AI Act : ce que le Digital Omnibus change (et ne change pas) au 2 août 2026

Le 2 août 2026 devait être la grande échéance de l'AI Act : l'entrée en application des obligations pour les systèmes d'IA à haut risque. Le Digital Omnibus a rebattu les cartes à quelques semaines de la date : adopté par le Parlement européen le 16 juin 2026 puis approuvé par le Conseil le 29 juin, il reporte les obligations des systèmes à haut risque de seize mois. Mais attention à la lecture rapide : le 2 août 2026 reste une échéance bien réelle, avec des obligations de transparence et l'activation des pouvoirs de sanction. Voici précisément ce qui change, ce qui ne change pas, et ce que votre entreprise doit faire.

Le Digital Omnibus : un report ciblé, pas une pause de l'AI Act

L'AI Act, règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024 avec une application échelonnée : interdictions et obligation de maîtrise de l'IA depuis le 2 février 2025, règles applicables aux modèles d'IA à usage général depuis le 2 août 2025, et systèmes à haut risque initialement prévus au 2 août 2026.

Constatant le retard généralisé de mise en œuvre (normes harmonisées non publiées, autorités nationales incomplètes), la Commission européenne a proposé le 19 novembre 2025 un paquet de simplification, le Digital Omnibus sur l'IA. Le parcours législatif a été mené à un rythme inédit : accord politique provisoire entre le Parlement et le Conseil le 7 mai 2026, vote en plénière du Parlement le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), approbation finale du Conseil le 29 juin 2026. La publication au Journal officiel de l'Union européenne est attendue avant le 2 août 2026.

Point de vigilance : tant que le texte n'est pas publié au Journal officiel, le calendrier initial fait juridiquement foi. Le report est acquis politiquement, mais une entreprise ne peut pas fonder sa stratégie de conformité sur un texte non publié. Vérifiez la publication effective avant de replanifier vos échéances internes.

Ce que le Digital Omnibus change : les reports du haut risque

Le Digital Omnibus ne touche ni à l'architecture du règlement ni à son approche par les risques. Il modifie le calendrier des seules obligations relatives aux systèmes d'IA à haut risque, en le scindant en deux échéances :

• Systèmes à haut risque autonomes (annexe III) : recrutement et gestion des travailleurs, évaluation de crédit, éducation, accès aux services essentiels, biométrie, répression, justice. Les obligations passent du 2 août 2026 au 2 décembre 2027, soit seize mois de report ;
• Systèmes à haut risque intégrés à des produits réglementés (annexe I) : dispositifs médicaux, machines, véhicules et autres produits soumis à une législation d'harmonisation. Les obligations passent du 2 août 2027 au 2 août 2028.

Pour les entreprises qui développent ou déploient des systèmes de l'annexe III (un outil de tri de candidatures, un scoring interne, un module d'évaluation), ce report offre un vrai délai supplémentaire pour la documentation technique, la gestion des risques, le marquage CE et l'enregistrement dans la base de données européenne. Il ne supprime aucune de ces obligations : il les décale.

Ce qui reste dû au 2 août 2026 : la partie que tout le monde oublie

C'est le cœur de la confusion actuelle : le report ne vide pas l'échéance du 2 août 2026. Trois blocs restent applicables à cette date.

Les obligations de transparence de l'article 50

L'article 50 de l'AI Act s'applique au 2 août 2026 et n'est pas reporté. Il impose notamment :

• d'informer les personnes qu'elles interagissent avec un système d'IA (chatbots, assistants) lorsque ce n'est pas évident ;
• de marquer les contenus générés ou manipulés par IA dans un format lisible par machine ;
• de signaler visiblement les hypertrucages (deepfakes) et certains textes d'information générés par IA.

Toute entreprise qui exploite un chatbot client, un générateur de contenus diffusés en externe ou des visuels générés par IA est concernée, quel que soit le niveau de risque de son système. L'Omnibus prévoit un aménagement limité pour le marquage technique des systèmes déjà mis sur le marché avant le 2 août 2026, avec un délai supplémentaire de quelques mois, mais les nouveaux systèmes doivent être conformes dès l'échéance.

L'activation des pouvoirs de sanction

Le 2 août 2026 arme les régulateurs : les dispositions relatives aux sanctions deviennent applicables. Le plafond atteint 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour le non-respect des pratiques interdites, et des paliers inférieurs s'appliquent aux autres manquements. Les pratiques interdites (notation sociale, manipulation exploitant les vulnérabilités, certaines identifications biométriques) sont déjà en vigueur depuis le 2 février 2025 : à partir du 2 août 2026, leur violation peut être effectivement sanctionnée.

Les obligations déjà en vigueur qui demeurent

Le report ne touche pas non plus ce qui s'applique déjà : l'obligation de maîtrise de l'IA de l'article 4 (formation du personnel amené à utiliser des systèmes d'IA, applicable depuis février 2025) et le régime des modèles d'IA à usage général (applicable depuis août 2025). Une entreprise qui n'a mené aucune action de formation ni documenté ses usages est déjà en retard, indépendamment de l'Omnibus.

Ce que ça change concrètement selon votre situation

Vous déployez un chatbot ou de l'IA générative en externe

Le 2 août 2026 est votre échéance. Information des utilisateurs, marquage des contenus générés, signalement des deepfakes : ces obligations s'appliquent à vous dans quelques jours. C'est le chantier prioritaire de l'été.

Vous développez ou utilisez un système relevant de l'annexe III

Vous gagnez seize mois, jusqu'au 2 décembre 2027, sous réserve de la publication au Journal officiel. Utilisez ce délai pour dérouler la conformité sans urgence : cartographie, qualification du rôle (fournisseur ou déployeur), gestion des risques, documentation, supervision humaine. Le report est une opportunité de faire bien ce qui aurait été fait dans la précipitation.

Vous intégrez de l'IA dans un produit réglementé

L'échéance annexe I passe au 2 août 2028, alignée sur les cycles de certification produit. La conformité IA doit être intégrée à la feuille de route de certification globale du produit.

Le plan d'action de la rentrée 2026

Voici les cinq actions à mener, dans l'ordre :

1. Cartographier vos systèmes d'IA : recenser tous les systèmes développés, achetés ou intégrés, et les classer par niveau de risque selon les annexes I et III. Sans cartographie, aucune échéance n'est pilotable ;
2. Mettre en conformité la transparence article 50 avant le 2 août 2026 : mentions d'information sur les chatbots, marquage des contenus générés, signalement des hypertrucages ;
3. Vérifier l'exclusion des pratiques interdites : aucun usage relevant de l'article 5 ne doit subsister, la sanction étant désormais activable ;
4. Documenter la maîtrise de l'IA : plans de formation, sensibilisation, traçabilité des mesures prises au titre de l'article 4 ;
5. Planifier le haut risque sur le nouveau calendrier : décembre 2027 pour l'annexe III, août 2028 pour l'annexe I, en confirmant la publication de l'Omnibus au Journal officiel.

Pour structurer cette démarche, une charte de bonnes pratiques en IA constitue souvent le premier livrable utile : elle matérialise la gouvernance et sert de preuve de diligence.

Pourquoi ce report ne doit pas devenir une pause

Le piège du Digital Omnibus est psychologique : seize mois de report peuvent se transformer en seize mois d'inaction. Trois raisons de ne pas relâcher l'effort. D'abord, les obligations déjà applicables (transparence, maîtrise de l'IA, pratiques interdites, modèles à usage général) exposent dès maintenant à des sanctions. Ensuite, la conformité haut risque est un chantier long : gestion des risques, jeux de données, documentation technique et supervision humaine ne se construisent pas en trois mois. Enfin, vos clients et partenaires intègrent déjà l'AI Act dans leurs exigences contractuelles : les appels d'offres comportent des clauses de conformité IA, indépendamment du calendrier réglementaire.

La démarche est la même que celle observée pour le RGPD : les entreprises qui ont traité la conformité comme un projet d'anticipation en ont fait un avantage, celles qui ont attendu la première sanction ont subi. L'accompagnement sur le droit de l'intelligence artificielle consiste précisément à séquencer ces obligations selon votre situation réelle plutôt que de subir le calendrier.

Un texte encore mouvant : ce qu'il faudra surveiller

Deux points restent à suivre dans les prochaines semaines. La publication au Journal officiel d'abord, qui déclenchera l'entrée en vigueur formelle des reports. Les normes harmonisées ensuite : leur publication conditionnera la présomption de conformité des systèmes à haut risque, et leur retard est précisément ce qui a motivé l'Omnibus. Les entreprises qui développent des systèmes de l'annexe III ont intérêt à intégrer ces normes dès leur parution, même en avance de phase.

Si vous voulez qualifier vos systèmes d'IA, vérifier vos obligations au 2 août 2026 ou construire votre feuille de route vers décembre 2027, vous pouvez échanger sur votre situation directement avec moi.