Le 2 août 2026 devait être la date à laquelle les systèmes d’IA à haut risque de l’annexe III — recrutement, gestion du personnel, accès aux services essentiels — entraient dans le régime le plus exigeant du règlement européen sur l’intelligence artificielle. Cette échéance est passée il y a quatre jours, et elle ne s’est pas appliquée.
Un texte de simplification adopté en juin, le Digital Omnibus, a décalé ces obligations de seize mois. Le sujet est passé relativement inaperçu en France alors qu’il change le plan de charge de toutes les organisations qui s’y préparaient.
Le calendrier législatif mérite d’être rappelé, parce qu’il explique pourquoi beaucoup d’entreprises ont continué à préparer une échéance qui bougeait.
La Commission a publié sa proposition le 19 novembre 2025, dans un ensemble plus large visant à simplifier le RGPD, l’AI Act et la directive sur la responsabilité du fait des produits. Un accord politique provisoire a été trouvé le 7 mai 2026. Le Parlement européen a formellement adopté le texte le 16 juin 2026, par 423 voix pour, 57 contre et 174 abstentions. Le Conseil a donné son approbation définitive le 29 juin 2026.
Le texte est donc acquis. Ce n’est plus une proposition, et l’attentisme qui pouvait se justifier au printemps n’a plus lieu d’être.
Les systèmes à haut risque autonomes de l’annexe III passent du 2 août 2026 au 2 décembre 2027. Ce sont ceux qui concernent le plus d’organisations ordinaires : outils de tri de candidatures, systèmes d’évaluation ou de surveillance des salariés, dispositifs conditionnant l’accès à un service essentiel, notation de solvabilité.
Les systèmes à haut risque intégrés à des produits réglementés, relevant de l’annexe I, sont repoussés plus loin encore, au 2 août 2028. Il s’agit de l’IA embarquée dans des produits soumis à une réglementation sectorielle propre — dispositifs médicaux, machines, jouets.
Le motif affiché est l’absence des normes techniques harmonisées sur lesquelles la mise en conformité devait s’appuyer. C’est un argument recevable : il était difficile de demander la conformité à un référentiel qui n’existait pas encore.
C’est le point que le mot « report » fait manquer. Trois blocs d’obligations sont en vigueur, et n’ont pas bougé.
Les interdictions. Applicables depuis le 2 février 2025. Notation sociale, exploitation des vulnérabilités d’une personne, certaines formes de reconnaissance des émotions au travail. Ce sont des pratiques prohibées, pas des usages à encadrer.
L’obligation de littératie en IA. Également applicable depuis février 2025, et largement ignorée. Elle impose de veiller à ce que les personnes qui utilisent des systèmes d’IA disposent d’un niveau de compétence suffisant, adapté à leur contexte. Elle concerne toute organisation qui déploie de l’IA, même achetée sur étagère, et elle ne dépend d’aucun classement de risque.
Les obligations de transparence de l’article 50. Applicables depuis le 2 août 2026 — donc depuis cette semaine. Informer les personnes qu’elles interagissent avec un système d’IA, signaler les contenus générés artificiellement. Deux échéances complémentaires s’y ajoutent au 2 décembre 2026 : le marquage des contenus déjà présents sur le marché, et une nouvelle interdiction visant les systèmes de génération de contenus intimes non consentis.
Une organisation qui utilise un assistant conversationnel en relation client est concernée par l’article 50 aujourd’hui, quel que soit le report.
Seize mois supplémentaires ne sont utiles que si le travail préparatoire avance. Trois chantiers gagnent à être menés maintenant, parce qu’ils sont longs et qu’aucun ne dépend des normes manquantes.
Il ne préjuge pas d’un assouplissement de fond. Les obligations reportées sont, pour l’essentiel, maintenues dans leur contenu : système de gestion des risques, qualité des données, documentation technique, supervision humaine, robustesse. Le calendrier bouge, pas l’exigence.
Il ne dispense pas non plus des autres textes. Un système d’IA qui traite des données personnelles reste soumis au RGPD, y compris à l’encadrement des décisions individuelles automatisées, qui n’a jamais dépendu de l’AI Act. Une organisation qui aurait reporté sa réflexion sur ce fondement se trompe de texte.
Enfin, le report n’a pas été unanimement salué : il a été critiqué comme laissant sans contrôle, pendant seize mois de plus, des usages qui touchent à l’emploi et à l’accès aux services. C’est un débat de politique publique, mais il a une conséquence pratique : la pression sur les organisations exposées viendra d’ailleurs — clients, partenaires, représentants du personnel — avant de venir du régulateur.
La flotte mobile est le dernier périmètre traité sérieusement, et souvent le seul qui échappe entièrement à la politique de sécurité. Les téléphones accèdent à la messagerie, aux agendas, aux ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
