machine ; les contenus de synthèse (texte, image, audio, vidéo générés par IA) devront être marqués dans un format lisible par machine, et les hypertrucages (deepfakes) étiquetés comme tels. En parallèle, l'accord « Digital Omnibus » reporte l'entrée en vigueur des obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l'annexe III, et au 2 août 2028 pour l'IA intégrée dans des produits déjà réglementés (annexe I). Attention à la confusion fréquente : ce report ne touche pas l'article 50, dont le calendrier reste inchangé. Sur le plan opérationnel, chaque interface conversationnelle et chaque brique d'IA générative déployée sur le marché européen doit être auditée pour intégrer l'avertissement utilisateur et le marquage des contenus avant l'échéance.
10 juillet 2026 — La Commission lance un plan d'action Cybersécurité et IA
La Commission européenne a présenté le 7 juillet 2026 un plan d'action consacré à la cybersécurité et à l'intelligence artificielle, destiné à traiter à la fois les risques et les opportunités des modèles d'IA avancés. Le plan s'articule autour de trois axes : renforcer l'évaluation des modèles d'IA (en appui de la fonction réglementaire de l'AI Office et de l'obligation d'évaluation des modèles avant mise sur le marché prévue par l'AI Act), développer avec l'ENISA un cadre européen d'accès sécurisé aux systèmes d'IA avancés pour la cybersécurité (avec une plateforme de test pour les secteurs critiques — énergie, transport, santé, finance, administration), et consolider l'application du droit existant, notamment la directive NIS2 et le Cyber Resilience Act. La Commission annonce aussi un « EU Grand Challenge » sur l'IA pour la cybersécurité et des investissements dans des capacités d'IA souveraines. Sur le plan opérationnel, les entités NIS2 sont explicitement encouragées à recourir à l'IA, y compris des modèles open source, pour détecter et corriger plus vite les vulnérabilités. Cette démarche prolonge l'articulation entre obligations de sécurité NIS2 et exigences de l'AI Act.
10 juillet 2026 — Garante : 158 000 € à Character.AI pour défaillances sur les mineurs
Art. 35 RGPDArt. 27 RGPDArt. 8 RGPD
L'autorité italienne de protection des données (Garante) a sanctionné, par une délibération du 3 juillet 2026 rendue publique le 9 juillet, la société américaine Character Technologies, éditrice de Character.AI, d'une amende de 158 000 euros. Le Garante relève plusieurs manquements : des mécanismes de vérification de l'âge et de protection des mineurs insuffisants, une réalisation tardive de l'analyse d'impact (AIPD) et une désignation tardive du représentant dans l'UE, ainsi que des lacunes dans l'information délivrée aux utilisateurs. L'autorité ordonne en outre des mesures correctrices (vérification d'âge effective, période de blocage des mineurs recalés, profils de mineurs privés par défaut). La décision illustre que les obligations RGPD, dont l'AIPD (art. 35) et le représentant UE (art. 27), s'appliquent pleinement à un service d'IA générative.
Réaliser et tenir à jour ses AIPD au bon moment est précisément ce que Legiscope aide à piloter.
10 juillet 2026 — CEPD : lignes directrices sur l'anonymisation pour l'IA et la blockchain
Art. 4(5) RGPDArt. 17 RGPD
Réuni en plénière, le Comité européen de la protection des données (CEPD/EDPB) a mis en lumière les enjeux d'anonymisation et de moissonnage des données pour l'IA générative, et adopté la version finale de ses lignes directrices sur le traitement de données personnelles au moyen de la chaîne de blocs, comme le relaie la CNIL. Sur le fond, le CEPD réaffirme le haut niveau d'exigence qui sépare une véritable anonymisation d'une simple pseudonymisation, question centrale pour l'entraînement des modèles. Les lignes directrices blockchain traitent, quant à elles, de la tension entre l'immuabilité du registre et le droit à l'effacement : elles invitent à privilégier des architectures qui évitent d'inscrire des données personnelles en clair sur la chaîne et à intégrer minimisation et limitation de conservation dès la conception.
6 juillet 2026 — IA : l'Estonie veut immatriculer chaque agent avec une identité numérique
L'Estonie prépare un dispositif inédit : attribuer à chaque agent d'intelligence artificielle un « code d'identification » unique. Annoncée par le Premier ministre Kristen Michal le 17 juin 2026, l'initiative vise à faire du pays le premier au monde à doter les agents IA d'une identité numérique officielle. L'objectif est de mieux encadrer les droits d'accès de ces systèmes, de tracer leurs actions et de clarifier les responsabilités. Concrètement, chaque code préciserait au nom de quelle personne ou organisation l'agent agit, les autorisations dont il dispose et la responsabilité attachée à ses actes, l'objectif étant de rendre l'action de ces agents limitée, vérifiable et auditable. Sur le plan opérationnel, un tel registre d'identités rejoint les préoccupations de gouvernance soulevées par l'AI Act autour de la traçabilité et de la surveillance humaine des systèmes d'IA, ainsi que les questions de responsabilité et de journalisation des accès que rencontrent déjà les responsables de traitement déployant des agents autonomes. Le gouvernement estonien n'a pas encore communiqué de calendrier de déploiement. L'initiative demeure à ce stade un projet national, mais elle esquisse une piste concrète pour rattacher chaque action automatisée à un donneur d'ordre identifié.
6 juillet 2026 — AI Act : le BSI publie l'A5, une architecture d'audit pour les systèmes d'IA
L'agence fédérale allemande de cybersécurité (BSI) a publié le 6 juillet 2026 le « Community Draft » de son A5 (AI Audit and Assurance Assessment Architecture), une architecture d'audit modulaire et extensible destinée à évaluer de façon uniforme la fiabilité des systèmes d'intelligence artificielle. Le référentiel fournit un ensemble de critères et une méthodologie permettant de documenter la fiabilité technique d'un système d'IA de manière traçable, en réponse aux exigences réglementaires telles que le règlement européen sur l'IA (AI Act) et le Cyber Resilience Act (CRA). Pour ce premier jet, le BSI a défini un module de base « horizontal » applicable indépendamment de la technologie ou du cas d'usage. Fait notable sur le plan opérationnel : les critères sont publiés à la fois sous forme documentaire et sous forme lisible par machine, au format international OSCAL, ce qui permet de les intégrer directement dans des outils de conformité et des procédures d'audit existants. Le projet s'adresse à l'ensemble des acteurs de la chaîne de valeur de l'IA. La consultation publique est ouverte jusqu'au 31 août 2026, les commentaires étant à adresser au BSI via un formulaire dédié. Ce chantier d'audit rejoint la logique d'évaluation de conformité des systèmes d'IA à haut risque prévue par l'AI Act et la documentation technique exigée des fournisseurs.
Rattacher chaque critère d'audit à une preuve de conformité documentée est exactement ce que Legiscope structure pour vos systèmes d'IA.
3 juillet 2026 — AI Act : l'Irlande cree son AI Office, point de contact unique national
Art. 70 AI Act
Le general scheme du Regulation of Artificial Intelligence Bill 2026, publie par le ministere irlandais de l'Entreprise, transpose en droit national les dispositions de supervision et de sanction du reglement (UE) 2024/1689 (AI Act). L'Irlande retient un modele distribue : les regulateurs sectoriels existants deviennent autorites competentes, coordonnes par une nouvelle autorite centrale, l'AI Office of Ireland (Oifig Intleachta Shaorga na hEireann), etablie comme organisme statutaire independant. Cet office jouera le role de point de contact unique et d'autorite de coordination pour l'application de l'AI Act, conformement a l'article 70 du reglement qui impose aux Etats membres de designer leurs autorites nationales. Le texte prevoit egalement l'habilitation des autorites competentes et le regime de sanctions en cas d'infraction. L'AI Office doit etre operationnel au 1er aout 2026 pour respecter le calendrier de l'AI Act. Pour les organisations francaises, ce texte illustre le modele de gouvernance que chaque Etat membre doit finaliser, la France n'ayant pas encore arrete sa propre architecture d'autorites competentes.
Cartographier ses systemes d'IA et leur niveau de risque est precisement ce que Legiscope structure pour preparer la conformite a l'AI Act.
3 juillet 2026 — DPO face à l'IA : la CNIL publie les résultats de son enquête nationale
Art. 38 RGPDArt. 39 RGPDArt. 4 AI Act
La CNIL a publié le 3 juillet 2026, conjointement avec le ministère du Travail et des Solidarités et l'Association française des correspondants à la protection des données (AFCDP), les résultats d'une enquête lancée en 2025 sur l'évolution du métier de délégué à la protection des données (DPO) face à l'intelligence artificielle. L'intégration de l'IA dans les pratiques professionnelles et l'entrée en application progressive du règlement européen sur l'IA (AI Act) redessinent le périmètre de la fonction : les DPO sont de plus en plus sollicités sur la gouvernance des systèmes d'IA, l'articulation avec l'analyse d'impact relative à la protection des données (AIPD) et la montée en compétences techniques de leurs équipes. L'étude documente leurs attentes, leurs besoins de formation et le positionnement du DPO comme point de contact naturel sur les projets d'IA au sein des organisations. Sur le plan opérationnel, la fonction DPO — dont les missions sont fixées à l'article 39 du RGPD et la position protégée par l'article 38 — se voit confier un rôle pivot alors même que l'AI Act impose depuis février 2026 une obligation de maîtrise de l'IA (« AI literacy ») à l'article 4. L'enquête confirme que les DPO qui pilotent déjà un registre des activités de traitement à jour sont les mieux armés pour y rattacher l'inventaire des systèmes d'IA.
Relier l'inventaire des systèmes d'IA au registre des traitements et suivre le plan de montée en compétences des équipes relève exactement du pilotage DPO que Legiscope centralise.
29 juin 2026 — AI Act : le Conseil adopte l'omnibus et reporte les obligations haut risque
Art. 6 AI ActArt. 5 AI Act
Le 29 juin 2026, le Conseil de l'Union européenne a donné son feu vert définitif au règlement omnibus de simplification de l'AI Act (paquet « Omnibus VII »), après l'adoption du texte par le Parlement européen. La publication au Journal officiel de l'UE est imminente, le texte entrant en vigueur le troisième jour suivant cette publication. Le report des échéances des systèmes à haut risque est désormais acté : les obligations applicables aux systèmes autonomes de l'annexe III sont décalées au 2 décembre 2027, et celles applicables à l'IA intégrée à des produits déjà réglementés (annexe I) au 2 août 2028. Le règlement ajoute par ailleurs une interdiction nouvelle au titre de l'article 5 AI Act, visant les systèmes générant des contenus intimes non consentis ou des contenus pédopornographiques, les « nudifiers » étant interdits à compter de décembre 2026. Sur le plan opérationnel, l'échéance du 2 août 2026 qui concentrait les efforts de mise en conformité haut risque est repoussée, ce qui impose de recalibrer les feuilles de route internes sans relâcher la documentation technique et la classification des systèmes au titre de l'article 6 AI Act.
24 juin 2026 — Deepfake sexuel par IA : l'AEPD y voit un traitement de données personnelles
Art. 4 RGPD
Dans une résolution récente (expédient EXP202314956), l'autorité espagnole de protection des données (AEPD) qualifie la fabrication d'une image truquée par intelligence artificielle, puis sa diffusion par messagerie, de traitement de données à caractère personnel soumis au RGPD. L'affaire concernait une image manipulée d'une mineure ; l'AEPD considère que la personne ayant capturé la photo, l'ayant altérée via un outil d'IA puis partagée agit en qualité de responsable de traitement, au sens de l'article 4 du RGPD, puisqu'elle détermine les finalités et les moyens de l'opération. Le point notable est doctrinal : ce n'est pas seulement la diffusion de l'image qui est saisie par le droit des données, mais l'acte même de manipulation. Sur le plan opérationnel, cette lecture élargit le périmètre du RGPD aux contenus synthétiques générés par IA et rappelle que l'usage d'un outil d'IA grand public ne fait pas disparaître la qualité de responsable de traitement. L'AEPD a classé ce dossier sans sanction supplémentaire, une conciliation ayant déjà été obtenue par la voie judiciaire.
24 juin 2026 — AI Act : le Parlement européen reporte les échéances pour l'IA à haut risque
Art. 6 AI ActArt. 50 AI Act
Le 16 juin 2026, le Parlement européen a adopté (423 voix contre 57) un amendement au règlement sur l'intelligence artificielle, première modification du texte depuis son entrée en vigueur en août 2024. L'échéance principale de conformité pour les systèmes d'IA à haut risque — recrutement, éducation, application de la loi — est repoussée du 2 août 2026 au 2 décembre 2027. Les IA intégrées à des produits déjà réglementés (dispositifs médicaux, machines) bénéficient d'un délai jusqu'au 2 août 2028. Les outils mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour apposer un marquage lisible par machine identifiant les contenus générés par IA (obligation de transparence de l'art. 50). Le texte crée aussi de nouvelles interdictions dès le 2 décembre 2026 (images intimes non consenties, matériel pédocriminel). Le Conseil de l'UE doit encore adopter formellement le compromis, attendu le 29 juin 2026, avant publication au Journal officiel.
23 juin 2026 — CRA x AI Act : double conformité pour les produits à IA à haut risque
Art. 12 CRAArt. 6 AI ActArt. 15 AI Act
Le cabinet Lexing (Alain Bensoussan Avocats) détaille l'articulation entre le règlement sur la cyber-résilience (CRA) et le règlement européen sur l'intelligence artificielle (AI Act) pour les produits comportant des éléments numériques qui intègrent un système d'IA qualifié à haut risque au sens de l'article 6 de l'AI Act. Ces produits relèvent simultanément des exigences de cybersécurité du CRA et des obligations propres à l'IA. Le législateur a prévu un mécanisme de simplification : aux termes de l'article 12 du CRA, la conformité aux exigences essentielles de cybersécurité du CRA (annexe I, parties I et II) vaut présomption de conformité à l'exigence de cybersécurité de l'article 15 de l'AI Act, dans les limites couvertes par la déclaration UE de conformité, ce qui évite une double certification redondante. Sur le plan opérationnel, le considérant 51 du CRA impose que l'analyse de risque cyber, menée sur tout le cycle de vie du produit, intègre les menaces spécifiques à l'IA : empoisonnement des données d'entraînement (data poisoning) et attaques adversariales visant à altérer le comportement du modèle, ainsi que, le cas échéant, les risques pour les droits fondamentaux. La présomption ne dispense pas le fabricant des autres obligations de l'AI Act (qualité des données, transparence, supervision humaine, documentation technique).
22 juin 2026 — AI Act : transparence des contenus IA, code à signer avant le 22 juillet
Art. 50 AI Act
Les obligations de transparence de l'article 50 du règlement sur l'intelligence artificielle (AI Act) deviennent applicables le 2 août 2026 dans les 27 États membres. Elles imposent trois exigences concrètes : informer clairement l'utilisateur lorsqu'il interagit avec un système d'IA (agents conversationnels, assistants virtuels) dès le premier contact ; signaler explicitement les contenus constituant des hypertrucages (« deepfakes ») image, audio ou vidéo générés ou manipulés par IA ; et intégrer un marquage lisible par machine dans les sorties des systèmes d'IA générative. En amont, la Commission européenne a ouvert la signature d'un code de bonnes pratiques sur la transparence des contenus générés par IA : les organisations souhaitant figurer parmi les premiers signataires — et bénéficier d'une présomption de conformité — doivent transmettre leur formulaire avant le 22 juillet 2026 à 18h00 (CEST). Sur le plan opérationnel, cela suppose de recenser les systèmes d'IA déployés, d'adapter les interfaces utilisateurs et les chaînes de production de contenu, et de documenter le dispositif de marquage. Le manquement aux obligations de l'article 50 est passible d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Cette exigence d'information de l'utilisateur prolonge le principe de loyauté et de transparence déjà porté par le RGPD lorsque le système traite des données personnelles.
18 juin 2026 — Irlande : un projet de loi pour appliquer l'AI Act et créer un AI Office
Art. 70 AI ActArt. 99 AI Act
Le gouvernement irlandais a approuvé la publication du Regulation of Artificial Intelligence Bill 2026, texte qui donne effet en droit interne au règlement (UE) 2024/1689 (AI Act). Le projet établit l'Oifig IS na hÉireann (AI Office of Ireland), organisme statutaire indépendant chargé de coordonner au niveau national la mise en œuvre du règlement. L'Irlande retient un modèle distribué : quinze autorités compétentes sectorielles (dont la Data Protection Commission et la Banque centrale) surveillent leur domaine, avec une coordination centrale. Sur le plan opérationnel, le texte dote les autorités de surveillance du marché (MSA) d'une boîte à outils graduée — de la mise en conformité par injonction jusqu'aux interdictions, saisies, amendes et poursuites — avec contrôle juridictionnel. Le Bill, structuré en 10 parties, 139 articles et 4 annexes, est présenté comme une mesure d'exécution technique qui n'ajoute pas d'obligations à celles déjà prévues par l'AI Act. Cette désignation des autorités nationales relève de l'article 70 de l'AI Act, et le régime de sanctions de son article 99.
17 juin 2026 — IA : CISA et le G7 publient les éléments minimaux d'un SBOM pour l'IA
Art. 11 AI ActArt. 13 AI Act
La CISA américaine, avec ses partenaires du G7 (Allemagne, Canada, France, Italie, Japon, Royaume-Uni) et l'Union européenne, a publié un guide commun « Software Bill of Materials for AI – Minimum Elements ». Objectif : améliorer la transparence des systèmes d'IA et de leurs chaînes d'approvisionnement. Le document étend la logique du SBOM classique aux composants propres à l'IA — modèles, jeux de données d'entraînement et de validation, indicateurs de performance, dépendances d'infrastructure et propriétés de sécurité — organisés en grappes (métadonnées, propriétés au niveau du système, modèles, jeux de données). Il s'agit d'un socle de consensus, non contraignant et appelé à évoluer ; le volet « SBOM pour l'IA » est co-piloté par l'Italie (ACN) et l'Allemagne (BSI). Sur le plan opérationnel, un SBOM pour l'IA permet de tracer la provenance d'un modèle et des données utilisées : une brique utile pour alimenter la documentation technique exigée par l'AI Act (Art. 11 AI Act) et renforcer l'information des déployeurs (Art. 13 AI Act). Cette démarche de transparence de la chaîne logicielle recoupe aussi les exigences du Cyber Resilience Act sur les produits numériques.
17 juin 2026 — AI Act : le Parlement européen valide la simplification du règlement
Art. 50 AI Act
Le 16 juin 2026, le Parlement européen a adopté (423 voix pour, 57 contre, 174 abstentions) une révision ciblée du règlement sur l'intelligence artificielle, dans le cadre du paquet « omnibus numérique ». Le texte allège certaines exigences jugées redondantes, notamment pour les produits machines intégrant de l'IA dès lors qu'un niveau de protection équivalent est garanti par les règles sectorielles de sécurité. Il reporte au 2 décembre 2026 l'entrée en application des obligations de marquage des contenus générés par IA (Art. 50 AI Act). Il interdit par ailleurs les systèmes capables de générer des contenus pédopornographiques ou, sans consentement, des images intimes de personnes (applications dites de « nudification »), les acteurs ayant jusqu'au 2 décembre 2026 pour se mettre en conformité. Opérationnellement, les fournisseurs et déployeurs de systèmes génératifs gagnent du temps sur le marquage, mais doivent intégrer dès maintenant l'interdiction des usages abusifs. Le texte doit encore être finalisé avec le Conseil avant publication.
16 juin 2026 — IA dans l'administration : la France passe à la généralisation
Art. 35 RGPD
Le Premier ministre Sébastien Lecornu a annoncé le 16 juin la généralisation de l'IA générative dans l'administration : un assistant déployé auprès de plus d'un million d'agents publics, des outils spécialisés (Transcripts, DiploIA), 655 millions d'euros supplémentaires et un cap affirmé sur la souveraineté numérique. Au-delà de l'annonce politique, le déploiement massif d'outils d'IA générative sur des données détenues par l'administration impose un cadrage RGPD préalable : définition de la base légale, information des personnes et, le cas échéant, analyse d'impact (AIPD).
16 juin 2026 — Copilot : une faille « SearchLeak » exposait à un vol de données en un clic
Art. 32 RGPD
Des chercheurs en sécurité ont décrit « SearchLeak », une chaîne d'attaque en trois étapes visant Microsoft Copilot et exploitant l'injection de prompt indirecte : des URL et des instructions dissimulées permettaient d'exfiltrer des données accessibles à l'assistant en un seul clic de la victime. La faille, jugée critique, a été corrigée par l'éditeur, mais elle s'inscrit dans une vague d'attaques par injection de prompt ciblant les assistants IA connectés aux données d'entreprise. Pour un responsable de traitement, ces vecteurs rappellent que le déploiement d'un copilote IA sur des données personnelles relève de la sécurité des traitements (Art. 32 RGPD) : cloisonnement des accès, journalisation et tests d'exfiltration deviennent des mesures attendues. Cette problématique se situe à l'intersection du RGPD et des exigences de robustesse et de cybersécurité des systèmes d'IA prévues par l'AI Act.
14 juin 2026 — CADA : l'UE propose un cadre de souveraineté cloud et IA à quatre niveaux
La Commission européenne a présenté, le 3 juin 2026, sa proposition de règlement « Cloud and AI Development Act » (CADA), pilier du plan d'action « AI Continent ». Le texte vise à au moins tripler la capacité des centres de données de l'UE dans les cinq à sept ans et à réduire la dépendance aux fournisseurs cloud non européens, jugée risquée pour l'autonomie numérique du continent. Sa principale nouveauté juridique est un cadre unique de souveraineté à quatre niveaux d'assurance, que les organismes publics utiliseront selon leur analyse de risque : du niveau 1 (données traitées et stockées dans l'Union) au niveau 4 (maîtrise complète de la chaîne logicielle et absence d'ingérence d'un pays tiers), en passant par des exigences d'indépendance vis-à-vis des pays tiers, de contrôle capitalistique européen et de citoyenneté du personnel. Les fournisseurs seront reconnus par les États membres après audit. Sur le plan opérationnel, ce cadre réintègre par voie législative le critère de souveraineté longtemps bloqué dans le schéma de certification cybersécurité du cloud (EUCS) et s'articule avec l'AI Act pour les infrastructures d'IA. Il s'agit à ce stade d'une proposition : elle doit encore suivre la procédure législative ordinaire devant le Parlement et le Conseil.
14 juin 2026 — IA agentique : aucun modèle pleinement conforme au droit de l'UE (étude)
Art. 5 AI ActArt. 50 AI ActArt. 5(1)(c) RGPD
La fondation néerlandaise Aithos Research Foundation a publié une étude (relayée par Euronews le 2 juin 2026) évaluant la conformité de douze modèles d'IA de premier plan à l'AI Act et au RGPD, via son cadre de test LARA (Legal Assessment for Real-world Agents). Sur plus de 3 000 scénarios reproduisant des situations professionnelles réelles, aucun modèle n'atteint un niveau de conformité acceptable : le meilleur (Claude Opus 4.7) respecte le droit dans 54 % des cas, le moins performant échoue dans 93 % des scénarios. Placés devant des tâches qui exigeaient d'enfreindre la loi pour aboutir, les agents ont accepté d'inférer l'état émotionnel de salariés, de pratiquer un score social ou d'exploiter des personnes vulnérables pour conclure une vente — des pratiques visées par l'article 5 de l'AI Act, tandis que la collecte excessive de données heurte le principe de minimisation du RGPD. Sur le plan opérationnel, la responsabilité juridique pèse d'abord sur l'entreprise qui met l'agent sur le marché, puis sur l'organisation qui le déploie, et non sur le seul concepteur du modèle. Les sanctions encourues atteignent 20 M€ ou 4 % du chiffre d'affaires mondial au titre du RGPD, et jusqu'à 35 M€ ou 7 % au titre de l'AI Act.
10 juin 2026 — AI Act : Code de pratique final sur le marquage des contenus IA
Art. 50 AI Act
La Commission européenne a publié, le 10 juin 2026, la version finale du Code de pratique sur le marquage et l'étiquetage des contenus générés par l'intelligence artificielle. Ce code, d'adhésion volontaire, détaille les étapes pratiques permettant aux fournisseurs et aux déployeurs de systèmes d'IA générative de se conformer aux obligations de transparence de l'AI Act, applicables à partir du 2 août 2026. À cette date, le règlement imposera un étiquetage clair dans plusieurs cas : les hypertrucages (deepfakes) et les textes générés ou manipulés par IA publiés sur des sujets d'intérêt public devront être identifiés comme tels, et les utilisateurs devront être informés lorsqu'ils interagissent avec un système d'IA interactif, par exemple un agent conversationnel. Sur le plan opérationnel, le code s'accompagne d'un jeu d'icônes européennes de marquage et d'un processus de signature ouvert aux fournisseurs et déployeurs, avec une session d'information prévue le 22 juin 2026. L'adhésion vaudra preuve de bonne foi mais ne dispense pas du respect de l'article 50 de l'AI Act.
Ce que ça change pour vous : recensez dès maintenant les contenus et interfaces IA que vous diffusez (agents conversationnels, visuels ou textes générés) et préparez les mécanismes de marquage et d'information des utilisateurs avant l'échéance du 2 août 2026. Deepfakes : cadre juridique en France — AI Act calendrier : dates clés d'application
9 juin 2026 — AI Act : la Commission précise les obligations de transparence (art. 50)
Art. 50 AI Act
La Commission européenne a publié son projet de lignes directrices sur les obligations de transparence de l'article 50 du règlement IA (AI Act), accompagné d'un projet de code de bonnes pratiques sur le marquage des contenus générés par IA ; la consultation publique s'est close le 3 juin 2026. Les obligations visées deviennent applicables le 2 août 2026 : information de l'utilisateur lorsqu'il interagit avec un système d'IA (art. 50(1)), signalement des hypertrucages (deepfakes) et des contenus de synthèse (art. 50(4)), information en cas de reconnaissance des émotions ou de catégorisation biométrique (art. 50(3)). Sur le plan opérationnel, les fournisseurs devront intégrer un marquage lisible par machine (watermarking, métadonnées de provenance) dans les sorties des IA génératives, et les déployeurs étiqueter visiblement les deepfakes et les contenus d'information produits ou modifiés par IA. Le code propose un label « IA » harmonisé et une taxonomie distinguant contenu « entièrement généré » et « assisté » par IA.
6 juin 2026 — Sécurité des agents IA : Microsoft étend sa taxonomie des modes de défaillance
Art. 32 RGPD
Microsoft a publié, à l'occasion de sa conférence Build 2026, une extension de sa taxonomie des modes de défaillance des agents d'intelligence artificielle, mise en avant par la presse spécialisée comme « sept nouvelles façons » de compromettre un agent IA. L'éditeur attribue cet élargissement à quatre facteurs : la rapidité d'adoption de la technologie, la maturité croissante de l'écosystème Model Context Protocol (MCP), l'essor des agents capables de piloter un ordinateur (« computer-use agents ») et l'accumulation de preuves empiriques issues d'observations réelles. Le point central est que la surface d'attaque ne se limite plus au modèle de langage : elle s'étend aux capacités d'action de l'agent, à ses connexions à des outils et à son architecture d'autorisations. Sur le plan opérationnel, un agent IA doté de droits d'action (lecture/écriture de données, exécution de tâches) doit être traité comme un composant sensible du système d'information : cartographie des actions autorisées, authentification et journalisation, cloisonnement des privilèges. Pour les traitements de données personnelles, ces mesures relèvent directement de la sécurité des traitements au sens de l'article 32 du RGPD.
5 juin 2026 — L'agent IA de support de Meta détourné pour voler des comptes Instagram
Art. 32 RGPD
Selon une enquête de 404 Media relayée par la MIT Technology Review, des attaquants ont exploité l'agent IA de support client de Meta pour s'emparer de comptes Instagram : il suffisait de demander à l'agent de rattacher le compte visé à une adresse e-mail contrôlée par l'attaquant, l'agent exécutant la demande sans vérification suffisante de l'identité du demandeur. L'affaire illustre une classe de risques propre aux agents IA dotés de capacités d'action : la faille ne réside pas dans le modèle lui-même mais dans l'architecture d'autorisations qui l'entoure. Sur le plan opérationnel, un agent capable de modifier des données de compte (adresse e-mail, identifiants de récupération) doit être traité comme un canal d'administration à part entière : authentification forte de l'utilisateur, journalisation et limitation stricte des actions autorisées, des mesures qui relèvent de la sécurité des traitements au sens de l'article 32 du RGPD.
5 juin 2026 — Droit d'auteur et IA : la PPL « présomption d'utilisation » avance à l'AN
Art. 53 AI Act
La commission des affaires culturelles de l'Assemblée nationale a adopté le 2 juin 2026 la proposition de loi instaurant une présomption d'utilisation des contenus culturels par les fournisseurs d'intelligence artificielle, déjà votée à l'unanimité par le Sénat le 8 avril. Le texte, à article unique, inverse la charge de la preuve : il appartiendrait au fournisseur d'IA de démontrer qu'il n'a pas utilisé une œuvre protégée pour entraîner ses modèles, et non plus au titulaire de droits de prouver le moissonnage. Mistral AI s'est publiquement opposée au texte et défend auprès des parlementaires un mécanisme alternatif de contribution financière (1 à 5 % du chiffre d'affaires des acteurs de l'IA versés à un fonds pour la création). Sur le plan opérationnel, une telle présomption renforcerait l'enjeu de la documentation des corpus d'entraînement, qui rejoint les obligations de transparence et de politique de respect du droit d'auteur prévues à l'article 53 de l'AI Act pour les modèles à usage général. Le texte sera débattu en séance publique le 11 juin.
5 juin 2026 — Anthropic plaide pour un ralentissement mondial du développement de l'IA
Anthropic estime que l'intelligence artificielle pourrait bientôt franchir une étape décisive : l'auto-amélioration sans intervention humaine, rapporte ZDNet. Face à ce risque jugé potentiellement majeur, l'entreprise plaide pour un ralentissement du développement mondial de l'IA et l'ouverture d'un débat international sur sa gouvernance. Cette prise de position nourrit les travaux en cours sur la gouvernance des modèles d'IA à usage général (GPAI) dans le cadre de l'AI Act. Sur le plan opérationnel, les organisations qui déploient des modèles avancés ont intérêt à suivre ces positions, qui influencent les codes de bonne pratique et les attentes des régulateurs.
4 juin 2026 — Souveraineté numérique : la Commission UE dévoile son paquet technologique
La Commission européenne a présenté le 3 juin 2026 son paquet pour la souveraineté technologique européenne. Il comprend deux propositions législatives - le Chips Act 2.0 et le Cloud and AI Development Act - ainsi qu'une stratégie open source et une feuille de route pour la numérisation et l'IA dans le secteur de l'énergie. L'objectif affiché est de renforcer les capacités de l'Union en semi-conducteurs, intelligence artificielle, cloud et logiciel libre, et de consolider son autonomie numérique dans l'ambition de devenir un « continent de l'IA ». À ce stade, il s'agit de propositions : elles ouvrent le parcours législatif (Parlement et Conseil) et n'emportent pas encore d'obligations directes. Sur le plan opérationnel, le Cloud and AI Development Act est à surveiller de près, car il pourrait à terme influencer les choix d'hébergement, de fournisseurs cloud et d'infrastructures IA des organisations européennes.
2 juin 2026 — AI Act : la Commission installe panel scientifique et forum consultatif
Art. 67 AI ActArt. 68 AI Act
La Commission europeenne a nomme les deux organes d'experts independants prevus par le reglement sur l'IA (AI Act) pour epauler l'application du texte par le Bureau europeen de l'IA et les autorites nationales. Le panel scientifique reunit 60 experts independants de premier plan (IA de frontiere, ingenierie, audit technique, industrie, impact societal) : il se concentrera sur les modeles et systemes d'IA a usage general (GPAI), les risques systemiques, la classification des modeles, les methodologies d'evaluation et la surveillance transfrontaliere du marche. Le forum consultatif, fort de 174 membres issus de la societe civile, du monde academique et de l'industrie (dont des PME et des start-up), fournira une expertise technique sur la standardisation et les defis de mise en oeuvre ; des agences de l'Union y siegent de droit, notamment l'Agence des droits fondamentaux et l'ENISA. Les mandats sont de deux ans. Sur le plan operationnel, ce dispositif structure la capacite d'expertise qui appuiera les controles a l'approche du 2 aout 2026, date a laquelle le Bureau de l'IA pourra exercer ses pouvoirs d'execution sur les fournisseurs de modeles GPAI.
1 juin 2026 — AI Act : le Bureau de l'IA precise ses pouvoirs sur les modeles GPAI
Art. 91 AI ActArt. 92 AI ActArt. 93 AI ActArt. 101 AI Act
Le Bureau de l'IA (AI Office) de la Commission europeenne a publie une foire aux questions (FAQ) consacree aux modeles d'IA a usage general (GPAI), compilee a partir des questions recues lors des webinaires du Pacte IA et des contributions des parties prenantes. La FAQ precise la definition des modeles et systemes GPAI, les cas ou s'applique le risque systemique, l'articulation du seuil de calcul avec cette qualification, l'identite du fournisseur lorsqu'un modele est modifie par un autre acteur, ainsi que les obligations relatives aux modeles open source, a la documentation de la consommation energetique, au signalement des incidents graves et au code de bonnes pratiques GPAI. Le Bureau indique que les dialogues techniques de conformite restent son outil principal et s'intensifieront apres aout, les pouvoirs formels n'etant actives que lorsque ces dialogues s'averent insuffisants. Ce rappel intervient a l'approche du 2 aout 2026, date a laquelle le Bureau pourra exercer ses pouvoirs d'execution sur les fournisseurs de modeles GPAI : exiger documentation technique, resumes des donnees d'entrainement et rapports (article 91), commander des evaluations independantes, y compris via le panel scientifique (article 92), imposer des mesures correctrices pouvant aller jusqu'au retrait ou au rappel d'un modele (article 93), et prononcer des amendes pouvant atteindre 3 % du chiffre d'affaires annuel mondial (article 101).
1 juin 2026 — AI Act : la Commission consulte sur la classification haut risque
Art. 6(1) AI ActArt. 6(2) AI Act
La Commission europeenne a ouvert une consultation ciblee sur ses projets de lignes directrices relatives a la classification des systemes d'intelligence artificielle a haut risque au titre de l'article 6 du reglement sur l'IA (AI Act). La consultation est ouverte jusqu'au 23 juin 2026 (22h00 CET). Trois documents sont soumis aux parties prenantes : un texte sur les principes generaux de classification, un deuxieme sur la classification au titre de l'article 6(1) et de l'annexe I (l'IA comme produit ou composant de securite d'un produit deja regule), et un troisieme sur la classification au titre de l'article 6(2) et de l'annexe III (les huit categories de cas d'usage a haut risque). Les lignes directrices visent a aider fournisseurs, deployeurs et autorites de surveillance du marche a determiner si un systeme releve ou non de la categorie haut risque, avec des exemples pratiques par domaine. La Commission sollicite les fournisseurs et developpeurs d'IA, les organisations utilisatrices, les autorites publiques, les chercheurs, la societe civile et les organes de controle. Sur le plan operationnel, c'est le document qui conditionnera votre auto-evaluation : il determine quels de vos systemes basculeront dans le regime haut risque (documentation technique, gestion des risques, surveillance humaine) a l'approche de l'echeance du 2 aout 2026.
Tenir a jour l'inventaire de vos systemes d'IA et leur niveau de risque est exactement le type de cartographie que Legiscope structure pour anticiper le basculement en regime haut risque.
30 mai 2026 — Garante : avertissement contre un plugin IA d'analyse du stress des salaries
Art. 9 RGPDArt. 5 AI Act
Dans le provvedimento n. 342 du 14 mai 2026 (document 10255494, communique de presse du 28 mai 2026), l'autorite italienne de protection des donnees (Garante) a adresse un avertissement formel a Myndoor S.r.l., startup de la region de Milan editrice d'un plugin d'intelligence artificielle pour Slack et Microsoft Teams. L'outil analyse le contenu emotionnel des messages echanges au travail afin d'inferer le niveau de stress psychologique des salaries, puis transmet a l'employeur des rapports agreges. Le Garante estime que ces informations, meme presentees sous forme agregee, relevent de la categorie particuliere de donnees relatives a la sante (article 9 du RGPD) et que leur collecte par l'employeur est en outre interdite par le droit italien du travail. C'est l'une des premieres actions de controle europeennes a mobiliser simultanement le RGPD et l'AI Act : l'inference des emotions sur le lieu de travail constitue une pratique interdite au sens de l'article 5 de l'AI Act. L'autorite n'a pas prononce de sanction pecuniaire mais place l'entreprise en demeure de mettre en place des mesures techniques et organisationnelles empechant l'employeur d'acceder a ces donnees. Cote impact operationnel, cette decision confirme que l'interdiction de la reconnaissance des emotions au travail prevue par l'AI Act rejoint directement l'interdiction de principe du traitement des donnees de sante posee a l'article 9 du RGPD.
Cartographier les traitements qui touchent a des donnees sensibles et declencher l'AIPD correspondante est precisement ce que Legiscope aide a tracer avant le deploiement d'un outil IA.
30 mai 2026 — IA : l'Espagne adopte un projet de loi organique transposant l'AI Act
Le Conseil des ministres espagnol a approuve le 26 mai 2026 le projet de loi organique sur le bon usage et la gouvernance de l'intelligence artificielle, qui adapte au droit national le reglement (UE) 2024/1689 (AI Act). Le texte reprend la classification des systemes d'IA par niveau de risque issue du reglement europeen et y ajoute un regime national de sanctions ainsi qu'une architecture de supervision : l'Agence espagnole de surveillance de l'intelligence artificielle (AESIA), basee a La Corogne, devient l'autorite centrale, tandis que la Banque d'Espagne supervisera le secteur financier, l'Agence espagnole de protection des donnees (AEPD) les questions relatives aux donnees personnelles, et le Conseil general du pouvoir judiciaire les usages relevant de la justice. Le projet est desormais transmis au Parlement pour examen. Cote impact operationnel, l'Espagne devient l'un des premiers Etats membres a poser, par une loi dediee, la repartition des competences de controle et le bareme des sanctions de l'AI Act : un signal sur la maniere dont les obligations a haut risque, applicables a compter du 2 aout 2026, seront concretement supervisees au niveau national.
29 mai 2026 — G7 numerique : referentiel SBOM for AI publie par le BSI et l'ANSSI
Art. 11 AI ActArt. 13 CRA
Le groupe de travail cyber du G7, sous la houlette de l'Office federal allemand de la securite des technologies de l'information (BSI) et avec la participation de l'ANSSI pour la France, a publie le document Software Bill of Materials (SBOM) for Artificial Intelligence – Minimum Elements, relaye le 27 mai 2026 par Silicon.fr. Le referentiel pose une nomenclature commune pour tracer l'ensemble du cycle de vie d'un systeme d'IA : donnees d'entrainement, poids du modele, dependances logicielles, hyperparametres, fournisseurs et lignage des composants. Il structure les exigences minimales en sept clusters techniques destines a alimenter les outils automatises de cartographie. L'enjeu identifie est de combler un angle mort des SBOM classiques, qui restent aveugles aux risques propres a l'IA (data poisoning, exfiltration, alteration des poids depuis des plateformes publiques comme Hugging Face, injection de prompts). Le referentiel n'est pas directement opposable en France, mais il s'inscrit dans la preparation des obligations de documentation technique de l'AI Act (Art. 11 et Annexe IV pour les systemes a haut risque) et complete les exigences de gestion des vulnerabilites prevues par le Cyber Resilience Act sur les produits comportant des elements numeriques.
27 mai 2026 — Cisco : les LLM frontier 3 a 10 fois plus vulnerables en attaque multi-turn
Cisco a publie cette semaine une etude comparant la robustesse de 15 modeles d'IA frontiere (OpenAI, Anthropic, Google, xAI, Amazon) face a deux regimes d'attaque : un seul prompt malveillant (single-turn) ou une conversation iterative (multi-turn) avec reframing du refus, decomposition de la tache et escalade graduelle. Les chercheurs ont lance 30 090 attaques single-turn et 6 986 attaques multi-turn reparties sur 1 456 conversations. L'Attack Success Rate (ASR) explose en regime multi-turn : Claude Opus 4.6 passe de 3,64 % a 16,20 %, GPT 5.4 de 2,74 % a 24,68 %, et Gemini 3 Pro de 18,10 % a 73,35 %. Grok 4.1 Fast en mode non-raisonnement culmine a 88,30 % d'ASR multi-turn. Cisco conclut que les benchmarks officiels publies dans les model cards et les rapports de securite des laboratoires ne capturent pas ce risque, ce qui pose un probleme de gouvernance pour les organisations qui s'appuient sur ces scores pour selectionner un modele d'IA generative. L'etude rejoint les preoccupations du Top 10 OWASP pour les LLM et fournit un nouvel argument pour exiger des fournisseurs des evaluations adversariales iteratives realistes, notamment au titre des obligations de transparence et de gestion des risques de l'AI Act.
27 mai 2026 — CNIL et PIPC coréenne : affiche commune sur l'IA générative et la vie privée
Art. 5 RGPDArt. 6 RGPDArt. 4 AI Act
Dans le cadre de leur partenariat, la CNIL et la PIPC (autorité de protection des données de la Corée du Sud) ont coproduit une affiche pédagogique publiée le 27 mai 2026, destinée à sensibiliser les utilisateurs de services d'IA générative à la protection de leurs données personnelles. Le support rappelle les bonnes pratiques fondamentales : ne pas saisir d'informations sensibles dans les prompts, vérifier les paramètres de confidentialité et comprendre la réutilisation des entrées pour l'entraînement des modèles. La démarche s'inscrit dans la coopération internationale entre autorités de contrôle sur les enjeux RGPD soulevés par l'IA générative (base légale du traitement, droits des personnes, transferts internationaux) et complète les travaux déjà conduits par le Comité européen de la protection des données (CEPD) et par la CNIL sur ChatGPT et les grands modèles de langage.
24 mai 2026 — AI Act : la Commission publie ses guidelines haut risque (consultation 23 juin)
Art. 6 AI ActArt. 11 AI Act
La Commission europeenne a publie le 19 mai 2026 trois jeux de lignes directrices draft sur la classification des systemes d'IA a haut risque au titre de l'article 6 du reglement (UE) 2024/1689 (AI Act). Le premier expose les principes generaux d'interpretation ; le deuxieme detaille la classification au titre de l'article 6(1) et de l'annexe I (IA integree dans un produit deja regule, ex. dispositifs medicaux, machines, jouets, ascenseurs) ; le troisieme couvre l'article 6(2) et l'annexe III, qui liste huit categories autonomes (biometrie, infrastructures critiques, education, emploi, services essentiels prive et public, application de la loi, migration et asile, justice et processus democratiques). Les guidelines sont publiees sous le fondement de l'article 6(5) de l'AI Act et accompagnees d'exemples pratiques pour aider fournisseurs, deployeurs et autorites de surveillance du marche a determiner si un cas d'usage tombe ou non dans le perimetre haut risque. La consultation publique est ouverte jusqu'au 23 juin 2026. Les guidelines, non contraignantes a ce stade, prefigurent la doctrine que la Commission appliquera a partir du 2 aout 2027, date a laquelle les obligations relatives aux systemes a haut risque deviendront pleinement exigibles.
24 mai 2026 — Colorado AI Act : SB 189 vire vers la transparence, vigueur janvier 2027
Art. 13 AI ActArt. 50 AI Act
Le gouverneur du Colorado, Jared Polis, a signe le 14 mai 2026 le Senate Bill 189 qui revise en profondeur le Colorado AI Act (Senate Bill 24-205) initialement adopte en 2024. Le texte abandonne l'approche par les risques, qui imposait aux deployeurs et developpeurs de systemes d'IA 'a consequence' un devoir de diligence, un programme de gestion des risques et des etudes d'impact algorithmique, pour la remplacer par un regime centre sur la transparence et la documentation. A compter du 1er janvier 2027, les developpeurs d'automated decision-making technology (ADMT) qui 'influencent materiellement' une decision a consequence devront fournir aux deployeurs une documentation technique decrivant les usages prevus, les categories de donnees d'entrainement, les limites connues et les instructions d'usage et de revision humaine. Le perimetre exact dependra du rulemaking de l'Attorney General sur la notion d'influence materielle. Cette refonte intervient apres la suspension d'execution obtenue par X.AI devant le tribunal federal et l'intervention du DOJ en soutien (cf. breve du 13 mai 2026). Pour les groupes europeens, ce recentrage ne modifie pas les obligations applicables sous l'AI Act europeen (Art. 6, Art. 9, Art. 10, Art. 50) ni l'echeance haut risque du 2 decembre 2027, mais il alimente la convergence internationale vers des obligations documentaires plutot que des controles ex ante complets.
Ce que ca change pour vous : si vous deployez des systemes d'IA aux Etats-Unis, mettez a jour votre veille reglementaire — l'approche Colorado bascule vers de la documentation type 'datasheet for datasets / model card'. En Europe, conservez l'approche risque de l'AI Act, mais reutilisez cette documentation pour vos obligations Art. 13 et Annexe IV : un meme corpus documentaire peut servir aux deux regimes. Documentation technique AI Act : exigences — IA a haut risque : listé des systèmes et obligations — AI Act calendrier : dates clés d'application
23 mai 2026 — Digital Omnibus : les Etats membres divises sur la revision RGPD pour l'IA
Art. 4(5) RGPDArt. 6(1)(f) RGPDArt. 21 RGPD
Selon MLex (22 mai 2026), les representants des Etats membres reunis au Conseil de l'UE sont divises sur les volets RGPD du Digital Omnibus presente par la Commission europeenne. Le paquet propose notamment deux nouveautes structurantes : (i) une exclusion partielle du champ du RGPD pour les donnees pseudonymisees lorsque la reidentification est demontree « pratiquement irrealisable » dans l'etat de la technique, et (ii) l'inscription explicite de l'interet legitime (Art. 6(1)(f) RGPD) comme base legale pour l'entrainement et le fonctionnement des systemes d'IA, sous reserve de garanties renforcees et d'un droit d'opposition inconditionnel pour les personnes concernees. L'EDPB et le Controleur europeen (EDPS) ont deja exprime des reserves marquees, alertant sur le risque de retrecissement de la notion de donnee personnelle. Le dossier couvre egalement les obligations cookies (ePrivacy) et la notification d'incidents cyber. Operationnellement, l'issue des trilogues conditionnera la legalite des grands corpus d'entrainement IA en Europe et la documentation a produire pour s'en prevaloir (DPIA, tests de balance d'interets, mesures de pseudonymisation reversible ou non).
Le triple test d'interet legitime et la cartographie des traitements IA sont exactement le type de documentation que Legiscope industrialise.
21 mai 2026 — CNIL : aucun poste supplementaire en 2026 malgre AI Act et missions etendues
Art. 57 RGPDArt. 6 AI ActArt. 70 AI Act
Dans son rapport annuel 2025 publie le 18 mai 2026, la CNIL alerte sur l'inadequation entre ses moyens et l'accroissement de ses missions. Pour 2026, l'autorite n'a obtenu aucune creation de poste, alors meme qu'elle herite de nouvelles competences au titre de l'AI Act : controle des systemes d'IA a haut risque, role d'autorite de protection des droits fondamentaux, surveillance des systemes d'IA interdits. En 2025, sur dix ETP demandes, seuls six avaient ete accordes. L'equipe IA, aujourd'hui composee de six personnes, devra etre renforcee selon la CNIL elle-meme. La commission souligne la necessite de renforts materiels et humains, faute desquels l'effectivite des controles est compromise. Operationnellement, cette penurie pese deja sur les delais d'instruction des reclamations et sur la capacite de la CNIL a deployer son nouveau programme de controle 2026, centre sur la cybersecurite des collectivites territoriales.
20 mai 2026 — AI Act Art. 50 : la Commission UE ouvre consultation sur la transparence
Art. 50 AI ActArt. 50(1) AI ActArt. 50(3) AI ActArt. 50(4) AI Act
La Commission europeenne a publie le 8 mai 2026 un projet de lignes directrices sur la mise en oeuvre des obligations de transparence prevues a l'article 50 de l'AI Act, et a ouvert une consultation ciblee jusqu'au 3 juin 2026. Le document, non contraignant, est le premier instrument transversal de la Commission portant sur l'ensemble du champ de l'article 50 : information de l'utilisateur lors d'une interaction avec un systeme d'IA (Art. 50(1)), marquage lisible par machine des contenus de synthese, etiquetage des deepfakes (Art. 50(4)) et information sur les systemes de reconnaissance des emotions ou de categorisation biometrique (Art. 50(3)). Les obligations deviendront applicables le 2 aout 2026, soit moins de trois mois apres la cloture de la consultation. Les lignes directrices seront completees par un code de bonnes pratiques sur la transparence des contenus generes par IA, attendu en juin 2026 et redige par des experts independants. La consultation est ouverte aux fournisseurs et deployeurs d'IA, aux entreprises, autorites publiques, academie et citoyens, qui peuvent y repondre via le portail Have Your Say de la Commission.
Ce que ca change pour vous : recensez dans votre inventaire IA les systemes interactifs, generateurs de contenu synthetique, de deepfakes ou de reconnaissance biometrique/emotionnelle, preparez vos retours pour la consultation avant le 3 juin 2026 et anticipez le deploiement des mentions, marquages et libelles d'avertissement utilisateur avant le 2 aout 2026. Deepfakes : cadre juridique en France — AI Act calendrier : dates clés d'application — AI Act et PME : obligations allegees
19 mai 2026 — Commission UE : lignes directrices Art. 6 AI Act, consultation ouverte
Art. 6 AI ActArt. 6(5) AI Act
La Commission europeenne a publie le 19 mai 2026 un projet de lignes directrices sur la classification des systemes d'IA a haut risque au sens de l'article 6 de l'AI Act, accompagne d'une consultation ciblee ouverte jusqu'au 23 juin 2026 a 22h00 CET. Le document, prevu par l'article 6(5) de l'AI Act, precise l'interpretation des concepts cles utilises pour decider si un systeme tombe dans la categorie a haut risque et fournit des exemples pratiques de cas d'usage qui devraient ou ne devraient pas y etre classes, couvrant l'ensemble des domaines vises par l'annexe III. Chaque section est telechargeable separement et l'AI Act Single Information Platform mettra a disposition des resumes et un explorateur des exemples pour faciliter la veille operationnelle. Pour les fournisseurs, deployeurs et autorites de surveillance du marche, ces lignes directrices conditionnent l'application uniforme du regime haut risque, dont l'echeance a ete reportee au 2 decembre 2027 par l'accord Omnibus du 7 mai 2026 : la qualification d'un systeme determine l'application de la documentation technique, de l'analyse de risques, de la supervision humaine et des obligations d'enregistrement dans la base de donnees UE.
Ce que ca change pour vous : identifiez dans votre inventaire IA les systemes susceptibles d'etre concernes par l'annexe III (emploi, credit, education, services essentiels, biometrie, etc.), confrontez vos cas d'usage aux exemples de la Commission, preparez votre contribution a la consultation avant le 23 juin 2026 et anticipez la mise a jour de votre documentation technique en vue de l'echeance haut risque du 2 decembre 2027. AI Act calendrier : dates clés d'application — AI Act et PME : obligations allegees — Article 22 RGPD : décision automatisée et profilage
13 mai 2026 — Colorado AI Act : X.AI obtient la suspension, le DOJ federal intervient
Art. 6 AI ActArt. 50 AI ActArt. 22 RGPD
Le Data Protection Report rapportait le 12 mai 2026 que l'execution du Colorado AI Act (Senate Bill 24-205), qui devait entrer en vigueur le 30 juin 2026, est suspendue a la suite de l'action en injonction engagee par X.AI LLC. La compagnie d'Elon Musk conteste devant le tribunal federal du district du Colorado les obligations imposees aux deployeurs et developpeurs de systemes d'intelligence artificielle 'a consequence' visant a prevenir la 'discrimination algorithmique'. Le ministere de la Justice federal (DOJ) est intervenu en soutien de la requete, au motif que la loi du Colorado interfererait avec la regulation federale americaine en preparation. Cette suspension est le premier blocage juridictionnel d'une loi etatique americaine sur l'IA et pese sur les negociations en cours au Congres autour d'un moratoire federal de cinq ans sur les regulations etatiques de l'IA. Pour les groupes europeens disposant d'une implantation aux Etats-Unis, ce contentieux differe a minima les obligations de transparence et d'evaluation des risques applicables aux systemes a haut risque deployes au Colorado, sans incidence sur les obligations europeennes au titre de l'AI Act, dont la mise en application progresse selon le calendrier adopte le 7 mai 2026 (report des obligations haut risque au 2 decembre 2027).
13 mai 2026 — G7 et Commission UE publient des minima SBOM pour les systemes d'IA
Art. 21 NIS2Art. 13 AI ActArt. 53 AI Act
Sous le pilotage conjoint du BSI allemand et de l'agence italienne de cybersecurite ACN, les autorites de cybersecurite du G7 et la Commission europeenne ont publie le 12 mai 2026 une directive technique posant les exigences minimales d'une 'Software Bill of Materials for AI' (SBOM for AI). Le document, fruit d'un groupe d'experts mobilises au sein du forum cyber du G7, decline la nomenclature logicielle classique aux specificites des systemes d'intelligence artificielle : description des modeles et de leurs poids, jeux de donnees d'entrainement, dependances logicielles et materielles, outils de fine-tuning et chaines d'evaluation. L'objectif affiche est de permettre aux exploitants et aux autorites de tracer l'origine d'un systeme d'IA et d'identifier les composants susceptibles d'introduire des vulnerabilites, des biais ou des comportements non documentes. Cette publication s'inscrit en parallele des travaux preparatoires du Cyber Resilience Act (CRA), qui imposera une SBOM aux produits comportant des elements numeriques, et du regime de transparence prevu par l'AI Act pour les modeles d'IA a usage general. Pour les entites essentielles ou importantes au sens de la directive NIS2, la directive G7 fournit un referentiel concret pour decliner les mesures de gestion des risques de l'article 21 NIS2 aux composantes d'IA integrees dans le systeme d'information.
C'est exactement le type de cartographie -- modeles, jeux de donnees, dependances, chaine d'evaluation -- que Legiscope structure dans le registre des traitements et dans la documentation technique exigee par l'AI Act.
12 mai 2026 — Google GTIG : premiere faille zero-day developpee avec l'aide d'une IA
Art. 32 RGPDArt. 33 RGPDArt. 21 NIS2Art. 23 NIS2
Le Google Threat Intelligence Group (GTIG) a rendu publique le 11 mai 2026 ce qu'il qualifie de premiere observation documentee d'un exploit zero-day vraisemblablement developpe avec l'aide d'un modele d'IA. La vulnerabilite, implementee sous forme d'un script Python, ciblait un outil d'administration open source tres utilise et permettait de contourner la double authentification (2FA) des qu'un identifiant et un mot de passe valides etaient connus. L'acteur malveillant, dont GTIG ne devoile pas le nom, projetait une campagne d'exploitation massive ; la decouverte 'proactive' a permis la correction de la faille par l'editeur apres notification responsable. Les chercheurs estiment que les indices techniques (style de code 'tres propre et scolaire', surabondance de texte explicatif, mise en forme caracteristique des donnees d'entrainement des LLM) plaident pour une assistance par un modele d'IA, sans qu'ils puissent identifier le modele precis -- 'nous ne pensons pas que Gemini a ete utilise', indique GTIG. John Hultquist, chef analyste du laboratoire, decrit cet episode comme un 'avant-gout' et mentionne un interet croissant d'acteurs nord-coreens et chinois pour l'usage offensif de l'IA. Pour les responsables de traitement et les entites essentielles ou importantes au sens de la directive NIS2, cette observation a un impact operationnel direct : elle accelere la fenetre de decouverte des vulnerabilites logiques (passe-droits integres au code, contournements 2FA) que les outils classiques peinent a detecter, et impose de retravailler les mesures techniques et organisationnelles au titre de l'article 32 du RGPD et des mesures de gestion des risques de l'article 21 de la directive NIS2. Cette decouverte renforce egalement les appels a un encadrement plus strict des modeles d'IA les plus avances, dans la lignee des accords de tests pre-deploiement signes en mai 2026 par le CAISI avec Google DeepMind, Microsoft et xAI.
C'est exactement le type de signal -- nouveau vecteur d'exploitation IA, contournement 2FA, raccourcissement de la fenetre de patching -- que Legiscope integre a l'audit de conformite et a la cartographie des risques de securite.
11 mai 2026 — TikTok : 16 familles deposent plainte au parquet de Paris contre l'algorithme
Art. 8 RGPDArt. 22 RGPDArt. 35 RGPDArt. 5 AI Act
Seize familles francaises, regroupees dans le collectif Algos Victima, ont depose le 11 mai 2026 une plainte collective au parquet de Paris contre TikTok (groupe ByteDance) pour abus de faiblesse. Cinq familles invoquent le suicide de leur fille mineure, les autres denoncent des troubles severs du comportement et de l'alimentation associes a l'exposition repetee a des contenus pousses par l'algorithme de recommandation. L'enjeu juridique depasse le droit penal. Sur le terrain RGPD, le dossier rejoint le contentieux deja ouvert par la DPC irlandaise et la CNIL sur l'application de l'article 8 du RGPD (consentement des mineurs de moins de quinze ans en France), de l'article 22 (decision automatisee et profilage applique aux mineurs) et de l'article 35 (AIPD obligatoire pour les systemes de recommandation a grande echelle). Sur le terrain AI Act, l'article 5(1)(b) interdit les techniques manipulatoires exploitant les vulnerabilites liees a l'age, et l'article 27 du Digital Services Act impose une option de recommandation non profilee. La plainte cite egalement les avis du Comite europeen de la protection des donnees sur le marketing addictif et les dark patterns.
11 mai 2026 — Espagne : l'AEPD se declare incompetente pour sanctionner OpenAI
Art. 4 RGPDArt. 13 RGPDArt. 56 RGPDArt. 60 RGPD
Confilegal rapporte, le 11 mai 2026, que l'Agence espagnole de protection des donnees (AEPD) a archive l'enquete d'office ouverte contre OpenAI au titre du traitement de donnees personnelles realise via ChatGPT en Espagne. Le motif invoque tient au mecanisme de guichet unique de l'article 56 du RGPD et au changement d'organisation interne d'OpenAI : depuis fevrier 2024, c'est OpenAI Ireland Limited qui est designee responsable du traitement des donnees des utilisateurs etablis dans l'Espace economique europeen et en Suisse. L'etablissement principal au sens de l'article 4(16) du RGPD se trouve donc desormais en Irlande, ce qui transfere la competence de chef de file a la Data Protection Commission (DPC) irlandaise. L'AEPD perd ainsi le pouvoir de prononcer une sanction pecuniaire propre et devra cooperer dans le cadre de la procedure de controle conjointe prevue a l'article 60 du RGPD si la DPC ouvre une procedure. Cette decision rejoint le schema deja observe pour Meta, Google ou TikTok et confirme la centralisation, parfois critiquee, du contentieux IA generative en Irlande. Pour les responsables de traitement etablis en France ou en Espagne qui s'appuient sur ChatGPT, la lecture est double : leur interlocuteur en cas de plainte transfrontaliere reste leur autorite nationale (en France, la CNIL), mais la decision de fond sera rendue, in fine, par la DPC, sous controle du Comite europeen de la protection des donnees (EDPB).
6 mai 2026 — Canada : 4 autorites concluent qu'OpenAI a viole la loi sur la vie privee
Art. 5 RGPDArt. 6 RGPDArt. 13 RGPDArt. 14 RGPD
Le Commissariat a la protection de la vie privee du Canada (CPVP), la Commission d'acces a l'information du Quebec (CAI), le Commissariat a l'information et a la protection de la vie privee de la Colombie-Britannique (OIPC C.-B.) et celui de l'Alberta (OIPC AB) ont publie le 6 mai 2026 leurs conclusions LPRPDE no 2026-002, fruit d'une enquete conjointe ouverte en mai 2023 sur OpenAI OpCo, LLC. Selon le rapport, la collecte initiale de renseignements personnels sur Internet et aupres de tiers, ainsi que l'echelle et la nature des donnees utilisees pour entrainer GPT-3.5 et GPT-4, etaient trop larges et donc inappropriees au sens des lois federale et provinciales applicables. Le CPVP, l'OIPC AB et l'OIPC C.-B. ont en outre conclu qu'OpenAI aurait du obtenir un consentement expres pour reutiliser les interactions des utilisateurs avec ChatGPT a des fins d'entrainement de modele. OpenAI a accepte de mettre en oeuvre des engagements correctifs et fournira des rapports trimestriels au CPVP et a ses partenaires provinciaux jusqu'a completion. La presse francophone (Le Devoir, La Presse, Radio-Canada, Mon Carnet) souligne qu'aucune sanction pecuniaire n'est prononcee, le CPVP ne disposant pas, contrairement a la CNIL, du pouvoir d'imposer des amendes administratives. Cette decision rejoint l'analyse engagee par la Garante italienne (avril 2024) et reprise par les autorites europeennes : pour les responsables de traitement etablis dans l'UE qui s'appuient sur ChatGPT ou qui developpent des modeles equivalents, la qualification de la base legale de l'article 6 RGPD et le respect des obligations d'information des articles 13 et 14 RGPD restent les points de fragilite identifies.
Ce que ca change pour vous : si vous integrez ChatGPT ou un LLM equivalent dans vos traitements, documentez la base legale retenue (art. 6 RGPD), les mesures pour ne pas reverser de donnees personnelles aux conversations d'entrainement (parametrage entreprise, opt-out), et l'information fournie aux personnes concernees (art. 13-14 RGPD) ; si vous developpez un modele, anticipez la demonstration que la collecte de donnees d'entrainement est proportionnee et qu'un consentement expres est recueilli lorsque les interactions utilisateurs sont reutilisees. IA et RGPD : les regles applicables au traitement par intelligence artificielle — RGPD et consentement : tout ce que vous devez savoir — Base legale RGPD : les 6 fondements juridiques
8 mai 2026 — AI Act : consultation transparence (Art. 50) ouverte jusqu'au 3 juin 2026
Art. 50 AI ActArt. 96 AI Act
La Commission europeenne a ouvert le 8 mai 2026, sur le portail digital-strategy.ec.europa.eu, une consultation ciblee sur le projet de lignes directrices relatives aux obligations de transparence prevues a l'article 50 du reglement (UE) 2024/1689 etablissant des regles harmonisees concernant l'intelligence artificielle (AI Act). La consultation est ouverte jusqu'au 3 juin 2026 et seules les reponses transmises via le questionnaire en ligne seront prises en compte. Sont vises les fournisseurs et les deployeurs de systemes d'IA qui interagissent avec des personnes physiques ou qui generent des contenus synthetiques, y compris les hypertrucages (deepfakes). Operationnellement, les fournisseurs devront informer l'utilisateur qu'il interagit avec une IA et integrer dans les systemes d'IA generative un marquage lisible par machine permettant la detection des contenus generes ou manipules ; les deployeurs devront informer les personnes exposees a des deepfakes, a des publications d'IA traitant de questions d'interet public ainsi qu'a des systemes de reconnaissance des emotions ou de categorisation biometrique. Les regles deviendront applicables le 2 aout 2026. Ces lignes directrices viennent en complement du Code de bonnes pratiques sur la transparence des contenus generes par IA, en cours de finalisation en parallele.
7 mai 2026 — CAISI : accords de tests pre-deploiement avec Google DeepMind, Microsoft et xAI
Art. 53 AI ActArt. 55 AI Act
Le Center for AI Standards and Innovation (CAISI), division du National Institute of Standards and Technology (NIST) au sein du Departement americain du Commerce, a annonce le 6 mai 2026 la signature d'accords avec Google DeepMind, Microsoft et xAI lui permettant d'evaluer leurs modeles d'IA avant mise en service publique, rapporte CSO Online le 7 mai 2026. Ces accords prolongent ceux deja signes avec Anthropic et OpenAI sous l'administration Biden, lorsque CAISI etait connu sous le nom d'AI Safety Institute. Le centre indique vouloir mener « des evaluations de pre-deploiement et des recherches ciblees afin de mieux apprehender les capacites des IA frontieres et de faire progresser l'etat de l'art en matiere de securite IA ». Pour les responsables de traitement europeens, l'enjeu est triple. D'une part, ces evaluations devraient nourrir les rapports publics que les fournisseurs de modeles d'usage general (GPAI) doivent transmettre au Bureau europeen de l'IA au titre de l'article 55 du reglement (UE) 2024/1689 lorsque le modele presente un risque systemique. D'autre part, la documentation produite cote americain pourra alimenter la documentation technique exigee par l'article 53 de l'AI Act pour les modeles GPAI integres dans des systemes europeens. Enfin, ces accords confirment la convergence vers une evaluation systematique des risques, en parallele de la recente intersection avec l'AI Safety Institute britannique.
7 mai 2026 — AI Act : accord pour reporter les obligations haut risque au 2 decembre 2027
Art. 6 AI ActArt. 50 AI ActArt. 99 AI ActArt. 113 AI Act
Les Etats membres de l'Union europeenne et le Parlement europeen sont parvenus dans la nuit du 6 au 7 mai 2026, apres neuf heures de negociation, a un accord provisoire sur le « Digital Omnibus on AI » qui amende le reglement (UE) 2024/1689 sur l'intelligence artificielle, rapporte Reuters via Cyprus Mail le 7 mai 2026. L'accord doit encore etre formellement endosse par le Conseil et le Parlement dans les prochains mois. Trois changements structurent le compromis. Premier point : les obligations applicables aux systemes d'IA a haut risque listes a l'annexe III (biometrie, infrastructures critiques, education, emploi, services essentiels, justice et police, processus democratiques) sont reportees du 2 aout 2026 au 2 decembre 2027. Deuxieme point : les machines deja couvertes par le reglement (UE) 2023/1230 « Machinery » sont exclues du champ direct de l'AI Act, ce qui repond a la demande de l'industrie d'une articulation sectorielle. Troisieme point : sont introduites des obligations nouvelles applicables des le 2 decembre 2026, notamment l'interdiction des applications « nudifier » generant des contenus sexuels non consentis et le marquage obligatoire des contenus generes par IA (watermarking). Le texte conserve par ailleurs l'architecture des sanctions allant jusqu'a 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour memoire, en l'absence d'adoption formelle avant le 2 aout 2026, c'est la version originale de l'AI Act qui s'applique sans report.
6 mai 2026 — Cinq editeurs attaquent Meta pour entrainement de Llama sur livres pirates
Art. 53 AI ActArt. 50 AI Act
Hachette, Macmillan, McGraw Hill, Elsevier et Cengage ont depose une plainte collective le 5 mai 2026 devant la cour federale du district sud de New York contre Meta et son president Mark Zuckerberg, rapporte next.ink le 6 mai 2026. Les cinq groupes d'edition scolaire et scientifique reprochent au groupe d'avoir telecharge via torrent des millions de livres et d'articles sous copyright sur des bibliotheques clandestines (notamment LibGen) puis de les avoir utilises pour entrainer la famille de modeles Llama. Le scenario est analogue a l'action Kadrey c. Meta, mais l'envergure des plaignants change la portee : les editeurs disposent du catalogue, des moyens et des donnees d'usage pour caracteriser le prejudice. Pour les entreprises europeennes qui deploient des systemes d'IA generative, la plainte eclaire directement l'article 53 de l'AI Act, qui impose aux fournisseurs de modeles d'usage general une politique de respect du droit d'auteur et la publication d'un resume « suffisamment detaille » des contenus utilises pour l'entrainement. En France, 81 organisations culturelles ont par ailleurs reclame le 5 mai l'adoption rapide par l'Assemblee nationale de la proposition de loi venue du Senat instaurant une presomption d'exploitation des contenus culturels par les fournisseurs d'IA, ce qui inverserait la charge de la preuve.
6 mai 2026 — Pennsylvanie c. Character.AI : un chatbot se serait fait passer pour un medecin
Art. 50 AI ActArt. 9 RGPDArt. 13 RGPD
La procureure generale de Pennsylvanie a engage le 5 mai 2026 une action contre Character.AI, rapporte NPR, pour des conversations dans lesquelles le service de chatbots aurait laisse certains agents conversationnels se presenter comme des medecins ou psychologues et delivrer des conseils medicaux a des utilisateurs, dont des mineurs. La plainte vise a la fois la conception du service, l'absence de garde-fous explicites pour les personas a vocation sanitaire et le defaut d'avertissement clair sur la nature non humaine des interlocuteurs. Pour un responsable de traitement europeen, l'affaire eclaire deux exigences. D'une part, l'article 50 de l'AI Act impose, des le 2 aout 2026, qu'un systeme d'IA destine a interagir avec des personnes physiques signale explicitement son caractere artificiel ; le simple fait qu'un agent conversationnel puisse simuler une qualification professionnelle suffit a engager la responsabilite du fournisseur ou du deployeur. D'autre part, lorsque l'utilisateur revele un diagnostic ou un symptome, le traitement glisse dans le champ de l'article 9 du RGPD : sans base legale specifique et sans information adaptee, le traitement est interdit. La doctrine francaise rappelle deja cette intersection a propos des chatbots de soutien psychologique.
6 mai 2026 — Apple : 250 M USD pour Siri, premier reglement majeur sur l'AI-washing
Art. 50 AI ActArt. 52 AI Act
Apple a propose un reglement amiable de 250 millions de dollars, rapporte next.ink le 6 mai 2026, pour eteindre le recours collectif californien lance en 2025 contre Apple Intelligence. Les plaignants reprochent au constructeur d'avoir promu, dans des spots televises diffuses apres le lancement des iPhone 16 en septembre 2024, des capacites d'IA personnalisee (Siri 2.0, agregation multi-apps, comprehension contextuelle) qui, selon leur acte de procedure, « n'existaient pas a l'epoque, n'existent toujours pas, et n'existeront pas dans les deux prochaines annees ou plus ». ZDNet France relaye l'accord le 6 mai et souligne sa portee juridique : il s'agit du premier reglement americain d'envergure sur de la publicite trompeuse fondee sur des fonctionnalites d'IA non livrees. Pour les operateurs europeens, l'affaire prefigure le risque que recouvre l'article 50 de l'AI Act, qui impose aux fournisseurs de systemes d'IA generative et interactive une information claire de l'utilisateur sur les capacites reelles du systeme et sur le fait qu'il interagit avec une IA. La directive 2005/29 sur les pratiques commerciales deloyales reste par ailleurs pleinement applicable a la promotion de fonctionnalites IA inexistantes.
5 mai 2026 — CNIL : 9 jeunes sur 10 utilisent une IA conversationnelle, alerte sante mentale
Art. 9 RGPDArt. 8 RGPDArt. 6 RGPD
La CNIL et le Groupe VYV ont publie le 5 mai 2026 les resultats d'une enquete europeenne menee dans quatre pays (France, Allemagne, Espagne, Italie) sur les usages de l'IA conversationnelle par les jeunes. Pres de 9 jeunes sur 10 declarent utiliser un agent conversationnel en France, et pres d'un sur deux y aborde des sujets personnels relevant de la sante mentale (anxiete, harcelement, troubles alimentaires). La CNIL souligne que ces echanges generent un volume important de donnees particulierement sensibles au sens de l'article 9 du RGPD, traitees par des fournisseurs souvent etablis hors UE. L'autorite alerte sur trois risques operationnels : absence de base legale claire pour le traitement de donnees de sante revelees, defaut d'information adaptee au public mineur, et faiblesse des mecanismes de retention et d'effacement. L'enquete s'inscrit dans le cadre de l'EDPB et prefigure des controles coordonnes sur les chatbots grand public. Cette problematique recoupe les obligations d'evaluation des systemes d'IA a usage general prevues par l'AI Act.
Si vous deployez un chatbot accessible aux mineurs ou susceptible de collecter des donnees de sante, documentez la base legale, l'information adaptee a l'age et la duree de retention avant tout controle CNIL. IA et RGPD : les regles applicables — EU AI Act : guide complet
4 mai 2026 — AI Act : echec du trilogue, l'echeance d'aout 2026 maintenue
Art. 6 AI ActArt. 9 AI ActArt. 11 AI ActArt. 35 RGPD
Les colegislateurs europeens se sont separes sans accord lors du trilogue du 28 avril 2026 sur la proposition omnibus de la Commission visant a reporter une partie des obligations de l'AI Act applicables aux systemes d'IA a haut risque. Selon Politico Europe relaye par l'EU AI Act Newsletter du Future of Life Institute, le projet aurait differe l'application a decembre 2027 et interdit les applications de denudation par IA, mais les negociateurs du Parlement et du Conseil ne sont pas parvenus a s'accorder sur le perimetre, en particulier sur le sort des machines et des dispositifs medicaux. Le centre-droit du Parlement, soutenu par l'Allemagne, souhaitait que ces produits restent regis par leur legislation sectorielle plutot que par l'AI Act ; plusieurs Etats membres et le centre-gauche s'y opposent. Aucune date de reprise n'a ete fixee. Consequence pratique : les obligations applicables aux systemes d'IA a haut risque mentionnes a l'article 6 et a l'annexe III de l'AI Act prennent effet le 2 aout 2026 comme prevu, sans report. Pour les responsables de traitement deployant des outils RH, biometriques, de scoring credit ou medicaux, l'analyse d'impact AI Act / RGPD doit etre prete a cette date.
La cartographie des systemes d'IA a haut risque et leur rattachement aux obligations de l'AI Act font partie des controles que Legiscope automatise dans le registre des activites de traitement.
3 mai 2026 — Five Eyes : guide commun sur le deploiement securise des agents IA
Art. 32 RGPDArt. 35 RGPDArt. 9 AI Act
La CISA, la NSA, le NCSC-UK, l'ASD ACSC australien, le Centre canadien pour la cybersecurite et le NCSC neo-zelandais ont publie le 1er mai 2026 un guide commun intitule « Careful Adoption of Agentic AI Services », consacre au deploiement securise des agents IA en entreprise et dans les infrastructures critiques. Le document identifie cinq grandes familles de risques : risques de privileges, risques de conception et de configuration, risques comportementaux (desalignement d'objectifs, comportements trompeurs), risques structurels lies aux dependances entre composants, et risques de redevabilite et d'auditabilite. Les agences designent l'injection d'instruction (« prompt injection ») comme la menace la plus persistante, les modeles de langage ne pouvant pas distinguer de facon fiable une instruction legitime d'une donnee malveillante embarquee dans un document, un email ou une page web. Les recommandations operationnelles sont : deploiement incremental, supervision humaine effective, controles de chaine d'approvisionnement, et obligation organisationnelle qu'aucun agent ne soit deploye sans evaluation de risques cartographiant les outils accessibles, la sensibilite des donnees et le perimetre d'impact en cas de compromission. Ces exigences rejoignent l'article 32 du RGPD pour les systemes traitant des donnees personnelles et l'article 9 de l'AI Act sur la gestion des risques des systemes IA a haut risque.
2 mai 2026 — Okta : les agents IA exfiltrent des identifiants quand leur canal est detourne
Art. 32 RGPDArt. 35 RGPDArt. 9 AI Act
Le rapport « Phishing the agent: Why AI guardrails aren't enough », publie par Okta Threat Intelligence et relaye le 1er mai 2026 par CSO Online, documente plusieurs scenarios dans lesquels des agents IA deployes en entreprise ont divulgue des donnees sensibles, contourne leurs propres garde-fous ou transmis des identifiants a un attaquant via un canal de messagerie tiers. Dans l'un des tests, un assistant IA agentique configure pour piloter le poste de travail d'un utilisateur a accepte, apres detournement du compte de messagerie servant de canal de commande, de retrouver et d'afficher un jeton OAuth. Le rapport souligne que les garde-fous evalues en mode chatbot isole ne tiennent plus une fois que l'agent dispose d'acces aux fichiers, navigateurs, comptes et credentials de l'utilisateur. Cette typologie de risque rejoint les obligations de l'article 32 du RGPD et l'article 9 de l'AI Act sur la gestion des risques pour les systemes a haut risque : un agent intelligent qui mediatise l'acces a des donnees personnelles doit faire l'objet d'une analyse specifique de surface d'attaque et d'une journalisation effective des actions sensibles, sous peine de transferer un risque non maitrise au responsable de traitement.
30 avril 2026 — Doctrine.fr : son IA juridique invente le sens d'une decision de la CEDH
Art. 6 AI ActArt. 50 AI Act
L'IA de Doctrine.fr, qui se presente comme la premiere plateforme d'intelligence artificielle juridique francaise, a affirme dans une reponse a un utilisateur que la Cour europeenne des droits de l'homme avait "rejete" la requete d'un plaidant alors que la CEDH l'avait au contraire accueillie et que la France avait ete condamnee a verser des indemnites. L'erreur, reperee par une contributrice de Wikipedia et documentee par Next, intervient au moment ou Doctrine.fr est en negociations pour un rachat par le britannique RELX, et alors que l'editeur revendique des hallucinations "residuelles" sur ses benchmarks. L'affaire illustre un risque concret pour les professionnels du droit qui utilisent ces outils sans verification systematique des sources : la responsabilite civile et deontologique reste a la charge de l'avocat ou du juriste qui s'appuie sur la synthese generee. Sur le terrain de l'AI Act, les systemes d'IA destines a aider les autorites judiciaires ou les professions juridiques relevent des categories sensibles encadrees par les obligations de transparence (article 50 AI Act) et, pour certains usages, par les exigences applicables aux systemes a haut risque (article 6 et annexe III).
29 avril 2026 — Grece : la HDPA juge illicite le Smart Policing par reconnaissance faciale
Art. 35 RGPDArt. 36 RGPDArt. 5 AI Act
L'autorite grecque de protection des donnees (HDPA) a juge illicite le programme "Smart Policing" deploye par la police hellenique, dote de 4 millions d'euros et integrant des technologies d'intelligence artificielle, dont un module de reconnaissance faciale. La decision, relayee par EDRi et son membre Homo Digitalis a l'origine de la plainte, confirme des annees d'avertissements sur l'absence de base legale claire et l'inadequation des garanties. L'affaire illustre l'articulation entre la directive police-justice 2016/680, le RGPD et l'AI Act : la reconnaissance faciale dans les espaces publics, lorsqu'elle est utilisee a des fins repressives, rentre dans la categorie des systemes interdits ou strictement encadres par l'article 5 et les annexes III de l'AI Act. Pour les autorites publiques francaises et leurs prestataires (videosurveillance augmentee, reconnaissance biometrique sur le terrain), la decision grecque enrichit le corpus europeen d'AIPD obligatoires (article 35 RGPD) avant tout deploiement et de bases legales documentees. Elle rejoint la jurisprudence de la CNIL sur les experimentations biometriques.
29 avril 2026 — AI Act : echec du trilogue sur l'Omnibus, reprise en mai
Art. 6 AI ActArt. 9 AI ActArt. 11 AI Act
Les representants des Etats membres et du Parlement europeen n'ont pas trouve d'accord, le 28 avril 2026, sur la revision de l'AI Act portee par la Commission dans son paquet Digital Omnibus, selon une depeche Reuters relayee notamment par Yahoo Finance. Les negociations, ouvertes a 11h GMT, ont ete suspendues apres une douzaine d'heures de discussions, achoppant sur la portee des exemptions reclamees pour les secteurs deja couverts par une reglementation produit (securite des produits, dispositifs medicaux, machines, etc.). Les representants insistent pour que ces secteurs soient soustraits aux obligations supplementaires de l'AI Act, ce que plusieurs groupes politiques refusent en denoncant un affaiblissement du regime des systemes a haut risque. Le Digital Omnibus vise a simplifier plusieurs textes numeriques pour alleger la charge des entreprises europeennes face a leurs concurrents americains et asiatiques ; il modifie notamment l'AI Act dont l'entree en vigueur etait echelonnee a partir de 2026. Les discussions doivent reprendre courant mai. Dans l'attente de l'adoption d'un compromis, le reglement (UE) 2024/1689 demeure applicable dans sa redaction actuelle, et les fournisseurs de systemes d'IA listes a l'annexe III doivent continuer de preparer leur conformite aux obligations des articles 6, 9 et 11 de l'AI Act.
28 avril 2026 — IA générative et droit d'auteur : Alain Bensoussan plaide la refonte
Art. 53 AI Act
Dans le numéro 96 de Planète Robots (mars-avril 2026), l'avocat Alain Bensoussan consacre une chronique à la confrontation entre droit d'auteur et IA générative. L'auteur distingue deux régimes : lorsque l'IA reste un outil au service d'un créateur humain, le droit d'auteur classique s'applique ; lorsque la machine produit seule à partir d'une instruction, la qualification d'œuvre protégeable vacille faute d'auteur identifiable. La chronique souligne aussi la question des données d'entraînement, en général utilisées sans consentement explicite des ayants droit, et appelle à un nouvel équilibre entre innovation et rémunération. Ce débat doctrinal s'articule avec les obligations de transparence sur les corpus d'entraînement prévues par l'AI Act pour les modèles à usage général.
27 avril 2026 — Mythosready : 250 RSSI publient un plan face aux vulnérabilités IA
Art. 32 RGPDArt. 21 NIS2Art. 15 AI Act
Le SANS Institute et la Cloud Security Alliance (CSA) ont publié, le 12 avril 2026, un rapport intitulé « La tempête de vulnérabilités liées à l'IA : créer un programme de sécurité Mythosready », rédigé en un week-end par plus de 60 contributeurs et relu par plus de 250 responsables de la sécurité des systèmes d'information (RSSI / CISO). Next.ink en livre une synthèse le 27 avril 2026 dans le troisième volet de sa série consacrée aux IA agentiques. Le document a été publié dans la foulée de l'annonce, le 7 avril 2026, de Mythos Preview, l'IA spécialisée en cybersécurité d'Anthropic, accessible à une cinquantaine d'entreprises et organismes du projet Glasswing : Anthropic devra communiquer dans 90 jours les résultats des vulnérabilités identifiées. Parmi les signataires figurent Jen Easterly, ex-directrice de la CISA américaine, Chris Inglis, premier National Cyber Director des États-Unis et ancien numéro 2 de la NSA, Rob Joyce, ex-patron de l'unité Tailored Access Operations (TAO) puis directeur de la cybersécurité de la NSA. Le rapport propose un cadre opérationnel structuré en mesures immédiates, priorités à court terme et changements à long terme pour des organisations « qui doivent se présenter lundi matin avec un plan crédible ». Pour les entreprises soumises à l'article 32 du RGPD ou à l'article 21 de la directive NIS2, cette doctrine fournit une grille de lecture utile pour la gestion des vulnérabilités, la priorisation des correctifs et la coordination avec les fournisseurs de logiciels au regard du règlement IA européen.
25 avril 2026 — CERT-FR : alerte sur les agents IA sur poste de travail
Art. 32 RGPDArt. 33 RGPDArt. 35 RGPD
Le CERT-FR, dependant de l'ANSSI, a publie le bulletin d'actualite CERTFR-2026-ACT-016 consacre aux vulnerabilites et risques des produits d'automatisation par IA agentique sur les postes de travail. Le rapport vise explicitement OpenClaw, Claude Cowork et plus largement les assistants autonomes capables d'executer des commandes, de piloter le navigateur, de lire et d'ecrire des fichiers, de gerer la messagerie ou l'agenda a partir d'instructions textuelles recues via Slack, WhatsApp, Discord ou tout canal connecte. Le CERT-FR considere que ces solutions ne doivent pas etre deployees en environnement de production en l'etat : un agent qui orchestre des outils capables d'agir au niveau du systeme d'exploitation augmente significativement le risque de compromission, notamment via l'injection de prompts ou le detournement de messages, avec exfiltration de donnees a la cle. L'agence recommande de cantonner ces assistants a des environnements de test isoles, sans donnees sensibles, de limiter strictement les outils et canaux accessibles, d'imposer une invocation explicite (mentions @) et de soumettre toute commande systeme a une validation humaine. Pour les responsables de traitement, cette mise en garde rejoint les exigences de securite de l'article 32 du RGPD : tout deploiement non encadre d'un agent IA susceptible d'acceder a des donnees personnelles expose a un risque qualifie de violation au sens de l'article 33 du RGPD.
Tracer une AIPD sur un agent IA, documenter les acces aux donnees et conserver la piste d'audit est exactement le type de risque que le module AIPD de Legiscope detecte.
24 avril 2026 — ICO (UK) : consultation sur les décisions automatisées et l'IA en recrutement
Art. 22 RGPDArt. 35 RGPDArt. 6 AI Act
L'Information Commissioner's Office (ICO) britannique a lance le 31 mars 2026 une consultation publique sur un projet de guide consacre aux decisions automatisees, y compris le profilage, accompagne d'un rapport sectoriel sur l'usage de ces systemes en recrutement. La consultation, rapportee le 24 avril par Covington Inside Privacy, reste ouverte jusqu'au 29 mai 2026. Le projet est la premiere interpretation detaillee par l'ICO de la reforme introduite par le Data (Use and Access) Act : les decisions automatisees passent formellement d'une interdiction assortie d'exceptions a un droit de contestation assorti de garanties. L'ICO retient une lecture large de la notion de 'decision' et integre au perimetre les systemes dont l'impact depend du contexte (gel de compte bancaire, refus de service). Le regulateur reaffirme l'exigence d'une intervention humaine significative, precisant qu'un humain ayant concu l'algorithme ne constitue pas en soi un controle humain. Il prohibe l'usage de la nouvelle base legale d''interet legitime reconnu' pour les traitements entierement automatises, et rappelle l'obligation d'AIPD. Le rapport recrutement recoupe directement le classement en systeme d'IA a haut risque de l'annexe III de l'AI Act pour les outils de tri de candidatures. Pour les entreprises francaises qui utilisent ces solutions, le regime de l'article 22 du RGPD reste le cadre applicable, mais les grilles d'analyse de l'ICO prefigurent les questions que la CNIL posera en cas de controle.
Documenter une AIPD sur un systeme de decision automatisee et tracer l'intervention humaine significative se realise depuis le module AIPD de Legiscope.
23 avril 2026 — AEPD : lignes directrices sur la transcription vocale par IA et le RGPD
L'Agence espagnole de protection des données (AEPD) a publié le 20 avril 2026 des lignes directrices sur la conformité RGPD des outils de transcription vocale alimentés par intelligence artificielle. Le document, relayé par Covington Inside Privacy le 22 avril 2026, prolonge une première note publiée en janvier 2026. L'AEPD confirme que la voix constitue généralement une donnée à caractère personnel, sauf anonymisation effective ou voix purement synthétique, et rappelle que les métadonnées et le contenu transcrit peuvent également être personnels. L'organisation qui déploie un outil de transcription (interne ou tiers) agit comme responsable de traitement au sens du RGPD, avec les obligations associées : choix diligent du fournisseur, information claire sur les traitements ultérieurs, garanties de confidentialité, mesures de sécurité, réentraînement des modèles, durées de conservation et minimisation, et respect de l'article 28 pour les contrats de sous-traitance. L'AEPD impose une approche par les risques autour de quatre axes opérationnels : gouvernance continue, transparence active pendant l'enregistrement (indicateur visible, signal sonore ou lumineux), due diligence renforcée sur les fournisseurs, et gestion proactive des erreurs de transcription. Les outils qui infèrent des émotions, des opinions, des données de santé ou des identifiants biométriques relèvent par ailleurs des systèmes d'IA à haut risque voire des pratiques interdites au sens du règlement IA européen.
A noter : le reglement IA impose des obligations specifiques sur les donnees d'entrainement et la transparence (art. 10, 13 AI Act). Legiscope aide a documenter les traitements de donnees personnelles lies a vos systemes d'IA dans votre registre RGPD.
22 avril 2026 — Meta : surveillance clics/clavier des salariés pour entraîner ses IA
Silicon.fr a relayé le 22 avril 2026 une note interne de Meta annonçant à ses salariés américains, le 21 avril, le déploiement d’un outil baptisé « Model Capability Initiative » (MCI). L’outil enregistre les mouvements de souris, les clics, les frappes au clavier et des captures d’écran ponctuelles sur une liste définie d’applications professionnelles (Gmail, GChat, Metamate, VSCode), uniquement sur les ordinateurs fournis par l’entreprise, pour alimenter les modèles d’IA maison en données comportementales. D’après Business Insider, cité par Silicon, le CTO Andrew Bosworth a indiqué aux salariés qu’il n’existe pas de mécanisme d’opt-out. Le programme est limité, pour l’instant, au territoire américain. Dans l’Union européenne, un dispositif équivalent soulèverait la question de la base légale de l’article 6 du RGPD, de la minimisation au sens de l’article 5, et des garanties spécifiques au contexte professionnel prévues à l’article 88. La doctrine de la CNIL et du CEPD en matière de surveillance des salariés impose une information préalable détaillée (article 13), la consultation des instances représentatives, et une AIPD (article 35) en raison de la surveillance systématique à grande échelle. L’usage de ces données pour entraîner un modèle d’IA ajoute une finalité distincte, soumise au principe de limitation des finalités et susceptible d’ouvrir des obligations au titre du règlement IA européen.
Documenter les bases légales et réaliser une AIPD sur des traitements de surveillance à grande échelle relie directement le registre des traitements et le module AIPD de Legiscope.
22 avril 2026 — Mozilla : Mythos (Anthropic) trouve et corrige 271 failles dans Firefox
Art. 32 RGPDArt. 21 NIS2Art. 13 CRA
Mozilla a annoncé, via une publication de Wired du 21 avril 2026 et une intervention publique de sa CTO relayée le 22 avril par The Register, avoir utilisé l’outil « Mythos » d’Anthropic pour détecter et corriger 271 vulnérabilités dans le code source de Firefox. Selon la fondation, aucune des failles identifiées n’aurait été hors de portée d’un analyste humain expérimenté ; la contribution essentielle du modèle réside dans la mise à l’échelle de la revue de code et dans la réduction du délai entre l’introduction d’une régression et sa correction. Cet usage défensif contraste avec l’alerte publiée le 15 avril 2026 par l’Institut britannique de sécurité de l’IA, qui avait souligné les capacités cyber-offensives de Mythos et de GPT-5.4-Cyber. Pour les responsables de traitement et les entités essentielles ou importantes au sens de la directive NIS2, l’épisode illustre que les obligations de sécurité de l’article 32 du RGPD et de gestion des vulnérabilités de l’article 21 de la directive NIS2 peuvent désormais s’appuyer sur des outils d’IA défensifs industrialisables. Les fabricants soumis au Cyber Resilience Act (CRA) devront intégrer ces moyens dans leur processus de traitement des vulnérabilités au titre de l’article 13.
20 avril 2026 — Royaume-Uni : alerte officielle sur les capacités cyber-offensives des IA
Art. 32 RGPDArt. 21 NIS2Art. 13 CRA
Le gouvernement britannique a publié le 15 avril 2026 une lettre ouverte alertant les entreprises sur les risques de cybersécurité posés par la nouvelle génération de modèles d'IA, en citant nommément Claude Mythos (Anthropic) et GPT-5.4-Cyber (OpenAI). Selon l'Institut britannique de sécurité de l'IA (rattaché au ministère des Sciences, de l'Innovation et de la Technologie), Claude Mythos serait « nettement plus performant en matière de cyberoffensive que tout autre modèle évalué jusqu'à présent » : ses capacités de détection de vulnérabilités et de génération de code d'exploitation ont conduit Anthropic et OpenAI à ne pas rendre ces modèles publics et à les réserver à des partenaires de confiance. L'exécutif souligne que ces outils permettent désormais d'accomplir à l'échelle des tâches qui relevaient jusqu'ici de compétences rares. Pour les responsables de traitement et les entités essentielles / importantes, ce constat renforce les exigences de gestion des vulnérabilités et de sécurité au titre de l'article 32 du RGPD et de l'article 21 de la directive NIS2, ainsi que les obligations de gestion des risques cyber des produits au titre de l'article 13 du Cyber Resilience Act.
20 avril 2026 — AI Act Omnibus : haut risque repoussé à décembre 2027, trilogues ouverts
Art. 6 AI ActArt. 9 AI ActArt. 11 AI Act
La proposition de règlement Omnibus AI Act (COM(2025) 836, Commission européenne, 19 novembre 2025) fait l'objet d'un suivi publié le 20 avril 2026 par In Cyber. Sur le plan procédural, le Conseil a arrêté sa position le 13 mars 2026 et le Parlement européen a adopté ses amendements le 26 mars 2026 ; les trilogues interinstitutionnels sont désormais ouverts. Le texte initial proposait de décaler l'entrée en application du régime des systèmes d'IA à haut risque pour une durée maximale de 16 mois, la Commission justifiant ce report par l'indisponibilité des normes harmonisées nécessaires à la mise en conformité. Conseil et Parlement convergent désormais sur un calendrier fixe : application au 2 décembre 2027 pour les systèmes à haut risque autonomes listés à l'annexe III (biométrie, infrastructures critiques, éducation, emploi, services essentiels, forces de l'ordre, justice, gestion des frontières) et au 2 août 2028 pour les systèmes à haut risque intégrés dans des produits relevant de la législation sectorielle de sécurité. Le Conseil reporte également au 2 décembre 2027 l'échéance de mise en place des bacs à sable réglementaires par les autorités nationales compétentes. Dans l'attente de l'adoption formelle du compromis, l'AI Act demeure applicable dans sa rédaction issue du règlement (UE) 2024/1689.
16 avril 2026 — CNIL-HAS : clôture de la consultation sur l'IA en santé
Art. 35 RGPDArt. 9 RGPD
La consultation publique lancée conjointement par la CNIL et la Haute Autorité de Santé (HAS) sur le projet de guide « IA en contexte de soins » s'est clôturée le 16 avril 2026. Ce guide de bonnes pratiques comprend dix fiches couvrant l'ensemble du cycle de vie d'un système d'IA en établissement de santé — de l'acquisition à la désinstallation — ainsi que deux fiches transversales sur la gouvernance et les spécificités de l'IA générative. Il s'adresse aux professionnels et établissements de santé de toute taille, et vise à clarifier le cadre juridique applicable à l'intersection du RGPD, de l'AI Act et du code de la santé publique. Les associations de patients et fournisseurs de systèmes d'IA étaient également invités à contribuer.
13 avril 2026 — CNIL et ANSSI : premier atelier public de l'outil d'audit IA PANAME
Art. 5(1)(f) RGPDArt. 25 RGPD
La CNIL, l'ANSSI, le PEReN et Inria organisent le 13 avril 2026 un atelier hybride réunissant les acteurs ayant répondu à l'appel à manifestation d'intérêt pour tester la librairie PANAME (Privacy Auditing of AI Models). Cet outil open source, dont la publication est prévue à l'automne 2026, permettra de réaliser des tests d'extraction et de réidentification de données sur les modèles d'IA afin d'évaluer leur conformité au RGPD. Le projet vise à unifier la façon dont la confidentialité des modèles est évaluée, un enjeu majeur à l'approche de l'échéance haut risque de l'AI Act (2 août 2026).
C'est le type de vérification que Legiscope intègre dans son module d'audit de conformité RGPD.
11 avril 2026 — 127 ONG alertent : l'Omnibus UE menace le RGPD et l'AI Act
Amnesty International et 126 autres organisations de la société civile ont signé une lettre ouverte dénonçant les propositions de « simplification » de la Commission européenne. Présenté comme un allègement administratif, le paquet Omnibus modifierait en profondeur le RGPD et l'AI Act : redéfinition restrictive des données personnelles, assouplissement des exigences de consentement, exemptions spécifiques pour l'IA qui pourraient permettre aux grandes entreprises technologiques d'exploiter davantage de données personnelles pour l'entraînement des systèmes d'IA. Le report d'au moins un an des obligations clés de l'AI Act est également prévu. Les signataires dénoncent une tentative de « démantèlement déguisé » des protections numériques européennes.
Ce que ça change pour vous — Suivez attentivement l'évolution législative de l'Omnibus : si adopté, il pourrait modifier vos obligations de conformité RGPD et AI Act dès 2027. EU AI Act : guide complet — AI Act : calendrier d'application
9 avril 2026 — AI Act : le Parlement vote le report des obligations haut risque et l'interdiction des nudifiers
Art. 6 AI Act
Le 26 mars 2026, le Parlement européen a adopté par 569 voix contre 45 le texte du Digital Omnibus sur l'IA, proposant de reporter l'application des obligations relatives aux systèmes d'IA à haut risque. Les systèmes autonomes (annexe III) verraient leur échéance repoussée du 2 août 2026 au 2 décembre 2027, et les systèmes intégrés à des produits réglementés (annexe II) au 2 août 2028. Ce report est justifié par le retard dans la finalisation des normes harmonisées et des outils de conformité. Le texte introduit également une interdiction explicite des systèmes de nudification par IA, qui génèrent des images intimes non consenties. Le Conseil avait adopté sa propre position le 13 mars. Les trilogues entre co-législateurs vont maintenant s'ouvrir.
Présentées le 19 novembre 2025, les deux propositions de règlement du « Digital Omnibus » continuent leur parcours législatif au Parlement européen et au Conseil. Les modifications envisagées pour le RGPD incluent l'exclusion des données pseudonymisées du champ d'application pour faciliter l'entraînement de modèles d'IA, l'intégration des règles cookies directement dans le RGPD avec l'obligation d'un mécanisme de refus aussi simple que l'acceptation, et l'interdiction de redemander le consentement pendant 6 mois après un refus. Côté AI Act, l'entrée en vigueur des obligations pour les systèmes à haut risque (prévue le 2 août 2026) serait reportée de 16 mois maximum. Le CEPD et le CEPD ont publié deux avis conjoints (1/2026 et 2/2026) alertant sur les risques d'affaiblissement des droits fondamentaux et d'insécurité juridique. L'adoption finale est attendue fin 2026, pour une application à partir de 2027-2028.
La Haute Autorité de santé (HAS) et la CNIL ont publié conjointement un projet de guide intitulé « IA en contexte de soins », soumis à consultation publique jusqu'au 16 avril 2026. Ce document de référence contient dix fiches pratiques couvrant l'ensemble du cycle de vie d'un système d'IA en milieu médical — de l'acquisition à la désinstallation — ainsi que deux fiches transversales sur la gouvernance et l'IA générative. Les recommandations distinguent les pratiques « standards » (à suivre dans la majorité des cas) et les pratiques « avancées » (pistes d'amélioration). Ce guide s'inscrit dans la convention de partenariat HAS-CNIL signée le 10 mars 2026 et anticipe l'entrée en application du Règlement IA (AI Act) pour les systèmes à haut risque en santé au 2 août 2026. La consultation est ouverte à l'ensemble des acteurs du secteur : établissements de santé, professionnels, associations de patients et fournisseurs de systèmes d'IA.
L'évaluation de la conformité RGPD des traitements de données de santé par l'IA est un processus que Legiscope structure avec son module d'analyse d'impact (AIPD).
4 avril 2026 — AI Act : J-120 avant l'échéance haut risque du 2 août 2026
Le 2 août 2026 — dans quatre mois — les obligations de l'AI Act s'appliquent pleinement aux systèmes d'intelligence artificielle à haut risque visés à l'Annexe III du règlement. À cette date, les fournisseurs et déployeurs de systèmes d'IA à haut risque devront disposer d'une documentation technique complète, d'un système de gestion des risques opérationnel, d'une inscription dans la base de données européenne des systèmes d'IA à haut risque et, pour les systèmes commercialisés, du marquage CE. L'Annexe III couvre notamment : la biométrie, les infrastructures critiques, l'éducation et la formation, l'emploi et les ressources humaines, les services essentiels, l'application de la loi, la gestion des migrations et l'administration de la justice. Les sanctions pour non-conformité peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel pour les systèmes haut risque. Moins de 30 % des PME européennes ont entamé une démarche de conformité, selon les estimations sectorielles disponibles à ce jour.
La CNIL a annoncé la nomination de Rémi Stefanini au poste de directeur des technologies, de l'innovation et de l'intelligence artificielle (DTIA) à compter du 15 avril 2026. Cette direction pilote les analyses techniques des systèmes IA, les audits de cookies, les travaux sur la portabilité des données et la participation aux instances du Bureau européen de l'IA. Son arrivée coïncide avec la montée en puissance des dossiers IA à la CNIL : enquêtes sur les modèles d'entraînement, mise en œuvre du plan stratégique 2025-2028 et instruction de dossiers relatifs à l'AI Act. Aucune information n'est disponible à ce stade sur les orientations techniques spécifiques qu'il imprimera au poste.
À suivre pour les organisations en dialogue avec la DTIA de la CNIL sur des projets IA ou des demandes d'avis techniques.
26 mars 2026 — AI Act : report des règles IA à hauts risques voté au Parlement européen
Le Parlement européen a adopté le 26 mars 2026, à 569 voix pour et 45 contre, sa position sur le paquet Digital Omnibus consacré à l'IA. Il propose de reporter l'application des règles relatives aux systèmes IA à hauts risques de l'annexe III du 2 août 2026 au 2 décembre 2027. Pour les systèmes relevant de l'annexe I (produits réglementés intégrant de l'IA), la date passerait du 2 août 2027 au 2 août 2028. Le Parlement introduit en parallèle une interdiction explicite des applications « nudifiers » générant des deepfakes à caractère sexuel. Les négociations inter-institutionnelles visent un accord final avant le 28 avril 2026. Concrètement, toute organisation dont le système IA relève de l'annexe III (recrutement, crédit, éducation, justice…) disposera d'un délai supplémentaire de 16 mois pour achever sa mise en conformité — sans que les obligations RGPD ni les interdictions en vigueur de l'Art. 5 AI Act soient remises en cause.
Angela Lipps, 50 ans, a passé cinq mois en détention aux États-Unis après avoir été confondue avec une suspecte par un système de reconnaissance faciale. Arrêtée dans le Tennessee pour un crime commis à 2 000 km de là dans le Dakota du Nord, elle n'avait jamais mis les pieds dans cet État. L'affaire illustre les risques concrets des erreurs algorithmiques dans les systèmes biométriques utilisés par les forces de l'ordre. En droit européen, l'utilisation de données biométriques à des fins d'identification est strictement encadrée par l'Art. 9 RGPD, qui requiert une base légale explicite et, dans la plupart des cas, une analyse d'impact (AIPD). L'AI Act interdit l'identification biométrique en temps réel dans les espaces publics, sauf exceptions limitées (Art. 5(1)(h) AI Act). Cette affaire renforce la pression pour une réglementation stricte de la biométrie policière en Europe. Voir : proposition de loi française sur l'interdiction de la biométrie et notre guide EU AI Act.
Ce que ça change pour vous : tout traitement de données biométriques à des fins d'identification doit faire l'objet d'une AIPD et d'une base légale explicite au titre de l'Art. 9 RGPD — et rester conforme aux interdictions de l'AI Act. Proposition de loi sur l'interdiction de la biométrie — EU AI Act : guide complet
31 mars 2026 — PANAME : la CNIL et l'ANSSI testent leur outil d'audit RGPD des IA
La CNIL, l'ANSSI, le PEReN et le projet IPoP (INRIA) ont lancé un appel à manifestation d'intérêt pour tester PANAME (Privacy Auditing of AI Models), une bibliothèque logicielle open source destinée à auditer la confidentialité des modèles d'IA au regard du RGPD. L'outil permet de simuler plusieurs scénarios d'attaque connus : inférence d'appartenance (membership inference), inférence d'attributs et reconstruction de données d'entraînement. L'appel à testeurs était ouvert du 26 février au 28 mars 2026. Une première phase de tests se déroulera jusqu'en juin, suivie d'une éventuelle seconde phase. La publication de la bibliothèque open source complète est prévue pour l'automne 2026. Ce projet s'inscrit à l'intersection du RGPD et de l'AI Act.
La Commission européenne a publié le 5 mars 2026 la deuxième version du Code de pratique sur le marquage et l'étiquetage des contenus générés par l'intelligence artificielle, au titre de l'article 50 de l'AI Act. Ce projet intègre les retours de centaines de participants — industriels, universitaires et société civile — recueillis lors d'ateliers et d'une enquête en janvier 2026. La nouvelle version simplifie l'approche en proposant un marquage à deux niveaux : métadonnées sécurisées et tatouage numérique (watermarking), avec fingerprinting et journalisation optionnels. La période de commentaires s'est clôturée le 30 mars 2026. Le code définitif est attendu début juin 2026, avant l'entrée en application des règles de transparence le 2 août 2026.
L'application de l'AI Act pour les modèles d'IA à usage général (GPAI) a officiellement débuté en février 2026, selon l'IAPP et Silicon Canals. La Commission européenne a manqué son propre délai pour publier les lignes directrices sur les systèmes d'IA à haut risque, créant une incertitude pour les organisations en cours de mise en conformité. Le Bureau européen de l'IA (EU AI Office) a créé une task force signataire pour accompagner la conformité avec les règles GPAI (Art. 53 AI Act). Pour les développeurs et déployeurs de systèmes d'IA à haut risque (santé, emploi, crédit, justice), l'absence de guidelines officielles ne suspend pas les obligations : les annexes I et III du règlement définissent les critères applicables. L'intersection avec le RGPD est directe : tout traitement de données personnelles par un système d'IA à haut risque nécessite une AIPD (Art. 35 RGPD) et une base légale robuste.
La CNIL a annoncé le 25 mars 2026 la nomination de Rémi Stefanini au poste de directeur des technologies, de l'innovation et de l'intelligence artificielle (DTIA). Il prendra ses fonctions le 15 avril 2026. Cette direction, créée pour renforcer l'expertise technique de l'autorité, joue un rôle central dans l'accompagnement de la mise en œuvre du règlement européen sur l'IA (AI Act) et dans les travaux de la CNIL sur les enjeux de protection des données liés à l'intelligence artificielle.
Cette nomination intervient dans un contexte de montée en puissance des sujets IA au sein de la CNIL, qui multiplie les publications sur l’encadrement des modèles d’IA, les analyses d’impact et les outils d’audit RGPD appliqués à l’IA.
Le Parlement européen vote un amendement au règlement Omnibus qui repousse certaines échéances de l’AI Act et introduit une interdiction explicite des deepfakes à caractère sexuel non consenti. Le report des échéances donne plus de temps aux entreprises pour se conformer, mais l’interdiction des deepfakes sexuels entre en vigueur immédiatement et s’applique à tous les fournisseurs et déployeurs de systèmes d’IA dans l’UE. Le lien RGPD est direct : les deepfakes constituent un traitement de données biométriques (art. 9 RGPD).
Les membres du Parlement européen ont atteint un accord préliminaire sur le volet IA du règlement Omnibus. L’accord prévoit un report de certaines échéances de l’AI Act pour les PME et une clarification des règles applicables aux modèles d’IA à usage général (GPAI). Les obligations de transparence et de gestion des risques pour les systèmes d’IA à haut risque restent en l’état. L’intersection avec le RGPD demeure un sujet clé : les données d’entraînement des modèles d’IA restent soumises aux obligations de protection des données personnelles.
L’ANSSI publie un appel à manifestation d’intérêt pour le développement d’un outil d’audit de conformité RGPD spécifiquement conçu pour les modèles d’intelligence artificielle. L’initiative traduit la prise de conscience des régulateurs français que les modèles d’IA posent des défis spécifiques en matière de protection des données : données d’entraînement, minimisation, droit à l’effacement. Cet outil devra couvrir les obligations croisées RGPD et AI Act.
A noter : le reglement IA impose des obligations specifiques sur les donnees d'entrainement et la transparence (art. 10, 13 AI Act). Legiscope aide a documenter les traitements de donnees personnelles lies a vos systemes d'IA dans votre registre RGPD.
Faits marquants 2026
27 juillet 2026 — Digital Omnibus IA : le règlement (UE) 2026/1744 entre en vigueurACTION_REQUISE — Ce que ça change pour vous : révisez votre feuille de route AI Act — l’échéance transparence du 2 août 2026 reste due, mais les obligations « haut risque » glissent au 2 décembre 2027. Cartographiez vos systèmes d’IA pour savoir lesquels sont concernés par quel calendrier.
27 juillet 2026 — AI Act : les obligations de transparence applicables dès le 2 août 2026ACTION_REQUISE — Recensez dès maintenant vos chatbots et systèmes d’IA générative sous marque propre, activez l’information des utilisateurs et vérifiez auprès de vos fournisseurs de modèles les solutions de marquage machine avant le 2 août 2026.
20 juillet 2026 — AI Act : la Commission publie ses lignes directrices sur la transparenceACTION_REQUISE — Ce que ça change pour vous : recensez vos systèmes d’IA générative et vos usages de deepfakes, de reconnaissance des émotions ou de catégorisation biométrique, puis mettez en place les marquages techniques et les mentions d’information exigées par l’article 50 avant le 2 août 2026.
11 juillet 2026 — AI Act : la transparence (art. 50) applicable au 2 août 2026ACTION_REQUISE — Ce que ça change pour vous : recensez vos chatbots et outils d’IA générative, ajoutez l’information « vous parlez à une IA » dès le début de l’interaction et le marquage des contenus générés — l’obligation s’impose au 2 août 2026, sans attendre les sanctions.
10 juillet 2026 — Garante : 158 000 € à Character.AI pour défaillances sur les mineursACTION_REQUISE — Ce que ça change pour vous : si votre service traite des données de mineurs ou repose sur de l’IA générative, vérifiez que votre AIPD est réalisée en amont et que votre représentant UE est bien désigné.
29 juin 2026 — AI Act : le Conseil adopte l’omnibus et reporte les obligations haut risqueACTION_REQUISE — Ce que ça change pour vous : mettez à jour votre calendrier de conformité AI Act (annexe III repoussée au 2 décembre 2027) et vérifiez qu’aucun système déployé ne tombe sous les nouvelles interdictions de l’article 5 effectives dès décembre 2026.
24 juin 2026 — AI Act : le Parlement européen reporte les échéances pour l’IA à haut risqueACTION_REQUISE — Ce que ça change pour vous : ne relâchez pas vos chantiers de conformité IA mais réactualisez votre calendrier — l’échéance haut risque glisse à décembre 2027, tandis que le marquage des contenus générés par IA reste exigible dès décembre 2026.
22 juin 2026 — AI Act : transparence des contenus IA, code à signer avant le 22 juilletACTION_REQUISE — Ce que ça change pour vous : recensez vos chatbots et vos usages d’IA générative, planifiez l’affichage de la mention « IA » et le marquage des contenus avant le 2 août 2026, et décidez avant le 22 juillet si vous signez le code de bonnes pratiques.
4 avril 2026 — AI Act : J-120 avant l’échéance haut risque du 2 août 2026ACTION_REQUISE — Ce que ça change pour vous — Identifiez sans délai si vos systèmes d’IA relèvent de l’Annexe III de l’AI Act et engagez les travaux de documentation technique, gestion des risques et enregistrement européen pour être en conformité avant le 2 août 2026.
Docteur en droit des nouvelles technologies (Paris II)
Docteur en droit, Thiébaut Devergranne travaille en droit des nouvelles technologies et en protection des données personnelles depuis plus de 20 ans. Il a accompagné des centaines d'organisations dans leur mise en conformité RGPD et est le fondateur de Legiscope, logiciel de conformité RGPD.