Le règlement « AI Omnibus » entre en vigueur : un aperçu complet
Le 27 juillet 2026, le Digital Omnibus sur l’IA (ou « AI Omnibus ») est entré en vigueur après sa publication au Journal officiel de l’UE le 24 juillet 2026 (règlement (UE) 2026/1744). Cette mesure modifie le Règlement IA et introduit des dérogations clés, des exigences allégées pour certaines catégories d’entreprises et de nouvelles pratiques IA prohibées.
Contexte législatif
L’AI Omnibus fait partie du Digital Omnibus Package, publié le 19 novembre 2025, qui comprend également des propositions d’amendement au RGPD, à la directive ePrivacy, à NIS2 et au Data Act. Bien que ces derniers restent en négociation, le volet IA a été séparé et accéléré afin de respecter le nouveau délai du 2 août 2026 initialement prévu par le Règlement IA.
Principales évolutions pour les entreprises
1. Prolongation des délais : les obligations liées aux systèmes d’IA à haut risque sont repoussées au 2 décembre 2027 pour les systèmes autonomes (Annexe III) et au 2 août 2028 pour les systèmes intégrés comme composants de sécurité (Annexe I). Les exigences de transparence restent applicables dès le 2 août 2026.
2. Période de grâce pour le marquage d’eau : les contenus générés avant le 2 août 2026 bénéficient d’un délai jusqu’au 2 décembre 2026 pour se conformer à l’obligation de watermarking.
3. Clarification du « composant de sécurité » : seuls les systèmes dont la défaillance crée un risque pour la santé ou la sécurité sont considérés comme tels, excluant les outils d’optimisation ou d’aide sans risque direct.
4. Réduction du chevauchement réglementaire : les secteurs disposant déjà de normes de sécurité (ex. dispositifs médicaux, ascenseurs, jouets) voient leurs obligations IA allégées grâce à des actes délégués de la Commission.
5. Simplification de l’évaluation de conformité : les organismes désignés peuvent désormais soumettre une seule demande couvrant à la fois le Règlement IA et les législations sectorielles harmonisées.
6. Mesures de soutien aux PME/SMC : documentation technique allégée, gestion de la qualité proportionnée et pénalités atténuées, avec maintien de l’accès prioritaire aux sandbox réglementaires.
7. Nouvelles pratiques IA prohibées : interdiction de générer ou manipuler du CSAM (contenu d’abus sexuel d’enfants) et du contenu intime non consensuel (« nudifier ») via l’IA.
8. Révision de l’obligation de littératie IA : les fournisseurs et déployeurs doivent soutenir le développement d’un niveau suffisant de littératie IA, sans garantir sa pleine maîtrise.
9. Renforcement de la supervision de l’AI Office : élargissement des pouvoirs de l’AI Office sur les modèles d’IA généraux et sur les plateformes en ligne majeures régies par le Digital Services Act.
Recommandations pratiques pour les entreprises
• Mettre à jour les feuilles de route de conformité avec les nouvelles dates d’application (2 décembre 2027 et 2 août 2028).
• Vérifier les obligations de watermarking et profiter de la période de grâce le cas échéant.
• Auditer les inventaires d’IA pour identifier les systèmes potentiellement concernés par les nouvelles interdictions.
• Analyser l’impact de la clarification du « composant de sécurité » sur la classification des risques.
• Déployer des programmes de littératie IA pour le personnel et documenter les mesures prises.
• Suivre les actes délégués sectoriels qui pourraient alléger les obligations.
• Rester informé de l’évolution du Digital Omnibus Package, qui devrait impacter le GDPR, l’ePrivacy, NIS2 et le Data Act.
Conclusion
Le AI Omnibus apporte une certitude bienvenue en repoussant les échéances critiques et en clarifiant plusieurs notions clés du Règlement IA. Bien que les exigences fondamentales demeurent, les entreprises disposent désormais d’un temps supplémentaire pour préparer leurs systèmes d’IA à haut risque, tout en devant respecter de nouvelles interdictions et exigences de transparence. Une veille proactive et l’ajustement des stratégies de conformité s’avèrent essentiels pour tirer parti de ces évolutions législatives.