Aller au contenu
KisunoAI
Héberger vous-même Commencer maintenant
Tarifs Docs Blog Commencer maintenant Héberger vous-même

Droit et échéances

2 décembre 2026 et 12 janvier 2027 : trois processus qui tiennent devant les deux échéances

Le règlement qui a reporté en juillet 2026 les échéances à haut risque du règlement sur l’IA place en même temps deux obligations au 2 décembre 2026. Un peu plus de six semaines plus tard, tout frais lié au changement de fournisseur disparaît. Cet article situe les deux dates, montre trois processus qui s’y rattachent et dit précisément qui les obligations visent et qui elles ne visent pas.

Droit et échéances Temps de lecture : 12 minutes

En bref

  • Le règlement (UE) 2026/1744 du 8 juillet 2026 a reporté les échéances à haut risque du règlement sur l’IA aux 2 décembre 2027 et 2 août 2028.1 Presque partout, cela a été lu comme une fin d’alerte.
  • Le même règlement place deux obligations au 2 décembre 2026. Les fournisseurs de systèmes qui génèrent des contenus de synthèse et qui ont été mis sur le marché avant le 2 août 2026 doivent d’ici là satisfaire au marquage lisible par machine prévu à l’article 50, paragraphe 2.2 Et deux interdictions nouvellement insérées s’appliquent à partir de ce jour précis.3
  • Un peu plus de six semaines plus tard, le 12 janvier 2027, les fournisseurs de services de traitement de données ne pourront plus facturer un changement de fournisseur, frais de sortie des données compris.4
  • Selon Eurostat, 19,95 % des entreprises de l’UE d’au moins dix salariés utilisaient l’intelligence artificielle en 2025.5 Pour la plupart d’entre elles, le 2 décembre 2026 vise leur fournisseur et non elles-mêmes, et c’est exactement cette distinction que fait la seconde partie de cet article.

Ce qui a changé en juillet, et ce qui est passé inaperçu

Le 8 juillet 2026, le Parlement et le Conseil ont adopté le règlement (UE) 2026/1744, le règlement omnibus numérique sur l’intelligence artificielle. Il a été publié le 24 juillet 2026 et il est en vigueur depuis le 27 juillet 2026.1 Le titre était partout le même : les obligations relatives aux systèmes à haut risque arrivent plus tard. C’est exact, et c’est la moitié de l’information. L’autre moitié figure dans les deux mêmes articles qui portent le report, et elle va dans le sens inverse.

Le nouvel article 111, paragraphe 4, dit en substance ceci : les fournisseurs de systèmes d’IA, y compris de systèmes d’IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte et qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l’article 50, paragraphe 2, d’ici au 2 décembre 2026.2 L’article 50, paragraphe 2, exige que les sorties d’un tel système soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA. La réserve, dans la mesure où la technologie le permet et compte tenu de l’état de la technique généralement reconnu, ne porte pas sur le marquage lui-même mais sur les solutions techniques qui le produisent. L’obligation tombe dans la mesure où le système remplit une fonction d’assistance pour la mise en forme standard ou ne modifie pas de manière substantielle les données d’entrée ou leur sémantique.6 L’article 111, paragraphe 4, est une règle transitoire pour le parc existant, et il expire dans trois mois.

Le nouvel article 113, paragraphe 3, point a), fixe au 2 décembre 2026 deux interdictions nouvellement insérées, alors que le reste du chapitre II s’applique déjà depuis le 2 février 2025.3 Le point b bis) interdit les systèmes d’IA qui génèrent ou manipulent des contenus réalistes représentant les parties intimes d’une personne identifiable, ou une personne identifiable se livrant à des comportements sexuellement explicites, sans que cette personne y ait expressément consenti. Le point b ter) porte sur la production ou la manipulation de matériel au sens de la directive 2011/93/UE relative à la lutte contre les abus sexuels concernant des enfants.7 Le plafond des amendes pour non-respect de l’article 5 atteint 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, et pour les manquements aux obligations de transparence de l’article 50, 15 millions d’euros ou 3 %.8

La seconde date figure dans un autre texte et elle est citée encore plus rarement. Selon l’article 29, paragraphe 1, du Data Act, les fournisseurs de services de traitement de données ne peuvent plus imposer de frais de changement de fournisseur à partir du 12 janvier 2027.4 Ces frais recouvrent plus que le terme ne le laisse penser : tous les frais liés aux opérations du changement, y compris expressément les frais de sortie des données, mais ni les frais de service standard ni les pénalités de résiliation anticipée.9 Le 25 juin 2026, la Commission européenne a conclu à titre préliminaire que deux grands services de cloud devraient être désignés comme contrôleurs d’accès, en invoquant expressément l’effet de verrouillage et le coût élevé d’un changement.10 L’ampleur de la dépendance ressort de la statistique officielle : en 2025, 52,74 % des entreprises de l’UE d’au moins dix salariés recouraient à des services de cloud payants, et 77,53 % d’entre elles sont classées comme fortement dépendantes selon la classification d’Eurostat, parce qu’elles recourent à des services de cloud avancés.11

  1. 8 juillet 2026 : les échéances à haut risque sont reportées
  2. 2 décembre 2026 : marquage du parc existant, deux nouvelles interdictions
  3. 12 janvier 2027 : plus de frais de changement de fournisseur
  4. 2 décembre 2027 et 2 août 2028 : haut risque selon l’annexe III et l’annexe I
Quatre dates sur une ligne. Le report porte sur les deux dernières ; ce sont les deux premières qui manquent le plus souvent dans les agendas.

Qui est visé, et à quoi vous le reconnaissez

La première question n’est pas de savoir quoi faire, mais dans quel rôle se trouve votre entreprise. Le règlement sur l’IA connaît le fournisseur et le déployeur, et il vise par là deux ensembles d’obligations distincts. Est fournisseur celui qui développe un système d’IA ou le fait développer et qui le met sur le marché ou le met en service sous son propre nom ou sa propre marque. Est déployeur celui qui utilise un système d’IA sous sa propre autorité.12 L’échéance du 2 décembre 2026 tirée de l’article 111, paragraphe 4, s’adresse aux fournisseurs. Qui achète un modèle et l’utilise dans sa propre entreprise est d’abord déployeur.

La frontière ne passe toutefois pas par la facture d’achat. Qui met à disposition sous son propre nom un système acheté, par exemple comme service de renseignement sur son propre site ou comme outil destiné à la clientèle, le met en service sous son propre nom et devient ainsi lui-même fournisseur au sens du règlement.12 C’est par ce chemin qu’un déployeur glisse vers une obligation de fournisseur, et il est plus fréquent que ne le disent les plans de projet. Vérifiez donc d’abord sous quel nom un système se présente vers l’extérieur, et seulement ensuite quelle échéance s’applique.

La deuxième question est de savoir qui porte la charge des vérifications. Une enquête de Bitkom Research sur la protection des données au titre du RGPD, menée par téléphone auprès de 603 entreprises d’au moins 20 salariés en Allemagne, relève que chez 77 % le déploiement d’un nouvel outil relance la vérification depuis le début, que 82 % constatent des incertitudes sur les exigences précises et que 54 % déplorent une interprétation hétérogène au sein de l’UE.13 Cette enquête émane d’une fédération professionnelle, et nous la présentons pour ce qu’elle est. Le chiffre inverse, tiré de la même enquête, a sa place à côté : 53 % tiennent la protection européenne des données pour un avantage dans le développement de l’IA en comparaison internationale, 36 % pour un inconvénient.14

Qui Ce qui déclenche l’échéance Ce que Kisuno y apporte
Entreprises qui mettent un système d’IA à disposition sous leur propre nom L’article 50, paragraphe 2, s’applique directement ; ce n’est que pour les systèmes mis sur le marché avant le 2 août 2026 que l’article 111, paragraphe 4, laisse du temps jusqu’au 2 décembre 2026 Une entrée de journal par appel, avec le modèle, l’horodatage et la personne, exportable ; le marquage lisible par machine lui-même relève du fournisseur du modèle
Communication, marketing et rédaction Article 50, paragraphe 4 : information du public pour les hypertrucages et pour les textes publiés portant sur des questions d’intérêt public Historique et références des sources pour chaque projet de texte, afin que l’examen humain et la responsabilité éditoriale restent démontrables
Achats et direction informatique Data Act : plus de frais de changement de fournisseur à partir du 12 janvier 2027, ainsi que des clauses de sortie qui doivent déjà figurer au contrat aujourd’hui Licence MIT, code source à venir, auto-hébergement sans coût de licence, export des bases de connaissances, des historiques de conversation et du journal d’audit
Juridique, protection des données et conformité Article 5, paragraphe 1, points b bis) et b ter) à partir du 2 décembre 2026, avec des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial Droits par outil et par modèle dans l’ordre utilisateur, rôle, groupe, valeur par défaut du serveur, chaque appel dans le journal d’audit
Administrations publiques et leurs fournisseurs Les dossiers d’appel d’offres interrogent le lieu de traitement, la sortie et les sous-traitants ultérieurs, souvent avant l’échéance légale Exploitation dans les centres de données certifiés ISO 27001 de Green à Lupfig ou sur votre propre serveur, la certification portant sur les centres de données et non sur nous, avec la liste des sous-traitants ultérieurs et le contrat de sous-traitance

La dépendance, elle non plus, n’est pas un ressenti. Dans l’enquête DIHK sur la numérisation 2026, une enquête de fédération comptant 4 686 réponses, 68 % des entreprises s’estiment largement ou totalement dépendantes en matière d’intelligence artificielle, et 55 % pour les services de cloud.15 Parmi les entreprises sans usage de l’IA, une petite part seulement y a un jour songé, à savoir 14,21 %, et c’est uniquement à l’intérieur de ce groupe que le manque d’expertise arrive en tête avec 70,89 %, devant des conséquences juridiques incertaines avec 52,52 % et des réserves liées à la protection des données avec 48,83 %.16 Ces parts valent pour ce groupe et pour personne d’autre. Le tableau ci-dessus répartit les deux dates entre cinq groupes.

Cas d’usage 1 : prouver ce qui a été généré, quand et par quel modèle

Une communication client part ; trois semaines plus tard, quelqu’un demande si le texte vient d’un modèle et duquel. Aujourd’hui, la réponse est une reconstitution à partir des souvenirs et de la messagerie. Dans l’espace de travail IA, elle figure dans le journal d’audit, le relevé continu de tous les appels : quel modèle, quel accès, quel horodatage, quelle personne, quelle base de connaissances. Vous exportez l’extrait qui se rapporte à l’affaire et vous le versez au dossier.

Ce n’est pas seulement de l’ordre, c’est la preuve à laquelle tient l’une des exceptions de l’article 50, paragraphe 4. Qui publie un texte pour informer le public sur des questions d’intérêt public doit indiquer qu’il a été généré par une IA, sauf si le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale en assume la responsabilité éditoriale.17 Cette exception n’est pas une affirmation, c’est une question de fait. Qui l’invoque devrait pouvoir montrer qui a vérifié et quand.

  1. Requête, modèle choisi et base de connaissances choisie
  2. Une entrée de journal à chaque appel, sur votre serveur
  3. Export de l’extrait qui se rapporte à l’affaire
La preuve naît pendant le travail et non au moment où on la cherche.

La limite, dite clairement : une entrée de journal n’est pas un marquage lisible par machine au sens de l’article 50, paragraphe 2. Ce marquage doit être attaché au contenu de sortie lui-même, et il revient au fournisseur du modèle concerné de le produire, pas à nous. Le journal d’audit ne voit par ailleurs que ce qui passe par Kisuno. Il ne dresse pas d’inventaire des systèmes d’IA de votre entreprise et il ne trouve rien de ce qui est utilisé à côté.

Cas d’usage 2 : vérifier une fois au lieu de recommencer à chaque outil

Le déroulé que presque toutes les entreprises connaissent : un service veut un nouvel outil, et la vérification repart du début. Contrat de sous-traitance, mesures techniques et organisationnelles, sous-traitants ultérieurs, lieu de traitement, délais de suppression, rôles et droits. Pour l’outil suivant, la même chose. Dans l’enquête de fédération sur la protection des données citée plus haut, chez 77 % des entreprises le déploiement d’un nouvel outil relance la vérification depuis le début.13

Le déroulé proposé, au contraire : vous vérifiez une fois l’instance, c’est-à-dire l’installation unique exploitée pour votre entreprise, puis seulement les ajouts. Kisuno propose les modèles actuels d’OpenAI (ChatGPT) et d’Anthropic (Claude) ; ils sont exécutés dans le centre de données AWS de Francfort. AWS est une entreprise américaine, le US CLOUD Act s’applique donc même avec des serveurs à Francfort, et nous le disons ouvertement. Pour les clients aux exigences élevées en matière de protection des données, des modèles ouverts de premier plan comme GLM, Kimi et DeepSeek sont disponibles, exploités par des entreprises européennes sur des serveurs en Europe ; le CLOUD Act ne s’y applique pas. Les systèmes tiers arrivent par MCP, le Model Context Protocol, un standard ouvert pour le raccordement de systèmes externes. Chaque connecteur, c’est-à-dire chaque raccordement à un tel système tiers, apporte des droits par outil, et chaque appel atterrit dans le journal. Les logiciels raccordables aujourd’hui figurent sur la page Intégrations.

  1. Une instance, vérifiée une seule fois
  2. Modèles et connecteurs en ajouts, chacun avec ses propres droits
  3. Un seul corpus contractuel, une seule liste de sous-traitants ultérieurs, un seul journal
De nombreuses vérifications complètes deviennent une vérification et une série de petits compléments.

La limite : la vérification ne disparaît pas, elle rétrécit et elle se déplace. Chaque nouveau modèle du catalogue et chaque nouveau connecteur reste soumis à vérification, et la responsabilité de l’usage reste au déployeur. Nous fournissons les documents en un seul endroit, dans le contrat de sous-traitance et dans la liste des sous-traitants ultérieurs. Qui en conclut que les exigences sont ainsi réglées lit mal.

Cas d’usage 3 : préparer la sortie avant d’en avoir besoin

Prenez le contrat de votre service de cloud ou d’IA actuel et lisez-le à la lumière des articles 23 et 25 du Data Act. Y figure-t-il un délai de préavis maximal pour l’engagement du processus de changement, de deux mois au maximum ? Une période de transition de 30 jours calendaires au maximum ? Une énumération exhaustive des données exportables ? Une période de récupération d’au moins 30 jours calendaires après le transfert ?18 Là où l’une de ces mentions manque, vous avez déjà trouvé votre question pour le 12 janvier 2027.

La seconde partie est un exercice et non une clause. Vous exportez les bases de connaissances, les historiques de conversation, les comptes et le journal d’audit, vous montez une seconde instance et vous y réimportez le tout. Kisuno est sous licence MIT, l’auto-hébergement ne coûte rien d’autre que votre propre infrastructure, et c’est précisément pour cela que ce chemin pourra être répété sans négocier avec nous, dès que le dépôt de publication sera publié. D’ici là, le guide d’installation complet se trouve sous Héberger vous-même. Qui a répété une fois sa sortie négocie autrement.

  1. Lire le contrat à la lumière des articles 23 et 25
  2. Export des bases de connaissances, des historiques, des comptes et du journal
  3. Réimport sur une seconde instance, sous licence MIT
La sortie se répète tant que personne n’en a besoin.

La limite : un export réussi est un constat technique et non juridique. Le Data Act interdit des frais, il n’interdit pas la charge de travail, et il ne rend pas deux systèmes fonctionnellement identiques. Ce que coûte réellement un changement se compte en jours de travail et non en ligne de facture.

Limites, objections et ce qui ne figure pas ici

D’abord la distinction sur laquelle cet article échouerait s’il ne la faisait pas proprement. L’article 50, paragraphe 2, est une obligation du fournisseur, tout comme le paragraphe 1. Les obligations du déployeur figurent aux paragraphes 3 et 4.17 L’échéance du 2 décembre 2026 tirée de l’article 111, paragraphe 4, vise donc les fournisseurs de systèmes du parc existant et non les entreprises qui utilisent ces systèmes. Les deux nouvelles interdictions ne visent elles aussi les déployeurs que dans un cas étroit : selon l’article 5, paragraphe 1 bis, point b), l’utilisation n’est interdite que si le déployeur emploie le système aux fins de produire ou de manipuler de tels contenus.7 Qui brouille cette différence vend de la peur au lieu d’une information.

Deuxièmement, à rebours de la plupart des textes sur le sujet : l’obligation de maîtrise de l’IA prévue à l’article 4 a été assouplie et non durcie. Les fournisseurs et les déployeurs prennent des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel, et depuis juillet 2026 le texte légal indique expressément que cette obligation n’oblige personne à garantir à quiconque un niveau déterminé de maîtrise de l’IA.19 Qui vous vend une obligation de formation stricte assortie d’une preuve à fournir cite une version qui ne s’applique plus. Les mesures restent utiles ; simplement, l’état du droit n’est pas celui qui est annoncé.

  1. Fournisseur : marquage selon l’article 50, paragraphe 2
  2. Déployeur : information selon l’article 50, paragraphe 4
  3. Qui met en service sous son propre nom devient lui-même fournisseur
  4. Les nouvelles interdictions ne visent les déployeurs qu’en cas d’utilisation à cette fin
Deux rôles, deux ensembles d’obligations. Le 2 décembre 2026 vise l’un des deux, pas les deux.

Troisièmement le Data Act, et ici la même chose vaut dans l’autre sens. Ce qui est interdit à partir du 12 janvier 2027, ce sont des frais, pas la charge de travail. La période de transition de 30 jours calendaires n’est pas absolue : si elle est techniquement irréalisable, le fournisseur le signale dans les 14 jours ouvrables, le motive et indique une période de remplacement de sept mois au maximum.20 L’article 31 exclut de l’interdiction de facturation les services dont les caractéristiques essentielles ont été majoritairement conçues pour un client unique et qui ne sont pas proposés à grande échelle dans le catalogue du fournisseur.21 Et la question de savoir si un service purement fondé sur un modèle de langage constitue seulement un service de traitement de données au sens de l’article 2, point 8), est appréciée diversement dans la littérature spécialisée et n’est pas tranchée.22 Nous ne prétendons pas le contraire.

Quatrièmement, ce que personne ne sait et ce que nous n’apportons pas. Une autre proposition omnibus numérique, suivie sous la procédure 2025/0360(COD), dispenserait les fournisseurs de services de traitement de données qui sont des petites ou moyennes entreprises des obligations de changement de fournisseur pour les contrats conclus jusqu’au 12 septembre 2025. L’interdiction des frais de changement de fournisseur prévue à l’article 29 du Data Act est expressément exclue de cette dispense et continue de s’appliquer. Elle n’est pas adoptée, et nous ne prédisons ni qu’elle aboutira ni qu’elle échouera.23 De notre côté : Kisuno ne dresse pas d’inventaire IA de lui-même, il ne voit que ce qui passe par sa propre instance. Il ne crée pas la supervision humaine, il la rend démontrable. Les références des sources n’empêchent pas les hallucinations, elles les rendent vérifiables. Et l’exploitation gérée ne satisfait pas à une exigence qui réclame des clés détenues par le client sans accès du fournisseur ; seul l’auto-hébergement y mène.

Cinquièmement le point le plus inconfortable, et il a sa place dans tout article qui traite de souveraineté. L’Ontario Court of Justice a ordonné à une entreprise de cloud française de remettre des données à la police fédérale canadienne.24 L’entreprise a contesté l’ordonnance devant l’Ontario Superior Court of Justice ; en janvier 2026, la procédure était encore ouverte. Un siège européen ne vaut donc pas immunité contre l’accès d’autorités étrangères. Cela vaut aussi pour nous : les modèles d’Anthropic tournent via Amazon Bedrock, et AWS est une entreprise américaine, le CLOUD Act s’applique donc. La localisation des serveurs n’en protège pas, et le chiffrement n’aide en rien au moment du traitement. L’article 32 du Data Act exige des fournisseurs des mesures adéquates contre l’accès illicite depuis des pays tiers et ne rend exécutoires les décisions de juridictions de pays tiers que sur le fondement d’un accord international. Il ne vise toutefois que les données à caractère non personnel détenues dans l’Union, et il ne résout pas le conflit.25 Reste efficace ce que nous répétons partout : en donner moins et savoir où se trouvent les choses. Cet article ne remplace pas un conseil juridique.

Questions fréquentes sur le 2 décembre 2026 et le 12 janvier 2027

Que s’applique-t-il exactement à partir du 2 décembre 2026 ?

Deux choses. Premièrement, les fournisseurs de systèmes d’IA qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte et qui ont été mis sur le marché avant le 2 août 2026 doivent satisfaire à l’article 50, paragraphe 2, d’ici à ce jour, c’est-à-dire marquer leurs sorties de façon lisible par machine comme générées par une IA. Deuxièmement, à partir de ce jour s’appliquent deux interdictions nouvellement insérées à l’article 5, paragraphe 1, les points b bis) et b ter), avec les paragraphes 1 bis et 1 ter qui les accompagnent. Les deux figurent dans le même règlement qui a reporté en juillet 2026 les échéances à haut risque. Cette section ne remplace pas un conseil juridique.

L’article 50, paragraphe 2, nous concerne-t-il si nous ne faisons qu’utiliser l’IA ?

En règle générale, non. Le paragraphe 2 s’adresse aux fournisseurs, c’est-à-dire à celui qui développe un système ou le fait développer et qui le met sur le marché ou en service sous son propre nom. Qui utilise un système acheté dans sa propre entreprise est déployeur et porte les obligations des paragraphes 3 et 4. Le rôle peut toutefois changer : qui met un système à disposition sous son propre nom, par exemple comme service de renseignement pour la clientèle, devient lui-même fournisseur. Vérifiez-le système par système et non globalement pour toute l’entreprise.

Les obligations à haut risque sont-elles vraiment reportées ?

Oui. Pour les systèmes relevant de l’annexe III, les sections 1 à 3 du chapitre III s’appliquent à partir du 2 décembre 2027, pour les systèmes relevant de l’annexe I à partir du 2 août 2028. Le report ne touche cependant ni les interdictions de l’article 5 ni les obligations de transparence de l’article 50, applicables depuis le 2 août 2026. C’est précisément pour cela que la lecture selon laquelle tout aurait été reporté est fausse.

Devons-nous maintenant former tout le personnel ?

Il n’existe pas d’obligation de formation à résultat garanti, et depuis juillet 2026 cela figure expressément dans le texte légal. L’article 4 exige des mesures de soutien à la maîtrise de l’IA et retient en même temps que personne n’a à garantir à quiconque un niveau déterminé. Qui vous vend autre chose cite l’ancienne version. Des mesures restent malgré tout utiles, mais comme un effort et non comme un résultat dû.

Qu’est-ce qui change concrètement le 12 janvier 2027 ?

À partir de ce jour, un fournisseur de services de traitement de données ne peut plus facturer l’opération de changement, et les frais de sortie des données sont expressément inclus. Les frais de service standard et les pénalités de résiliation anticipée n’en sont pas affectés. Qui prolonge des contrats aujourd’hui devrait vérifier si les clauses de sortie prévues à l’article 25 y figurent seulement, car cette obligation s’applique déjà. Cette section ne remplace pas un conseil juridique.

Un service de modèle de langage relève-t-il seulement du Data Act ?

C’est ouvert. Le Data Act définit le service de traitement de données par l’accès réseau à la demande à un ensemble partagé de ressources informatiques configurables et modulables. La question de savoir si un simple accès à un modèle en relève est appréciée diversement dans la littérature spécialisée et n’est pas tranchée. Nous ne fondons donc pas nos affirmations sur l’idée que la réponse ira dans un sens déterminé, et nous recommandons la même chose pour la planification de vos contrats.

Que signifie la désignation provisoire des grands fournisseurs de cloud comme contrôleurs d’accès ?

Provisoire signifie d’abord ceci : il n’existe pas de décision de désignation. Le 25 juin 2026, la Commission a conclu à titre préliminaire que deux grands services de cloud devraient être désignés comme contrôleurs d’accès, en faisant elle-même de l’effet de verrouillage et du coût élevé d’un changement le motif de cette conclusion. Les obligations concrètes qui en découlent dépendent de la suite de la procédure, dont nous ne prédisons pas l’issue. Pour la pratique, ce qui compte est le constat sous-jacent : changer coûte cher aujourd’hui, et à partir du 12 janvier 2027 cela ne pourra plus l’être du côté des frais.

Qu’apporte Kisuno dans tout cela, et qu’est-ce qu’il n’apporte pas ?

Il rend trois choses démontrables : quel modèle a été appelé, quand et par qui, quels droits par outil s’appliquaient et ce qui peut être exporté. Il ne dresse pas d’inventaire de vos systèmes d’IA, il ne produit pas de marquage lisible par machine sur les sorties de modèles tiers, et il ne satisfait à aucune exigence à votre place. L’instance gérée coûte 7 francs suisses (7,50 euros) par personne et par mois, jusqu’à la fin du mois en cours avec 50 pour cent de rabais pour une durée de douze mois, soit 3,50 francs (3,75 euros). L’essai est gratuit et sans limite de durée : chaque nouvel accès démarre avec un crédit de démarrage de 50 francs (55 euros) pour l’utilisation des modèles, sans donnée de paiement. Toutes les indications figurent sur la page Tarifs. Qui a besoin de clés détenues par le client sans accès du fournisseur n’y arrive que par l’auto-hébergement.

Placez les deux dates à côté de vos propres contrats

Apportez un contrat de cloud ou d’IA et la liste des outils en usage chez vous. Nous passons ensemble en revue le rôle qui est le vôtre pour chaque système et ce qui vous incombe réellement d’ici au 2 décembre 2026 et au 12 janvier 2027. Ou bien vous vous inscrivez et essayez l’espace de travail par vous-même.

Réserver une démo Commencer maintenant

Sources

Toutes les dates, formulations et chiffres de cet article proviennent des sources ci-dessous, vérifiées pour la dernière fois en septembre 2026. Les textes juridiques sont cités dans la version applicable depuis le 27 juillet 2026. Lorsqu’une enquête émane d’une fédération, le texte l’indique.

  1. Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 (règlement omnibus numérique sur l’IA), publié le 24 juillet 2026, en vigueur depuis le 27 juillet 2026 ; il fixe le début d’application pour les systèmes à haut risque relevant de l’annexe III au 2 décembre 2027 et pour ceux relevant de l’annexe I au 2 août 2028 : eur-lex.europa.eu
  2. Règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle), version consolidée du 27 juillet 2026, article 111, paragraphe 4 : les fournisseurs de systèmes d’IA, y compris de systèmes d’IA à usage général, qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte et qui ont été mis sur le marché avant le 2 août 2026 prennent les mesures nécessaires pour se conformer à l’article 50, paragraphe 2, d’ici au 2 décembre 2026 : eur-lex.europa.eu
  3. Règlement (UE) 2024/1689, article 113, paragraphe 3, point a), dans sa version du 27 juillet 2026 : les chapitres I et II s’appliquent à partir du 2 février 2025, à l’exception de l’article 5, paragraphe 1, premier alinéa, points b bis) et b ter), ainsi que de l’article 5, paragraphes 1 bis et 1 ter, qui s’appliquent à partir du 2 décembre 2026 : eur-lex.europa.eu
  4. Règlement (UE) 2023/2854 (Data Act), article 29, paragraphe 1 : à partir du 12 janvier 2027, les fournisseurs de services de traitement de données n’imposent au client aucun frais de changement de fournisseur pour l’opération de changement : eur-lex.europa.eu
  5. Eurostat, Use of artificial intelligence in enterprises, année de référence 2025, données extraites en décembre 2025 : 19,95 % des entreprises de l’UE d’au moins dix salariés utilisaient au moins une des techniques d’IA relevées : ec.europa.eu
  6. Règlement (UE) 2024/1689, article 50, paragraphe 2 : les fournisseurs veillent à ce que les sorties du système d’IA soient marquées dans un format lisible par machine et identifiables comme ayant été générées ou manipulées par une IA ; la réserve, dans la mesure où la technologie le permet et compte tenu de l’état de la technique généralement reconnu, se rattache dans le texte aux solutions techniques et non à l’obligation de marquage elle-même. L’obligation ne s’applique pas dans la mesure où le système remplit une fonction d’assistance pour la mise en forme standard ou ne modifie pas de manière substantielle les données d’entrée fournies par le déployeur ou leur sémantique : eur-lex.europa.eu
  7. Règlement (UE) 2024/1689, article 5, paragraphe 1, premier alinéa, points b bis) et b ter), ainsi qu’article 5, paragraphes 1 bis et 1 ter, dans leur version du 27 juillet 2026 ; selon le paragraphe 1 bis, point b), l’utilisation n’est interdite que si le déployeur emploie le système aux fins de produire ou de manipuler de tels contenus : eur-lex.europa.eu
  8. Règlement (UE) 2024/1689, article 99, paragraphe 3 (amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial total en cas de non-respect des interdictions de l’article 5) et article 99, paragraphe 4, point g) (jusqu’à 15 millions d’euros ou 3 % en cas de manquement aux obligations de transparence de l’article 50) : eur-lex.europa.eu
  9. Règlement (UE) 2023/2854 (Data Act), article 2, point 36) : les frais de changement de fournisseur sont les frais, autres que les frais de service standard et les pénalités de résiliation anticipée, imposés pour les opérations de changement prescrites par le Data Act, y compris les frais de sortie des données : eur-lex.europa.eu
  10. Commission européenne, conclusion préliminaire du 25 juin 2026 selon laquelle les services de cloud dominants d’Amazon et de Microsoft devraient être désignés comme contrôleurs d’accès au titre du règlement (UE) 2022/1925 sur les marchés numériques, motivée par l’effet de verrouillage et le coût élevé d’un changement : ec.europa.eu
  11. Eurostat, Cloud computing, statistics on the use by enterprises, année de référence 2025 : 52,74 % des entreprises de l’UE d’au moins dix salariés recouraient à des services de cloud payants, 77,53 % d’entre elles sont classées comme fortement dépendantes selon la classification d’Eurostat, parce qu’elles recourent à des services de cloud avancés comme les logiciels de sécurité, l’hébergement de bases de données ou les plateformes de développement ; les entreprises ne sont pas interrogées à ce sujet : ec.europa.eu
  12. Règlement (UE) 2024/1689, article 3, point 3) (fournisseur) et point 4) (déployeur), ainsi qu’article 3, point 11) (mise en service) : eur-lex.europa.eu
  13. Bitkom Research, Datenschutz in der deutschen Wirtschaft, enquête sur la charge que représente la mise en œuvre du règlement général sur la protection des données, enquête téléphonique assistée par ordinateur auprès de 603 entreprises d’au moins 20 salariés en Allemagne, collecte durant les semaines 30 à 35 de 2025, marge d’erreur statistique de plus ou moins 4 pour cent : selon la figure 2, chez 77 % le déploiement d’un nouvel outil relance la vérification depuis le début, 82 % constatent des incertitudes sur les exigences précises, 54 % une interprétation hétérogène au sein de l’UE : doi.org. Le texte courant du rapport indique à cet endroit 80 % ; c’est la valeur pour 2024 figurant dans la figure 2.
  14. Bitkom Research, la même enquête, base toutes les entreprises interrogées (n égale 603) : 53 % tiennent la protection européenne des données pour un avantage dans le développement de l’intelligence artificielle en comparaison internationale, 36 % pour un inconvénient : doi.org
  15. Enquête DIHK sur la numérisation 2026, collecte du 10 au 28 novembre 2025, 4 686 réponses d’entreprises de toutes les classes de taille, état janvier 2026 : 68 % s’estiment largement ou totalement dépendantes en matière d’intelligence artificielle, 55 % pour les services de cloud : dihk.de
  16. Eurostat, Use of artificial intelligence in enterprises, année de référence 2025 : 14,21 % des entreprises sans usage de l’IA y avaient un jour songé ; c’est uniquement à l’intérieur de ce groupe que 70,89 % ont cité le manque d’expertise, 52,52 % des conséquences juridiques incertaines et 48,83 % des réserves liées à la protection des données et à la vie privée comme motif d’y renoncer : ec.europa.eu
  17. Règlement (UE) 2024/1689, article 50, paragraphes 1 à 4 : les paragraphes 1 et 2 s’adressent aux fournisseurs, les paragraphes 3 et 4 aux déployeurs ; le paragraphe 4 contient l’exception pour les contenus ayant fait l’objet d’un examen humain ou d’un contrôle éditorial et dont une personne physique ou morale assume la responsabilité éditoriale : eur-lex.europa.eu
  18. Règlement (UE) 2023/2854 (Data Act), articles 23 et 25, paragraphe 2 : délai de préavis maximal pour l’engagement du processus de changement, de deux mois au maximum selon le point d), période de transition contraignante de 30 jours calendaires au maximum, énumération exhaustive des données et actifs numériques exportables, période de récupération d’au moins 30 jours calendaires après la fin de la période de transition : eur-lex.europa.eu
  19. Règlement (UE) 2024/1689, article 4 dans sa version du 27 juillet 2026 : les fournisseurs et les déployeurs prennent des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel ; le texte poursuit littéralement en indiquant que cette obligation n’oblige pas les fournisseurs ou les déployeurs à garantir à quiconque un niveau déterminé de maîtrise de l’IA : eur-lex.europa.eu
  20. Règlement (UE) 2023/2854 (Data Act), article 25, paragraphe 4 : si la période de transition contraignante est techniquement irréalisable, le fournisseur en informe le client dans les 14 jours ouvrables suivant la demande de changement, motive l’irréalisabilité technique et indique une période de transition de remplacement de sept mois au maximum : eur-lex.europa.eu
  21. Règlement (UE) 2023/2854 (Data Act), article 31, paragraphe 1 : l’article 23, point d), l’article 29 ainsi que l’article 30, paragraphes 1 et 3, ne s’appliquent pas aux services de traitement de données dont les caractéristiques essentielles ont été majoritairement adaptées aux besoins d’un client unique et qui ne sont pas proposés à grande échelle dans le catalogue de services du fournisseur : eur-lex.europa.eu
  22. Règlement (UE) 2023/2854 (Data Act), article 2, point 8), notion de service de traitement de données : service numérique permettant un accès réseau universel et à la demande à un ensemble partagé de ressources informatiques configurables, modulables et élastiques : eur-lex.europa.eu
  23. Commission européenne, proposition COM(2025) 837 final du 19 novembre 2025, omnibus numérique, article 1er, point 15, nouvel article 31, paragraphe 1 ter, du règlement (UE) 2023/2854 : les fournisseurs de services de traitement de données qui sont des petites ou moyennes entreprises ou des petites entreprises à capitalisation moyenne sont exemptés, pour les contrats conclus jusqu’au 12 septembre 2025, des obligations du chapitre VI et de l’article 34, à l’exception expresse de l’article 29 ; l’exemption ne vise que les services autres que ceux visés à l’article 30, paragraphe 1, donc pas les services d’infrastructure purs, et les clauses contractuelles contraires sont réputées nulles : europarl.europa.eu ; état de la procédure sous la référence 2025/0360(COD), la procédure n’est pas close : oeil.europarl.europa.eu
  24. heise online du 26 novembre 2025 sur la procédure de la Gendarmerie royale du Canada contre le groupe OVH : ordonnance de communication de l’Ontario Court of Justice du 19 avril 2024, prise en vertu de l’article 487.014(1) du Code criminel canadien, rejet de la demande d’annulation par la juge Heather Perkins-McVey le 25 septembre, échéance de remise le 27 octobre, contestation fin octobre devant l’Ontario Superior Court of Justice : heise.de ; pour l’état de la procédure, The Register du 27 novembre 2025 avec un ajout du 26 janvier 2026 indiquant que la procédure est en cours : theregister.com. La décision n’est pas publiée officiellement et ne figure pas dans CanLII.
  25. Règlement (UE) 2023/2854 (Data Act), article 32 : les fournisseurs prennent des mesures techniques, organisationnelles et juridiques adéquates pour empêcher l’accès et le transfert vers des autorités de pays tiers lorsque cela entre en conflit avec le droit de l’Union ; les décisions de juridictions de pays tiers ne sont exécutoires que sur le fondement d’un accord international. L’article vise les données à caractère non personnel détenues dans l’Union : eur-lex.europa.eu