Le 27 juillet 2026, la loi omnibus de l'UE sur l'IA est entrée en vigueur, constituant la première modification substantielle de la loi sur l'IA depuis 2024. Elle reporte l'échéance pour l'IA à haut risque, initialement fixée au 2 août 2026, mais maintient les obligations de transparence et d'application à leur date initiale. Les systèmes autonomes à haut risque ont désormais jusqu'au 2 décembre 2027. Les systèmes à haut risque intégrés aux produits ont jusqu'au 2 août 2028. Les règles de transparence de l'article 50, les pouvoirs d'application de l'IA à usage général (GPAI) et l'autorité de surveillance du marché entreront tous en vigueur le 2 août 2026.
Si votre plan de mise en conformité était basé sur la date initiale, la pression vient de s'atténuer. Cependant, la loi Omnibus visait à simplifier, et non à revenir en arrière, et trois obligations sont restées inchangées.
Qui est concerné ?
- Toute organisation dont les résultats du système d'IA atteignent les utilisateurs, clients ou citoyens de l'UE, quel que soit l'endroit où se trouve son siège social.
- Les fournisseurs, c'est-à-dire les organisations qui conçoivent ou mettent sur le marché des systèmes d'IA, et les déployeurs, c'est-à-dire les organisations qui les utilisent, ont des obligations distinctes en vertu de la loi.
- IA à usage général (GPAI) Des obligations s'appliquent à toute personne fournissant un modèle à usage général et à toute personne en intégrant un, y compris les modèles prêts à l'emploi intégrés à un produit.
- Les pratiques interdites s'appliquent universellement, quel que soit le secteur ou la taille de l'entreprise, et sont en vigueur depuis février 2025.
- Annexe III Les obligations à haut risque s'appliquent à des cas d'utilisation spécifiques : emploi et gestion des travailleurs, évaluation du crédit et accès à l'assurance, éducation, infrastructures critiques, application de la loi, migration et contrôle des frontières
- Article 50 La transparence s'applique de manière générale à toute organisation utilisant un chatbot, générant du contenu synthétique ou ayant recours à l'IA dans ses interactions avec les clients, que le système sous-jacent soit considéré ou non comme à haut risque.
Les deux dates, la réinitialisation de l'omnibus
- Échéance à haut risque, systèmes autonomes de l'Annexe III : août 2026 au 2 décembre 2027
- Échéance à haut risque, systèmes de l'Annexe I intégrés aux produits : d'août 2026 au 2 août 2028
- Exigences en matière de compétences en IA : assouplies, passant de “ garantir un niveau de compétences suffisant ” à “ prendre des mesures favorisant le développement des compétences ”.”
- Obligations de marquage numérique : une période transitoire de quatre mois est ajoutée pour les systèmes déjà commercialisés avant août 2026.
Ce qui reste nécessaire le 2 août 2026
- Obligations de transparence de l’article 50 : divulgation des interactions avec un système d’IA, étiquetage des contenus générés par l’IA, marquage des deepfakes
- Les autorités nationales de surveillance des marchés acquièrent le pouvoir d'enquêter sur les infractions à la loi sur l'IA et de les sanctionner.
- Les pouvoirs de contrôle de la Commission européenne sur les fournisseurs de services GPAI s'activent
- Les obligations de conformité aux GPAI, en vigueur depuis août 2025, sont désormais soumises à de réelles sanctions.
- Par ailleurs, une nouvelle interdiction des images intimes non consensuelles et des IA générant des deepfakes entrera en vigueur le 2 décembre 2026, à son propre rythme.
Le Bureau de l'IA a déjà engagé des poursuites contre les médias synthétiques avant même que la phase à haut risque n'atteigne son apogée, preuve que le dispositif de répression est opérationnel dès maintenant et n'attend pas 2027.
Les organismes de normalisation sont toujours en retard sur le calendrier.
Il s'agit du premier amendement à la loi depuis son adoption, et l'harmonisation des normes techniques relatives à la conformité pour les risques élevés accuse toujours du retard, ce qui explique en partie ce retard initial. Considérer décembre 2027 comme une date butoir revient à parier que rien ne changera d'ici là.
Les travaux de conformité à haut risque, la documentation sur la gouvernance des données, la gestion des risques et la conception de la supervision humaine nécessitent des années de travail pour être correctement mis en place. Ce délai supplémentaire n'a de valeur que s'il est utilisé dès maintenant pour bâtir ces fondations, au lieu d'attendre que l'échéance approche à nouveau.
Rien de tout cela ne change l'échéance dans quelques jours. Toute entreprise disposant d'un chatbot destiné aux clients, d'une fonctionnalité de génération de contenu ou d'un modèle tiers intégré doit se conformer aux exigences de divulgation et d'étiquetage de l'article 50 avant le 2 août, que ses systèmes à haut risque aient été affectés ou non par le retard.
L'inventaire d'abord, tout le reste suit.
- Recenser tous les systèmes d'IA utilisés dans l'ensemble de l'organisation, y compris les outils dont l'acquisition n'a jamais été formellement approuvée.
- Classer chaque système selon les catégories suivantes : interdit, à haut risque, GPAI et obligation de transparence
- Vérifiez que les mécanismes de divulgation et d'étiquetage prévus à l'article 50 sont opérationnels pour tout ce qui est destiné aux clients.
- Redéfinir la feuille de route à haut risque en fonction des nouvelles dates sans interrompre les travaux sous-jacents de gouvernance des données.
- Attribuer la responsabilité du suivi réglementaire continu, étant donné que ce cadre a déjà été modifié une fois cette année.
Une séquence de quatre ans, et non une date unique
- Jusqu'au 2 août 2026 : Finaliser l'inventaire et la classification des systèmes d'IA ; confirmer le fonctionnement des mécanismes de l'article 50 ; documenter l'utilisation de GPAI dans l'ensemble de la pile technologique.
- Jusqu'à fin 2026 : Élaborer les fondements de la gouvernance des données pour les systèmes de l'Annexe III, la documentation des données de formation, la traçabilité, les contrôles d'accès, selon le nouveau calendrier
- Jusqu'en 2027 : Évaluations complètes de conformité et documentation technique pour les systèmes autonomes à haut risque avant le 2 décembre 2027
- Jusqu'en 2028 : Étendre ces travaux aux systèmes à haut risque intégrés aux produits avant le 2 août 2028
L'aide de BigID
Dans ce cadre, chaque obligation, actuelle ou différée, repose sur la même question : l’organisation sait-elle quelles données alimentent ses systèmes d’IA, d’où elles proviennent et qui peut y accéder ?.
- Documentation relative à la gouvernance des données de l'annexe III : découvre et classe Les données d'entraînement, de validation et de test d'un système d'IA, de sorte que “ les données sont représentatives et exemptes d'erreurs ”, constituent un constat documenté plutôt qu'une simple affirmation.
- IA de l'ombre et l'inventaire du système : Cette fonction met en évidence les modèles et les outils d'IA réellement exécutés dans l'environnement, y compris ceux pour lesquels aucune demande n'a été formulée, comblant ainsi le fossé par lequel la plupart des exercices de classification commencent.
- Traçabilité des données entrant et sortant des pipelines d'IA : cartographie la circulation des données sensibles et réglementées en formation, en mise au point et invites, et où les résultats du modèle atterrissent ensuite
- Gouvernance d'accès pour les données d'entraînement et de sortie : indique qui et quoi peut accéder aux données sous-jacentes à un modèle, les exigences de surveillance de l'annexe III relatives au contrôle d'accès
- Préparation à l'article 50 : La même couche de découverte qui repère l'IA fantôme est celle qui identifie quels systèmes génèrent du contenu en premier lieu.
- Preuves d'audit et de conformité : transforme le travail d'inventaire, de classification et de traçabilité en une documentation qui résiste à la demande d'une autorité de surveillance du marché.
Un modèle que d'autres organismes de réglementation surveillent
Le Loi européenne sur l'IA était censé être le modèle définitif de la réglementation de l'IA, la manière GDPR Elle est devenue la référence en matière de protection de la vie privée. La loi Omnibus complexifie cette situation sans pour autant l'affaiblir. Elle illustre comment un organisme de réglementation a tenté de combler l'écart entre sa législation et les mesures que les organismes de normalisation et les entreprises pouvaient mettre en œuvre dans les délais impartis, tout en maintenant sa position sur les points qu'il considère non négociables : les interdictions, la transparence et le pouvoir de contrôle.
Dans l'UE comme ailleurs où des règles relatives à l'IA sont élaborées, il convient de suivre une tendance claire : les dates liées aux droits fondamentaux et à la confiance du public sont fixées en premier et restent inchangées ; celles liées à la conformité technique évoluent en fonction des contraintes de temps. La gouvernance des données demeure le seul investissement qui conserve sa valeur, quel que soit le prochain report d'échéance.
Préparez-vous à la prochaine phase de la conformité en matière d'IA
La réglementation européenne sur l'IA continue d'évoluer, mais une exigence demeure constante : les organisations doivent avoir une visibilité complète sur leurs systèmes d'IA, les données qu'elles utilisent et les risques qu'ils engendrent. Découvrez comment BigID vous aide à inventorier vos actifs d'IA, à classifier les données sensibles et à établir une base solide pour la gouvernance de l'IA et la conformité réglementaire.
Auteur
