L'Omnibus de l'EU AI Act est adopté : les nouvelles échéances pour 2027 et 2028

Toutes les dates d'application, avant et après l'Omnibus¶

L'Omnibus est un instrument de calendrier et de simplification. Il a rouvert l'article 113, l'article qui fixe la date à partir de laquelle chaque chapitre de l'EU AI Act commence à s'appliquer, et a décalé les dates d'application pour les systèmes à haut risque. Il a laissé intacte la substance du chapitre III : les mêmes obligations de gestion des risques, de gouvernance des données, de documentation technique, de journalisation, de transparence, de contrôle humain, d'exactitude et de système de gestion de la qualité arrivent plus tard, sous la même forme.

La Commission avait initialement proposé un déclencheur conditionnel lié à la disponibilité des normes harmonisées, assorti d'une date butoir. Le texte adopté retient des dates calendaires fixes, de sorte qu'il n'y a qu'un seul calendrier sur lequel planifier.

Août 2026 reste d'actualité, pour un ensemble d'obligations plus restreint¶

Tout ce qui est tourné vers le client reste sur le calendrier initial. L'article 50 impose aux fournisseurs d'informer les personnes lorsqu'elles interagissent avec un système d'IA, de marquer les contenus audio, image, vidéo et texte de synthèse dans un format lisible par machine, et impose aux déployeurs de signaler les hypertrucages (deepfakes) et les textes générés par IA publiés pour informer le public sur des questions d'intérêt public. Les systèmes de reconnaissance des émotions et de catégorisation biométrique doivent informer les personnes qui y sont exposées. Tout cela s'applique à partir du 2 août 2026.

La seule concession est une courte période de grâce : les systèmes génératifs déjà mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour mettre en œuvre le marquage lisible par machine. Les systèmes mis sur le marché après cette date ne bénéficient d'aucun délai.

Les interdictions de l'article 5 sont applicables depuis le 2 février 2025, et l'Omnibus en ajoute deux : les systèmes d'IA qui génèrent des contenus pédopornographiques et les systèmes qui génèrent des images intimes non consenties, tous deux interdits à partir du 2 décembre 2026. Les obligations relatives aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025. L'Omnibus a également élargi le mandat de supervision du Bureau de l'IA aux systèmes d'IA fondés sur des modèles d'IA à usage général, et a reformulé l'obligation de maîtrise de l'IA de l'article 4 en une obligation de promouvoir et d'encourager la maîtrise de l'IA par des mesures proportionnées.

Pour la plupart des entreprises qui exploitent des assistants, des copilotes et des agents en contact avec la clientèle, le chantier d'août 2026 se réduit à l'information des personnes, à l'étiquetage et à la preuve que l'un et l'autre sont effectivement en place en production. La checklist de décembre 2026 transforme les deux obligations de décembre et les vagues de 2027 et 2028 en tâches par rôle et par horizon.

L'enregistrement est maintenu, avec un contenu allégé¶

La Commission avait proposé de supprimer l'obligation de l'article 49(2) d'enregistrer les systèmes de l'annexe III qu'un fournisseur auto-évalue comme n'étant pas à haut risque au titre de l'article 6(3). Le Parlement et le Conseil ont rejeté cette suppression et rétabli l'obligation avec un ensemble de données réduit.

Deux entrées de la section B de l'annexe VIII sont supprimées. Le point 7 était le bref résumé des motifs pour lesquels le système est considéré comme n'étant pas à haut risque dans le cadre de la procédure de l'article 6(3). Le point 9 était la liste des États membres dans lesquels le système a été mis sur le marché, mis en service ou mis à disposition dans l'Union.

Le point 6 subsiste, de sorte qu'un fournisseur doit toujours indiquer quelle condition de l'article 6(3) son système remplit. L'évaluation sous-jacente est inchangée : l'article 6(3) impose toujours au fournisseur de documenter l'évaluation avant de mettre le système sur le marché, et l'article 80 permet toujours à une autorité de surveillance du marché de rouvrir la classification. Le champ de la base de données a disparu. Le dossier qui justifie la décision doit toujours exister.

L'enregistrement lui-même suit désormais la date de l'annexe III, soit le 2 décembre 2027, de même que la base de données de l'UE prévue à l'article 71. Le guide de l'enregistrement précise qui enregistre quoi, et en quoi le contenu de l'annexe VIII diffère du dossier technique de l'annexe IV.

La FRIA suit l'annexe III¶

L'analyse d'impact sur les droits fondamentaux de l'article 27 est une obligation du déployeur rattachée aux systèmes à haut risque de l'annexe III ; elle suit donc la nouvelle date du 2 décembre 2027. Elle s'applique aux organismes de droit public, aux entités privées fournissant des services publics, et aux déployeurs d'IA utilisée pour l'évaluation de la solvabilité ou l'établissement de la note de crédit, ainsi que pour l'évaluation des risques et la tarification en assurance-vie et en assurance-maladie.

Deux aspects de la FRIA méritent d'être anticipés même avec la date reportée. L'analyse décrit le processus de déploiement, la période et la fréquence d'utilisation, les catégories de personnes concernées, les risques spécifiques de préjudice pour elles, les mesures de contrôle humain et les recours si un risque se matérialise. L'essentiel de ce contenu n'existe qu'une fois le système conçu et le modèle de contrôle décidé, ce qui place le travail de rédaction plusieurs mois en amont de l'échéance.

Le second aspect est l'article 27(4) : une analyse d'impact relative à la protection des données réalisée au titre du RGPD peut être complétée par la FRIA plutôt que dupliquée. Les équipes qui réalisent déjà des AIPD pour la notation de crédit ou la tarification d'assurance disposent d'un point de départ exploitable. Le guide du modèle de FRIA passe en revue les six sections, et le générateur de FRIA gratuit rédige une première version structurée.

Ce que les seize mois supplémentaires laissent en place¶

L'Omnibus a déplacé des dates dans un seul règlement. L'exposition qui rend un agent d'IA risqué dans une fonction réglementée relève de plusieurs textes.

• L'article 50 arrive à la date prévue. L'information des personnes et le marquage des contenus s'appliquent à partir du 2 août 2026 à tout système d'IA qui dialogue avec une personne ou produit des contenus de synthèse.
• Les régimes sectoriels sont intacts. Les obligations de résilience opérationnelle de DORA, le paquet européen anti-blanchiment (AML), le RGPD, les attentes des superviseurs nationaux et les règles prudentielles de gestion du risque de modèle s'appliquent à une décision pilotée par l'IA de la même manière qu'à toute autre.
• L'article 22 du RGPD régit toujours les décisions automatisées. Une décision de crédit ou de règlement de sinistre prise sans intervention humaine significative ouvre un droit à une intervention humaine, à une explication et à une voie de contestation, quelle que soit la date à laquelle le chapitre III commence à s'appliquer.
• Les incidents gardent leur propre calendrier. Une alerte clôturée à tort, un appel d'outil doté de permissions excessives ou un agent qui agit sur une instruction issue d'une injection de prompt produisent un préjudice pour le client et une discussion avec le superviseur le jour même.
• La capacité d'évaluation de la conformité ne s'accroît pas avec le report. Les organismes notifiés, les normes harmonisées et les équipes d'audit interne avancent tous à la même vitesse. La file d'attente pour le 2 décembre 2027 est la même file, simplement plus lointaine.
• L'EN 18286 a franchi le vote formel et les travaux connexes se poursuivent. Le DIN fait état du vote formel positif, et le BSI annonce la publication nationale sous la référence BS EN 18286:2026 le 24 juillet. La page de la Commission, mise à jour pour la dernière fois le 27 juillet, décrit toujours la publication finale CEN/CENELEC comme étant en attente. Les projets prEN 18228 (gestion des risques), prEN 18283 (biais) et prEN 18284 (gouvernance des données) restent en cours d'élaboration. La revue des sources officielles du 28 juillet n'a relevé aucune référence de l'EN 18286 au JOUE. Le calendrier des normes suit les étapes en cours et le processus distinct de citation par la Commission.

Ce que seize mois suffisent à construire¶

Un programme de conformité passe un audit lorsque l'organisation peut montrer ce qu'un système a réellement fait à une date précise, qui l'a autorisé, quels contrôles se sont déclenchés et ce qu'un humain a décidé. Cette preuve doit être produite pendant que le travail s'effectue, par les systèmes qui effectuent ce travail.

Seize mois suffisent pour faire passer la gouvernance de la documentation au chemin d'exécution. Les travaux ci-dessous sont utiles en eux-mêmes, et ce sont les mêmes que ceux que le chapitre III exigera en décembre 2027.

• Inventorier et classifier. Nommez chaque système d'IA, sa destination, votre rôle de fournisseur ou de déployeur et son statut au regard de l'annexe III. Consignez le raisonnement fondé sur l'article 6(3) partout où vous affirmez qu'un système n'est pas à haut risque. C'est la donnée d'entrée de l'enregistrement, de la FRIA et du dossier technique.
• Placer la politique dans le chemin d'exécution. Encodez les limites dans lesquelles un agent opère sous forme de règles contraignantes qui s'exécutent avant un appel d'outil, de sorte que la trace d'une action bloquée existe parce que le blocage a eu lieu. Le KLA Policy Engine évalue chaque Decision Request au point d'action.
• Faire du contrôle humain une surface opérationnelle. Le contrôle humain de l'article 14, c'est une personne capable d'interpréter la sortie, de passer outre et d'arrêter le système. Cela suppose une file d'attente, un responsable, un niveau de service et une trace de ce qui a été décidé. Decision Desk est l'endroit où ces Decision Requests sont traitées.
• Capturer le lignage au fil de l'exécution. Entrées, appels d'outils, versions de modèles, décisions de politique, approbations et résultats ont leur place sur un seul enregistrement par exécution. Lineage Explorer reconstitue un cas précis ; Audit Trail conserve l'historique inviolable qui le sous-tend.
• Constituer le dossier de preuves une seule fois. La documentation technique de l'article 11, la journalisation de l'article 12, les enregistrements du système de gestion de la qualité de l'article 17 et le plan de surveillance après commercialisation de l'article 72 s'appuient sur les mêmes exécutions sous-jacentes. Evidence Room produit un Sealed Evidence Bundle qu'un tiers peut vérifier sans accès à vos systèmes.
• Gouverner le changement. Une modification substantielle au sens de l'article 3(23) rouvre l'évaluation de la conformité. Versionnez, examinez et approuvez les mises en production dès maintenant pour que le lien entre une version en production et ses preuves tienne plus tard.
• Rattacher les contrôles aux référentiels sur lesquels vous rendez déjà compte. Control Mapping aligne les articles de l'EU AI Act avec ISO/IEC 42001, DORA et les bibliothèques de contrôles internes, de sorte qu'un seul test de contrôle réponde à plusieurs évaluateurs.

Une séquence sur seize mois¶

La séquence ci-dessous suppose une entreprise ayant déjà de l'IA dans une fonction réglementée et une cible au 2 décembre 2027 pour les obligations de l'annexe III. Ajustez le début si les travaux d'information au titre de l'article 50 sont encore ouverts.

Ce que cela change dans la discussion budgétaire 2026¶

La réponse la plus probable à un report de seize mois est un programme mis en pause et une équipe réaffectée. Cela transforme un changement de calendrier en un déficit de capacité, car les parties du travail dont le délai de mise en œuvre est le plus long sont celles que l'on coupe en premier : l'instrumentation, la capture des preuves, la dotation en personnel du contrôle humain et les décisions de classification dont tout le reste dépend.

Une position défendable pour 2026 maintient le financement des travaux de la couche d'exécution et laisse les travaux de documentation suivre les nouvelles dates. L'instrumentation doit être intégrée dès la conception des systèmes, pendant leur construction. Ajouter a posteriori la capture des preuves à un agent qui tourne depuis un an est la version coûteuse du même projet.

Le guide des exigences de l'EU AI Act contient la cartographie complète des obligations, et le calendrier des échéances présente les dates échelonnées en fonction de votre propre profil de systèmes.