Report de l'AI Act à décembre 2027 : ce que ça change vraiment
Le règlement omnibus de juillet 2026 a repoussé les obligations des systèmes à haut risque. Beaucoup de plans de conformité rédigés en 2025 sont désormais faux sur les dates.
Le règlement (UE) 2026/1744, dit « omnibus numérique IA », publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur trois jours plus tard, a repoussé les obligations des systèmes d'IA à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles de l'annexe I au 2 août 2028.
Ce report est réel et significatif : seize mois de délai supplémentaire sur les obligations les plus lourdes. Mais il ne suspend pas l'AI Act, et il ne concerne pas ce qui s'applique déjà.
Que reste-t-il dû aujourd'hui ?
Le report porte uniquement sur les obligations de fond des systèmes à haut risque. Trois blocs restent pleinement applicables.
| Depuis | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques inacceptables (article 5) |
| 2 août 2025 | Obligations des modèles d'IA à usage général (GPAI) |
| 2 août 2026 | Transparence (article 50), littératie IA (article 4), pouvoirs de sanction |
Le troisième bloc est celui que les organisations sous-estiment le plus, parce qu'il est arrivé au moment même où le report était annoncé — et que les deux nouvelles se sont brouillées dans les esprits.
Concrètement, depuis le 2 août 2026 : un agent conversationnel doit signaler qu'il est une IA, un contenu généré doit être identifiable comme tel, les personnes qui manipulent des systèmes d'IA dans votre organisation doivent avoir été sensibilisées, et une autorité peut sanctionner.
Qu'est-ce qui est réellement reporté ?
Les obligations de fond des systèmes à haut risque : système de gestion des risques, gouvernance des données d'entraînement, documentation technique, journalisation, transparence envers le déployeur, supervision humaine, exactitude, robustesse et cybersécurité.
Deux échéances distinctes :
- 2 décembre 2027 pour les systèmes à haut risque autonomes de l'annexe III — recrutement, crédit, éducation, biométrie, services essentiels ;
- 2 août 2028 pour les systèmes à haut risque intégrés à des produits déjà réglementés au titre de l'annexe I — dispositifs médicaux, machines, jouets.
Une organisation dont aucun système ne relève de ces deux annexes n'est, en pratique, pas concernée par le report : son calendrier n'a pas bougé.
Pourquoi ce report a-t-il eu lieu ?
Le paquet de simplification proposé par la Commission en novembre 2025 répondait à trois constats convergents : les normes harmonisées permettant de démontrer la conformité n'étaient pas prêtes, les organismes notifiés chargés des évaluations n'étaient pas en nombre suffisant, et les orientations d'application manquaient sur plusieurs points.
Autrement dit, le report ne traduit pas un affaiblissement de l'ambition réglementaire mais un décalage entre le texte et l'outillage nécessaire pour s'y conformer. C'est une nuance importante pour anticiper la suite : les obligations arriveront, avec un cadre d'évaluation mieux défini.
Que faire de ces seize mois ?
L'erreur la plus coûteuse serait de traiter le report comme une autorisation d'attendre. Trois raisons s'y opposent.
Le travail préparatoire est long. L'inventaire des systèmes, leur classification justifiée et la collecte des preuves prennent plusieurs mois dans une organisation de taille moyenne — davantage si les fournisseurs doivent être sollicités. Commencer en septembre 2027 revient à finir en retard.
Les clients n'attendent pas. Les questionnaires IA dans les appels d'offres se sont généralisés bien avant l'échéance réglementaire. L'entreprise qui sait répondre gagne des marchés aujourd'hui.
Les cycles de conception sont longs. Une machine industrielle, un logiciel métier, un produit intégrant de l'IA se conçoivent sur plusieurs années. Ce qui est conçu aujourd'hui sera soumis aux obligations de 2027 ou 2028 : les intégrer dès la conception coûte une fraction de ce qu'il en coûterait de les ajouter avant mise sur le marché.
La séquence raisonnable pour ces seize mois : inventaire et classification d'ici la fin 2026, collecte des preuves et audit des fournisseurs sur le premier semestre 2027, remédiation et mise en conformité formelle sur le second. Cela laisse une marge, ce qui est exactement le but d'un report bien utilisé.
Ce que le report ne change pas non plus
Trois choses restent inchangées et méritent d'être rappelées, parce qu'elles sont souvent confondues avec l'AI Act.
Le RGPD s'applique intégralement. Un traitement de données personnelles par un système d'IA relève du règlement général sur la protection des données, indépendamment de l'AI Act. La base légale, l'information des personnes, la durée de conservation et les droits d'accès sont dus maintenant.
Le droit du travail s'applique. Un outil qui évalue ou surveille des collaborateurs relève des règles sur l'information et la consultation des représentants du personnel, avant l'AI Act et sans lui.
La responsabilité civile s'applique. Un dommage causé par un système reste imputable selon les règles ordinaires, quelle que soit l'échéance réglementaire.
Questions fréquentes
Faut-il refaire les plans de conformité rédigés en 2025 ? Refaire non, mettre à jour les dates oui. Un plan qui annonce des obligations haut risque au 2 août 2026 est faux depuis juillet 2026, et un document de conformité qui contient une date erronée perd sa crédibilité entière. La correction prend une heure.
Un autre report est-il possible ? Rien ne permet de l'affirmer, et construire une stratégie sur cette hypothèse serait imprudent. Le report de 2026 a été justifié par l'indisponibilité des normes harmonisées ; une fois ce blocage levé, la justification disparaît. Il est plus sûr de traiter le 2 décembre 2027 comme ferme.
Le report concerne-t-il aussi les modèles à usage général ? Non. Les obligations des fournisseurs de modèles d'IA à usage général s'appliquent depuis le 2 août 2025 et n'ont pas été décalées. Le Code de pratique GPAI reste donc pleinement d'actualité, y compris comme grille de due diligence pour les acheteurs.
Comment savoir si mes systèmes sont concernés par le report ? En les classant. Si aucun de vos systèmes ne relève de l'annexe III ni de l'annexe I, le report ne vous concerne pas et votre calendrier reste celui du 2 août 2026. Cette réponse, la plupart des organisations ne peuvent pas la donner faute d'inventaire — ce qui est en soi l'information la plus utile.
Conclusion
Le report de juillet 2026 accorde seize mois sur les obligations les plus lourdes, et rien sur celles déjà en vigueur. Il ne change pas la réponse à la question de fond : quels systèmes utilisons-nous, comment sont-ils classés, quelles preuves soutiennent cette classification, et comment détectons-nous les dérives.
Il donne simplement plus de temps pour y répondre correctement. C'est un avantage pour qui commence maintenant, et un piège pour qui attend.
Pour situer ce sujet dans une démarche complète, Noolya détaille l'audit de conformité IA et l'AI Act.
Pour aller plus loin
- Audit de conformité IA : le guide complet AI Act 2026
- Classification des risques AI Act : les 4 niveaux
- Sanctions AI Act : montants et exposition réelle
Sources principales
- Commission européenne : cadre réglementaire IA et calendrier d'application
- Règlement (UE) 2024/1689, synthèse EUR-Lex
- Règlement (UE) 2026/1744 (« omnibus numérique IA »), publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026 — report des obligations haut risque de l'annexe III au 2 décembre 2027 et de l'annexe I au 2 août 2028.
