AI Act : ce que le Digital Omnibus change (et ne change pas) au 2 août 2026

Le 2 août 2026 devait être la grande échéance de l'AI Act : l'entrée en application des obligations pour les systèmes d'IA à haut risque. Le Digital Omnibus a rebattu les cartes à quelques semaines de la date : adopté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, publié au Journal officiel de l'Union européenne le 24 juillet et entré en vigueur le 27 juillet, il reporte les obligations des systèmes à haut risque de seize mois. Mais attention à la lecture rapide : le 2 août 2026 est resté une échéance bien réelle, celle des obligations de transparence. Voici précisément ce qui change, ce qui ne change pas, et ce que votre entreprise doit faire.

Le Digital Omnibus : un report ciblé, pas une pause de l'AI Act

L'AI Act, règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024 avec une application échelonnée : interdictions et obligation de maîtrise de l'IA depuis le 2 février 2025, règles applicables aux modèles d'IA à usage général depuis le 2 août 2025, et systèmes à haut risque initialement prévus au 2 août 2026.

Constatant le retard généralisé de mise en œuvre (normes harmonisées non publiées, autorités nationales incomplètes), la Commission européenne a proposé le 19 novembre 2025 un paquet de simplification, le Digital Omnibus sur l'IA. Le parcours législatif a été mené à un rythme inédit : accord politique provisoire entre le Parlement et le Conseil le 7 mai 2026, vote en plénière du Parlement le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), approbation finale du Conseil le 29 juin 2026. Le texte, signé le 8 juillet 2026, a été publié au Journal officiel de l'Union européenne le 24 juillet : le règlement (UE) 2026/1744 est entré en vigueur le troisième jour suivant, le 27 juillet 2026.

Point de vigilance : le report est désormais acquis en droit. Les plannings internes construits sur l'échéance du 2 août 2026 pour le haut risque peuvent être recalés, pas abandonnés : seize mois restent un délai court au regard du chantier.

Ce que le Digital Omnibus change : les reports du haut risque

Le Digital Omnibus ne touche ni à l'architecture du règlement ni à son approche par les risques. Pour l'essentiel, il modifie le calendrier des obligations relatives aux systèmes d'IA à haut risque, en le scindant en deux échéances :

• Systèmes à haut risque autonomes (annexe III) : recrutement et gestion des travailleurs, évaluation de crédit, éducation, accès aux services essentiels, biométrie, répression, justice. Les obligations passent du 2 août 2026 au 2 décembre 2027, soit seize mois de report ;
• Systèmes à haut risque intégrés à des produits réglementés (annexe I) : dispositifs médicaux, machines, véhicules et autres produits soumis à une législation d'harmonisation. Les obligations passent du 2 août 2027 au 2 août 2028.

Pour les entreprises qui développent ou déploient des systèmes de l'annexe III (un outil de tri de candidatures, un scoring interne, un module d'évaluation), ce report offre un vrai délai supplémentaire pour la documentation technique, la gestion des risques, le marquage CE et l'enregistrement dans la base de données européenne. Il ne supprime aucune de ces obligations : il les décale.

Ce qui reste dû au 2 août 2026 : la partie que tout le monde oublie

C'est le cœur de la confusion actuelle : le report ne vide pas l'échéance du 2 août 2026. Trois blocs restent applicables à cette date.

Les obligations de transparence de l'article 50

L'article 50 de l'AI Act s'applique depuis le 2 août 2026 et n'est pas reporté. Il impose notamment :

• d'informer les personnes qu'elles interagissent avec un système d'IA (chatbots, assistants) lorsque ce n'est pas évident ;
• de marquer les contenus générés ou manipulés par IA dans un format lisible par machine ;
• de signaler visiblement les hypertrucages (deepfakes) et certains textes d'information générés par IA.

Toute entreprise qui exploite un chatbot client, un générateur de contenus diffusés en externe ou des visuels générés par IA est concernée, quel que soit le niveau de risque de son système. L'Omnibus prévoit un aménagement limité : pour les systèmes génératifs mis sur le marché avant le 2 août 2026, le marquage technique de l'article 50, paragraphe 2, est dû au 2 décembre 2026 (article 111, paragraphe 4). Les nouveaux systèmes doivent être conformes depuis le 2 août.

Les pouvoirs de sanction

Leur calendrier est souvent mal présenté. Le chapitre de l'AI Act consacré aux sanctions s'applique depuis le 2 août 2025 (article 113) : chaque État membre fixe ses règles et désigne ses autorités. Le plafond atteint 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour le non-respect des pratiques interdites (notation sociale, manipulation exploitant les vulnérabilités, certaines identifications biométriques), en vigueur depuis le 2 février 2025, et des paliers inférieurs s'appliquent aux autres manquements. Le 2 août 2026 a ajouté les amendes que la Commission peut infliger aux fournisseurs de modèles d'IA à usage général (article 101). En France, la loi d'adaptation qui désignera les autorités de contrôle n'est pas votée : le projet adopté par le Sénat le 18 février 2026 attend toujours l'Assemblée nationale.

Les obligations déjà en vigueur qui demeurent

Le report ne touche pas non plus ce qui s'applique déjà : l'obligation de maîtrise de l'IA de l'article 4, applicable depuis février 2025, et le régime des modèles d'IA à usage général, applicable depuis août 2025. L'Omnibus n'a pas reporté l'article 4, il l'a réécrit : depuis le 27 juillet 2026, fournisseurs et déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, sans devoir garantir un niveau spécifique. L'effort reste dû et doit pouvoir être montré. Le texte ajoute aussi des cas à la liste des pratiques interdites de l'article 5, applicables au 2 décembre 2026.

Ce que ça change concrètement selon votre situation

Vous déployez un chatbot ou de l'IA générative en externe

Le 2 août 2026 était votre échéance. Information des utilisateurs, marquage des contenus générés, signalement des deepfakes : ces obligations s'appliquent déjà. Si ce n'est pas fait, c'est le chantier prioritaire. Seul le marquage des systèmes génératifs déjà sur le marché avant cette date bénéficie d'un délai au 2 décembre 2026.

Vous développez ou utilisez un système relevant de l'annexe III

Vous gagnez seize mois, jusqu'au 2 décembre 2027. Utilisez ce délai pour dérouler la conformité sans urgence : cartographie, qualification du rôle (fournisseur ou déployeur), gestion des risques, documentation, supervision humaine. Le report est une opportunité de faire bien ce qui aurait été fait dans la précipitation.

Vous intégrez de l'IA dans un produit réglementé

L'échéance annexe I passe au 2 août 2028, alignée sur les cycles de certification produit. La conformité IA doit être intégrée à la feuille de route de certification globale du produit.

Le plan d'action pour la fin 2026

Voici les cinq actions à mener, dans l'ordre :

1. Cartographier vos systèmes d'IA : recenser tous les systèmes développés, achetés ou intégrés, et les classer par niveau de risque selon les annexes I et III. Sans cartographie, aucune échéance n'est pilotable ;
2. Mettre en conformité la transparence article 50 sans attendre, puisqu'elle s'applique depuis le 2 août 2026 : mentions d'information sur les chatbots, marquage des contenus générés, signalement des hypertrucages ;
3. Vérifier l'exclusion des pratiques interdites : aucun usage relevant de l'article 5 ne doit subsister, la sanction étant la plus lourde du règlement ;
4. Documenter la maîtrise de l'IA : plans de formation, sensibilisation, traçabilité des mesures prises au titre de l'article 4 ;
5. Planifier le haut risque sur le nouveau calendrier : décembre 2027 pour l'annexe III, août 2028 pour l'annexe I.

Pour structurer cette démarche, une charte de bonnes pratiques en IA constitue souvent le premier livrable utile : elle matérialise la gouvernance et sert de preuve de diligence.

Pourquoi ce report ne doit pas devenir une pause

Le piège du Digital Omnibus est psychologique : seize mois de report peuvent se transformer en seize mois d'inaction. Trois raisons de ne pas relâcher l'effort. D'abord, les obligations déjà applicables (transparence, maîtrise de l'IA, pratiques interdites, modèles à usage général) exposent dès maintenant à des sanctions. Ensuite, la conformité haut risque est un chantier long : gestion des risques, jeux de données, documentation technique et supervision humaine ne se construisent pas en trois mois. Enfin, vos clients et partenaires intègrent déjà l'AI Act dans leurs exigences contractuelles : les appels d'offres comportent des clauses de conformité IA, indépendamment du calendrier réglementaire.

La démarche est la même que celle observée pour le RGPD : les entreprises qui ont traité la conformité comme un projet d'anticipation en ont fait un avantage, celles qui ont attendu la première sanction ont subi. L'accompagnement sur le droit de l'intelligence artificielle consiste précisément à séquencer ces obligations selon votre situation réelle plutôt que de subir le calendrier.

Un texte encore mouvant : ce qu'il faudra surveiller

Deux points restent à suivre. La loi française d'adaptation d'abord : c'est elle qui désignera les autorités de contrôle et précisera le régime des sanctions. Les normes harmonisées ensuite : leur publication conditionne la présomption de conformité des systèmes à haut risque, et leur retard est précisément ce qui a motivé l'Omnibus. Une première référence, EN 18286 sur le système de management de la qualité, a été publiée au Journal officiel de l'Union le 14 octobre 2026 ; les autres restent attendues. Les entreprises qui développent des systèmes de l'annexe III ont intérêt à intégrer ces normes dès leur parution, même en avance de phase.

Si vous voulez qualifier vos systèmes d'IA, vérifier les obligations qui s'appliquent déjà ou construire votre feuille de route vers décembre 2027, vous pouvez échanger sur votre situation directement avec moi.