AI Act : le report n’est pas une pause

Depuis le 27 juillet 2026, le règlement (UE) 2026/1744, dit « Omnibus numérique sur l’IA », modifie l’AI Act. Sa mesure la plus commentée : les obligations des systèmes d’IA à haut risque, prévues pour le 2 août 2026, sont décalées. Beaucoup de directions en ont retenu un message simple : on a le temps. C’est une lecture risquée.

Ce qui change vraiment

• Les systèmes à haut risque « autonomes » de l’annexe III (recrutement, notation de crédit, éducation, accès aux services publics, application de la loi…) ont désormais jusqu’au 2 décembre 2027.
• Les systèmes à haut risque intégrés à des produits réglementés (annexe I : machines, dispositifs médicaux, jouets…) basculent au 2 août 2028.
• Les systèmes à haut risque déjà en service dans les autorités publiques conservent l’échéance du 2 août 2030.
• Les PME et les petites entreprises de taille intermédiaire bénéficient d’une documentation technique et d’un système qualité allégés.

Le Conseil a donné son feu vert final le 29 juin 2026, après l’accord politique du 7 mai avec le Parlement européen. Le report est justifié par le retard des normes harmonisées et des autorités nationales de contrôle.

Ce qui ne bouge pas, ou arrive plus tôt

Le report ne concerne que le haut risque. Le reste du calendrier continue de s’appliquer :

• les pratiques interdites (article 5) s’appliquent depuis février 2025, et deux nouvelles interdictions entrent en vigueur le 2 décembre 2026 : les systèmes qui génèrent des images intimes ou sexuellement explicites de personnes identifiables sans leur consentement, et ceux qui génèrent des contenus pédocriminels ;
• les obligations des modèles d’IA à usage général s’appliquent depuis le 2 août 2025 ;
• les outils génératifs mis sur le marché avant le 2 août 2026 n’ont qu’un délai de grâce jusqu’au 2 décembre 2026 pour le marquage des contenus générés ;
• le Bureau européen de l’IA voit son contrôle étendu aux systèmes bâtis sur des modèles à usage général et intégrés aux très grandes plateformes et moteurs de recherche.

Pourquoi « on a le temps » est un mauvais calcul

Un système à haut risque se prépare en amont : inventaire, classification, gouvernance des données, documentation, journalisation, contrôle humain, tests. Pour une organisation qui part de zéro, c’est un programme de plusieurs trimestres, pas une mise en conformité de dernière minute.

Surtout, les contrats que vous signez aujourd’hui courront au-delà de décembre 2027. Un logiciel de tri de candidatures, de scoring ou d’instruction de dossiers acheté cet automne sera encore en production quand les obligations s’appliqueront. Si le cahier des charges ne prévoit ni documentation, ni journaux, ni droit d’audit, ni réversibilité, vous paierez deux fois : une fois pour l’outil, une fois pour le mettre en conformité.

Enfin, l’AI Act ne s’arrête pas aux frontières de l’Union. Les institutions et entreprises d’Afrique francophone qui achètent à des éditeurs européens, ou qui servent des clients européens, héritent de ces exigences par la voie contractuelle.

Les cinq décisions à prendre d’ici la fin de l’année

1. Inventorier les systèmes d’IA en service et en projet, et classer ceux qui relèvent de l’annexe III.
2. Vérifier l’absence d’usage interdit, y compris dans les outils génératifs utilisés par les équipes, avant le 2 décembre 2026.
3. Exiger le marquage des contenus générés auprès de vos fournisseurs d’outils génératifs, avec une date d’engagement.
4. Réécrire les clauses types de vos appels d’offres : documentation technique, journalisation, contrôle humain, droit d’audit, réversibilité.
5. Nommer un responsable : un propriétaire métier par système, pas seulement la DSI.

Le report donne du temps aux équipes qui commencent maintenant. Il en retire à celles qui attendent.

La question à poser lundi matin

À votre fournisseur principal : « Pour chaque fonction d’IA de votre produit, quelle classification retenez-vous au titre de l’AI Act, et quels livrables de conformité nous remettrez-vous avant décembre 2027 ? »