Digital Omnibus : ce que le nouveau calendrier de l'AI Act change pour votre feuille de route

Le 27 juillet 2026, un règlement européen est entré en vigueur sans faire beaucoup de bruit. Il modifie pourtant le calendrier d'application de l'AI Act — et son interprétation a parfois prêté à confusion.

Un texte discret, des effets bien réels

Le règlement dit « Digital Omnibus sur l'IA » — référencé (UE) 2026/1744 — est entré en vigueur le 27 juillet 2026. Son objectif affiché : simplifier la mise en conformité des entreprises technologiques, clarifier certaines exigences et allonger plusieurs délais d'application de l'AI Act.

Dans les faits, il redessine à la fois le calendrier et les mécanismes d'application du règlement européen sur l'intelligence artificielle, entré en vigueur le 1er août 2024.

Le message qui a circulé cet été — « l'AI Act est repoussé » — mérite d’être nuancé. Une partie des obligations s'applique bel et bien, et depuis le 2 août 2026, la Commission européenne et les autorités nationales disposent de pouvoirs d'enquête et de sanction. Ce qui a été décalé concerne un périmètre précis, pas l'ensemble du texte.

Ce qui s'applique aujourd'hui

Depuis février 2025 : les pratiques interdites

Les systèmes relevant du « risque inacceptable » sont interdits et pleinement sanctionnables depuis le 2 février 2025 : scoring social, techniques de manipulation subliminale exploitant des vulnérabilités, reconnaissance émotionnelle en milieu professionnel hors exceptions encadrées.

C'est un point qui reste parfois sous-estimé. Une organisation qui déploie l'un de ces systèmes est exposée aujourd'hui, indépendamment de tout report.

Depuis février 2025 : pratiques interdites et littératie IA

Depuis le 2 février 2025, l'obligation de littératie IA prévue par l'article 4 s'applique aux fournisseurs et déployeurs de systèmes d'IA, au même titre que les interdictions de l'article 5. Ce point est particulièrement important pour les équipes Formation et RH : l'enjeu n'est pas futur, il est déjà en vigueur.

Le Digital Omnibus a toutefois modifié le libellé de l'article 4 le 27 juillet 2026 : l'obligation consiste désormais à prendre des mesures pour soutenir le développement de la littératie IA, sans devoir garantir un niveau individuel déterminé. Les organisations doivent déjà démontrer qu'elles ont engagé une démarche de montée en compétences adaptée à leurs usages.

Depuis le 2 août 2026 : la transparence

Le Digital Omnibus a confirmé l'entrée en application des obligations de transparence prévues par l'article 50 :

• les chatbots, agents conversationnels et avatars virtuels doivent signaler clairement à leurs utilisateurs qu'ils échangent avec une IA, sauf lorsque cela ne fait aucun doute ;
• les contenus générés ou fortement modifiés par IA — images, sons, textes, vidéos — doivent être identifiables comme tels, par un marquage technique ou une mention visible selon les cas.

Les systèmes déjà commercialisés avant cette date bénéficient d'une transition supplémentaire, jusqu'au 2 décembre 2026. Le règlement élargit par ailleurs les pouvoirs de contrôle de la Commission sur les fournisseurs de modèles d'IA à usage général.

Deux échéances complémentaires tombent également le 2 décembre 2026 : la fin du délai de grâce pour le marquage lisible par machine des contenus générés par IA pour les systèmes déjà mis sur le marché, et l'entrée en application de la nouvelle interdiction visant les IA générant des contenus intimes non consentis ou du matériel pédocriminel.

À retenir : si votre site utilise un agent conversationnel, ou si vos équipes marketing publient des visuels générés par IA, vous êtes concerné maintenant — pas en 2027.

Ce qui a été décalé

Le report porte sur les systèmes d'IA qualifiés de « haut risque » au sens de l'Annexe III : outils de recrutement automatisés, scoring de crédit, diagnostic médical assisté, contrôle d'accès biométrique, systèmes utilisés dans l'éducation ou la justice.

Pour ces systèmes, les obligations les plus lourdes — documentation technique, système de gestion des risques, gouvernance des données d'entraînement, supervision humaine, tenue de registres — voient leur échéance repoussée au 2 décembre 2027. Les systèmes d'IA intégrés dans des produits réglementés relevant de l'Annexe I — dispositifs médicaux, machines, jouets, équipements de sécurité — basculent quant à eux au 2 août 2028, un point clé pour les clients industriels et santé.

Un point mérite d'être souligné : il s'agit d'un allongement de délai, pas d'une exemption. Les exigences elles-mêmes restent inchangées.

Deux assouplissements peuvent aussi être utiles à avoir en tête : les PME de moins de 750 salariés et 150 M€ de chiffre d'affaires bénéficient d'exigences documentaires allégées, et les systèmes déjà déployés auprès d'autorités publiques disposent d'un horizon plus long, jusqu'au 2 août 2030.

Pourquoi le report n'est pas une bonne nouvelle pour ceux qui attendent

Il est tentant de lire ce décalage comme une respiration budgétaire. Cette lecture reste toutefois risquée, pour trois raisons.

1. Les chantiers concernés se comptent en mois

Documenter l'origine et la préparation de ses données d'entraînement, formaliser un système de gestion des risques itératif, tracer la supervision humaine sur des systèmes déjà en production : aucun de ces travaux ne se boucle en quelques semaines.

Pour une organisation disposant de cinq à dix outils intégrant de l'IA — SaaS tiers compris — la seule phase de cartographie et de gap analysis représente déjà plusieurs jours de travail effectif, répartis entre les équipes Data, Cyber et Conformité.

2. La cartographie révèle presque toujours des surprises

Dans beaucoup d'organisations, le périmètre réel se révèle plus large que prévu. Les composantes IA se sont glissées dans les solutions RH, les CRM, les outils de sécurité et les suites bureautiques, souvent sans décision d'achat explicite.

Autre point fréquemment mal maîtrisé : la distinction entre le rôle de fournisseur et celui de déployeur. Modifier un modèle tiers pour un usage spécifique peut faire basculer une organisation du statut de déployeur à celui de fournisseur — avec des obligations sensiblement différentes.

3. Les compétences ne s'improvisent pas

Les profils capables de piloter une conformité IA — à l'intersection du juridique, de la donnée et de la sécurité — restent rares sur le marché. Les recruter prend du temps ; former les équipes en place est généralement plus rapide et plus durable.

C'est précisément ce que vise l'article 4, applicable depuis le 2 février 2025 : il ne s'agit pas d'attendre 2027 pour s'y intéresser, mais de prouver dès maintenant que les équipes disposent d'un socle de compréhension adapté à leurs usages de l'IA.

Ce qu'il est raisonnable de faire d'ici là

Le nouveau calendrier ouvre une fenêtre de préparation. Trois chantiers peuvent être engagés sans attendre, et dans cet ordre.

Trois fonctions, trois lectures différentes

L'AI Act ne se répartit pas naturellement dans les organigrammes existants. Le DPO dispose d'une base solide — cartographie, registre, culture de l'accountability, méthodologie d'analyse d'impact — mais l'évaluation technique de la robustesse d'un système ou la documentation des propriétés statistiques d'un jeu de données dépassent son périmètre classique.

Le RSSI hérite des exigences de sécurité, de journalisation et de supervision. Les équipes Data portent les obligations de gouvernance des données d'entraînement. Aucune de ces fonctions ne couvre seule l'ensemble du champ.

C'est la raison pour laquelle un modèle de gouvernance à trois rôles — DPO, RSSI et référent conformité IA — s'impose progressivement, qu'il soit incarné par trois personnes ou par un comité existant élargi.

En résumé

Le Digital Omnibus n'annule rien. Il redistribue les échéances, confirme l'entrée en phase répressive sur la transparence, et laisse intactes les obligations déjà en vigueur depuis 2025.

Pour les secteurs industriels et santé, le point à ne pas manquer est l'Annexe I : les IA intégrées à des produits réglementés suivent désormais l'échéance du 2 août 2028. Ce délai supplémentaire ne doit pas masquer la complexité des travaux à mener, car ils s'articulent avec les cadres sectoriels existants.

Pour les organisations qui avaient engagé leur mise en conformité, c'est du temps gagné pour bien faire. Pour celles qui n'ont pas encore structuré leur démarche, c'est un délai supplémentaire — pas une dispense.

Aller plus loin

Notre guide « AI Act 2026 : gouverner, auditer et sécuriser vos systèmes d'IA » détaille le calendrier à jour, la classification des quatre niveaux de risque, l'article 10 décrypté et une checklist d'audit en quatre étapes avec les documents attendus à chaque phase. Il intègre également un plan de montée en compétences par profil, aligné sur notre catalogue de formations.

→ Télécharger le guide AI Act 2026

Côté compétences, plusieurs certifications structurent aujourd'hui les métiers de la conformité IA : l'AIGP (IAPP Artificial Intelligence Governance Professional) sur la gouvernance, l'ISO/IEC 42001 sur le management des systèmes d'IA (Foundation, Lead Implementer, Lead Auditor), et les certifications ISACA AAISM / AAIA pour les profils sécurité et audit déjà certifiés CISM/CISSP ou CISA.

→ Consulter le catalogue de formations et certifications dédié à l’AI Act

Sources

• Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle — articles 4, 5, 9, 10, 11, 12, 50, 99
• Règlement (UE) 2026/1744, dit « Digital Omnibus sur l'IA » — entré en vigueur le 27 juillet 2026
• AI Act Service Desk, Commission européenne — calendrier officiel d'application
• EUR-Lex — Règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026
• Commission européenne — Digital Strategy, cadre réglementaire de l'IA