L'omnibus numérique sur l'IA, c'est le règlement (UE) 2026/1744, qui modifie le règlement sur l'intelligence artificielle (AI Act). Son changement principal est le report des obligations applicables aux systèmes à haut risque : celles de l'annexe III s'appliquent à partir du 2 décembre 2027, et celles de l'IA intégrée dans des produits réglementés de l'annexe I, à partir du 2 août 2028. Il a été publié au Journal officiel de l'UE le 24 juillet 2026 et il est en vigueur depuis le 27 juillet.
Ce qui n'a pas bougé compte tout autant. Les pratiques interdites, la maîtrise de l'IA, les obligations des modèles d'IA à usage général et la transparence de l'article 50 conservent leurs dates, et certaines s'appliquent déjà.
Les dates qui changent
Le report touche les sections 1 à 3 du chapitre III du règlement (UE) 2024/1689 : la classification, les exigences applicables aux systèmes à haut risque et les obligations des fournisseurs et des déployeurs. Ce bloc couvre la gestion des risques, la documentation technique, le contrôle humain et l'analyse d'impact sur les droits fondamentaux.
L'annexe III liste les usages à haut risque en tant que tels : recrutement, évaluation de la solvabilité, assurance vie et santé, éducation, accès aux services publics essentiels ou biométrie, entre autres. L'annexe I couvre l'IA qui sert de composant de sécurité de produits déjà soumis à leur propre réglementation européenne, comme les machines ou les dispositifs médicaux.
Le calendrier complet après l'omnibus
| Date | Ce qui s'applique | Avec l'omnibus |
|---|---|---|
| 2 févr. 2025 | Pratiques interdites (art. 5) et maîtrise de l'IA (art. 4) | Inchangé. L'article 4 est reformulé |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance et sanctions | Inchangé |
| 2 août 2026 | Transparence de l'article 50 et reste du règlement, hors haut risque | Inchangé |
| 2 déc. 2026 | Deux nouvelles interdictions et fin du délai de marquage pour les systèmes génératifs déjà sur le marché | Nouveau |
| 2 août 2027 | Chaque État membre doit disposer d'au moins un bac à sable réglementaire (sandbox) national | Nouveau délai |
| 2 déc. 2027 | Systèmes à haut risque de l'annexe III | Reporté |
| 2 août 2028 | Systèmes à haut risque de l'annexe I | Reporté |
Le texte qui fait foi est celui publié au Journal officiel. EUR-Lex propose une version consolidée de l'AI Act au 27 juillet 2026 qui intègre déjà les modifications : c'est la plus pratique pour travailler.
Ce qui change au-delà des dates
Deux nouvelles interdictions. L'article 5 ajoute la génération ou la manipulation d'images intimes de personnes sans leur consentement, ainsi que celle de matériel pédopornographique. Elles s'appliquent à partir du 2 décembre 2026 et relèvent du plafond d'amendes le plus élevé : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Un délai pour le marquage des contenus synthétiques. Les systèmes qui génèrent des images, du son, de la vidéo ou du texte et qui étaient déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour marquer leurs contenus comme générés par IA, comme l'exige l'article 50, paragraphe 2. Les nouveaux systèmes doivent s'y conformer dès le premier jour.
La maîtrise de l'IA est reformulée. Elle reste obligatoire depuis février 2025, mais le nouveau texte précise que les fournisseurs et les déployeurs doivent favoriser un niveau de connaissances suffisant chez leur personnel selon son rôle, sans avoir à garantir un niveau précis pour chaque personne.
Des données sensibles pour corriger les biais. Un nouvel article, le 4 bis, autorise le traitement de catégories particulières de données personnelles pour détecter et corriger les biais, sous conditions : que des données synthétiques ou anonymisées ne suffisent pas, que les données soient pseudonymisées, qu'elles ne soient pas transmises et qu'elles soient effacées à la fin.
Moins de charge pour les PME. Le système de gestion de la qualité et la documentation technique simplifiés s'étendent aux PME et aux petites entreprises de taille intermédiaire, qui bénéficient aussi d'un plafonnement des amendes.
FRIA et AIPD, ensemble. L'article 27 permet désormais à l'analyse d'impact sur les droits fondamentaux de renvoyer à l'analyse d'impact relative à la protection des données du RGPD ou d'en reprendre des parties. Nous le détaillons dans ce qu'est la FRIA et qui doit la réaliser.
Ce que nous ferions du temps gagné
Pour nous, l'omnibus laisse le temps de bien faire le travail, pas de le commencer plus tard. Le plus difficile dans le haut risque n'est pas de rédiger la documentation technique : c'est de savoir quels systèmes d'IA l'entreprise utilise, qui les a achetés, avec quelles données ils fonctionnent et quelles décisions ils prennent. Cet inventaire est la base de tout le reste et ne dépend d'aucune date.
S'il fallait organiser les prochains mois, voici ce que nous ferions :
- Avant le 2 décembre 2026, passer en revue les systèmes génératifs déjà en production (assistants, générateurs d'images, chatbots) et vérifier que leurs contenus sont bien marqués.
- Au cours de 2026, finaliser l'inventaire et la classification : quels systèmes sont à haut risque, lesquels à risque limité, et quel rôle joue l'entreprise pour chacun, fournisseur ou déployeur.
- En 2027, traiter les exigences de chaque système à haut risque : gestion des risques, données, journalisation, contrôle humain et, le cas échéant, la FRIA.
Dans GlobalSuite® AI Governance, le règlement est déjà chargé avec le 2 décembre 2027 comme échéance de chaque exigence liée au haut risque, et l'inventaire classe chaque système selon son niveau au sens de l'AI Act. On voit ainsi ce qui manque, système par système, et le temps qu'il reste.
Le détail des rôles, des niveaux de risque et des amendes se trouve dans notre guide pratique du règlement sur l'IA, déjà mis à jour avec l'omnibus, et dans l'article consacré au règlement européen sur l'intelligence artificielle.
