Digital Omnibus adopté : l'AI Act haut risque reporté à décembre 2027

Oui. Le Digital Omnibus sur l'IA (« Omnibus IA ») a été adopté : c'est le Règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Pour les entreprises concernées par l'AI Act (Règlement UE 2024/1689), les obligations des systèmes d'IA à haut risque listés à l'Annexe III s'appliquent désormais à partir du 2 décembre 2027 au lieu du 2 août 2026, et celles des systèmes intégrés aux produits de l'Annexe I à partir du 2 août 2028. Les obligations de transparence de l'article 50, elles, s'appliquent depuis le 2 août 2026, comme prévu.

Le texte est issu de la proposition de la Commission du 19 novembre 2025, intégrée à un paquet de simplification qui visait aussi le RGPD, le Data Act et d'autres textes numériques. Ce n'est plus une proposition : ces dates relèvent désormais du droit en vigueur.

Pourquoi la Commission a proposé ce report

Le raisonnement de la Commission était pragmatique : l'écosystème de conformité n'était pas prêt. Les normes harmonisées nécessaires pour guider les entreprises — développées par le comité technique CEN-CENELEC JTC 21 — n'étaient pas attendues avant fin 2026. Or, sans ces normes, les entreprises ne peuvent pas savoir avec certitude si leur documentation technique est conforme. Imposer une obligation dont les outils d'exécution n'existent pas encore, c'est créer de l'insécurité juridique.

La Commission a également identifié des retards structurels dans la désignation des autorités nationales compétentes et des organismes d'évaluation de la conformité dans les États membres. Le report n'est donc pas un recul réglementaire, mais ce que la Commission elle-même a appelé une "recalibration structurelle".

Ce que le Digital Omnibus change concrètement

De nouvelles dates d'application pour le haut risque

La proposition initiale de la Commission liait l'application des obligations haut risque à une décision de la Commission confirmant la disponibilité des outils de conformité (normes, lignes directrices, spécifications communes), assortie de dates butoirs. Depuis l'adoption du Règlement (UE) 2026/1744, les dates à retenir sont les suivantes :

• 2 décembre 2027 pour les systèmes de l'Annexe III (ex : IA dans le recrutement, l'éducation, les services essentiels) — au lieu du 2 août 2026
• 2 août 2028 pour les systèmes de l'Annexe I (intégrés dans des produits réglementés : dispositifs médicaux, machines, véhicules) — au lieu du 2 août 2027

Dans le calendrier modifié, les bacs à sable réglementaires nationaux (article 57) doivent être opérationnels au 2 août 2027.

Allègements pour les PME et les small mid-caps

La proposition de la Commission introduisait une nouvelle catégorie : les "small mid-caps", définies comme les entreprises de moins de 750 salariés et moins de 150 millions d'euros de chiffre d'affaires annuel, appelées à bénéficier des mêmes allègements que les PME classiques. Reportez-vous au texte publié au Journal officiel pour le périmètre exact de ces allègements, qui portaient notamment sur :

• Documentation technique simplifiée pour les systèmes à haut risque
• Exigences allégées pour le système de management de la qualité (QMS)
• Modalités de calcul des amendes adaptées à leur taille

Article 50 : délai de grâce pour le marquage jusqu'au 2 décembre 2026

L'article 50 s'applique depuis le 2 août 2026. Seul le marquage lisible par machine des contenus générés par IA (article 50(2) — filigranes, métadonnées) bénéficie d'un délai de grâce jusqu'au 2 décembre 2026, et uniquement pour les systèmes mis sur le marché avant le 2 août 2026. Les systèmes mis sur le marché à partir du 2 août 2026 doivent s'y conformer immédiatement. Pour accompagner la mise en œuvre, la Commission a publié ses lignes directrices définitives sur l'article 50 le 20 juillet 2026, ainsi qu'un code de bonnes pratiques sur le marquage et l'étiquetage des contenus générés par IA, volontaire, le 10 juin 2026.

Maîtrise de l'IA assouplie, nouvelles interdictions

L'Omnibus reformule l'article 4 : la maîtrise de l'IA devient une obligation de prendre des mesures pour la maîtrise de l'IA du personnel — une formulation plus souple que le texte initial. Il ajoute également de nouvelles pratiques interdites, applicables à partir du 2 décembre 2026 : les systèmes conçus pour générer des images intimes non consenties ou des contenus pédopornographiques.

Ce qui ne change pas

Le Digital Omnibus ne modifie pas la structure fondamentale de l'AI Act. Restent inchangés :

• Les pratiques interdites (Article 5) : applicables depuis le 2 février 2025, les interdictions existantes ne sont pas concernées
• Les obligations GPAI (Articles 51-56) : en vigueur depuis le 2 août 2025
• La classification des risques : Annexe III, niveaux de risque, critères — rien ne change
• Les obligations de transparence de l'article 50 : applicables depuis le 2 août 2026
• Le niveau des sanctions : jusqu'à 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres obligations

Pour les systèmes à haut risque, le Digital Omnibus ne supprime pas les exigences — il décale leur application. La documentation technique de l'Annexe IV, la gestion des risques (Art. 9), la gouvernance des données (Art. 10) : ces obligations existent toujours. Seule leur date d'opposabilité change.

De la proposition au Règlement (UE) 2026/1744 : la chronologie

L'Omnibus IA a suivi la procédure législative ordinaire, en un peu plus de huit mois :

• 19 novembre 2025 : proposition de la Commission (COM(2025) 836)
• 7 mai 2026 : accord provisoire en trilogue ; 16 juin 2026 : vote final du Parlement européen ; 29 juin 2026 : adoption par le Conseil
• 24 juillet 2026 : publication au Journal officiel, puis entrée en vigueur le 27 juillet 2026

Le texte a donc été adopté avant l'échéance initiale du 2 août 2026 pour le haut risque, qui ne s'applique plus aux systèmes de l'Annexe III. Le débat législatif est clos : les dates ci-dessus sont désormais celles qui s'imposent aux entreprises.

Que faire maintenant ?

Maintenant que l'échéance a reculé, la tentation de "lever le pied" est compréhensible. Elle serait pourtant une erreur stratégique pour trois raisons :

1. Les nouvelles dates sont gravées dans le droit. Le 2 décembre 2027 (Annexe III) et le 2 août 2028 (Annexe I) sont fixés par le Règlement (UE) 2026/1744. Il n'y a plus d'issue législative à attendre.
2. Le report ne donne que des mois, pas des années. Documentation technique, gestion des risques et management de la qualité d'un système à haut risque demandent de nombreux mois de travail. Les entreprises qui commencent leur conformité maintenant seront mieux positionnées que celles qui attendent.
3. La classification, elle, ne change pas. Savoir si votre système est à haut risque est une étape préalable à toute conformité — et elle ne dépend d'aucune norme harmonisée.

La stratégie la plus sûre : se conformer dès maintenant à l'article 50, et planifier la conformité haut risque à rebours depuis le 2 décembre 2027. Le diagnostic gratuit AiActo vous permet de classifier vos systèmes d'IA et d'identifier vos obligations dès maintenant — quelle que soit leur catégorie de risque.

Questions fréquentes

Le Digital Omnibus est-il adopté ?

Oui. Le Digital Omnibus sur l'IA a été adopté comme Règlement (UE) 2026/1744, après un accord provisoire en trilogue le 7 mai 2026, un vote du Parlement européen le 16 juin 2026 et une adoption par le Conseil le 29 juin 2026. Il a été publié au Journal officiel le 24 juillet 2026 et est en vigueur depuis le 27 juillet 2026.

Les obligations AI Act d'août 2026 s'appliquent-elles encore ?

En partie. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, sans changement par l'Omnibus (avec un délai de grâce jusqu'au 2 décembre 2026 pour le marquage des contenus générés par des systèmes mis sur le marché avant cette date). Les obligations haut risque de l'Annexe III, en revanche, s'appliquent désormais à partir du 2 décembre 2027.

Quelles entreprises bénéficient des nouvelles exemptions pour PME ?

La proposition de la Commission étendait les allègements aux PME classiques (moins de 250 salariés, moins de 50 M€ de CA) et à une nouvelle catégorie de "small mid-caps" (moins de 750 salariés et moins de 150 M€ de chiffre d'affaires annuel), avec des exigences de documentation technique et de management qualité simplifiées. Vérifiez le périmètre exact de ces mesures dans le Règlement (UE) 2026/1744 tel que publié.

Les obligations GPAI sont-elles concernées par le report ?

Non. Les obligations pour les fournisseurs de modèles d'IA à usage général (Articles 51 à 56) sont en vigueur depuis le 2 août 2025 et ne sont pas reportées par le Digital Omnibus.

Qu'est-ce qui change pour la maîtrise de l'IA (article 4) ?

L'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025. L'Omnibus la reformule : il s'agit désormais d'une obligation de prendre des mesures pour la maîtrise de l'IA du personnel, une formulation plus souple que le texte initial. Mettre en place de telles mesures reste donc nécessaire.

Le Digital Omnibus ne modifie pas la substance de l'AI Act — il a ajusté son calendrier d'application face à une réalité concrète : les outils pour se conformer n'étaient pas prêts. Mais le report ne change pas la direction. La classification de vos systèmes d'IA, l'inventaire de vos obligations et la structuration de votre documentation restent des étapes incontournables, quelle que soit leur catégorie de risque. Consultez l'échéancier AI Act sur AiActo pour suivre l'évolution du calendrier réglementaire en temps réel.