Blog
•
11 min de lecture
Les gouvernements de l’UE et le Parlement européen sont parvenus à un accord provisoire sur l’omnibus numérique aux premières heures du 7 mai 2026, après neuf heures de négociations nocturnes. Trois points ont changé : (i) deux échéances de mise en œuvre relatives au haut risque ont été reportées ; (ii) l’IA intégrée aux machines sort du champ de l’AI Act ; et (iii) deux nouvelles interdictions ont été ajoutées. L’accord rattrape le terrain perdu lorsque les trilogues ont échoué le 28 avril sur la question du champ d’application aux machines. Il reste provisoire dans l’attente d’une approbation formelle.
Les organisations qui développent, déploient ou utilisent l’IA doivent prendre ces nouvelles dates comme base de planification. L’accord a été conclu sous la pression soutenue de la présidence du Conseil, avec en guise de caution un argumentaire de compétitivité inspiré du rapport Draghi. Il ne sera pas rouvert au cours de la prochaine législature.
Les changements de fond
Ces négociations ont apporté trois modifications substantielles à l’EU AI Act, que nous examinons tour à tour ci-dessous.
Calendrier de mise en œuvre
Deux échéances ont été reportées. Toutes deux sont désormais des dates fermes, qui remplacent le délai de grâce conditionnel envisagé auparavant par la Commission et lié à la disponibilité des normes harmonisées.
Champ d’application | Avant | Désormais |
|---|---|---|
Systèmes d’IA à haut risque autonomes (annexe III) | 2 août 2026 | 2 décembre 2027 |
IA intégrée aux produits réglementés (annexe I) | 2 août 2027 | 2 août 2028 |
Pour rappel, l’annexe III suivait la date générale d’application du règlement, tandis que l’annexe I disposait de son propre délai de trois ans en vertu de l’article 113, point c). L’annexe III couvre l’identification biométrique, les infrastructures critiques, l’emploi, l’éducation, la répression, la migration et l’administration de la justice. L’annexe I couvre l’IA intégrée à des produits déjà soumis à la législation sectorielle de l’UE en matière de sécurité (dispositifs médicaux, dispositifs de diagnostic in vitro, véhicules à moteur, aviation civile, ferroviaire). Le report du calendrier d’application avait été convenu plus tôt dans les négociations ; les derniers différends portaient sur la manière dont l’AI Act couvre les machines.
Machines
L’industrie faisait valoir que l’IA intégrée aux équipements industriels relève déjà du règlement (UE) 2023/1230 sur les machines et qu’une couche parallèle au titre de l’AI Act dupliquerait l’évaluation de la conformité sans bénéfice proportionné. L’accord de mai retient cet argument : l’IA intégrée aux machines relevant du champ d’application du règlement 2023/1230 est exclue de l’AI Act.
Cette exclusion reste toutefois étroite. Elle ne couvre pas l’IA de gestion des travailleurs dans les ateliers, les composants biométriques ni les systèmes agentiques utilisés pour piloter des machines ; ceux-ci relèvent toujours de l’annexe III selon leurs caractéristiques propres.
Prenons l’exemple d’une IA industrielle d’inspection visuelle intégrée à une machine portant le marquage CE. Elle relève désormais du règlement sur les machines plutôt que de l’AI Act, mais les obligations la suivent. Le règlement sur les machines prévoit ses propres exigences essentielles de santé et de sécurité, sa propre procédure d’évaluation de la conformité et ses propres obligations de documentation technique. La détection des dérives et la conception du contrôle humain restent nécessaires, car l’annexe III exige des performances de sécurité sur tout le cycle de vie pour les machines à comportement évolutif ainsi que la possibilité pour l’opérateur de reprendre la main sur les fonctions automatisées. L’IA des dispositifs médicaux relevant du MDR est un cas voisin mais distinct : elle reste dans l’annexe I, et l’AI Act s’ajoute au MDR au lieu de s’effacer devant lui.
Deux nouvelles interdictions, applicables toutes deux à compter du 2 décembre 2026
Le Parlement avait besoin d’ajouts concrets pour démontrer que le règlement n’avait pas été vidé de sa substance, et il en a obtenu deux.
Les images sexuelles générées par IA sans consentement sont interdites. Cette disposition répond à la même préoccupation politique que les récentes polémiques sur les hypertrucages (notamment les contenus produits par le chatbot Grok de xAI) et aux dispositions de l’Online Safety Act britannique sur les abus d’images intimes. Son emplacement précis devrait être confirmé dans le texte consolidé.
Le filigranage des contenus générés par IA devient obligatoire pour les fournisseurs. Les images, l’audio et la vidéo sont concernés ; l’inclusion du texte synthétique reste la question ouverte pour les actes d’exécution (voir Bird & Bird et AOShearman). La norme C2PA Content Credentials est la référence la plus probable, sans confirmation à ce stade. Cela va plus loin que l’obligation de marquage de l’article 50, paragraphe 2, en imposant le mécanisme technique au lieu de le laisser au choix des fournisseurs.
Le second ajout a l’impact le plus large, et la plupart des fournisseurs et déployeurs ne l’ont pas encore intégré à leurs processus d’ingénierie.
Ce qui n’a pas bougé avec les échéances
L’omnibus a décalé le socle réglementaire de seize mois sur un point et de douze sur un autre. Il n’a rien déplacé au-dessus de ce socle, et le plafond continue de s’élever de lui-même. La souscription des assureurs, la supervision par le conseil d’administration, ISO/IEC 42001 et les attestations exigées par les clients lors des achats se durcissent à leur propre rythme ; les questionnaires des assureurs demandent désormais couramment des preuves de la tenue de l’inventaire et de la classification des risques. Bojana Bellamy l’a résumé dans l’épisode 15 du Podcast sur la gouvernance de l’IA : la conformité est le socle, la responsabilité tout ce qui se trouve au-dessus.
Lire l’accord comme un simple report d’échéances conduit à déprioriser les mauvais chantiers. Les obligations les plus susceptibles d’attirer l’attention des autorités pendant le report sont déjà en vigueur. L’article 4, relatif à la maîtrise de l’IA, arrive en tête et constitue un poste budgétaire bien réel ce trimestre. Les interdictions de l’article 5 et les obligations de transparence de l’article 50 continuent de s’appliquer, tout comme les obligations relatives aux modèles d’IA à usage général prévues par le code de bonnes pratiques. Le Bureau de l’IA renforce encore ses capacités centrales, les désignations au titre de l’article 70 se mettent encore en place, et le déficit structurel d’application que Sophie in 't Veld a décrit dans notre podcast en février n’est pas comblé. Les exigences du droit sectoriel de la sécurité dans les services financiers, les dispositifs médicaux et la sécurité fonctionnelle automobile ne sont pas affectées.
Comme le dit Bellamy : dans les organisations les plus avancées, la préoccupation n’est plus l’amende de quatre pour cent, mais le manque à gagner lié à une IA mal déployée et à des produits qui n’inspirent pas confiance aux clients.
Cinq actions à mener cette semaine
Nous présentons ci-dessous cinq actions à engager dès aujourd’hui pour vous préparer, classées par degré d’urgence. Les deux premières protègent des travaux qui devraient déjà être en cours dans votre organisation ; les trois dernières réorientent la planification avant que les nouvelles dates ne se figent.
Ne mettez pas en pause la constitution de votre inventaire IA.
Les obligations de l’annexe III s’appliqueront à partir de décembre 2027 au lieu d’août 2026, mais constituer et tenir à jour votre inventaire n’a rien d’anodin. Profitez des seize mois supplémentaires pour atteindre l’exhaustivité dans toutes les unités opérationnelles, les systèmes agentiques et les déploiements d’IA fantôme. Les signaux des achats, du conseil d’administration et des assureurs qui exigeaient cet inventaire en 2025 n’ont rien perdu de leur poids.
Cadrez avant septembre une preuve de concept de filigranage fondée sur C2PA.
Le cadre s’impose à partir du 2 décembre 2026 (dans sept mois) ; la spécification technique suivra par voie d’actes d’exécution. Dans une organisation bien structurée, l’ingénierie porte la réalisation, l’équipe gouvernance valide le périmètre des catégories de contenus (image, audio, vidéo, éventuellement texte) et le service juridique suit la consultation.
Établissez une liste de contrôle pour le transfert des preuves entre les procédures de conformité de l’AI Act et du règlement sur les machines.
Pour chaque système relevant du règlement 2023/1230, identifiez ce qui se transfère (dossiers de gestion des risques, surveillance après commercialisation, parties de la documentation technique), ce qui doit être retravaillé (référentiel de normes harmonisées, exigences essentielles de santé et de sécurité) et l’autorité compétente à laquelle vous rendez compte. Menez ce chantier conjointement avec la sécurité des produits, car les lacunes se situent généralement dans la transmission de la documentation.
Refaites la classification au titre de l’annexe III de tout système qui touche au champ des machines.
La logique générale de classification de l’article 6 est inchangée, mais son champ va désormais s’élargir. Documentez la justification ainsi que les cas les plus susceptibles de basculer : fonctions d’IA intégrées à des machines marquées CE (désormais règlement sur les machines), IA de gestion des travailleurs sur les sites industriels (toujours annexe III), composants biométriques dans des équipements par ailleurs exclus (toujours annexe III).
Préparez l’argumentaire pour la direction.
Pour tenir la direction générale informée, voici les quatre points à couvrir lors d’un point avec le comité de direction :
Les échéances d’application ont été reportées. Les attentes du conseil d’administration, des clients et des assureurs, non.
La maîtrise de l’IA prévue à l’article 4 est en vigueur et constitue la cible d’application la plus probable pendant le report.
Le filigranage est désormais à la fois une obligation de conformité et un chantier d’ingénierie. Le nouveau cadre s’impose à partir de décembre 2026 et la spécification technique suivra. Mettez la chaîne de traitement en place dès maintenant, tout en suivant la consultation en parallèle.
ISO 42001, le droit sectoriel de la sécurité et les attestations d’achat suivent leur propre calendrier, et le travail déjà mené sur l’inventaire sert de base à chacun d’eux.
Les prochaines étapes à surveiller
Quelques étapes restent à franchir avant que la position de l’omnibus numérique devienne définitive. Cela ne doit pas retarder votre planification, puisque le gros du travail est désormais fait côté réglementaire, mais certaines dates et évolutions sont à surveiller :
Les votes d’approbation formelle du Conseil et du Parlement, attendus avant le 30 juin.
Les actes d’exécution sur le filigranage, en particulier la question de l’inclusion du texte synthétique ; le premier signal sera probablement une consultation publique.
Les orientations sectorielles sur l’IA dans les machines, de la DG GROW et des autorités nationales de surveillance des produits.
Les orientations du Bureau de l’IA en amont de l’application, ainsi que les choix des États membres en France, en Allemagne et aux Pays-Bas, où les orientations nationales sont historiquement parues en premier.
Le rôle d’Enzai
La continuité de l’inventaire est le fil conducteur opérationnel de cet accord. Les échéances ont bougé, l’obligation d’inventaire non, et l’essentiel de ce qui se situe au-dessus du socle (supervision par le conseil d’administration, preuves pour les assureurs, ISO 42001, attestations d’achat) passe par lui. L’inventaire IA d’Enzai tient le registre à jour à mesure que les systèmes passent de l’AI Act au règlement sur les machines ou au droit sectoriel de la sécurité, et fait remonter l’indicateur de préparation au filigranage dont dépend l’action 2.
Références
Textes législatifs et sources officielles
Règlement (UE) 2024/1689, l’AI Act : https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Règlement (UE) 2023/1230, le règlement sur les machines : https://eur-lex.europa.eu/eli/reg/2023/1230/oj
Commission européenne, Bureau de l’IA : https://digital-strategy.ec.europa.eu/en/policies/ai-office
Code de bonnes pratiques pour l’IA à usage général : https://digital-strategy.ec.europa.eu/en/policies/ai-code-practice
AI Act, article 4 (maîtrise de l’IA) : https://artificialintelligenceact.eu/article/4/
AI Act, article 5 (pratiques interdites) : https://artificialintelligenceact.eu/article/5/
AI Act, article 6 (classification des systèmes à haut risque) : https://artificialintelligenceact.eu/article/6/
AI Act, article 50 (obligations de transparence) : https://artificialintelligenceact.eu/article/50/
AI Act, annexe I (produits réglementés) : https://artificialintelligenceact.eu/annex/1/
AI Act, annexe III (domaines à haut risque) : https://artificialintelligenceact.eu/annex/3/
Normes
ISO/IEC 42001:2023, systèmes de management de l’IA : https://www.iso.org/standard/42001
C2PA Content Credentials : https://c2pa.org/
Actualités et analyses
Reuters / Free Malaysia Today, « EU countries, lawmakers clinch provisional deal on watered-down AI rules », 7 mai 2026 : https://www.freemalaysiatoday.com/category/world/2026/05/07/eu-countries-lawmakers-clinch-provisional-deal-on-watered-down-ai-rules
IAPP, « AI Act Omnibus: What just happened and what comes next? » : https://iapp.org/news/a/ai-act-omnibus-what-just-happened-and-what-comes-next
Cyprus Mail, « EU lawmakers back softer AI Act after pressure from industry », 7 mai 2026 : https://cyprus-mail.com/2026/05/07/eu-lawmakers-back-softer-ai-act-after-pressure-from-industry
Bird & Bird, « Digital Omnibus on AI Trilogue Stalls Ahead of the AI Act Deadline » : https://www.twobirds.com/en/insights/2026/germany/digital-omnibus-on-ai-trilogue-stalls-ahead-of-the-ai-act-deadline
AOShearman, « Digital Omnibus on AI: what is really on the table as trilogues begin » : https://www.aoshearman.com/en/insights/digital-omnibus-on-ai-what-is-really-on-the-table-as-trilogues-begin
Contexte
Mario Draghi, The future of European competitiveness, septembre 2024 : https://commission.europa.eu/topics/eu-competitiveness/draghi-report_en
Online Safety Act britannique : https://www.gov.uk/government/collections/online-safety-act
Podcast sur la gouvernance de l’IA, épisode 15, « Conformité ou responsabilité : entretien avec Bojana Bellamy » : https://www.enz.ai/ai-governance-podcast-compliance-vs-accountability-with-bojana-bellamy
Podcast sur la gouvernance de l’IA, épisode 14, Sophie in 't Veld : https://www.enz.ai/ai-governance-podcast-fundamental-rights-and-digital-law-with-sophie-in-t-veld
Certifié ISO 27001 depuis 2023, audité chaque année par NQA
Traitement des données aligné sur le RGPD
Données clients hébergées sur AWS dans plusieurs régions
Utilisez votre propre modèle d’IA via une connexion privée
Identifiez l’IA utilisée par vos équipes, examinez-la avant sa mise en service, évaluez-la au regard des règles applicables et contrôlez ce que les agents peuvent faire. Conçu pour les organisations réglementées.