Peu de réglementations ont soulevé autant de questions ces dernières années que le règlement européen sur l’intelligence artificielle (EU AI Act). L’été 2026 en a ajouté une : par un règlement modificatif, élaboré dans le cadre de ce que l’on appelle l’omnibus numérique, l’UE a reporté des échéances essentielles. La modification a été publiée au Journal officiel fin juillet 2026 et est entrée en vigueur peu avant l’échéance initiale du 2 août 2026. Cet article fait le point sur ce qui a changé et sur ce qui n’a pas changé.
Le calendrier en bref
Le règlement sur l’IA est entré en vigueur le 1er août 2024 et s’applique depuis par étapes. Après la modification, le calendrier se présente ainsi :
| Depuis ou à partir du | Ce qui s’applique |
|---|---|
| 2 février 2025 | Interdiction de certaines pratiques d’IA, obligation de maîtrise de l’IA |
| 2 août 2025 | Règles pour les modèles d’IA à usage général, gouvernance, sanctions |
| 2 août 2026 | Application générale, dont les obligations de transparence pour certains systèmes d’IA |
| Début décembre 2026 | Fin d’un court délai transitoire pour le marquage lisible par machine des systèmes génératifs déjà proposés avant août 2026 |
| 2 décembre 2027 | Obligations pour les systèmes autonomes à haut risque relevant de l’annexe III |
| 2 août 2028 | Obligations pour l’IA à haut risque intégrée dans des produits déjà soumis à la législation européenne sur les produits visée à l’annexe I |
À l’origine, les obligations à haut risque de l’annexe III devaient s’appliquer dès août 2026, celles de l’annexe I en août 2027. Le report a surtout été justifié par le fait que les normes harmonisées et les lignes directrices sur lesquelles les entreprises doivent s’appuyer n’ont pas été prêtes à temps.
Ce que la modification apporte en outre
- Maîtrise de l’IA reformulée. L’obligation demeure, mais elle est formulée autrement. Les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel. Ils ne sont plus tenus de garantir un niveau déterminé. Il est néanmoins conseillé de documenter ces mesures, par exemple au moyen de preuves de formation et de règles d’utilisation.
- Allègements pour les petites entreprises. Les simplifications jusqu’ici réservées aux petites et moyennes entreprises, par exemple pour la documentation technique et le management de la qualité, s’appliquent désormais aussi aux petites entreprises à moyenne capitalisation qui ont dépassé les seuils des PME.
Qui doit faire quoi
Le règlement distingue principalement deux rôles. Les fournisseurs développent un système d’IA ou le font développer et le mettent sur le marché sous leur propre nom. Les déployeurs utilisent un système d’IA sous leur propre responsabilité. La plupart des entreprises sont des déployeurs, de nombreux éditeurs de logiciels sont les deux.
Pour les déployeurs, deux choses s’appliquent dès aujourd’hui, indépendamment de la classe de risque : des mesures de maîtrise de l’IA et la transparence dans certains cas, par exemple lorsque des contenus d’apparence authentique sont générés. Si des systèmes à haut risque sont utilisés, par exemple pour le recrutement ou l’évaluation de la solvabilité, d’autres obligations suivent à partir de décembre 2027, notamment en matière de contrôle humain, de journalisation et d’information des personnes concernées.
Les fournisseurs de systèmes à haut risque ont nettement plus à faire : gestion des risques sur l’ensemble du cycle de vie, exigences relatives aux données d’entraînement, documentation technique, système de management de la qualité, évaluation de la conformité et enregistrement. L’expérience montre que la mise en place prend plus d’un an. Le temps gagné est donc vite épuisé.
La surveillance en Allemagne
Avec la loi allemande d’application du règlement sur l’IA, adoptée par le Bundestag et le Bundesrat à l’été 2026, l’Agence fédérale des réseaux (Bundesnetzagentur) devient l’autorité centrale de surveillance du marché. Les autorités sectorielles, comme l’Autorité fédérale de surveillance financière (BaFin) dans le secteur financier, conservent leurs compétences dans leurs domaines. Pour les modèles d’IA à usage général, le Bureau de l’IA de la Commission européenne reste compétent.
Cinq étapes pour les prochains mois
- Établir un inventaire de l’IA. Quels systèmes utilisez-vous ou proposez-vous, dans quel but, avec quelles données ?
- Déterminer le rôle et la classe de risque. Pour chaque système : fournisseur ou déployeur, pratique interdite, haut risque, obligation de transparence ou risque faible. Consignez la justification.
- Documenter la maîtrise de l’IA. Formations et règles d’utilisation adaptées à la tâche et au système, avec preuve.
- Vérifier la transparence. Où vos systèmes génèrent-ils des contenus ou interagissent-ils avec des personnes ? Les mentions et le marquage sont-ils en place ?
- Planifier les projets à haut risque. Partez de décembre 2027 ou d’août 2028 à rebours et fixez des jalons. Un système de management selon l’ISO/IEC 42001 peut en fournir le cadre.
Ce que cela signifie pour vous
Le report ne concerne que les obligations à haut risque. Les interdictions, la maîtrise de l’IA et la transparence s’appliquent déjà et concernent presque toutes les entreprises. Profitez du temps supplémentaire pour mettre en place proprement l’inventaire et la classification. Si vous fournissez des systèmes à haut risque, commencez dès maintenant la gestion des risques et la documentation. En cas de doute, vérifiez les dates exactes et les règles transitoires dans le texte en vigueur du règlement.
Dans Sightadel, vous tenez l’inventaire de l’IA, documentez les classifications avec leur justification et associez des preuves sur la maîtrise de l’IA et la transparence. Plus d’informations sur les pages EU AI Act et ISO/IEC 42001. Essayez par vous-même : Essai gratuit de 14 jours.
État : 8 octobre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
