Le 16 juin 2026, le Parlement européen a procédé à son vote final approuvant le Digital Omnibus sur l’IA, un ensemble de modifications ciblées du Règlement sur l'Intelligence Artificielle (RIA ou AI Act) de l’UE. Le Conseil devrait adopter formellement le texte le 29 juin 2026, après quoi il sera publié au Journal officiel.
La publication officielle au Journal officiel est attendue à la suite de l’adoption par le Conseil le 29 juin 2026. Nous continuerons à suivre et à relayer les développements relatifs aux mesures d’exécution.
Un calendrier recalibré
L’architecture centrale de l’AI Act, qui comprend sa classification fondée sur le risque, les pratiques interdites et les règles applicables à l’IA à usage général, demeure inchangée. Deux catégories de systèmes d’IA à haut risque au sens du règlement feront désormais l’objet de dates d’application prolongées.
- Les systèmes d’IA à haut risque visés à l’annexe III et déployés de manière autonome seront soumis aux exigences de conformité complètes à compter du 2 décembre 2027, et non plus du 2 août 2026. Il s’agit d’une prolongation de dix-sept mois.
- Les systèmes d’IA à haut risque intégrés comme composants de sécurité dans des produits régis par la législation sectorielle de sécurité existante de l’UE (annexe I) ne seront soumis à ces exigences qu’à partir du 2 août 2028, soit douze mois plus tard que l’échéance précédente du 2 août 2027.
S’agissant des obligations de transparence et de filigrane prévues à l’article 50, la situation est plus nuancée : les systèmes d’IA déjà mis sur le marché avant le 2 août 2026 bénéficient d’une échéance prolongée au 2 décembre 2026. Pour tous les autres systèmes, la date du 2 août 2026 continue de s’appliquer.
Cette distinction est importante et rend essentiel l’établissement d’un inventaire des systèmes déjà déployés, ainsi que de leur date de déploiement, afin de déterminer quelle échéance s’applique réellement.
Interdiction des contenus abusifs générés par l’IA
Au-delà des ajustements calendaires, l’Omnibus introduit un ajout substantiel à la liste des pratiques interdites par l’IA au titre de l’article 5.
Les systèmes d’IA conçus pour générer des images intimes non consenties (les outils dits de « nudification » ou les contenus pédopornographiques générés par IA) sont désormais explicitement interdits.
L’interdiction couvre à la fois les fournisseurs qui mettent de tels systèmes sur le marché de l’UE et les déployeurs qui les utilisent à ces fins. La conformité à cette nouvelle interdiction est requise d’ici au 2 décembre 2026.
Clarifications structurelles à noter
Le paquet traite également plusieurs points de friction réglementaire soulevés par les praticiens depuis l’adoption de l’AI Act.
Les obligations qui se recoupent avec la législation sectorielle de sécurité existante, en particulier dans le secteur des machines, sont rationalisées afin d’éviter les doublons. La notion de « composant de sécurité » fait l’objet de clarifications supplémentaires, ce qui sera pertinent pour les fabricants de produits naviguant entre le droit de la sécurité des produits et les exigences spécifiques à l’IA.
En matière de traitement des données, les amendements autorisent l’utilisation de données à caractère personnel, sous réserve de garanties appropriées, strictement aux fins de détection et de correction des biais dans les systèmes d’IA.
Des assouplissements de type PME sont étendus aux petites entreprises de taille intermédiaire (« small mid-caps »).
L’application des obligations relatives aux modèles d’IA à usage général est également centralisée au niveau de l’Office européen de l’IA, ce qui aura des conséquences opérationnelles sur la manière dont les entreprises interagissent avec les régulateurs concernant les sujets GPAI.
Point pratique à retenir
L’Omnibus accorde un délai supplémentaire significatif aux organisations qui travaillent à la mise en conformité des systèmes d’IA à haut risque avec les exigences techniques du règlement ; des exigences qui, dans de nombreux cas, dépendent de normes harmonisées qui ne sont pas encore finalisées. Cette justification est légitime.
Cependant, le 2 août 2026 demeure une date de conformité réelle et proche pour les obligations de transparence prévues à l’article 50.
Le compte à rebours réglementaire ne s’est pas arrêté ; il a simplement été réinitialisé pour certains systèmes et maintenu pour d’autres.
Pour les juristes, les DPO et les responsables conformité, la priorité immédiate reste la même : finaliser l’inventaire des systèmes d’IA entrant dans le champ d’application, déterminer pour chacun la classification applicable et l’échéance correspondante, puis organiser les mesures correctives en conséquence.
Pour les équipes dirigeantes, l’Omnibus offre une marge de manœuvre sur les obligations à haut risque les plus gourmandes en ressources, mais il ne dispense pas de mettre en place, bien avant l’été, une gouvernance documentée de l’IA.