AI Act : l'Omnibus repousse les règles « haut risque » à fin 2027

Un règlement qui décale ses propres échéances quelques semaines avant qu'elles n'entrent en vigueur : voilà l'exercice auquel s'est livrée Bruxelles cet été avec l'« Omnibus numérique » sur l'IA. Adopté sous le nom de règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, ce texte de simplification touche au cœur du calendrier de l'AI Act : il repousse de plus d'un an l'application des obligations les plus lourdes, celles qui pèsent sur les systèmes dits « à haut risque ». La promesse politique — « simplifier et rationaliser les règles », selon les termes du Conseil et du Parlement — cache un pari plus délicat : donner de l'air à l'industrie sans vider de son sens un règlement présenté comme le plus ambitieux au monde.

Ce qui recule, et de combien

Le décalage vise deux catégories bien précises. Les systèmes à haut risque « autonomes » listés à l'annexe III — notation de crédit, tri de CV, biométrie, gestion d'infrastructures critiques — devaient être conformes le 2 août 2026. Ils le seront désormais le 2 décembre 2027. Les IA embarquées dans des produits déjà réglementés (dispositifs médicaux, machines, jouets, véhicules), qui relèvent de l'annexe I, voient leur échéance glisser du 2 août 2027 au 2 août 2028. Autrement dit, l'essentiel du dispositif contraignant — analyse de risque, documentation technique, supervision humaine, gestion de la qualité des données — ne s'imposera pas avant la toute fin 2027 pour la majorité des cas.

Le motif officiel est prosaïque : les normes harmonisées et les lignes directrices censées rendre ces obligations applicables n'étaient pas prêtes. Difficile d'exiger la conformité à un standard qui n'existe pas encore. Reste que le signal, lui, est politique : sous la pression d'une industrie qui plaide la compétitivité face aux États-Unis et à la Chine, l'Union a choisi de lever le pied sur le volet le plus structurant de son règlement.

Ce qui n'a pas bougé — et s'applique déjà

C'est le contresens à éviter : l'Omnibus ne suspend pas l'AI Act, il en réétale une partie. Les obligations de transparence de l'article 50 — informer l'utilisateur qu'il parle à une IA, marquer les contenus synthétiques — sont entrées en application le 2 août 2026, exactement comme prévu, et n'ont pas été touchées. Les règles sur les modèles à usage général (les GPAI, articles 51 à 56) courent, elles, depuis le 2 août 2025, tout comme les pouvoirs de sanction du Bureau de l'IA. Quant aux pratiques interdites (article 5) et aux obligations de « littératie IA », elles s'imposent depuis le 2 février 2025.

Le texte ajoute même une interdiction. L'article 5 se voit complété d'un nouveau motif : les systèmes conçus pour générer ou manipuler des images, vidéos ou sons intimes non consentis, ou du matériel pédocriminel (CSAM). La formulation vise les outils dont ce détournement est un « résultat raisonnablement prévisible et reproductible » sans modification technique majeure — ce qui englobe des générateurs d'images grand public dépourvus de garde-fous. Les acteurs concernés ont jusqu'au 2 décembre 2026 pour se mettre en règle.

Pour la France, un répit à ne pas confondre avec un blanc-seing

Vu de Paris, le message est à double détente. D'un côté, les entreprises qui déploient des systèmes à haut risque — banques, RH, santé, gestion d'infrastructures — gagnent plus d'un an pour bâtir leur conformité. De l'autre, la partie du règlement qui les concerne dès aujourd'hui, l'article 50, est précisément celle qui touche le plus grand nombre : tout site, toute application, tout service client qui mobilise un chatbot ou de la génération de contenu. Le report du haut risque ne dispense de rien sur ce terrain-là.

La supervision, côté français, reste éclatée entre plusieurs autorités : la CNIL pour les usages touchant aux données personnelles, la DGCCRF et l'Arcom selon les secteurs, l'ANSSI sur la cybersécurité. Un maquis administratif que le report des échéances ne clarifie pas, et qui laisse les PME face à une question simple mais sans réponse évidente : à qui s'adresser en cas de doute ? Le répit accordé par l'Omnibus serait mal employé s'il servait de prétexte à repousser encore la question de la gouvernance interne. Car l'expérience des grands textes européens — du RGPD à la directive NIS — le montre : ceux qui attendent l'échéance pour s'y mettre la subissent, ceux qui l'anticipent en font un avantage.

Reste une inconnue de fond. En rouvrant l'AI Act moins d'un an après son application, l'Union a créé un précédent : celui d'un règlement dont les échéances se négocient au fil de la pression industrielle. La prochaine fenêtre de révision dira si l'Europe tient sa ligne — un cadre exigeant mais crédible — ou si elle s'engage dans une érosion silencieuse, échéance après échéance, de ce qu'elle avait posé comme sa signature réglementaire mondiale.