Blog
•
10 min de lecture
Ce qui a changé
L'Omnibus numérique de l'UE sur l'IA n'est plus une proposition. Le règlement (UE) 2026/1744, qui modifie l'EU AI Act, a été adopté par le Parlement européen et le Conseil le 8 juillet 2026, publié au Journal officiel le 24 juillet, et est entré en vigueur le 27 juillet 2026, trois jours avant la date d'application générale initiale du règlement sur l'IA, le 2 août 2026. La Commission européenne a confirmé l'entrée en vigueur la même semaine. La vice-présidente exécutive Henna Virkkunen a décrit cet ensemble de mesures comme offrant aux entreprises des « règles plus simples et favorables à l'innovation » tout en « ne réduisant pas le niveau d'exigence en matière de sécurité ».
Pour les équipes de gouvernance de l'IA d'entreprise, cela est d'une importance capitale car cela lève l'incertitude qui a structuré la planification depuis que l'Omnibus a été proposé pour la première fois en novembre 2025. Jusqu'à la semaine dernière, le conseil le plus pragmatique consistait à traiter le report comme une marge de sécurité et à continuer de travailler en vue de l'échéance initiale d'août 2026. Ce conseil a désormais changé, car le report est une loi confirmée avec des dates butoirs fixes.
Nouveaux délais pour les systèmes d'IA à haut risque
Le principal changement concerne le calendrier. Les systèmes d'IA à haut risque se divisent en deux groupes en vertu du règlement sur l'IA, et chacun d'eux dispose désormais d'un délai différent et reporté :
Les systèmes à haut risque autonomes relevant de l'annexe III (couvrant des domaines tels que le recrutement et la gestion des travailleurs, l'évaluation du crédit et de la solvabilité, l'identification et la catégorisation biométriques, l'éducation et la formation professionnelle, l'accès aux services essentiels et l'application des lois) ont désormais jusqu'au 2 décembre 2027 pour se conformer à l'ensemble des exigences relatives aux hauts risques. Il s'agit d'un report d'environ 16 mois par rapport à la date initiale.
Les systèmes d'IA intégrés dans des produits réglementés relevant de l'annexe I (par exemple, les composants de sécurité dans les machines, les dispositifs médicaux ou les systèmes aéronautiques) ont désormais jusqu'au 2 août 2028, soit un report de 12 mois.
Ces deux dates sont décrites comme des dates butoirs : elles s'appliquent indépendamment du fait que les normes techniques harmonisées, sur lesquelles les fournisseurs d'IA devaient initialement s'appuyer, aient été finalisées ou non. Ce découplage par rapport au calendrier des normes a été l'une des corrections les plus techniques mais aussi les plus conséquentes de l'Omnibus, car il supprime une dépendance que de nombreux fournisseurs et déployeurs avaient signalée comme inapplicable.
Une nouvelle interdiction concernant l'imagerie intime générée par IA
L'Omnibus ne se contente pas de repousser les délais. Il ajoute deux nouvelles pratiques interdites à l'article 5 du règlement sur l'IA : la mise sur le marché ou l'utilisation de systèmes d'IA conçus pour générer, ou dont il est raisonnablement prévisible qu'ils généreront, du matériel d'abus sexuel sur enfant, ainsi que les systèmes d'IA qui génèrent de l'imagerie intime non consentie de personnes identifiables, y compris les outils dits de « déshabillage » (nudifier). Cette interdiction s'applique à compter du 2 décembre 2026.
La portée est plus large que les seules applications de déshabillage conçues à cet effet. Les fournisseurs d'IA générative à usage général peuvent également entrer dans ce champ d'application si de tels résultats sont raisonnablement prévisibles en l'absence de mesures de protection efficaces. Il existe une clause d'exonération (safe harbour) pour les fournisseurs qui mettent en place des mesures préventives raisonnables, proportionnées et efficaces. Il s'agit donc d'une question de conception et de documentation concrète pour toute organisation exploitant ou acquérant des outils de génération d'images ou de vidéos, et pas seulement d'une question juridique. Les sanctions en cas de violation de cette interdiction se situent au niveau le plus élevé : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Autres simplifications notables
Quelques modifications mineures complètent cet ensemble de mesures. La Commission a supprimé l'obligation pour les fournisseurs d'utiliser un modèle obligatoire pour les plans de suivi post-commercialisation. Le régime des bacs à sable réglementaires a été élargi, incluant de nouveaux bacs à sable au niveau de l'UE et la couverture de certains systèmes à haut risque de l'annexe I. Les simplifications qui étaient auparavant limitées aux petites et moyennes entreprises s'étendent désormais aux petites entreprises à moyenne capitalisation (small mid-caps). De plus, le champ de surveillance du Bureau de l'IA a été élargi pour englober les systèmes d'IA basés sur des modèles d'IA à usage général au sein du même groupe d'entreprises que le fournisseur de modèles, ainsi que les systèmes d'IA qui sont intégrés dans, ou constituent, de très grandes plateformes en ligne ou de très grands moteurs de recherche au sens du règlement sur les services numériques (DSA).
Ce qui n'a pas changé
L'interprétation erronée la plus courante de cette actualité est que « le règlement sur l'IA a été reporté », un point c'est tout. Ce n'est pas le cas. Plusieurs obligations restent inchangées et s'appliquent toujours à leurs dates initiales.
Les règles de transparence de l'article 50 s'appliquent toujours à partir du 2 août 2026
Les obligations de transparence en vertu de l'article 50 du règlement sur l'IA ne faisaient pas partie du report de l'Omnibus et entrent toujours en vigueur le 2 août 2026, trois jours après l'entrée en vigueur de ce règlement. Cela signifie que, dès ce week-end :
Les fournisseurs de chatbots et d'autres systèmes destinés à interagir avec des personnes doivent les concevoir de manière à ce que les utilisateurs soient informés qu'ils s'adressent à une IA.
Les déployeurs utilisant l'IA pour créer des hypertrucages (deepfakes) doivent divulguer que le contenu a été généré ou manipulé artificiellement.
Les déployeurs publiant du texte généré par IA sur des questions d'intérêt public doivent divulguer qu'il est généré par IA, à moins que le texte n'ait fait l'objet d'une révision humaine avec une personne physique ou morale responsable assumant la responsabilité éditoriale.
La Commission a adopté les lignes directrices finales sur ces obligations le 20 juillet 2026, moins de deux semaines avant leur entrée en application. Les sanctions pour non-conformité atteignent 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Les équipes qui ont considéré le « déplacement de la date butoir » comme un motif de ralentissement des travaux sur la transparence ne devraient pas le faire : il s'agit de la seule partie du calendrier initial qui est restée exactement inchangée.
Les pratiques interdites, les obligations liées à l'IA à usage général (GPAI) et les pouvoirs d'exécution du Bureau de l'IA ne sont pas affectés
La liste initiale des pratiques interdites de l'article 5, en vigueur depuis février 2025, reste inchangée. Les obligations des modèles d'IA à usage général concernant la transparence, le droit d'auteur et la documentation sur les risques systémiques, en vigueur depuis août 2025, restent inchangées. De plus, et c'est un point critique, les pouvoirs d'exécution de la Commission sur les fournisseurs de GPAI, y compris les demandes d'informations, l'évaluation des modèles, les mesures correctives et la capacité de restreindre ou de retirer un modèle du marché de l'UE, s'activent toujours le 2 août 2026. Le report concernant le haut risque est un report pour les systèmes à haut risque. Ce n'est pas un report pour les modèles de GPAI sur lesquels de nombreuses entreprises s'appuient, et ce n'est pas un report pour la transparence.
La structure des sanctions n'a pas été assouplie
L'Omnibus simplifie le processus et le calendrier. Il ne réduit pas les amendes. La structure des sanctions à deux niveaux, allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les infractions les plus graves et jusqu'à 15 millions d'euros ou 3 % pour les autres, s'applique toujours pleinement, et couvre désormais également la nouvelle interdiction relative aux contenus pédopornographiques et aux images intimes non consenties (CSAM/NCII).
Cinq mesures à prendre cette semaine
1. Corriger le calendrier de conformité et la présentation destinée au conseil d'administration
Si votre dernière note d'information au conseil d'administration indiquait « nous travaillons en vue du 2 août 2026 pour les systèmes à haut risque, dans l'attente d'un éventuel report », cette affirmation est désormais doublement erronée : le report est confirmé et les nouvelles dates sont spécifiques (2 décembre 2027 pour l'annexe III, 2 août 2028 pour l'annexe I). Mettez à jour le calendrier et diffusez à nouveau la note d'information cette semaine afin que personne ne planifie en fonction d'une échéance qui n'existe plus, ou ne présume d'un allègement qui ne s'étend pas aux obligations de transparence.
2. Finaliser les travaux relatifs à l'article 50 malgré le report
La divulgation des chatbots, le marquage des deepfakes et le marquage des textes générés par IA s'appliquent toujours à partir du 2 août 2026. Si une partie de votre organisation a discrètement relégué ce sujet au second plan sous prétexte que « le règlement sur l'IA a été repoussé », inversez cette tendance dès maintenant. Un inventaire IA rigoureux est le moyen le plus rapide d'identifier chaque chatbot, générateur d'images et outil de contenu nécessitant un mécanisme de divulgation avant le week-end.
3. Évaluer l'exposition des outils d'IA générative aux risques de CSAM/NCII avant décembre
Vous disposez de quatre mois, et non de quatre semaines, avant que la nouvelle interdiction n'entre en vigueur le 2 décembre 2026. Toutefois, la clause d'exonération exige que des mesures de protection préventives « raisonnables, proportionnées et efficaces » soient déjà intégrées, et non ajoutées après coup à la suite d'une plainte. Commencez dès maintenant avec toute fonctionnalité de génération d'images ou de vidéos, qu'elle soit développée en interne ou acquise, et documentez les mesures de protection au fur et à mesure. Cela recoupe les travaux existants sur la gouvernance des hypertrucages (deepfakes) que de nombreuses équipes ont déjà engagés.
4. Ne pas suspendre les travaux sur les systèmes d'IA à haut risque, mais les réorienter
Un délai supplémentaire de 16 mois constitue un réel soulagement, mais il s'agit d'un allègement de calendrier, non de portée. Les travaux de classification, de documentation, d'évaluation de la conformité et de contrôle humain pour les systèmes de l'annexe III doivent toujours être menés à bien, et vous disposez désormais de la marge nécessaire pour les réaliser correctement plutôt que de vous lancer dans une course contre la montre. Mettez à profit cette période pour élaborer (ou finaliser) un cadre de contrôle et de classification robuste conforme à l'EU AI Act, plutôt que de mettre le projet de côté.
5. Vérifier à nouveau la documentation des fournisseurs de GPAI avant le 2 août
Les pouvoirs d'exécution du Bureau de l'IA sur les fournisseurs d'IA à usage général s'activent le 2 août 2026, et sa surveillance a été étendue aux systèmes basés sur des modèles de GPAI au sein du même groupe d'entreprises ainsi qu'aux systèmes intégrant de la GPAI sur de très grandes plateformes. Si votre organisation s'appuie sur des modèles de fondation tiers, la semaine est idéale pour récupérer la documentation actuelle sur les modèles et confirmer que votre dossier de risque fournisseur est à jour, afin d'éviter d'avoir à agir dans l'urgence lorsque la Commission commencera à poser des questions.
Comment Enzai vous accompagne
Les modifications d'échéances telles que celle-ci expliquent précisément pourquoi la gouvernance de l'IA doit être centralisée en un lieu unique plutôt que dispersée dans des feuilles de calcul et des rappels de calendrier. Les cadres de conformité d'Enzai suivent les obligations par rapport aux dates qui s'appliquent réellement. Ainsi, lorsqu'une réglementation comme celle-ci déplace une date butoir, le changement se répercute dans l'ensemble de votre bibliothèque de contrôles au lieu de rester bloqué dans un fil de discussion d'e-mails. Le produit d'inventaire IA constitue le point de départ pratique tant pour les travaux relatifs à l'article 50 attendus dans quelques jours que pour ceux relatifs à l'annexe III prévus pour 2027, car il est impossible de classifier ou de gouverner un système qui n'a pas été répertorié. Et pour les équipes qui suivent les obligations dans plusieurs juridictions, et pas seulement au sein de l'UE, notre hub dédié à l'EU AI Act présente une vue d'ensemble complète, incluant les nouveaux délais pour les systèmes à haut risque et les dates inchangées de l'article 50.
Certifié ISO 27001 depuis 2023, audité chaque année par NQA
Traitement des données aligné sur le RGPD
Données clients hébergées sur AWS dans plusieurs régions
Utilisez votre propre modèle d’IA via une connexion privée
Identifiez l’IA utilisée par vos équipes, examinez-la avant sa mise en service, évaluez-la au regard des règles applicables et contrôlez ce que les agents peuvent faire. Conçu pour les organisations réglementées.