Règlement IA : le report du haut risque, ce qui change et ce qui ne change pas

Depuis l’accord politique sur le paquet « omnibus numérique » en mai 2026, une phrase circule en réunion de direction : la législation sur l’IA est repoussée, donc cela peut attendre. Cette lecture est fausse d’une manière qui coûtera aux organisations qui l’adoptent, car ce qui a bougé, c’est un ensemble de dates d’application — pas les obligations, pas les classifications, et pas le travail nécessaire pour s’y conformer.

Le changement est désormais en vigueur : l’omnibus numérique s’applique depuis le 27 juillet 2026. Les dates sont donc acquises, et ce dont elles dépendent devient le point à comprendre avec précision.

Ce qui a réellement changé

La Commission a adopté la proposition d’omnibus numérique le 19 novembre 2025, un accord politique a été trouvé le 7 mai 2026, et le texte a été publié au Journal officiel le 24 juillet 2026 puis est entré en vigueur le 27 juillet 2026. Parmi ses amendements ciblés, celui qui retient le plus l’attention aligne l’application des obligations « haut risque » sur la disponibilité des normes et outils de soutien nécessaires pour s’y conformer. Les dates désormais en vigueur, telles qu’exposées sur la page de la législation européenne sur l’IA :

• Systèmes à haut risque de l’annexe III — à haut risque en raison de leur usage, comme l’emploi, le crédit, l’éducation ou les services essentiels — applicables à compter du 2 décembre 2027.
• Systèmes à haut risque de l’annexe I — à haut risque parce qu’intégrés à des produits déjà couverts par la législation d’harmonisation de l’Union — applicables à compter du 2 août 2028.

Le mécanisme importe autant que les dates : le report est justifié en liant l’application à la disponibilité des normes harmonisées, des spécifications communes et des lignes directrices de la Commission. Ce n’était pas admettre que les obligations sont déraisonnables, mais reconnaître qu’on ne démontre pas la conformité à des normes qui n’existent pas encore. Le détail figure dans la proposition d’omnibus numérique sur la réglementation de l’IA.

La réserve que la plupart des résumés omettent

Les dates sont acquises. Ce dont elles dépendent ne l’est pas. Le report a été justifié en liant l’application à la disponibilité des normes harmonisées, des spécifications communes et des lignes directrices de la Commission — toutes encore en cours d’élaboration. Le texte de référence est le règlement (UE) 2024/1689 tel que modifié. Si un contrat renvoie à « la date applicable au titre du règlement IA », cette formule pointe désormais vers le calendrier amendé : les engagements rédigés entre mai et juillet 2026, alors que la position bougeait encore, méritent une relecture.

Ce qui n’a pas changé du tout

Le report est étroit. Les éléments suivants ne sont pas affectés et, dans plusieurs cas, s’appliquent déjà :

• Les interdictions. Les pratiques bannies — certaines techniques manipulatrices, la notation sociale, des usages définis de l’inférence d’émotions et de la catégorisation biométrique — ont été parmi les premières dispositions applicables.
• Les obligations des modèles à usage général. Le régime des fournisseurs de modèles d’IA à usage général, transparence et documentation comprises, suit son propre calendrier.
• Les règles de classification. Ce qui rend un système à haut risque n’a pas été assoupli. Un système qui sera à haut risque en décembre 2027 l’est, par conception, aujourd’hui.
• La maîtrise de l’IA. L’obligation qui pèse sur les fournisseurs et les déployeurs subsiste, mais sous une forme simplifiée par l’omnibus, la Commission et les États membres prenant une part plus grande dans sa promotion. Ce qui n’a pas changé : elle suit son propre calendrier, pas celui du « haut risque ».
• Tous les autres régimes. Le règlement général sur la protection des données s’applique maintenant ; la supervision sectorielle aussi. Un système qui traite illicitement des données personnelles n’est protégé par aucune échéance de 2027.

La Commission a par ailleurs confirmé qu’elle élaborerait en 2026 des lignes directrices sur la classification « haut risque », la transparence et la déclaration d’incidents graves ; les travaux en cours sont publiés sous lignes directrices pour les systèmes d’IA à haut risque.

Pourquoi le délai supplémentaire est plus court qu’il n’y paraît

Deux ans paraissent généreux jusqu’à ce qu’on les décompose. La conformité d’un système de l’annexe III suppose d’ordinaire un système de gestion des risques sur le cycle de vie, une gouvernance des données d’entraînement et de test, une documentation technique, une journalisation, une transparence envers les déployeurs, une conception du contrôle humain, et des mesures d’exactitude, de robustesse et de cybersécurité — plus, souvent, une évaluation de la conformité et un enregistrement. Plusieurs ne sont pas des exercices documentaires : la gouvernance des données révèle souvent qu’on n’a jamais consigné la provenance ; la conception du contrôle humain, que le relecteur ne peut pas réellement passer outre le système ou en manque le temps ; la journalisation, que le système n’a jamais été bâti pour reconstituer une décision passée. Chacun est un changement d’ingénierie avec un délai, et bien plus coûteux après déploiement qu’avant. S’y ajoute un effet de file : si tous reportent, la demande d’évaluation de conformité et de conseil se concentrera sur la dernière année. Être en avance coûte moins que d’être conforme à l’heure.

Fournisseur ou déployeur change ce que vous devez

La plupart des organisations se supposent déployeurs, utilisant des systèmes construits par d’autres. L’hypothèse est souvent fausse, et l’erreur coûte cher, car les obligations du fournisseur sont nettement plus lourdes. On peut devenir fournisseur sans rien acheter : mettre un système à haut risque sur le marché sous son propre nom ou sa marque, le modifier substantiellement, ou changer sa destination au point de le rendre à haut risque. Une entreprise qui ajuste un modèle à usage général pour un flux de recrutement, en fait une marque interne et le déploie dans ses embauches s’est rapprochée du rôle de fournisseur bien plus qu’elle ne le croit. Tranchez par système, en consignant le raisonnement, car la classification commande tout l’aval.

Que faire du temps disponible

Le travail utile est sans éclat et largement indépendant du texte final : recenser l’IA réellement en usage, y compris celle enfouie dans des logiciels achetés ; déterminer votre rôle par système ; classer provisoirement les systèmes relevant de l’annexe III ou I en consignant le motif ; fermer d’abord les écarts aux délais les plus longs — provenance des données, journalisation, contrôle humain effectif ; et corriger ce qui est déjà illicite, car pratiques interdites et manquements à la protection des données sont une exposition immédiate. Un cadre structurant aide sans attendre la certitude juridique : le cadre de gestion des risques liés à l’IA du NIST n’est pas un instrument de l’Union et ne confère aucune présomption de conformité, mais sa structure Govern, Map, Measure, Manage épouse assez les exigences du règlement pour servir de point de départ.

Trois erreurs de lecture à éviter

La première : « le report vaut pour tout ». Il ne concerne que l’application des obligations « haut risque » des annexes I et III. Les interdictions, les obligations des modèles à usage général, les règles de classification et la maîtrise de l’IA suivent d’autres calendriers, et le règlement général sur la protection des données s’applique sans lien avec ces dates.

La deuxième : « les dates étant acquises, le calendrier est sûr ». Il ne l’est qu’en apparence. Si les normes harmonisées arrivent tard dans la fenêtre, la période pendant laquelle une organisation peut concevoir contre une spécification stable — plutôt que contre un projet — est nettement plus courte que la date affichée ne le laisse croire.

La troisième : « se conformer, c’est produire de la documentation ». C’est l’erreur qui fait perdre le plus de temps gagné. Les éléments à plus long délai ne sont pas des politiques à rédiger mais des changements d’ingénierie : reconstituer la provenance des données d’entraînement, journaliser pour rejouer une décision passée, et donner au relecteur les moyens réels de passer outre le système. On ne les improvise pas dans les dernières semaines. Ces trois lectures partagent une racine : prendre une échéance déplacée pour une dispense, alors qu’elle ne déplace que le moment où la démonstration de conformité sera exigée.

Ce que cette analyse ne peut pas vous dire

Un article ne classe pas vos systèmes : la classification est fonction des faits, tient à la destination et au contexte, et exigera parfois un avis juridique contre le texte final publié. La position n’est pas non plus entièrement arrêtée : le calendrier amendé est en vigueur, mais les normes harmonisées dont il dépend sont en cours d’élaboration et les lignes directrices de classification ne sont pas encore émises. Ce qu’on peut affirmer : la direction des obligations n’a pas changé, le travail le plus précoce et le plus difficile est indépendant des dates finales, et une organisation incapable de produire aujourd’hui l’inventaire de ses systèmes d’IA a un problème qu’aucun report ne résoudra. Vérifiez la position contre le texte consolidé avant tout engagement qui en dépend — y compris contre cette note, qui porte une date pour cette raison.

Si vous voulez établir votre inventaire de systèmes et une vue de classification, commencez par une évaluation de préparation et de gouvernance de l’IA.

Cet article est une adaptation de l’original anglais. En cas de divergence, la version anglaise fait foi.