Digital Omnibus et EU AI Act : ce qui a changé en 2026

1. De quoi s'agit-il ?

La Commission européenne a proposé le 19 novembre 2025 un ensemble de mesures de simplification du droit numérique, dont un volet consacré à l'IA. Après un accord politique en mai 2026, le texte a été signé le 8 juillet 2026 puis publié au Journal officiel le 24 juillet 2026 sous le numéro 2026/1744. Il modifie directement le Règlement (UE) 2024/1689 (« AI Act ») : pour connaître le droit applicable, il faut donc lire les deux textes ensemble, ou la version consolidée sur EUR-Lex.

2. Ce qui est reporté

• Systèmes à haut risque de l'annexe III (recrutement, crédit, éducation, biométrie, services essentiels…) : obligations applicables au 2 décembre 2027 au lieu du 2 août 2026.
• Systèmes à haut risque intégrés dans des produits réglementés (annexe I) : dispositifs médicaux, jouets, etc., au 2 août 2028 au lieu du 2 août 2027.
• Marquage des contenus générés (article 50, paragraphe 2) : les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026. Les autres obligations de l'article 50 s'appliquent bien depuis le 2 août 2026.
• Bacs à sable réglementaires nationaux : date limite de mise en place repoussée au 2 août 2027.

3. Ce qui change sur le fond

• Maîtrise de l'IA (article 4) : l'obligation d'« assurer » un niveau suffisant de maîtrise de l'IA devient une obligation de prendre des mesures pour la favoriser. Le texte précise qu'aucun niveau précis n'a à être garanti.
• Deux nouvelles interdictions (article 5) : les systèmes générant des images intimes non consenties d'une personne identifiable, ou des contenus pédopornographiques. Applicables à partir du 2 décembre 2026.
• PME et petites entreprises de taille intermédiaire (« small mid-caps ») : documentation simplifiée, système de gestion de la qualité proportionné, accès prioritaire aux bacs à sable.
• Enregistrement : les systèmes de l'annexe III que le fournisseur estime non à haut risque (article 6, paragraphe 3) doivent toujours être enregistrés, avec moins d'informations.
• Composants de sécurité : un système qui se contente d'assister un opérateur ou d'optimiser des performances, sans risque pour la santé ou la sécurité en cas de défaillance, n'est pas un composant de sécurité.
• Détection des biais : le traitement de catégories particulières de données pour détecter et corriger des biais est étendu au-delà des seuls systèmes à haut risque, sous condition de stricte nécessité.
• Bureau de l'IA : compétence renforcée sur les systèmes construits sur un modèle d'IA à usage général par le même fournisseur, et sur ceux intégrés aux très grandes plateformes en ligne.

4. Ce qui s'applique déjà

• Pratiques interdites (article 5) : depuis le 2 février 2025.
• Maîtrise de l'IA du personnel (article 4) : depuis le 2 février 2025, dans sa version assouplie depuis juillet 2026.
• Modèles d'IA à usage général (articles 51 à 56) : depuis le 2 août 2025.
• Transparence (article 50) : depuis le 2 août 2026.

Pour les systèmes à haut risque déjà sur le marché avant leur date d'application, l'article 111 prévoit des règles transitoires ; les systèmes destinés à être utilisés par des autorités publiques doivent être mis en conformité au plus tard le 2 août 2030. Vérifiez votre situation dans le texte consolidé.

5. Le calendrier consolidé