L’Omnibus AI Act : ce que les nouvelles échéances 2026 changent pour votre feuille de route de conformité

Dernière mise à jour: 10 juillet 2026

L’essentiel à retenir — L’Omnibus AI Act en 30 secondes

L’UE a formellement adopté les amendements « Omnibus VII » à l’AI Act le 29 juin 2026, après l’approbation du Parlement le 16 juin (423 voix pour, 57 contre, 174 abstentions). Trois choses ont changé :

• Les échéances des systèmes à haut risque sont décalées : 2 décembre 2027 pour les systèmes autonomes de l’Annexe III (au lieu d’août 2026) ; 2 août 2028 pour les systèmes intégrés de l’Annexe I (au lieu d’août 2027).
• La transparence n’a PAS bougé : les règles de l’article 50 et les pouvoirs d’application pour les modèles GPAI restent en vigueur au 2 août 2026. Le filigranage bénéficie d’un délai uniquement pour les systèmes déjà sur le marché avant cette date — repoussé au 2 décembre 2026.
• Une nouvelle interdiction est ajoutée : les systèmes d’IA générant des contenus intimes non consentis ou des contenus pédopornographiques sont désormais interdits, à compter du 2 décembre 2026.
  Les amendes restent inchangées (jusqu’à 35 M€ / 7 % pour les pratiques interdites, 15 M€ / 3 % pour les violations liées au haut risque). Si vous avez des clients dans l’UE, cela vous concerne quel que soit votre lieu d’implantation — voir la section Amérique du Nord ci-dessous.

Si votre organisation conçoit, vend ou déploie des systèmes d’IA touchant le marché européen, le calendrier de conformité sur lequel vous vous appuyiez a changé cette année. Cela concerne tout fournisseur ou déployeur de systèmes d’IA à haut risque, de modèles d’IA à usage général, ou d’outils générant du contenu par IA ayant une exposition au marché de l’UE — quel que soit votre siège social. À la fin de cet article, vous saurez précisément quelles échéances ont bougé, lesquelles n’ont pas bougé, et ce qu’il faut faire cette semaine.

L’Omnibus est désormais entré en vigueur — voici le calendrier qui compte

Le 7 mai 2026, le Conseil et le Parlement sont parvenus à un accord politique visant à modifier l’AI Act dans le cadre du paquet législatif dit « Omnibus VII », qui s’inscrit dans l’agenda de simplification de l’UE (Conseil de l’UE). Cet accord n’est pas resté au stade de proposition : le Parlement a donné son approbation finale le 16 juin 2026, et le Conseil a suivi avec une adoption formelle le 29 juin 2026, achevant ainsi le processus de modification du règlement (UE) 2024/1689 (Conseil de l’UE, communiqué du 29 juin).

Le vote lui-même mérite d’être noté : le Parlement a approuvé le texte par 423 voix pour, 57 contre, et 174 abstentions — une marge nettement plus étroite que le mandat de négociation adopté en mars avec 569 voix, signe que la « simplification » a été plus disputée en interne que ne le laisse penser le titre des communiqués (Licentium).

Les nouvelles échéances en un coup d’œil

Obligation	Échéance initiale	Nouvelle échéance
Systèmes d’IA à haut risque autonomes (Annexe III) — emploi, éducation, scoring de crédit, identification biométrique, infrastructures critiques	2 août 2026	2 décembre 2027
Systèmes d’IA à haut risque intégrés à des produits déjà réglementés (Annexe I) — dispositifs médicaux, machines, jouets, ascenseurs	2 août 2027	2 août 2028
Filigranage (Article 50(2)), systèmes déjà sur le marché avant le 2 août 2026	2 août 2026	2 décembre 2026
Obligations de transparence — Article 50 (nouveaux systèmes)	2 août 2026	Inchangé — 2 août 2026
Pouvoirs d’application de la Commission sur les modèles GPAI	2 août 2026	Inchangé — 2 août 2026
Nouvelle interdiction : contenus intimes non consentis / pédopornographie générés par IA	–	2 décembre 2026

Ce qui a vraiment bougé (et ce qui n’a pas bougé)

Le réflexe naturel consiste à lire « Omnibus » comme « tout a été repoussé ». C’est faux, et c’est l’erreur la plus susceptible de pénaliser les équipes conformité cette année.

Les obligations de transparence de l’article 50 — l’exigence d’informer les utilisateurs qu’ils interagissent avec une IA — n’ont pas été reportées et restent applicables à partir du 2 août 2026. Si vous exploitez un chatbot destiné aux consommateurs, un outil de détection d’émotions, ou tout système générant du contenu synthétique, cette échéance reste en vigueur quels que soient les autres changements. Les pouvoirs de sanction de la Commission sur les modèles GPAI s’activent à la même date (informed, clearly).

Le filigranage est plus précis : pour les systèmes génératifs déjà présents sur le marché avant le 2 août 2026, l’échéance pour mettre en place un filigranage lisible par machine a été repoussée d’août 2026 à décembre 2026. Mais les systèmes mis sur le marché après le 2 août 2026 ne bénéficient d’aucun délai de grâce — ils doivent être conformes dès le premier jour. Une entreprise qui lance une nouvelle fonctionnalité générative en septembre 2026 n’hérite pas de l’extension dont bénéficie un concurrent lancé en juillet.

La nouvelle interdiction que personne n’a négociée

Le seul ajout substantiel à la liste des pratiques interdites — pas un simple changement de calendrier, une véritable nouvelle interdiction — vise les systèmes d’IA générant des contenus intimes non consentis. Le communiqué du Conseil est sans ambiguïté : la loi interdit désormais les systèmes d’IA générant des images dénudées de personnes réelles ou retouchant des photos existantes pour révéler des parties intimes, ainsi que les contenus pédopornographiques générés par IA, à compter du 2 décembre 2026.

C’est le seul point que l’aile gauche du Parlement a refusé de céder en échange des extensions de délais réclamées par l’industrie, et il s’applique à la fois aux fournisseurs qui mettent ces systèmes sur le marché et aux déployeurs qui les utilisent — sans période transitoire comparable à celle des systèmes à haut risque (DataGuidance).

Les changements plus discrets : PME, littératie IA et données biaisées

Trois amendements plus modestes méritent votre attention si vous dirigez une organisation de taille intermédiaire :

• Les protections PME vont plus loin. La documentation simplifiée, les plafonds d’amendes réduits et l’accès prioritaire aux bacs à sable réglementaires — auparavant réservés aux PME — s’étendent désormais aux « small mid-caps », définies comme des entreprises comptant jusqu’à 750 salariés et 150 millions d’euros de chiffre d’affaires annuel (Latham & Watkins).
• La littératie IA s’assouplit, elle ne se durcit pas. L’article 4 exigeait initialement des organisations qu’elles « garantissent un niveau suffisant » de littératie IA parmi leurs équipes. Le texte amendé transforme cela en une obligation, pour la Commission et les États membres, de soutenir et faciliter le développement de cette littératie — sans seuil de compétence contraignant (Mishcon de Reya).
• L’accès aux données pour la détection de biais s’élargit. Le droit de traiter des données personnelles sensibles (santé, biométrie, origine ethnique) spécifiquement pour détecter et corriger les biais dans les modèles d’IA s’étend désormais à tous les systèmes d’IA, pas uniquement aux systèmes à haut risque — sous réserve d’un test de stricte nécessité imposant de documenter pourquoi des données synthétiques ou anonymisées n’auraient pas pu suffire (Mishcon de Reya). Les fournisseurs s’appuyant sur l’exemption de l’article 6(3) restent par ailleurs tenus d’enregistrer leurs systèmes dans la base de données européenne — une proposition visant à supprimer cette obligation a été abandonnée dans le texte final (Sidley Austin).

Les amendes en cas de violation réelle restent inchangées : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les manquements liés au haut risque, et jusqu’à 35 millions d’euros ou 7 % pour les pratiques interdites. L’Omnibus a simplifié le calendrier et le périmètre. Il n’a pas assoupli l’application de la loi.

Amérique du Nord : ce que cela signifie si vous n’êtes pas dans l’UE

Rien de tout cela n’est une affaire purement européenne. La portée extraterritoriale de l’AI Act signifie qu’une entreprise américaine ou canadienne peut entrer dans le champ d’application sans aucun bureau, employé ou serveur dans l’UE — le critère déclencheur est de savoir si votre système d’IA est mis sur le marché européen ou si sa sortie est utilisée par des personnes dans l’UE, et non votre lieu d’implantation.

Pour les organisations américaines, il n’existe pas d’équivalent fédéral auquel se référer — mais plutôt un patchwork. Le Texas applique le Responsible AI Governance Act (TRAIGA), en vigueur depuis le 1er janvier 2026, avec des amendes allant de 10 000 à 200 000 dollars par infraction et une conformité au NIST AI RMF reconnue comme moyen de défense affirmatif. Le SB 53 californien, effectif à la même date, vise spécifiquement les développeurs de modèles de pointe — les entreprises dépassant 500 millions de dollars de chiffre d’affaires entraînant des modèles au-delà de 10²⁶ FLOPs. Aucun de ces textes ne se substitue à la conformité à l’AI Act si vous avez des clients dans l’UE ; ils s’ajoutent, ils ne remplacent pas.

La démarche la plus courante chez les équipes conformité consiste à cartographier leur documentation AI Act selon la structure du NIST AI RMF, puisque les fonctions Govern/Map/Measure/Manage du NIST constituent déjà la référence attendue par la plupart des régulateurs et auditeurs américains.

Le Canada, quant à lui, ne dispose actuellement d’aucune loi spécifique à l’IA en vigueur. Le projet fédéral de Loi sur l’intelligence artificielle et les données (AIDA) est mort au feuilleton lors de la prorogation du Parlement en janvier 2025, sans calendrier confirmé pour sa réintroduction. En l’absence de cadre légal, les organisations canadiennes s’appuient sur le Code de conduite volontaire fédéral pour l’IA générative, la Directive contraignante sur la prise de décision automatisée pour les institutions fédérales, et des réglementations provinciales émergentes comme le projet de loi 194 de l’Ontario (Schwartz Reisman Institute). Une entreprise canadienne ayant des clients dans l’UE reste pleinement soumise à l’AI Act, même si son propre cadre national demeure incertain — ce qui fait de l’AI Act européen, plutôt que d’AIDA, le document le plus concret sur lequel construire un programme de gouvernance dès aujourd’hui.

Que faire cette semaine

Les extensions de délais offrent du temps de planification, pas une raison de faire une pause. Concrètement :

1. Reclassez votre inventaire de systèmes d’IA selon les deux échéances distinctes — séparez ce qui relève d’un système autonome de l’Annexe III (décembre 2027) de ce qui est intégré à un produit réglementé de l’Annexe I (août 2028). Ils ne suivent plus le même calendrier.
2. Vérifiez spécifiquement votre statut vis-à-vis de l’article 50 — cette échéance n’a pas bougé. Si vous exploitez un système d’IA destiné aux clients ou générant du contenu synthétique, assurez-vous que vos dispositifs de transparence seront prêts pour le 2 août 2026.
3. Auditez les systèmes de contenu génératif déjà sur le marché avant le 2 août 2026 pour bénéficier du délai de grâce sur le filigranage jusqu’en décembre — les lancements postérieurs à cette date n’y auront pas droit.
4. Passez en revue tout ce qui pourrait être interprété comme générant des contenus intimes non consentis, même de manière incidente (par exemple, des fonctionnalités de retouche d’image), au regard de la nouvelle interdiction de décembre 2026.
5. Si vous êtes une entreprise de taille intermédiaire proche du seuil PME, vérifiez si la nouvelle définition de « small mid-cap » (≤ 750 salariés, ≤ 150 M€ de chiffre d’affaires) vous rend désormais éligible à une documentation simplifiée à laquelle vous n’aviez pas droit auparavant — et comparez cela à ce qu’apporterait une certification ISO/IEC 42001 sur le même périmètre.