UE : Digital Omnibus sur l'IA en vigueur, haut risque reporté

Le 27 juillet 2026, le règlement (UE) 2026/1744 du Parlement européen et du Conseil, dit Digital Omnibus sur l'IA, est entré en vigueur trois jours après sa publication au Journal officiel du 24 juillet 2026 (EUR-Lex, JO L 2026/1744). Adopté le 8 juillet 2026, le texte modifie l'AI Act européen (règlement (UE) 2024/1689) et l'aligne avec le règlement EASA (règlement (UE) 2018/1139) et le règlement Machinery (règlement (UE) 2023/1230). Son effet central : reporter les obligations applicables aux systèmes d'IA haut risque autonomes qui devaient entrer en vigueur le 2 août 2026, tout en laissant intacte l'échéance de transparence de l'article 50 à cette même date.

Pour les fournisseurs d'IA, les déployeurs et les vendeurs de modèles d'IA à usage général qui commercialisent dans l'UE, l'Omnibus réécrit le calendrier de conformité sans pour autant l'assouplir. Les interdictions et les règles sur les GPAI en vigueur depuis 2025 restent applicables, et une nouvelle vague d'interdictions au titre de l'article 5 arrive en décembre 2026. Le soulagement porte sur la classe haut risque de l'annexe III, décalée de 16 mois.

Quelles échéances de l'AI Act ont été déplacées, et jusqu'à quand ?

L'Omnibus repousse deux filières d'applications haut risque. Les systèmes d'IA haut risque autonomes visés à l'annexe III (recrutement, scoring de crédit, identification biométrique, reconnaissance des émotions dans les infrastructures critiques et autres cas analogues) passent du 2 août 2026 au 2 décembre 2027. Les systèmes d'IA haut risque intégrés dans des produits couverts par la section A de l'annexe I et soumis à une évaluation de conformité par tierce partie passent au 2 août 2028. Le texte consolidé est accessible via son identifiant européen de législation permanent (http://data.europa.eu/eli/reg/2026/1744/oj).

Le report ne suspend pas la logique de classification sous-jacente : un système qui se qualifie aujourd'hui comme haut risque le reste. Les fournisseurs qui ont déjà bâti des processus d'évaluation de conformité doivent considérer ce délai supplémentaire comme une marge de manœuvre pour les achever, non comme une raison de marquer une pause.

Qu'est-ce qui s'applique encore le 2 août 2026, dans six jours ?

Les obligations de transparence de l'article 50 ne sont pas reportées. À compter du 2 août 2026, les fournisseurs et déployeurs de systèmes d'IA qui interagissent avec des humains, qui génèrent des contenus deepfake ou synthétiques audio, image ou vidéo, ou qui classent des données biométriques, doivent informer les personnes concernées de l'intervention de l'IA. Les opérateurs de chatbots doivent indiquer que l'utilisateur interagit avec une IA, et les éditeurs de médias synthétiques doivent étiqueter les contenus générés par machine. La surveillance revient aux autorités nationales de surveillance du marché et au Bureau européen de l'IA, et l'Omnibus laisse cette date intacte.

Le devoir de littératie en IA de l'article 4 subsiste, mais assoupli : les fournisseurs et déployeurs doivent désormais « prendre des mesures pour soutenir » le développement de la littératie en IA parmi le personnel et les opérateurs, formule qui remplace la version plus stricte « garantir un niveau suffisant ». Ce changement compte pour la documentation de conformité des PME, mais ne supprime pas l'obligation.

Quelles nouvelles interdictions entrent en vigueur le 2 décembre 2026 ?

L'Omnibus introduit deux nouvelles interdictions au titre de l'article 5, applicables à partir du 2 décembre 2026 : la création d'imagerie intime non consentie à l'aide d'IA (les dits nudifiers), et le matériel d'abus sexuel sur enfants généré par IA (CSAM). Elles rejoignent la liste d'interdictions existante de l'article 5 (pratiques manipulatrices, scoring social et identification biométrique à distance en temps réel, en vigueur depuis le 2 février 2025) et sont inconditionnelles : pas d'évaluation de conformité, pas de transition, pas d'exception pour les PME. Les fournisseurs dont les modèles peuvent générer de l'imagerie humaine synthétique doivent disposer de garanties techniques avant cette date.

Qui bénéficie des clarifications sur les PME et le périmètre ?

Trois simplifications de fond accompagnent le report. D'abord, la définition de « composant de sécurité » à l'article 3, paragraphe 14, est resserrée : un système d'IA n'est un composant de sécurité que lorsque sa finalité est de prévenir ou d'atténuer des risques pour la santé et la sécurité, non simplement parce qu'il se trouve dans un produit réglementé. Cela retire les cas limites de la classe haut risque. Ensuite, l'Omnibus introduit des définitions formelles des PME et des petites entreprises à capitalisation intermédiaire (small mid-caps, SMC) et étend certaines mesures de soulagement des PME aux SMC. Enfin, lorsque la législation d'harmonisation de l'Union visée à l'annexe I, section A, atteint déjà un niveau de protection équivalent, la Commission peut, par acte délégué, limiter l'application de certaines exigences de l'AI Act pour éviter les doublons.

Un suivi continu, par juridiction et en temps réel, fait surface au moment où un règlement modificatif comme celui-ci est publié au Journal officiel, afin que les équipes de conformité puissent réinitialiser leurs échéances le jour même plutôt qu'au prochain examen trimestriel.

Profitez de cette veille en temps réel

Vérifiez lesquels de vos systèmes d'IA relèvent de l'annexe III plutôt que de l'annexe I section A, reconfirmez votre état de préparation en matière de divulgation au titre de l'article 50 et d'étiquetage des médias synthétiques pour le 2 août 2026, informez les équipes produit et gouvernance de l'IA du resserrement du critère de « composant de sécurité », et bloquez le 2 décembre 2026 dans votre feuille de route pour les nouvelles interdictions sur les nudifiers et la CSAM. Obsidian suit ces jalons échelonnés de l'AI Act au fil de leurs déplacements, pour que le calendrier sur lequel votre équipe s'appuie reste le calendrier en vigueur.