Digital Omnibus : l'AI Act pour les systèmes à haut risque repoussé à décembre 2027 ?

Le 19 novembre 2025, la Commission européenne a publié le Digital Omnibus — un paquet législatif de simplification qui propose de modifier simultanément l'AI Act, le RGPD, le Data Act et d'autres textes numériques. Pour les entreprises concernées par l'AI Act (Règlement UE 2024/1689), l'annonce centrale est de taille : les obligations pour les systèmes d'IA à haut risque listés à l'Annexe III pourraient ne pas s'appliquer en août 2026 comme prévu, mais au plus tôt en décembre 2027.

Mais attention — il s'agit d'une proposition. Et la date d'août 2026 reste, à ce jour, la date légalement contraignante.

Pourquoi la Commission propose ce report

Le raisonnement de la Commission est pragmatique : l'écosystème de conformité n'est pas prêt. Les normes harmonisées nécessaires pour guider les entreprises — développées par le comité technique CEN-CENELEC JTC 21 — ne seront pas disponibles avant fin 2026 au plus tôt. Or, sans ces normes, les entreprises ne peuvent pas savoir avec certitude si leur documentation technique est conforme. Imposer une obligation dont les outils d'exécution n'existent pas encore, c'est créer de l'insécurité juridique.

La Commission a également identifié des retards structurels dans la désignation des autorités nationales compétentes et des organismes d'évaluation de la conformité dans les États membres. Le report proposé n'est donc pas un recul réglementaire, mais ce que la Commission elle-même appelle une "recalibration structurelle".

Ce que le Digital Omnibus change concrètement

Un calendrier conditionnel, pas une date fixe

Le mécanisme proposé est plus complexe qu'un simple report. L'application des obligations haut risque (Annexe III) serait liée à une décision de la Commission confirmant que les outils de conformité sont disponibles (normes, guidelines, spécifications communes). Une fois cette décision prise :

• 6 mois supplémentaires pour les systèmes de l'Annexe III (ex : IA dans le recrutement, l'éducation, les services essentiels)
• 12 mois supplémentaires pour les systèmes de l'Annexe I (intégrés dans des produits réglementés : dispositifs médicaux, machines, véhicules)

Des dates butoirs absolues sont toutefois fixées : 2 décembre 2027 pour l'Annexe III et 2 août 2028 pour l'Annexe I, même si les normes n'ont pas encore été publiées à ces dates.

Allègements pour les PME et les small mid-caps

Le Digital Omnibus introduit une nouvelle catégorie : les "small mid-caps", définies comme les entreprises de moins de 750 salariés et moins de 150 millions d'euros de chiffre d'affaires annuel. Ces entreprises bénéficieraient des mêmes allègements que les PME classiques, notamment :

• Documentation technique simplifiée pour les systèmes à haut risque
• Exigences allégées pour le système de management de la qualité (QMS)
• Modalités de calcul des amendes adaptées à leur taille

Article 50 : le marquage IA décalé de six mois

Les fournisseurs de systèmes d'IA générative mis sur le marché avant le 2 août 2026 disposeraient jusqu'au 2 février 2027 pour implémenter le marquage lisible par machine des contenus générés (Article 50(2) — filigranes, métadonnées). Les autres obligations de transparence de l'Article 50 restent applicables à partir d'août 2026.

Renforcement du Bureau de l'IA

Le Digital Omnibus renforce le rôle du Bureau de l'IA (AI Office) comme autorité centrale de supervision, notamment pour les systèmes basés sur des modèles d'IA à usage général (GPAI) et les très grandes plateformes. Cette centralisation vise à éviter la fragmentation entre les 27 États membres.

Ce qui ne change pas

Le Digital Omnibus ne modifie pas la structure fondamentale de l'AI Act. Restent inchangés :

• Les pratiques interdites (Article 5) : applicables depuis le 2 février 2025, elles ne sont pas concernées
• Les obligations GPAI (Articles 51-56) : en vigueur depuis le 2 août 2025
• La classification des risques : Annexe III, niveaux de risque, critères — rien ne change
• Les obligations de transparence de base (Article 50 hors §2) : maintenues à août 2026
• Le niveau des sanctions : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites

Le Digital Omnibus ne simplifie pas les exigences — il décale leur application. La documentation technique de l'Annexe IV, la gestion des risques (Art. 9), la gouvernance des données (Art. 10) : ces obligations existent toujours. Seule leur date d'opposabilité change.

Où en est le processus législatif ?

Le Digital Omnibus suit la procédure législative ordinaire, ce qui implique plusieurs étapes avant d'être adopté :

• 18 mars 2026 : vote en commissions parlementaires IMCO et LIBE sur le rapport de compromis — étape clé attendue dans les prochains jours
• Printemps 2026 : vote en séance plénière du Parlement européen, puis ouverture des trilogues avec le Conseil
• Mi-2026 : adoption finale attendue, sous pression de l'échéance d'août 2026

Les positions divergent entre groupes politiques. L'EPP, Renew et l'ECR soutiennent globalement la proposition, tandis que des membres du S&D, des Verts et de la Gauche remettent en question la nécessité de ces changements , certains évoquant des pressions géopolitiques extérieures. Des amendements sont quasi certains.

Que faire en attendant l'adoption ?

La tentation de "lever le pied" est compréhensible. Elle serait pourtant une erreur stratégique pour trois raisons :

1. Le Digital Omnibus n'est pas encore adopté. Si les trilogues prennent du retard, août 2026 s'applique par défaut. Les entreprises non conformes n'auront aucun recours.
2. Le report éventuel ne donne que des mois, pas des années. La date butoir absolue est décembre 2027 — soit 21 mois. Les entreprises qui commencent leur conformité maintenant seront mieux positionnées que celles qui attendent.
3. La classification, elle, ne change pas. Savoir si votre système est à haut risque est une étape préalable à toute conformité — et elle ne dépend d'aucune norme harmonisée.

La stratégie la plus sûre : préparer comme si août 2026 était réel, planifier comme si décembre 2027 était la date probable. Le diagnostic gratuit AiActo vous permet de classifier vos systèmes d'IA et d'identifier vos obligations dès maintenant — quelle que soit la date finale retenue.

Questions fréquentes

Le Digital Omnibus est-il déjà adopté ?

Non. La proposition de la Commission européenne, publiée le 19 novembre 2025, est actuellement en cours d'examen par le Parlement européen et le Conseil. Un vote clé en commissions IMCO et LIBE est attendu le 18 mars 2026. L'adoption finale, après trilogues, n'est pas attendue avant mi-2026 au plus tôt.

Les obligations AI Act d'août 2026 s'appliquent-elles encore ?

Oui, tant que le Digital Omnibus n'est pas officiellement adopté. La date du 2 août 2026 reste la date légalement contraignante pour les systèmes à haut risque (Annexe III). Si le texte de simplification n'est pas adopté avant cette date, les obligations originales s'appliquent automatiquement.

Quelles entreprises bénéficient des nouvelles exemptions pour PME ?

Le Digital Omnibus étend les allègements aux PME classiques (moins de 250 salariés, moins de 50 M€ de CA) et introduit une nouvelle catégorie : les "small mid-caps", définies comme les entreprises de moins de 750 salariés et moins de 150 M€ de chiffre d'affaires annuel. Ces entreprises bénéficieront d'exigences de documentation technique et de management qualité simplifiées.

Les obligations GPAI sont-elles concernées par le report ?

Non. Les obligations pour les fournisseurs de modèles d'IA à usage général (Articles 51 à 56) sont en vigueur depuis le 2 août 2025 et ne sont pas modifiées par le Digital Omnibus. Seule une période de grâce jusqu'au 2 février 2027 est accordée pour la mise à jour de la documentation des modèles GPAI déjà sur le marché avant août 2026.

Que propose concrètement le rapport des rapporteurs parlementaires ?

Le rapport publié le 5 février 2026 par les rapporteurs Arba Kokalari (EPP) et Michael McNamara (Renew Europe) propose de fixer des dates butoirs définitives : le 2 décembre 2027 pour les systèmes de l'Annexe III et le 2 août 2028 pour ceux de l'Annexe I, tout en rétablissant l'obligation de littératie IA pour les fournisseurs et déployeurs.

Le Digital Omnibus ne modifie pas la substance de l'AI Act — il ajuste son calendrier d'application face à une réalité concrète : les outils pour se conformer n'étaient pas prêts. Mais le report éventuel ne change pas la direction. La classification de vos systèmes d'IA, l'inventaire de vos obligations et la structuration de votre documentation restent des étapes incontournables, quelle que soit la date finale. Consultez l'échéancier AI Act sur AiActo pour suivre l'évolution du calendrier réglementaire en temps réel.