Calendrier de l'AI Act après le Digital Omnibus : ce qui s'applique vraiment le 2 août 2026 (et ce qui est repoussé à 2027)

En une phrase : le Digital Omnibus, adopté en juin 2026, n'a pas « reporté l'AI Act » — il a coupé la date du 2 août 2026 en deux, laissant s'appliquer les amendes sur les modèles d'IA à usage général et les obligations de transparence, tout en repoussant à décembre 2027 les seules obligations « haut risque » de l'annexe III.

Si vous ne devez retenir qu'une chose de cet article, c'est celle-là. Tout le reste en découle. Depuis l'accord politique sur le Digital Omnibus, une majorité de comités de direction a entendu « les règles sur l'IA sont reportées à 2027 » et a levé le pied. C'est le contresens le plus coûteux de l'année, parce qu'il confond deux catégories d'obligations qui n'ont rien à voir — et qu'il fait manquer des échéances déjà en vigueur, assorties d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Cet article est la page de référence que nous tenons à jour : pour chaque obligation, la date réelle, qui est concerné, la sanction encourue, et surtout la preuve à produire. Parce que la vraie question n'est pas « quand ? » mais « comment démontrer, système par système, que je suis en règle à la bonne date ? ».

Ce que le Digital Omnibus a changé — et ce qu'il n'a pas changé

Le paquet dit « Digital Omnibus sur l'IA » est une série d'amendements ciblés au règlement (UE) 2024/1689 (l'AI Act). Il a suivi un parcours législatif complet : accord politique au printemps 2026, vote du Parlement européen le 16 juin 2026, feu vert final du Conseil de l'Union européenne le 29 juin 2026, puis publication au Journal officiel de l'Union européenne le 24 juillet 2026 — entrée en vigueur le 27 juillet 2026. Ce n'est donc plus une proposition : c'est du droit adopté. C'est précisément ce qui rend obsolètes les analyses écrites avant l'été 2026, qui répétaient à juste titre « tant que ce n'est pas voté, la date opposable reste le 2 août 2026 ». Ce raisonnement était correct jusqu'en juin ; il ne l'est plus.

Ce que l'Omnibus a fait, concrètement : il a repoussé l'application des obligations relatives aux systèmes d'IA à haut risque de l'annexe III — recrutement, évaluation du crédit, éducation, biométrie, services essentiels — du 2 août 2026 au 2 décembre 2027. Pour les systèmes à haut risque intégrés dans des produits déjà réglementés (annexe I : dispositifs médicaux, machines, jouets), l'échéance passe au 2 août 2028. L'objectif affiché n'est pas de « détricoter » l'AI Act, mais de laisser aux normes techniques harmonisées — largement en retard — le temps d'être disponibles avant que l'obligation ne morde.

Ce que l'Omnibus n'a pas touché : les obligations qui prenaient effet le 2 août 2026 en dehors du volet haut risque de l'annexe III. Elles s'appliquent, à la date prévue, sans décalage. C'est là que se joue le malentendu.

Le 2 août 2026 : ce qui s'applique vraiment aujourd'hui

Trois blocs d'obligations sont entrés en application le 2 août 2026 et ne sont concernés par aucun report.

L'exécution sur les modèles d'IA à usage général (GPAI)

Depuis le 2 août 2025, les fournisseurs de modèles à usage général — les grands modèles de langage et assimilés — devaient déjà documenter leurs modèles, publier une politique de respect du droit d'auteur et fournir aux intégrateurs les informations nécessaires. Ce qui change le 2 août 2026, c'est que le Bureau de l'IA dispose désormais de ses pouvoirs d'exécution : il peut demander la documentation technique, évaluer les modèles, exiger des mesures correctives et infliger des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial (article 101). La supervision cesse d'être théorique.

La transparence (article 50)

À compter du 2 août 2026, les fournisseurs et déployeurs de certains systèmes doivent respecter des obligations de transparence : informer les personnes qu'elles interagissent avec une IA (chatbots), étiqueter les contenus générés par IA, marquer les deepfakes et signaler les textes générés par IA portant sur des sujets d'intérêt public. L'étiquetage doit être « clair et distinguable », perceptible par un être humain sans outil technique.

C'est l'obligation la plus souvent mal datée, y compris par des sources sérieuses. Deux nuances calendaires, et deux seulement, viennent du régime de grâce : le marquage lisible par machine des contenus des IA génératives déjà sur le marché au 2 août 2026 (article 50(2)) bénéficie d'un délai jusqu'au 2 décembre 2026 ; la solution d'interopérabilité pour la détection des filigranes doit être en place au 2 février 2027. Le reste de l'article 50 s'applique aujourd'hui.

La gouvernance et les sanctions

Le dispositif de surveillance est opérationnel : le Bureau de l'IA et les autorités compétentes des États membres sont responsables de la mise en œuvre, de la supervision et de l'application du règlement. Le régime général de sanctions de l'article 99 — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves, notamment aux pratiques interdites — est en vigueur.

Et il ne faut pas oublier ce qui s'appliquait déjà avant cette date, et qui n'a jamais bougé : depuis le 2 février 2025, les pratiques interdites de l'article 5 (notation sociale, manipulation, reconnaissance des émotions au travail et à l'école) et l'obligation de maîtrise de l'IA de l'article 4 sont applicables. Aucune de ces obligations n'a été reportée.

Ce qui est vraiment repoussé — et pourquoi ce n'est pas un sursis

Le seul vrai report concerne les systèmes à haut risque de l'annexe III déployés de façon autonome. Concrètement : un outil de tri de CV, un algorithme de scoring de crédit, un système de notation d'examens, un dispositif biométrique d'identification. Pour ceux-là, les obligations lourdes — système de gestion des risques, gouvernance des données, documentation technique, surveillance humaine, enregistrement, analyse d'impact sur les droits fondamentaux (FRIA, article 27) — s'appliquent désormais au 2 décembre 2027 et non plus au 2 août 2026.

Trois raisons pour lesquelles « reporté » ne veut pas dire « oubliez-le ».

D'abord, les obligations transverses continuent de s'appliquer. Un système de tri de CV reste soumis, aujourd'hui, à l'interdiction de la reconnaissance des émotions (article 5), aux obligations de transparence (article 50), au RGPD (base légale, article 22 sur la décision automatisée, analyse d'impact article 35) et au Code du travail. Le report de l'annexe III ne suspend aucune de ces règles.

Ensuite, le report est un délai de préparation, pas une dispense. L'intention du législateur est d'attendre les normes harmonisées. Un système haut risque conçu ou acheté aujourd'hui devra être conforme le 2 décembre 2027 : les cycles d'achat public (CCTP, marchés pluriannuels) et les cycles de développement produit dépassent largement cet horizon. Reporter la préparation, c'est se condamner à la précipitation.

Enfin, on ne sait pas ce qui est « haut risque » chez soi sans inventaire. La question « suis-je concerné par le report ou par l'échéance immédiate ? » n'a pas de réponse générale : elle se répond système par système. Or la plupart des organisations n'ont pas d'inventaire à jour de leurs usages d'IA — a fortiori des usages non déclarés, le Shadow AI. Sans cet inventaire, impossible de trier ce qui relève de l'annexe III, de l'article 50 ou des pratiques interdites.

Le tableau qui tranche : obligation, date réelle, qui, sanction, preuve

Le cœur de cette page est le tableau ci-dessous. Il est conçu pour être lu en trente secondes par un comité de direction, et pour répondre ligne par ligne aux questions que posent les moteurs de recherche.

« Comment le prouver » : la vraie question que pose le calendrier

Le calendrier n'est pas un problème de dates, c'est un problème de preuve datée, système par système. Trois exemples rendent la nuance concrète.

Un DSI qui déploie un chatbot de support client relève de l'article 50 aujourd'hui : il doit prouver que l'utilisateur est informé qu'il parle à une IA. Le report de 2027 ne le concerne pas.

Un DRH qui utilise un outil de présélection de CV relève de l'annexe III : ses obligations lourdes basculent au 2 décembre 2027, mais l'interdiction de l'analyse des émotions (article 5) et le RGPD s'appliquent, eux, immédiatement. Il ne peut pas « attendre 2027 ».

Un éditeur qui intègre un grand modèle de langage dans son produit doit vérifier, dès aujourd'hui, que son fournisseur GPAI est en règle — la responsabilité se cascade — et documenter cette vérification.

Dans les trois cas, la même contrainte revient : il faut un inventaire vivant des usages d'IA qui associe, à chaque système, sa qualification réglementaire, sa date d'échéance et la preuve correspondante. Le calendrier est le déclencheur ; l'inventaire est la réponse.

Que faire cette semaine

Étape 1 — Rétablir la vérité en interne. Envoyer une note courte au comité de direction : non, l'AI Act n'est pas reporté ; oui, les amendes GPAI et la transparence sont en vigueur ; seul le volet annexe III passe à décembre 2027.

Étape 2 — Inventorier. Recenser tous les usages d'IA, y compris les usages non déclarés et l'IA embarquée dans les logiciels existants. Sans cet inventaire, aucune qualification n'est possible.

Étape 3 — Qualifier chaque système. Pour chaque usage : pratique interdite ? soumis à l'article 50 ? annexe III, donc échéance 2027 ? modèle GPAI dont je dépends ? Cette qualification donne la date réelle applicable à ce système.

Étape 4 — Traiter d'abord ce qui est en vigueur. Transparence, vérification des fournisseurs GPAI, contrôle de l'absence de pratiques interdites, plan de maîtrise de l'IA.

Étape 5 — Planifier l'annexe III vers 2027. Ouvrir dès maintenant les chantiers longs (gestion des risques, FRIA, documentation) et contractualiser les exigences dans les marchés et les cahiers des charges.

Conclusion

Le Digital Omnibus a rendu l'AI Act plus lisible sur le papier et plus piégeux en pratique. Plus lisible, parce que les obligations lourdes ont un délai réaliste. Plus piégeux, parce que « c'est reporté » est devenu une croyance générale, alors que les obligations en vigueur — transparence, modèles GPAI, pratiques interdites, maîtrise de l'IA — sont assorties de sanctions immédiates.

La ligne de partage ne se lit pas dans un communiqué : elle se lit système par système, dans votre inventaire.