La Commission européenne a publié le paquet omnibus numérique fin 2025, contenant des propositions visant à simplifier et à harmoniser certains aspects du cadre législatif numérique de l'UE, proposant des amendements au RGPD , à la directive NIS 2 et plus encore.
Alors que le projet de loi global sur le numérique est toujours en cours de négociation, le projet de loi distinct sur l'IA a été examiné en urgence car il proposait des échéances modifiées pour les obligations relatives aux systèmes d'IA à haut risque en vertu de la loi européenne sur l'IA. Ces modifications devaient entrer en vigueur avant le 2 août 2026, date à laquelle les premières obligations relatives aux systèmes d'IA à haut risque en vertu de cette loi devaient s'appliquer.
Le 7 mai 2026, les négociateurs du Parlement européen et du Conseil sont parvenus à un accord provisoire sur le règlement omnibus relatif à l'IA, qui a reporté à 2027 et 2028 les échéances de mise en conformité des systèmes d'IA à haut risque. Le règlement final est entré en vigueur le 27 juillet 2026.
Alors, qu'est-ce qui a changé ? Dans cet article, nous allons explorer certaines des principales modifications apportées par la loi omnibus sur l'IA à la loi européenne sur l'IA et leurs conséquences pour les organisations.
Délais de mise en conformité révisés pour les systèmes d'IA à haut risque
Dans le cadre de l'AI Omnibus, les fournisseurs et les déployeurs de systèmes d'IA à haut risque disposent d'un délai prolongé pour assurer leur conformité.
À compter du 2 décembre 2027, les systèmes d’IA classés comme à haut risque au titre de l’article 6(2) et de l’annexe III , dans la mesure où leur utilisation est autorisée par le droit européen ou national applicable, devront être en mesure de démontrer leur conformité.
Cela concerne les systèmes d'IA utilisés dans des domaines tels que :
- Biométrie
- Infrastructure critique
- Éducation et formation professionnelle
- Emploi, gestion des travailleurs et accès au travail indépendant
- L’accès aux services et avantages essentiels privés et publics, ainsi que leur jouissance
- Application de la loi
- Gestion des migrations, de l'asile et du contrôle des frontières
- Administration de la justice et des processus démocratiques.
L’inscription à l’annexe III n’implique pas automatiquement que tout système d’IA utilisé dans l’un de ces domaines sera considéré comme présentant un risque élevé. Les règles de classification et les exemptions prévues à l’article 6 doivent également être prises en compte.
À compter du 2 août 2028, des obligations relatives aux systèmes à haut risque s’appliqueront aux systèmes d’IA visés à l’article 6, paragraphe 1, et à l’annexe I. Cela concerne notamment les systèmes d’IA à haut risque utilisés comme composants de sécurité de certains produits réglementés, ou qui constituent eux-mêmes de tels produits, lorsque le produit concerné est soumis à une évaluation de conformité par un tiers.
- Jouets
- Ascenseurs
- Dispositifs médicaux
- Véhicules.
Le règlement général sur l'IA (AI Omnibus) restreint également la définition des composants considérés comme sûrs. Les produits dotés de fonctions d'IA qui se limitent à assister les utilisateurs ou à optimiser les performances ne seront pas automatiquement soumis aux obligations relatives aux risques élevés. L'accent est mis plutôt sur le risque, pour la sécurité ou la santé, que leur défaillance ou leur dysfonctionnement engendre.
Base juridique étendue pour le traitement des catégories particulières de données personnelles
La loi omnibus sur l'IA étend le cadre juridique du traitement des données sensibles à des fins de détection et d'atténuation des biais aux déployeurs de systèmes d'IA à haut risque et aux fournisseurs et déployeurs d'autres systèmes et modèles d'IA. Auparavant, ce cadre juridique ne s'appliquait qu'aux fournisseurs d'IA à haut risque.
Il ne s'agit pas d'une autorisation générale de traitement des données sensibles. Le traitement doit respecter les conditions prévues par la loi sur l'intelligence artificielle et, selon les circonstances, être nécessaire. Les organisations doivent également mettre en œuvre des mesures de protection, notamment des contrôles d'accès, des mesures de sécurité et de protection de la vie privée, des restrictions quant à la réutilisation des données et leur suppression appropriée.
Délai de grâce limité pour le marquage des contenus générés par l'IA
Le projet de loi omnibus sur l'IA n'a généralement pas reporté les exigences de transparence de la loi sur l'IA concernant le contenu généré par l'IA.
Les obligations de transparence de l'article 50 s'appliquent généralement à compter du 2 août 2026. Cela inclut l'obligation pour les fournisseurs de certains systèmes d'IA qui génèrent du contenu audio, image, vidéo ou texte synthétique de veiller à ce que les résultats soient marqués dans un format lisible par machine et soient détectables comme étant générés ou manipulés artificiellement.
Cependant, la loi omnibus sur l'IA introduit une période de transition limitée pour les systèmes déjà commercialisés. Les fournisseurs de systèmes concernés mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour se conformer aux obligations de marquage lisible par machine prévues à l'article 50(2).
Pour les organisations, la distinction importante est que le 2 décembre 2026 est une période de grâce limitée pour certains systèmes existants, et non la date de début générale des exigences de transparence des lois sur l'IA.
Les FRIA peuvent tirer parti des DPIA
En vertu de la loi omnibus sur l'IA, les analyses d'impact sur les droits fondamentaux (AIDDF) peuvent désormais inclure des références croisées ou inclure les sections pertinentes d'une analyse d'impact sur la protection des données (AIPD) réalisée en vertu du Règlement général sur la protection des données ou de la Directive sur l'application de la loi.
Les deux évaluations restent distinctes, mais les organisations qui réalisent déjà des analyses d'impact relatives à la protection des données (AIPD) pourront réutiliser les analyses pertinentes plutôt que de les dupliquer inutilement.
Interdiction des systèmes d'IA nuisibles
L’Omnibus introduit une interdiction s’appliquant aux systèmes d’IA qui génèrent du matériel intime non consensuel ou du matériel d’abus sexuel sur enfants (CSAM) à compter du 2 décembre 2026.
L’interdiction s’applique à la mise sur le marché de l’UE de systèmes d’IA destinés à créer ou à manipuler ce type de données. Elle peut également s’appliquer lorsque ce résultat est raisonnablement prévisible et reproductible et que le système ne dispose pas de mesures de sécurité techniques raisonnables et adéquates pour empêcher une telle utilisation.
Pour les déployeurs, l'interdiction s'applique lorsqu'ils utilisent un système d'IA dans le but de générer ou de manipuler le contenu interdit.
Flexibilités étendues aux PME aux petites et moyennes capitalisations
L’AI Omnibus introduit une nouvelle catégorie de petites et moyennes entreprises (PME) et étend à ces entreprises plusieurs flexibilités réglementaires auparavant accessibles aux PME.
Il s'agit notamment de:
- La possibilité d'utiliser une documentation technique simplifiée pour les systèmes d'IA à haut risque
- Mise en œuvre proportionnée de certaines exigences du système de gestion de la qualité
- Réduction du montant maximal des amendes, celles applicables aux PME étant plafonnées au plus faible des deux montants suivants : le pourcentage applicable ou le montant fixe.
Ces modifications ne signifient pas que toutes les exemptions accordées aux PME s'appliquent automatiquement aux TPE. En réalité, la loi omnibus sur l'IA étend des mesures spécifiques de simplification et de proportionnalité à cette nouvelle catégorie d'entreprises.
Autres considérations
Changements pour les régulateurs : La loi omnibus sur l’IA élargit et précise le rôle exclusif de supervision et de contrôle de l’Office européen pour l’IA. Ce dernier dispose d’une compétence exclusive pour certains systèmes d’IA construits sur des modèles d’IA à usage général, lorsque le modèle et le système sont développés par le même fournisseur ou au sein de la même entreprise, sous réserve d’exceptions spécifiques.
Sa compétence exclusive s'étend également aux systèmes d'IA constituant ou intégrés à de très grandes plateformes en ligne ou à des moteurs de recherche régis par la loi sur les services numériques (DSA). Cette portée est plus restreinte que son application à tout système d'IA relevant du champ d'application de la DSA.
Culture de l'IA : La loi omnibus sur l'IA révise également les exigences de la loi sur l'IA en matière de culture de l'IA. Les fournisseurs et les déployeurs doivent prendre des mesures pour favoriser le développement de la culture de l'IA parmi leur personnel et les autres personnes qui exploitent ou utilisent des systèmes d'IA pour leur compte. La disposition révisée précise que les organisations ne sont pas tenues de garantir un niveau particulier de culture de l'IA pour chaque individu.
Prolongation du délai pour les bacs à sable réglementaires : le délai imparti aux États membres pour s’assurer que leurs autorités compétentes disposent d’au moins un bac à sable réglementaire national opérationnel pour l’IA est prolongé du 2 août 2026 au 2 août 2027. L’Office pour l’IA peut également établir un bac à sable réglementaire au niveau de l’UE pour les systèmes d’IA présentant des défaillances relevant de sa compétence.
Ce que cela signifie pour les organisations
Les modifications apportées par la loi omnibus sur l'IA à la réglementation européenne sur l'IA visent principalement à simplifier ou à clarifier les exigences existantes. Surtout, elles ne reportent pas l'entrée en vigueur de la réglementation sur l'IA dans son ensemble.
Dans un premier temps, nous vous suggérons de revoir votre programme de gouvernance de l'IA actuel, de le mettre en conformité avec les modifications apportées par l'AI Omnibus et d'identifier les points à revoir. Assurez-vous de bien contrôler les systèmes d'IA utilisés par votre entreprise et leur utilisation.
Le marquage de la transparence est un domaine qui requiert une attention particulière. Les exigences de transparence de l'article 50 s'appliquent généralement depuis le 2 août 2026. Si votre organisation fournit ou déploie des systèmes générant du contenu soumis à ces exigences, identifiez les obligations qui incombent au fournisseur ou au déployeur. Les fournisseurs de systèmes concernés déjà commercialisés avant le 2 août 2026 doivent également déterminer s'ils relèvent de la période de transition limitée qui s'achève le 2 décembre 2026.
Les organisations utilisant l'IA devraient également revoir leur approche en matière de culture de l'IA suite à la modification de l'article 4 et veiller à ce que des mesures appropriées soient en place pour soutenir le personnel qui exploite ou utilise des systèmes d'IA.
Pour les organismes responsables des systèmes à haut risque de l'annexe III, les échéances révisées offrent un délai supplémentaire pour la mise en œuvre, mais ne suppriment pas les exigences sous-jacentes. Certains organismes s'étaient peut-être déjà efforcés de respecter l'échéance initiale du 2 août 2026, tandis que ceux responsables des systèmes de l'annexe I travaillaient en fonction du calendrier ultérieur de la loi sur l'IA, axé sur les produits.
Il est essentiel de noter que les délais révisés ne constituent pas un sursis par rapport aux exigences de conformité, et que le temps supplémentaire doit être utilisé pour renforcer les programmes de conformité, confirmer les classifications des systèmes d'IA, établir des processus de gouvernance et de documentation, tester les contrôles et combler les lacunes bien avant les nouvelles échéances du 2 décembre 2027 et du 2 août 2028.
Élargissez vos connaissances
Podcast : Phishing for Trouble S2 E10 : Built to Last : How Compliance Enables Business Resilience
