Le Digital Omnibus est en vigueur : ce que le règlement (UE) 2026/1744 change dans l'AI Act

Le Digital Omnibus sur l'IA est entré en vigueur. Le règlement (UE) 2026/1744 a été voté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, signé le 8 juillet, publié au Journal officiel le 24 juillet et applicable depuis le 27 juillet 2026. C'est la première modification de l'AI Act depuis son adoption en juin 2024. Elle repousse les échéances « haut risque » au 2 décembre 2027 et au 2 août 2028, assouplit l'obligation de maîtrise de l'IA, ajoute deux nouvelles interdictions et ne touche pas au 2 août 2026. Ceux qui espéraient voir l'AI Act disparaître en seront pour leurs frais.

Par Toni Dos Santos, cofondateur, Spicy Advisory

Ce qu'est réellement le Digital Omnibus sur l'IA

Le Digital Omnibus sur l'IA est un paquet de simplification. La Commission européenne l'a proposé en novembre 2025, après une année de remontées de l'industrie et des États membres sur un point précis : le régime « haut risque » de l'AI Act devait s'appliquer avant même que les normes harmonisées permettant de s'y conformer n'existent. Son intitulé officiel est indigeste : règlement modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées en matière d'intelligence artificielle. En clair : il modifie l'AI Act, les règles de l'aviation civile et le règlement Machines dans un seul texte.

Une précision de vocabulaire s'impose, parce que deux « omnibus » circulent en parallèle à Bruxelles. Le Digital Omnibus sur l'IA est celui qui est devenu le règlement (UE) 2026/1744, objet de cet article. Un Digital Omnibus plus large, qui touche au RGPD, à la directive ePrivacy et au Data Act, suit un calendrier distinct. Si on vous dit que « l'omnibus a changé le RGPD », il ne s'agit pas de ce texte.

Le parcours législatif a été rapide, et manifestement dicté par l'échéance :

Cette entrée en vigueur à trois jours sort de l'ordinaire : la règle habituelle est de vingt jours. Le législateur a comprimé le délai parce que l'échéance initiale du 2 août 2026 était à six jours, et qu'un report qui arrive après la date qu'il reporte n'est plus un report.

Le nouveau calendrier de l'AI Act, en un tableau

C'est l'apport le plus utile de l'Omnibus : un calendrier sur lequel s'appuyer. Les dates en gras ont changé.

Changement 1 : le haut risque repoussé à décembre 2027 et août 2028

C'est le point qui a fait les titres, et la raison pour laquelle la plupart des gens ont entendu parler de l'Omnibus.

Dans la version initiale de l'AI Act, les obligations attachées aux systèmes à haut risque — gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exactitude et robustesse, évaluation de la conformité — devaient s'appliquer aux systèmes de l'annexe III dès le 2 août 2026. L'annexe III est précisément la liste qui attrape les entreprises ordinaires : IA utilisée dans l'emploi et la gestion des travailleurs (tri de CV, allocation des tâches, promotion, surveillance), l'éducation, le scoring de crédit, la tarification de l'assurance, l'accès aux services essentiels, la police et la migration.

Pour une lecture en clair de ce que « haut risque » implique concrètement, obligation par obligation, nous l'avons écrite pour les dirigeants dans l'AI Act expliqué aux dirigeants de PME, ETI et grands groupes.

Cette date devient le 2 décembre 2027. Les systèmes intégrés comme composants de sécurité dans des produits déjà réglementés au titre de l'annexe I — machines, dispositifs médicaux, ascenseurs, jouets, véhicules — passent du 2 août 2027 au 2 août 2028.

Un détail mérite d'être connu, parce qu'il change le degré de certitude dont vous disposez. La proposition initiale de la Commission ne fixait pas de dates. Elle prévoyait un déclencheur conditionnel : les obligations se seraient appliquées six ou douze mois après une décision de la Commission constatant la disponibilité effective des normes harmonisées, des spécifications communes et des lignes directrices, avec des dates butoirs en plafond. Le Parlement et le Conseil ont écarté cette architecture en négociation et transformé les butoirs en dates d'application fermes. Vous obtenez un calendrier dur plutôt que flottant : mieux pour planifier, moins confortable si les normes ne sont toujours pas prêtes en 2027.

« Seize mois de plus, ça paraît généreux jusqu'au moment où on chiffre le travail. Constituer un dossier technique défendable pour un outil de recrutement ou de scoring — traçabilité des données, tests de biais, conception du contrôle humain, surveillance après commercialisation — c'est deux à trois trimestres dans une ETI, et ça entre en concurrence avec tout le reste de la feuille de route. Décembre 2027 n'est pas un sursis. C'est une date de démarrage déjà dépassée pour la plupart des entreprises que je rencontre. » — Toni Dos Santos, cofondateur, Spicy Advisory

Changement 2 : rien n'a bougé au 2 août 2026

C'est la partie que les titres ont perdue en route, et c'est celle dont l'échéance est imminente. L'Omnibus a reporté le régime haut risque. Il n'a pas reporté l'article 50, le chapitre transparence, applicable au 2 août 2026 comme prévu.

Trois obligations à quelques jours, pas à quelques années

• Dire aux gens qu'ils parlent à une IA. Tout système qui interagit directement avec une personne — chatbot de support, assistant vocal, appel de qualification automatisé, SDR artificiel — doit rendre clair qu'il s'agit d'une IA, sauf si cela relève de l'évidence pour une personne raisonnablement attentive.
• Signaler les deepfakes. Si vous publiez un contenu image, audio ou vidéo généré ou manipulé par IA représentant des personnes, lieux ou événements réels d'une manière qui pourrait passer pour authentique, vous devez indiquer qu'il est artificiel. Même logique pour les textes générés par IA publiés pour informer le public sur des sujets d'intérêt général.
• Marquer les contenus synthétiques de façon lisible par machine. Les fournisseurs de systèmes génératifs doivent intégrer des marqueurs permettant de détecter qu'un contenu a été généré ou manipulé artificiellement.

La plupart des entreprises qui lisent ces lignes sont déployeurs, pas fournisseurs. Les deux premières obligations sont les vôtres. Elles sont aussi peu coûteuses à traiter : une phrase de mention dans le message d'accueil du chatbot, une règle de signalement dans le workflow de contenu, une ligne dans la charte de marque. Ce qui coûte cher, c'est de découvrir en octobre que l'équipe marketing publie depuis août des visuels de campagne générés par IA mettant en scène des porte-parole réels, sans aucune mention.

Le seul délai de grâce ajouté

La Commission avait proposé six mois de transition pour l'obligation de marquage lisible par machine. Le texte final les a ramenés à trois. Les systèmes d'IA générative déjà mis sur le marché de l'Union avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour s'y conformer. Ceux lancés à partir du 2 août 2026 s'y conforment dès le premier jour. C'est l'intégralité de l'allègement côté transparence.

À la même date, le Bureau de l'IA obtient ses pleins pouvoirs de sanction sur les fournisseurs de modèles à usage général. L'appareil de supervision se met en marche, il ne s'éteint pas. Si vos équipes laissent déjà fuir des données dans des comptes IA personnels, l'échéance transparence sera le moindre de vos soucis : nous avons documenté ce scénario dans les risques des conversations IA partagées.

Changement 3 : deux nouvelles interdictions au 2 décembre 2026

L'Omnibus est un paquet de simplification qui a durci l'AI Act sur un point. L'article 5 — la liste des pratiques purement interdites — s'enrichit de deux entrées :

• les systèmes qui génèrent ou manipulent des images intimes non consenties de personnes réelles, catégorie communément appelée applications de « déshabillage » ;
• les systèmes qui génèrent ou manipulent du matériel pédopornographique.

Les deux sont interdits à compter du 2 décembre 2026. Les manquements à l'article 5 relèvent du palier le plus lourd : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour la plupart des entreprises légitimes, rien ne change en pratique. Cela compte si vous développez, hébergez, distribuez ou revendez une capacité de génération d'images au grand public : votre politique d'usage acceptable devient un contrôle réglementaire, plus une préférence de modération.

Changement 4 : la maîtrise de l'IA devient une obligation de moyens

L'article 4 s'applique depuis le 2 février 2025 et impose aux fournisseurs comme aux déployeurs de veiller à la maîtrise de l'IA de leur personnel et de toute personne opérant des systèmes d'IA pour leur compte. La Commission proposait initialement de supprimer l'obligation contraignante et de la reléguer dans un considérant. Ce n'est pas ce qui s'est passé, mais l'obligation s'est allégée.

L'Omnibus réécrit l'article 4 : d'un devoir de garantir un niveau suffisant de maîtrise de l'IA, on passe à un devoir de prendre des mesures pour en soutenir le développement. Juridiquement, on quitte l'obligation de résultat pour l'obligation de moyens : vous n'êtes plus tenu à un niveau de compétence mesurable et garanti chez chaque personne, mais vous restez tenu d'avoir agi de façon proportionnée et de pouvoir le démontrer.

Trois conséquences concrètes :

1. L'obligation vise toujours tout déployeur. Si vos équipes utilisent ChatGPT, Copilot, Claude ou Gemini au travail dans l'Union, l'article 4 vous concerne, quelles que soient votre taille et votre activité.
2. La preuve compte plus que le certificat. Aucune certification n'a jamais été obligatoire. Ce qu'une autorité demandera : un inventaire des usages de l'IA, des traces de formation adaptées aux rôles, une politique interne, et une preuve datée que les deux se rejoignent.
3. La supervision arrive. La Commission indique que les autorités nationales de surveillance du marché commencent à superviser et faire appliquer l'article 4 à partir du 3 août 2026. Rédaction plus souple, contrôle bien réel.

Nous avions écrit la version département par département avant le vote de l'Omnibus, et elle reste valable : l'obligation de l'article 4 que votre entreprise a déjà.

Changement 5 : l'enregistrement a survécu à la négociation

L'article 6(3) permet à un fournisseur d'auto-évaluer comme non haut risque un système relevant pourtant d'une catégorie de l'annexe III, dès lors qu'il ne présente pas de risque significatif pour la santé, la sécurité ou les droits fondamentaux. La Commission proposait de supprimer l'obligation d'enregistrer ces auto-évaluations dans la base de données européenne, au nom de la réduction de charge.

Le Parlement et le Conseil ont refusé. L'enregistrement reste, avec un jeu d'informations allégé. La logique est simple : une dérogation que personne ne voit n'est pas supervisable. Si vous comptez vous appuyer sur le filtre de l'article 6(3), prévoyez une évaluation documentée et motivée, destinée à une base publique et susceptible d'être contestée — pas une note interne.

Changement 6 : un vrai allègement pour les PME et petites ETI

La partie la plus sous-estimée de l'Omnibus : il inscrit dans l'AI Act des définitions de PME et de petite entreprise de taille intermédiaire, et y attache des aménagements concrets :

• un formulaire de documentation technique simplifié pour les systèmes à haut risque ;
• des exigences proportionnées de système de management de la qualité, la voie allégée étant étendue à toute la catégorie PME ;
• des plafonds d'amendes administratives réduits ;
• un accès prioritaire aux bacs à sable réglementaires.

Si vous êtes une entreprise de 60 personnes qui vend en Europe un logiciel doté d'une fonction d'IA, c'est la disposition qui décide si la conformité représente un quart de votre budget juridique ou une ligne négligeable. À lire avec votre conseil avant de conclure que le régime haut risque est hors d'atteinte. Notre cadre pratique pour les structures de taille moyenne : gouvernance IA pour les ETI.

Changement 7 : les bacs à sable nationaux glissent à août 2027

Les États membres devaient disposer d'au moins un bac à sable réglementaire national opérationnel au 2 août 2026. Presque aucun n'était en mesure de tenir le calendrier. L'Omnibus reporte cette obligation au 2 août 2027. Les bacs à sable comptent plus qu'il n'y paraît : à l'intérieur, un fournisseur qui suit les orientations de l'autorité compétente est protégé des amendes administratives pour les manquements commis pendant les essais supervisés, sa responsabilité envers les tiers restant engagée. Moins de bacs à sable en 2026, c'est moins d'endroits sûrs pour tester un produit à la limite du haut risque.

Ce que l'Omnibus n'a pas touché

Qui voit là une déréglementation devrait lire les blancs du texte :

• Les interdictions. L'article 5 s'applique depuis le 2 février 2025 et vient de s'allonger, pas de se réduire.
• Le régime des modèles à usage général. Les articles 51 à 55 — seuils de risque systémique, obligations des fournisseurs de modèles, documentation, politique de droit d'auteur — restent inchangés au fond et s'appliquent depuis le 2 août 2025.
• Les plafonds de sanction. Jusqu'à 35 M€ ou 7 % pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres manquements dont la transparence, 7,5 M€ ou 1 % pour les informations inexactes fournies aux autorités.
• L'architecture par les risques. L'annexe III liste toujours les mêmes cas d'usage. Le recrutement, le crédit et l'assurance restent à haut risque. Les obligations arrivent plus tard ; elles n'arrivent pas plus légères.
• Le champ territorial. L'article 2 n'a pas été restreint, ce qui nous amène à la question que nous posent tous nos clients londoniens.

Si vous êtes une entreprise britannique, le texte vous concerne aussi

Le Brexit n'a pas mis les entreprises britanniques hors de portée de l'AI Act. L'article 2 lui donne une portée extraterritoriale assumée, et l'Omnibus n'y a pas touché. Une société immatriculée au Royaume-Uni, avec des bureaux, des salariés et des serveurs britanniques, entre dans le champ si l'un de ces cas est vrai :

1. Vous mettez sur le marché de l'Union un système d'IA ou un modèle à usage général, ou vous l'y mettez en service — y compris comme fonctionnalité d'un logiciel SaaS vendu à des clients européens. L'article 2(1)(a) vise les fournisseurs « que ces fournisseurs soient établis ou situés dans l'Union ou dans un pays tiers ».
2. Votre groupe a une entité européenne qui déploie des systèmes d'IA. Une filiale française ou allemande qui utilise un outil de recrutement par IA est un déployeur établi dans l'Union, et les obligations suivent la filiale.
3. Les résultats produits par votre système sont utilisés dans l'Union. C'est le critère qui surprend. Une agence londonienne qui fait tourner un modèle de présélection sur des candidats pour le bureau parisien d'un client, ou un prêteur britannique qui score des demandeurs en Irlande, est dans le champ parce que le résultat atterrit dans l'Union — même si le modèle ne quitte jamais un centre de données britannique.

La conséquence pratique pour les entreprises britanniques est une double réalité réglementaire. En interne, vous répondez au UK GDPR, aux orientations de l'ICO et au Data (Use and Access) Act — nous en avons fait la cartographie dans le Data (Use and Access) Act et l'IA et dans la gouvernance IA pour les entreprises britanniques. Dès que l'Europe est touchée, vous répondez en plus au calendrier ci-dessus. Faire tourner deux cadres de gouvernance coûte cher ; en faire tourner un seul, calibré sur le plus exigeant des deux, beaucoup moins. C'est tout le sujet de réglementation IA : Royaume-Uni vs UE.

« Les entreprises britanniques qui se font piéger ne sont jamais celles qui ont une filiale européenne : celles-là ont des juristes qui veillent. Ce sont l'agence londonienne, le cabinet de recrutement, la fintech avec trois clients à Dublin. Personne dans l'immeuble n'a jamais lu l'article 2, et le critère du résultat travaille en silence pendant ce temps-là. » — Toni Dos Santos, cofondateur, Spicy Advisory

Que faire dans les 90 prochains jours

Les données de préparation ne sont pas flatteuses. Une analyse de maturité AI Act publiée en 2026 par Vision Compliance, fondée sur des évaluations dans huit secteurs, relève que 78 % des organisations n'avaient engagé aucune démarche sérieuse de conformité, que 74 % n'avaient désigné aucun responsable interne et que 61 % n'avaient aucun processus de production de la documentation technique exigée pour les systèmes à haut risque. L'Omnibus offre seize mois de plus aux entreprises qui vont s'en servir, et seize mois de dérive supplémentaire aux autres.

La lecture honnête

L'Omnibus est vendu comme une simplification et critiqué comme un affaiblissement. Les deux ont une part de raison. Des organisations de défense des droits numériques, dont le Center for Democracy and Technology, estiment que le texte final affaiblit la protection des droits fondamentaux : article 4 assoupli, seize mois supplémentaires de déploiement non encadré dans le recrutement et le crédit, pression exercée sur le filtre de l'article 6(3). L'industrie objecte, avec autant de fondement, qu'appliquer un régime de conformité avant l'existence des normes harmonisées qui le rendent praticable n'est pas de la régulation, c'est une loterie.

Pour un dirigeant, le débat est à côté du sujet. Le règlement classe toujours votre outil de recrutement en haut risque. Vos clients, votre CSE et vos acheteurs grands comptes poseront la question bien avant le régulateur. L'échéance a bougé ; les questions, non. Ce que l'Omnibus vous a acheté, c'est du temps pour y répondre correctement plutôt que dans l'urgence — ce qui a de la valeur, à condition de le dépenser.