Le 2 août 2026 devait être la date à laquelle les systèmes d’IA à haut risque de l’annexe III — recrutement, gestion du personnel, accès aux services essentiels — entraient dans le régime le plus exigeant du règlement européen sur l’intelligence artificielle. Cette échéance est passée il y a quatre jours, et elle ne s’est pas appliquée.
Un texte de simplification adopté en juin, le Digital Omnibus, a décalé ces obligations de seize mois. Le sujet est passé relativement inaperçu en France alors qu’il change le plan de charge de toutes les organisations qui s’y préparaient.
Ce qui a été adopté, et par qui
Le calendrier législatif mérite d’être rappelé, parce qu’il explique pourquoi beaucoup d’entreprises ont continué à préparer une échéance qui bougeait.
La Commission a publié sa proposition le 19 novembre 2025, dans un ensemble plus large visant à simplifier le RGPD, l’AI Act et la directive sur la responsabilité du fait des produits. Un accord politique provisoire a été trouvé le 7 mai 2026. Le Parlement européen a formellement adopté le texte le 16 juin 2026, par 423 voix pour, 57 contre et 174 abstentions. Le Conseil a donné son approbation définitive le 29 juin 2026.
Le texte est donc acquis. Ce n’est plus une proposition, et l’attentisme qui pouvait se justifier au printemps n’a plus lieu d’être.
Ce qui est reporté
Les systèmes à haut risque autonomes de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Ce sont ceux qui concernent le plus d’organisations ordinaires : outils de tri de candidatures, systèmes d’évaluation ou de surveillance des salariés, dispositifs conditionnant l’accès à un service essentiel, notation de solvabilité.
Les systèmes à haut risque intégrés à des produits réglementés, relevant de l’annexe I, sont repoussés plus loin encore, au 2 août 2028. Il s’agit de l’IA embarquée dans des produits soumis à une réglementation sectorielle propre — dispositifs médicaux, machines, jouets.
Le motif affiché est l’absence des normes techniques harmonisées sur lesquelles la mise en conformité devait s’appuyer. C’est un argument recevable : il était difficile de demander la conformité à un référentiel qui n’existait pas encore.
Ce qui reste applicable — et qui l’est déjà
C’est le point que le mot « report » fait manquer. Trois blocs d’obligations sont en vigueur, et n’ont pas bougé.
Les interdictions. Applicables depuis le 2 février 2025. Notation sociale, exploitation des vulnérabilités d’une personne, certaines formes de reconnaissance des émotions au travail. Ce sont des pratiques prohibées, pas des usages à encadrer.
L’obligation de littératie en IA. Également applicable depuis février 2025, et largement ignorée. Elle impose de veiller à ce que les personnes qui utilisent des systèmes d’IA disposent d’un niveau de compétence suffisant, adapté à leur contexte. Elle concerne toute organisation qui déploie de l’IA, même achetée sur étagère, et elle ne dépend d’aucun classement de risque.
Les obligations de transparence de l’article 50. Applicables depuis le 2 août 2026 — donc depuis cette semaine. Informer les personnes qu’elles interagissent avec un système d’IA, signaler les contenus générés artificiellement. Deux échéances complémentaires s’y ajoutent au 2 décembre 2026 : le marquage des contenus déjà présents sur le marché, et une nouvelle interdiction visant les systèmes de génération de contenus intimes non consentis.
Une organisation qui utilise un assistant conversationnel en relation client est concernée par l’article 50 aujourd’hui, quel que soit le report.
Ce qu’il faut faire du délai
Seize mois supplémentaires ne sont utiles que si le travail préparatoire avance. Trois chantiers gagnent à être menés maintenant, parce qu’ils sont longs et qu’aucun ne dépend des normes manquantes.
- L’inventaire des systèmes d’IA en usage. C’est le préalable à tout, et c’est le plus long — parce que la plupart des systèmes ont été souscrits par les directions métier sans passer par l’informatique. Un module de tri de CV dans un outil de recrutement, une fonction d’évaluation dans un logiciel de gestion du personnel : ils comptent, et ils ne figurent nulle part.
- La qualification du rôle. Fournisseur ou déployeur. La distinction détermine les obligations, et elle n’est pas toujours celle qu’on croit : intégrer un système sous sa propre marque, ou en modifier substantiellement la finalité, peut faire basculer un déployeur dans le régime du fournisseur.
- La littératie. Elle est due maintenant, elle est simple à documenter, et c’est le premier élément qu’une autorité demandera. Une action de sensibilisation tracée coûte peu au regard du risque de ne rien pouvoir présenter.
Ce que le report ne dit pas
Il ne préjuge pas d’un assouplissement de fond. Les obligations reportées sont, pour l’essentiel, maintenues dans leur contenu : système de gestion des risques, qualité des données, documentation technique, supervision humaine, robustesse. Le calendrier bouge, pas l’exigence.
Il ne dispense pas non plus des autres textes. Un système d’IA qui traite des données personnelles reste soumis au RGPD, y compris à l’encadrement des décisions individuelles automatisées, qui n’a jamais dépendu de l’AI Act. Une organisation qui aurait reporté sa réflexion sur ce fondement se trompe de texte.
Enfin, le report n’a pas été unanimement salué : il a été critiqué comme laissant sans contrôle, pendant seize mois de plus, des usages qui touchent à l’emploi et à l’accès aux services. C’est un débat de politique publique, mais il a une conséquence pratique : la pression sur les organisations exposées viendra d’ailleurs — clients, partenaires, représentants du personnel — avant de venir du régulateur.
Sources
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
- Digital Omnibus sur l’IA — proposition de la Commission du 19 novembre 2025, accord provisoire du 7 mai 2026, adoption par le Parlement européen le 16 juin 2026 et par le Conseil le 29 juin 2026
- Règlement (UE) 2016/679 (RGPD), article 22 — décision individuelle automatisée