Digital Omnibus IA, ce que l'été 2026 a vraiment changé dans l'AI Act
Le règlement (UE) 2026/1744 reporte le haut risque à décembre 2027. Transparence, interdictions, littératie IA, voici ce qui reste dû dès aujourd'hui.
Article rédigé à l'aide de l'intelligence artificielle — en savoir plus sur l'article 50
Dernière mise à jour : novembre 2026 · Temps de lecture : 7 minutes
En bref. Le Digital Omnibus sur l'IA, devenu le règlement (UE) 2026/1744, est en vigueur depuis le 27 juillet 2026. Il décale les obligations des systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Le reste du calendrier tient, et deux nouvelles interdictions s'appliqueront dès le 2 décembre 2026.
Cet été, beaucoup de dirigeants ont lu un titre rassurant, « l'AI Act est reporté ». La formule est inexacte et elle peut coûter cher. Voici ce que le texte change réellement, ce qu'il laisse intact et ce qu'il ajoute.
Un texte adopté en un temps record
La Commission européenne a présenté le 19 novembre 2025 un paquet de simplification numérique couvrant le RGPD, ePrivacy, NIS2, le Data Act et l'AI Act. Le volet IA a été détaché du reste et accéléré. L'objectif était d'entrer en vigueur avant le 2 août 2026, date à laquelle les règles sur le haut risque devaient s'appliquer.
- 7 mai 2026, accord politique entre le Parlement et le Conseil
- 16 juin 2026, vote du Parlement européen (423 voix pour, 57 contre, 174 abstentions)
- 29 juin 2026, adoption définitive par le Conseil
- 24 juillet 2026, publication au Journal officiel
- 27 juillet 2026, entrée en vigueur
Le volet données du paquet, qui touche au RGPD et aux cookies, est toujours en négociation. Ne modifiez rien dans vos traitements RGPD sur la foi de ces propositions.
Ce qui est reporté, et seulement cela
Le report vise le chapitre III de l'AI Act, c'est-à-dire les exigences applicables aux systèmes à haut risque, les obligations de leurs opérateurs et les règles sur les organismes notifiés.
| Catégorie | Exemples | Date initiale | Nouvelle date |
|---|---|---|---|
| Haut risque autonome (annexe III) | Recrutement, notation de crédit, éducation, biométrie, accès aux prestations publiques | 2 août 2026 | 2 décembre 2027 |
| IA intégrée à un produit réglementé (annexe I) | Dispositifs médicaux, jouets, ascenseurs | 2 août 2027 | 2 août 2028 |
Le fond ne bouge pas. Gestion des risques, gouvernance des données, documentation technique, contrôle humain, robustesse et cybersécurité restent rédigés comme avant. Le texte vous donne du temps, pas une exemption.
Ce qui s'applique déjà
- Pratiques interdites (article 5), depuis le 2 février 2025. Notation sociale, manipulation, reconnaissance des émotions au travail ou à l'école notamment. C'est le régime le plus lourdement sanctionné, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
- Modèles d'IA à usage général, depuis le 2 août 2025. Depuis le 2 août 2026, la Commission peut sanctionner leurs fournisseurs.
- Transparence (article 50), depuis le 2 août 2026. Informer les personnes qu'elles échangent avec une IA, signaler les deepfakes, étiqueter les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf relecture humaine assortie d'une responsabilité éditoriale. Seul le marquage technique des contenus générés (article 50, paragraphe 2) bénéficie d'un sursis au 2 décembre 2026, et uniquement pour les systèmes mis sur le marché avant le 2 août 2026.
- Littératie IA (article 4), dans sa nouvelle rédaction, depuis le 27 juillet 2026.
Ce que l'Omnibus ajoute
Deux nouvelles interdictions au 2 décembre 2026
L'article 5 interdit désormais les systèmes qui génèrent des images, vidéos ou sons intimes ou sexuellement explicites d'une personne identifiable sans son consentement, les applications dites de « nudification ». Il interdit aussi la génération de contenus pédocriminels.
La charge n'est pas la même selon votre rôle. Le fournisseur est visé si ce résultat est la finalité du système, ou s'il est raisonnablement prévisible sans garde-fous techniques adéquats. Le déployeur est visé en cas d'usage effectif à cette fin.
La littératie IA devient une obligation de moyens
La version initiale de l'article 4 imposait d'assurer un niveau suffisant de maîtrise de l'IA. Le nouveau texte demande de prendre des mesures pour soutenir son développement, chez le personnel et chez toute personne qui utilise les systèmes pour votre compte. Aucun niveau n'est exigé individu par individu.
En pratique, vous devez toujours former vos équipes et pouvoir le démontrer. La Commission et les États membres doivent en contrepartie accompagner les entreprises, en particulier les PME, avec des exemples concrets.
Une base légale pour corriger les biais
Le nouvel article 4a permet de traiter des données sensibles pour détecter et corriger des biais, sous six conditions cumulatives. Il faut notamment que des données synthétiques ou anonymisées ne suffisent pas, que l'accès soit strictement contrôlé et que les données soient supprimées après correction. Ce texte autorise un traitement, il ne l'impose pas.
Des allègements pour les PME et les petites capitalisations moyennes
Les PME et les petites entreprises à moyenne capitalisation (small mid-caps) pourront remplir une documentation technique simplifiée, sur des modèles que la Commission doit publier. Le système de gestion de la qualité peut être proportionné et les sanctions sont atténuées. L'enregistrement des systèmes qui échappent au haut risque au titre de l'article 6, paragraphe 3, est allégé.
Une définition plus étroite du composant de sécurité
Un système qui assiste un utilisateur ou optimise une performance n'est plus automatiquement un composant de sécurité, si sa défaillance ne crée pas de risque pour la santé ou la sécurité. Plusieurs outils industriels ou de productivité peuvent ainsi sortir du haut risque.
Une passerelle avec le Cyber Resilience Act
Un système à haut risque conforme aux exigences essentielles du Cyber Resilience Act est présumé conforme aux exigences de cybersécurité de l'article 15 de l'AI Act. Pour un éditeur, c'est un dossier de preuves en moins.
Un Bureau de l'IA aux pouvoirs élargis
Le Bureau de l'IA devient seul compétent pour contrôler les systèmes construits sur un modèle à usage général par le même fournisseur, ainsi que ceux intégrés aux très grandes plateformes en ligne, sauf exceptions (produits de l'annexe I, autorités répressives, établissements financiers notamment). Il obtient des pouvoirs d'enquête, d'inspection sur site et d'astreinte. Le calendrier s'assouplit, la capacité de contrôle augmente.
Ce que cela change selon votre situation
| Votre situation | Ce qui s'applique maintenant | Ce qui arrive en 2027 ou 2028 |
|---|---|---|
| Vous utilisez un chatbot ou publiez des contenus générés | Articles 4, 5 et 50 | Rien de plus si l'usage reste le même |
| Vous utilisez un outil de tri de CV, de scoring ou d'attribution d'aides | Articles 4 et 5 | Obligations du déployeur d'un système à haut risque au 2 décembre 2027 |
| Vous éditez un logiciel d'IA vendu dans l'UE | Articles 4 et 5, article 50 selon le type de système | Si haut risque, documentation annexe IV, évaluation de conformité et marquage CE |
| Vous êtes une collectivité ou un organisme public | Articles 4, 5 et 50 | Analyse d'impact sur les droits fondamentaux (FRIA) avant tout usage d'un système à haut risque de l'annexe III, hors infrastructures critiques |
La FRIA vise aussi les entreprises privées qui assurent un service public, ainsi que les déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé.
Faut-il profiter du report pour attendre ?
Non, pour trois raisons. L'inventaire de vos systèmes et leur classification prennent des mois, surtout quand des outils ont été adoptés sans validation centrale. Les normes harmonisées ne sont pas finalisées, ce qui laisse moins de modèles clés en main et non plus de temps. Enfin, vos contrats avec les fournisseurs doivent prévoir la documentation, les journaux et les notices dont vous aurez besoin comme déployeur.
Il reste un peu plus de treize mois avant le 2 décembre 2027. C'est confortable pour un projet bien cadré, court pour un projet qui démarre en 2027.
FAQ
L'AI Act est-il reporté ?
Non. Seules les obligations du chapitre III sur les systèmes à haut risque sont décalées. Les interdictions, la transparence, les règles sur les modèles à usage général et la littératie IA s'appliquent déjà.
Le Digital Omnibus est-il définitif ?
Oui pour le volet IA. Le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et il est en vigueur depuis le 27 juillet 2026. Le volet données, qui concerne le RGPD, reste en négociation.
Quelles sont les nouvelles dates pour le haut risque ?
Le 2 décembre 2027 pour les systèmes de l'annexe III et le 2 août 2028 pour l'IA intégrée aux produits réglementés de l'annexe I.
La formation des salariés à l'IA est-elle encore obligatoire ?
Oui. L'article 4 impose toujours de prendre des mesures de formation et de sensibilisation adaptées. Il n'exige plus de garantir un niveau précis pour chaque personne.
Les PME sont-elles dispensées ?
Non. Elles bénéficient de formulaires simplifiés et de sanctions atténuées, mais les exigences de fond restent les mêmes.
À lire aussi
- Suis-je concerné par l'AI Act ? Le test en quatre questions
- Shadow IA, le risque de conformité que votre organisation ne voit pas
- Mon IA est-elle interdite par l'AI Act ? L'outil gratuit article 5
Et maintenant ?
Pour savoir quelles échéances s'appliquent à vos propres systèmes, l'audit gratuit DILAIG qualifie votre rôle et le niveau de risque, puis liste vos obligations article par article. Aperçu sans compte, rapport complet avec un compte gratuit, données hébergées en Suisse. Les organismes publics et les associations peuvent demander l'offre Public et ONG, gratuite sous conditions d'éligibilité.
Le report change-t-il votre feuille de route, ou l'utilisez-vous pour prendre de l'avance ?
Sources
Passer à l'action
Votre système IA est-il conforme ?
Audit gratuit en 20 minutes. Rapport détaillé, sans engagement.
Démarrer l'audit →Continuer à lire
Guides pratiques, analyses réglementaires, actualités DILAIG.