Modification du calendrier du règlement européen sur l'IA : les règles sur le haut risque reportées à 2027-2028

En bref

• Le règlement (UE) 2026/1744, l’« omnibus numérique sur l’IA », modifie le règlement sur l’IA (règlement (UE) 2024/1689) et deux règlements relatifs à la sécurité des produits. Daté du 8 juillet 2026, il a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, le troisième jour suivant sa publication.
• Le changement essentiel concerne le calendrier applicable à l’IA à haut risque. Les obligations du chapitre III, sections 1 à 3, du règlement sur l’IA s’appliquent désormais à compter du 2 décembre 2027 pour les systèmes énumérés à l’annexe III (notamment ceux liés aux services publics, à la migration, à l’application de la loi et à l’administration de la justice) et à compter du 2 août 2028 pour l’IA intégrée dans des produits couverts par l’annexe I. Les échéances initiales étaient respectivement le 2 août 2026 et le 2 août 2027.
• Les dates sont fixes. La Commission avait proposé de conditionner le déclenchement des règles relatives aux systèmes à haut risque à la disponibilité de normes et d’outils d’accompagnement ; les colégislateurs ont écarté ce mécanisme.
• Beaucoup d’autres dispositions ne sont pas reportées. Les interdictions (en vigueur depuis le 2 février 2025), les règles applicables aux modèles d’IA à usage général (en vigueur depuis le 2 août 2025) et la date générale d’application du 2 août 2026, y compris les obligations de transparence de l’article 50 et le chapitre sur la gouvernance, restent inchangés. L’omnibus ajoute de nouvelles interdictions concernant les IA qui génèrent des images intimes non consensuelles et du matériel d’abus sexuel pédocriminel, applicables à compter du 2 décembre 2026.
• Pour les administrations publiques, une échéance n’a pas changé : les fournisseurs et déployeurs de systèmes à haut risque destinés à être utilisés par les autorités publiques et déjà présents sur le marché doivent se mettre en conformité au plus tard le 2 août 2030.
• Un omnibus numérique distinct, de portée plus large, qui modifie le RGPD et d’autres lois sur les données (procédure 2025/0360(COD)), est toujours à l’étape de la commission au Parlement européen.

Contexte

Élaboration du calendrier du règlement sur l’IA

Le règlement sur l’IA est entré en vigueur le 1er août 2024 selon un calendrier d’application échelonné, de sorte que l’ensemble de ses règles s’appliquent au plus tard le 2 août 2027. Les interdictions prévues à l’article 5 sont entrées en application en premier, le 2 février 2025, en même temps qu’une obligation de maîtrise de l’IA. Les obligations des fournisseurs de modèles d’IA à usage général ont suivi le 2 août 2025, avec l’appui d’un code de bonnes pratiques volontaire publié en juillet 2025. La date générale d’application, qui entraîne l’entrée en vigueur de la plupart des règles restantes, était le 2 août 2026. Les règles relatives aux systèmes à haut risque de l’annexe III devaient s’appliquer à cette date, et celles visant l’IA intégrée dans des produits réglementés (annexe I), un an plus tard.

Le régime applicable aux systèmes à haut risque repose sur des normes harmonisées, qui confèrent aux fournisseurs une présomption de conformité, ainsi que sur les autorités nationales de surveillance du marché et les autorités notifiantes. Les unes et les autres ont pris du retard. Les États membres étaient tenus de désigner leurs autorités nationales compétentes au plus tard le 2 août 2025 ; une enquête sectorielle portant sur 18 pays de l’UE, publiée en septembre 2025, a constaté que la plupart ne l’avaient pas fait à cette date. Les travaux européens de normalisation ont eux aussi pris du retard par rapport au calendrier initial.

Parcours législatif

La Commission a présenté le paquet omnibus sur l’IA (COM(2025) 836) le 19 novembre 2025, dans le cadre d’un ensemble plus large de mesures de simplification. Le Parlement et le Conseil ont négocié rapidement : le représentant du Conseil a confirmé par lettre du 13 mai 2026 que le Conseil approuverait l’accord provisoire, et le Parlement a adopté sa position en première lecture, qui reflète cet accord, le 16 juin 2026. Le Conseil a donné son approbation finale à la fin du mois de juin, et l’acte a été signé le 8 juillet 2026. Le considérant 46 justifie l’entrée en vigueur le troisième jour suivant la publication par la nécessité d’assurer une sécurité juridique « sans délai », compte tenu de la date générale d’application imminente.

Ce que les considérants indiquent sur les raisons

Le considérant 2 précise que « le retard dans l’élaboration des normes » et « le retard dans la mise en place des cadres de gouvernance et d’évaluation de la conformité au niveau national » ont engendré une charge de mise en conformité « plus lourde que prévu ». Le considérant 40 ajoute que le retard dans la disponibilité des normes, des spécifications communes et des orientations, ainsi que le retard dans la mise en place des autorités nationales compétentes, « compromettent l’entrée en application effective » des obligations applicables aux systèmes à haut risque et risquent d’entraîner une augmentation significative des coûts de mise en œuvre. Les considérants insistent également sur le fait que les modifications ne devraient pas réduire le niveau de protection de la santé, de la sécurité et des droits fondamentaux.

Analyse

Ce qui a changé et ce qui n’a pas changé

D’autres modifications sont d’ordre technique, mais ont des conséquences importantes : simplification de la documentation et gestion de la qualité proportionnée pour les petites et moyennes entreprises et la nouvelle catégorie des petites entreprises à moyenne capitalisation ; allègement des informations à enregistrer pour les systèmes qu’un fournisseur a évalués comme ne présentant pas un risque élevé au titre de l’article 6, paragraphe 3 (l’enregistrement reste obligatoire) ; autorisation de réutiliser une analyse d’impact relative à la protection des données dans le cadre d’une analyse d’impact sur les droits fondamentaux ; bac à sable réglementaire à l’échelle de l’Union géré par le Bureau de l’IA ; et présomption selon laquelle les systèmes à haut risque qui satisfont aux exigences du règlement sur la cyberrésilience satisfont à l’exigence de cybersécurité du règlement sur l’IA.

Pourquoi cela importe pour l’administration publique

L’annexe III est, pour une large part, une liste de fonctions étatiques : l’accès aux services publics essentiels et aux prestations, la migration, l’asile et le contrôle des frontières, l’application de la loi, ainsi que l’administration de la justice et des processus démocratiques. Pour ces usages, les garanties fondamentales (gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exactitude et robustesse, ainsi que les obligations des déployeurs, notamment les évaluations de l’impact sur les droits fondamentaux pour les organismes publics) s’imposent désormais seize mois plus tard que prévu initialement.

Trois éléments en atténuent les effets. Premièrement, les interdictions s’appliquent déjà, notamment celles visant la notation sociale et certains usages de l’identification biométrique à distance. Deuxièmement, les règles du RGPD relatives aux décisions automatisées et l’interprétation qu’en donne la Cour de justice dans l’arrêt SCHUFA (C-634/21) ne sont pas modifiées. Troisièmement, un système nouvellement mis sur le marché pour une autorité publique après le 2 décembre 2027 doit être conforme à compter de cette date ; l’échéance de 2030 ne concerne que les systèmes déjà sur le marché avant la date d’application du chapitre III, sauf s’ils font l’objet de modifications importantes.

Pour les gouvernements, la date de 2030 est celle qu’il faut surveiller. De nombreux outils du secteur public sont conçus sur mesure, utilisés sur de longues périodes et achetés avant l’application des règles. Jusqu’au 2 août 2030, ces systèmes existants peuvent fonctionner sans satisfaire aux exigences applicables aux systèmes à haut risque, sauf s’ils font l’objet de changements importants dans leur conception. Cela représente une longue période de transition pour des systèmes décisionnels du type de ceux qui ont conduit aux échecs de Robodebt et du système néerlandais d’allocations familiales.

Simplification ou déréglementation ?

La Commission et les colégislateurs présentent l’Omnibus comme une simplification sans réduction du niveau de protection. Les critiques, notamment certains groupes de la société civile et des membres du Parlement qui ont voté contre, voient dans la modification du calendrier et l’assouplissement de l’obligation en matière de maîtrise de l’IA les premiers signes d’un virage déréglementaire. Les deux interprétations peuvent être étayées par le texte. Le report est explicitement lié à l’absence de normes et d’autorités, les dates sont fixes et non indéfinies, et le Bureau de l’IA se voit conférer des pouvoirs d’exécution. D’un autre côté, l’obligation en matière de maîtrise de l’IA est affaiblie de façon permanente, et non reportée, tandis que l’exemption accordée aux systèmes existants maintient les déploiements du secteur public hors du régime pendant des années. La suite permettra de déterminer s’il s’agit d’une pause ou d’un recul : il faudra voir si les normes sont publiées au Journal officiel, si les autorités sont dotées en personnel et si d’autres modifications sont apportées avant décembre 2027.

L’autre omnibus

L’Omnibus sur l’IA a suivi une procédure distincte du Digital Omnibus de plus grande ampleur (COM(2025) 837, procédure 2025/0360(COD)), qui propose des modifications du RGPD, des règles ePrivacy relatives aux cookies et de l’acquis de l’UE en matière de données. Ce dossier est examiné conjointement par les commissions ITRE et LIBE du Parlement, avec Aura Salla (PPE) et Marina Kaljurand (S&D) comme rapporteures ; en octobre 2026, l’Observatoire législatif l’indiquait toujours comme étant en attente d’une décision en commission. Toute modification de la définition des données à caractère personnel dans le RGPD ou de ses règles relatives aux décisions automatisées aurait davantage d’incidence sur l’IA du secteur public que le calendrier du règlement sur l’IA, et la question reste ouverte.

Points à suivre

• Normes. La question de savoir si des normes harmonisées pour les systèmes d’IA à haut risque seront adoptées et citées à temps pour décembre 2027. Le règlement Omnibus impose à la Commission de demander des livrables aux organismes de normalisation « sans retard injustifié ».
• Autorités nationales. La question de savoir si chaque État membre a désigné et doté en ressources des autorités de surveillance du marché, et dispose d’au moins un bac à sable réglementaire opérationnel d’ici au 2 août 2027.
• Orientations destinées aux organismes publics. Les orientations de la Commission sur la classification des systèmes à haut risque et sur le modèle d’évaluation de l’impact sur les droits fondamentaux, sur lequel s’appuieront les déployeurs publics.
• Les interdictions du 2 décembre 2026. La manière dont sont appliquées les nouvelles interdictions de générer des images intimes non consensuelles et du matériel d’abus sexuels sur enfants, notamment la distinction établie dans le texte entre les fournisseurs et les déployeurs.
• Le règlement Omnibus relatif au RGPD. Les votes en commission et un mandat du Conseil dans le cadre de la procédure 2025/0360(COD).
• Un nouveau report. Les considérants appellent à mettre en place des mesures de soutien « en temps utile » afin d’« éviter de nouveaux retards ». Un deuxième report avant décembre 2027 indiquerait que le problème ne tient pas uniquement au calendrier.

Sources

1. Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026 (Digital Omnibus on AI). Journal officiel de l’Union européenne, série L, 24 juillet 2026.
2. Conseil de l’Union européenne (2026). Information note 10599/26: Digital Omnibus on AI, outcome of the European Parliament's first reading (Strasbourg, 15-18 June 2026), 17 juin 2026 (comprend la résolution législative du Parlement du 16 juin 2026 et le texte convenu).
3. Regulation (EU) 2024/1689 (Artificial Intelligence Act). Journal officiel de l’Union européenne, 12 juillet 2024.
4. NicFab (2026). Digital Omnibus on AI: Regulation (EU) 2026/1744 is published in the Official Journal, 24 juillet 2026 (analyse du texte final et des dates).
5. Future of Life Institute. AI Act Explorer: Digital Omnibus on AI (texte modificatif consolidé).
6. Parlement européen, Observatoire législatif. Procedure file 2025/0360(COD): Simplification of the digital legislative framework (Digital Omnibus)).
7. Cullen International (2025). EU AI Act implementation: only a few countries have designated AI Act enforcement authorities, 30 septembre 2025.
8. Cour de justice de l’Union européenne (2023). Judgment in Case C-634/21, OQ v Land Hessen (SCHUFA Holding (Scoring)), 7 décembre 2023.