L'UE adopte formellement les amendements à l'AI Act, repoussant l'échéance de conformité pour l'IA à haut risque à 2027

L'Union européenne a officiellement bouclé la révision de son AI Act. Le Conseil de l'UE a adopté le Digital Omnibus sur l'IA le 29 juin 2026 — dernière étape procédurale après l'approbation du même texte par le Parlement européen le 16 juin. Avec l'adoption par le Conseil, les amendements seront publiés au Journal officiel de l'UE et entreront en vigueur peu après, remodelant les calendriers de conformité pour les entreprises d'IA opérant en Europe.

Le Digital Omnibus constitue l'ensemble de modifications le plus important de l'AI Act européen depuis l'adoption du règlement en 2024. Son effet central : les entreprises déployant des systèmes d'IA à haut risque dans les secteurs de la santé, l'éducation, l'emploi, les forces de l'ordre et les infrastructures critiques bénéficient d'un délai supplémentaire significatif pour se conformer — dans certains cas, 16 mois au-delà des échéances initiales. Cette décision reflète le lobbying soutenu des groupes industriels qui arguaient que les délais initiaux étaient irréalistes, ainsi qu'une Commission européenne de plus en plus soucieuse de renforcer la compétitivité plutôt que d'alourdir le fardeau réglementaire dans la course à l'IA avec les États-Unis et la Chine.

Ce qui a changé — et ce qui n'a pas changé

Les amendements restructurent les calendriers de conformité selon deux voies, en fonction de la manière dont un système d'IA à haut risque est déployé :

Systèmes d'IA à haut risque autonomes (Annexe III) : Ceux-ci incluent l'IA utilisée dans les décisions d'embauche, la notation de crédit, l'identification biométrique, l'évaluation éducative et l'accès aux services essentiels. L'échéance de conformité initiale était le 2 août 2026 — à quelques semaines seulement. Selon le Digital Omnibus, cette échéance est repoussée au 2 décembre 2027. Les entreprises de cette catégorie gagnent 16 mois supplémentaires.

IA intégrée dans des produits réglementés (Annexe I) : Les composants d'IA intégrés dans des produits déjà régis par la législation européenne existante en matière de sécurité — tels que les dispositifs médicaux, les machines industrielles et les véhicules — devront désormais se conformer d'ici le 2 août 2028, soit un an de plus que l'échéance précédente d'août 2027.

Les règles relatives aux modèles d'IA à usage général (General-Purpose AI, GPAI), qui encadrent les modèles de pointe d'entreprises comme Anthropic, Google, Meta et OpenAI, restent inchangées. Les obligations des fournisseurs de GPAI — incluant documentation sur la transparence, tests adverses et évaluations des risques systémiques pour les modèles dépassant le seuil de calcul — restent sur leur calendrier d'origine.

Une nouvelle interdiction ajoutée

Si les amendements assouplissent les délais, ils renforcent également la liste des interdictions sur un point : les systèmes d'IA conçus pour générer des images intimes non consensuelles (NCII), communément appelés outils de deepfake pornographique, ainsi que les systèmes d'IA générant des contenus d'abus sexuels sur enfants (CSAM) sont désormais explicitement interdits par l'AI Act. La mise en conformité avec cette interdiction est requise d'ici le 2 décembre 2026 — une échéance rapprochée qui contraste avec les prolongations plus longues accordées ailleurs dans le paquet.

Cet ajout signale l'intention de l'UE d'utiliser l'AI Act comme un vecteur de régulation de la sécurité des contenus, et pas seulement des risques systémiques et techniques. Il aligne également l'AI Act avec d'autres efforts législatifs européens visant les préjudices en ligne.

Pourquoi la prolongation a été accordée

Les délais initiaux de l'AI Act ont été critiqués de toutes parts. Les groupes industriels ont fait valoir que l'infrastructure de conformité requise — documentation interne, évaluations de conformité, inscription dans la base de données de l'UE, audits par des organismes notifiés — n'était pas prête à l'échelle nécessaire, en particulier pour les entreprises de taille moyenne. Les juristes ont signalé des ambiguïtés dans l'interprétation de plusieurs catégories de l'Annexe III, créant une incertitude réglementaire même pour les entreprises souhaitant agir rapidement.

La Commission européenne, qui a proposé le Digital Omnibus au début de l'année 2026, a présenté les amendements comme une mesure de « simplification » et de compétitivité, plutôt qu'un recul réglementaire. La commissaire au Numérique, Henna Virkkunen, a évoqué la nécessité d'éviter une fragmentation réglementaire et de garantir que les entreprises européennes ne soient pas désavantagées durant une période d'investissement rapide dans l'IA à l'échelle mondiale.

Les critiques, notamment des organisations de la société civile et certains députés européens, ont soutenu que les prolongations affaiblissent les protections dans des domaines sensibles précisément au moment où le déploiement de l'IA dans l'embauche, la santé et les forces de l'ordre s'accélère. Le texte final a conservé les prolongations tout en ajoutant l'interdiction des NCII comme concession.

Implications pratiques pour les entreprises

Pour les entreprises développant ou déployant des systèmes d'IA dans l'UE, le Digital Omnibus modifie considérablement le calendrier de conformité à court terme. L'échéance d'août 2026 avait créé une urgence parmi les équipes juridiques et de conformité ; cette pression est désormais levée pour les systèmes autonomes de l'Annexe III jusqu'à la fin 2027.

Ce que les entreprises ne devraient pas faire, c'est considérer la prolongation comme un signal pour interrompre complètement le travail de mise en conformité. Les exigences de documentation, les obligations de classification des risques et les normes techniques de l'AI Act européen deviennent plus claires à mesure que les organismes de réglementation publient des orientations. Les entreprises qui utiliseront ce délai supplémentaire pour construire des processus conformes — plutôt que de simplement retarder — seront mieux positionnées lorsque décembre 2027 arrivera. Celles qui attendront mi-2027 pour commencer feront face à la même pénurie d'infrastructure que celle créée par le calendrier initial.

Pour les entreprises non européennes vendant des produits ou services basés sur l'IA sur le marché de l'UE, la portée juridictionnelle de l'AI Act reste inchangée. Le Digital Omnibus a ajusté les délais, pas le champ d'application.

Attribution des sources

Cet article s'appuie sur les annonces officielles du Conseil de l'UE et du Parlement européen, les analyses juridiques de Gibson Dunn, Morgan Lewis, et White & Case, ainsi que le texte officiel du Digital Omnibus publié par la Commission européenne.