AI Act : ce que le Digital Omnibus change réellement pour les entreprises
DPO Consulting Rejoint Grant Thornton
Entré en vigueur le 27 juillet 2026, le règlement (UE) 2026/1744, dit « Digital Omnibus on AI », reporte une partie importante du régime applicable aux systèmes d’IA à haut risque. Mais il ne suspend pas l’AI Act : les obligations de transparence sont applicables depuis le 2 août 2026, l’obligation d’AI literacy demeure et plusieurs simplifications ou nouvelles interdictions sont déjà juridiquement actées.
Le Digital Omnibus on AI ne remet pas en cause l’architecture générale du règlement européen sur l’intelligence artificielle ni son approche fondée sur les risques. Il procède à des ajustements ciblés destinés à répondre aux retards pris dans l’adoption des normes harmonisées, la désignation des organismes d’évaluation et la mise en place des outils d’accompagnement.
La lecture selon laquelle « l’AI Act serait repoussé » est donc trompeuse. Seules certaines dispositions des sections 1 à 3 du chapitre III, principalement consacrées à la qualification, aux exigences et aux obligations des acteurs des systèmes à haut risque, bénéficient de nouvelles échéances.
En parallèle, les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Les règles concernant les modèles d’IA à usage général sont déjà applicables depuis août 2025, avec l’activation depuis août 2026 des pouvoirs de sanction de la Commission à l’égard de leurs fournisseurs. L’obligation de développer l’AI literacy reste également en vigueur, dans une rédaction désormais plus souple.
À retenir : le calendrier du haut risque est décalé, mais les priorités immédiates de conformité portent déjà sur la transparence, l’AI literacy, les modèles GPAI, la gouvernance et la préparation des futurs dossiers à haut risque.
2 août 2026
Obligations de transparence de l’article 50 ; application générale des dispositions non reportées ; pouvoirs de sanction à l’égard des fournisseurs de GPAI.
Les organisations doivent vérifier sans attendre leurs interfaces, contenus synthétiques, deepfakes et dispositifs d’information des personnes.
2 décembre 2026
Nouvelles interdictions relatives aux contenus intimes non consentis et aux contenus pédocriminels générés ou manipulés par IA. Fin de la période transitoire de l’article 50§2 pour les systèmes génératifs déjà mis sur le marché avant le 2 août 2026.
Les fournisseurs concernés doivent avoir déployé les garanties techniques requises ; les déployeurs ne peuvent utiliser un système dans le but de produire ces contenus.
2 août 2027
Au moins un bac à sable réglementaire doit être opérationnel au niveau national.
Les entreprises innovantes, notamment les PME et small mid-caps, pourront bénéficier d’un environnement de test supervisé.
2 décembre 2027
Sections 1 à 3 du chapitre III pour les systèmes à haut risque relevant de l’article 6§2 et de l’annexe III.
Le régime s’appliquera notamment à certains usages en recrutement, éducation, accès aux services essentiels, solvabilité, justice, migration ou maintien de l’ordre.
2 août 2028
Sections 1 à 3 du chapitre III pour les systèmes à haut risque relevant de l’article 6§1 et de l’annexe I.
Sont principalement concernés les systèmes constituant un produit réglementé ou un composant de sécurité soumis à une évaluation de conformité par un tiers.
Calendrier issu de l’article 113 de l’AI Act tel que modifié par le règlement (UE) 2026/1744.
Le premier chantier immédiat concerne l’article 50. Il ne crée pas une obligation uniforme de « labelliser toute production de l’IA ». Les exigences varient selon la nature du système, le contenu concerné et le rôle joué par l’organisation.
Les fournisseurs de systèmes destinés à interagir directement avec des personnes physiques doivent veiller à ce que celles-ci soient informées qu’elles dialoguent avec une IA, sauf lorsque cette circonstance est évidente pour une personne raisonnablement informée, attentive et avisée, compte tenu du contexte.
Les fournisseurs de systèmes générant des contenus synthétiques audio, image, vidéo ou texte doivent s’assurer que les sorties sont marquées dans un format lisible par machine et détectables comme ayant été artificiellement générées ou manipulées. Le règlement ne prescrit pas un « watermark » visuel unique : il impose un résultat technique de détectabilité, sous réserve des exceptions prévues par le texte.
La date du 2 décembre 2026 ne constitue pas un report général de cette obligation. Elle correspond uniquement à la fin de la période transitoire accordée aux systèmes génératifs déjà mis sur le marché avant le 2 août 2026.
Les déployeurs de systèmes générant ou manipulant des deepfakes doivent signaler le caractère artificiel du contenu. Une obligation de divulgation concerne également certains textes publiés afin d’informer le public sur des questions d’intérêt public, sous réserve notamment des hypothèses dans lesquelles le contenu a fait l’objet d’un contrôle humain ou éditorial et qu’une personne en assume la responsabilité.
L’article 50 couvre également l’information des personnes exposées à certains systèmes de reconnaissance des émotions ou de catégorisation biométrique. Une revue de conformité limitée aux seuls chatbots serait donc insuffisante.
Le nouvel article 4 remplace l’obligation de garantir un niveau suffisant de maîtrise de l’IA par une obligation de prendre des mesures destinées à soutenir le développement de l’AI literacy du personnel et des autres personnes utilisant les systèmes pour le compte de l’organisation.
Le texte précise désormais qu’aucun niveau déterminé de maîtrise ne doit être garanti pour chaque individu. Cet assouplissement ne dispense cependant pas les entreprises de mettre en place un dispositif adapté. Les mesures doivent rester proportionnées aux connaissances techniques, à l’expérience, à la formation, au contexte d’utilisation et aux personnes susceptibles d’être affectées.
En pratique, une approche crédible peut reposer sur plusieurs niveaux :
Le Digital Omnibus introduit un nouvel article 4a consacré au traitement de catégories particulières de données personnelles pour détecter et corriger certains biais. La faculté, auparavant rattachée aux fournisseurs de systèmes à haut risque, est étendue sous conditions aux déployeurs de systèmes à haut risque ainsi qu’aux fournisseurs et déployeurs d’autres systèmes et modèles d’IA.
Cette disposition ne constitue ni une dérogation générale au RGPD ni une obligation de collecter des données sensibles. Le traitement doit être strictement nécessaire et viser des biais susceptibles d’affecter la santé ou la sécurité, de porter atteinte aux droits fondamentaux ou de conduire à une discrimination interdite par le droit de l’Union.
L’organisation doit notamment être en mesure de démontrer que l’objectif ne peut être atteint efficacement avec d’autres données, y compris synthétiques ou anonymisées. Elle doit mettre en œuvre des mesures de pseudonymisation et de sécurité adaptées, limiter et documenter les accès, empêcher la transmission des données à d’autres parties, supprimer les données dès que le biais est corrigé ou que la durée de conservation expire, et justifier cette stricte nécessité dans son registre de traitements.
La mise en œuvre de cette faculté devrait donc être précédée d’une analyse conjointe AI Act–RGPD et, selon le niveau de risque, d’une AIPD.
Plusieurs allègements sont étendus aux small mid-cap enterprises. Les PME, start-up et small mid-caps pourront notamment utiliser une documentation technique simplifiée pour les systèmes à haut risque. La mise en œuvre du système de management de la qualité doit être proportionnée à la taille de l’organisation, sans réduire le niveau de rigueur nécessaire. Certaines amendes applicables aux small mid-caps sont également plafonnées au montant ou au pourcentage le plus faible.
La définition du composant de sécurité est précisée afin d’éviter que toute fonctionnalité d’IA intégrée dans un produit réglementé soit automatiquement qualifiée à haut risque. Les fonctions limitées à l’assistance, à l’optimisation des performances, à l’efficacité, à l’automatisation, au confort ou à certains contrôles qualité ne constituent pas, par principe, des composants de sécurité, sauf si leur défaillance ou leur dysfonctionnement est susceptible de mettre en danger la santé ou la sécurité.
Le règlement prévoit également un mécanisme permettant de limiter certaines exigences de l’AI Act lorsque la législation sectorielle garantit déjà un niveau de protection équivalent. Les machines font l’objet d’un traitement particulier : elles sont retirées de la voie d’application directe de l’annexe I, les exigences relatives à l’IA devant être intégrées au règlement Machines au moyen d’actes secondaires.
Lorsqu’une exigence de l’analyse d’impact sur les droits fondamentaux prévue à l’article 27 est déjà couverte par une AIPD réalisée sur le fondement du RGPD, le déployeur peut désormais renvoyer vers les parties pertinentes de l’AIPD ou les reprendre dans la FRIA.
Cette clarification doit permettre d’éviter les doublons, à condition que les deux analyses restent complètes au regard de leurs finalités respectives.
Le Digital Omnibus ajoute à l’article 5 deux catégories de pratiques interdites : la génération ou la manipulation de contenus intimes non consentis représentant de manière réaliste une personne identifiable, et la génération ou la manipulation de contenus ou performances pédocriminels.
Pour les fournisseurs, l’interdiction vise les systèmes ayant cette génération ou manipulation pour finalité, ainsi que les systèmes pour lesquels ce résultat est raisonnablement prévisible et reproductible lorsque des mesures techniques et garanties raisonnables et adéquates ne permettent pas de le prévenir et de corriger les usages abusifs observés ou signalés.
Pour les déployeurs, l’utilisation est interdite lorsqu’ils emploient le système dans le but de générer ou de manipuler ces contenus. Cette distinction entre mise sur le marché et utilisation doit apparaître dans les politiques d’usage, les conditions contractuelles et les dispositifs de contrôle des fournisseurs concernés.
Le délai accordé au régime haut risque ne justifie ni une pause générale ni la production immédiate de dossiers de conformité disproportionnés. Il doit être utilisé pour traiter les obligations déjà applicables et construire une trajectoire réaliste.
Identifier les interfaces conversationnelles, les contenus synthétiques, les deepfakes, les systèmes de reconnaissance des émotions et les responsabilités respectives des fournisseurs et déployeurs.
Définir les populations, niveaux de formation, compétences attendues et éléments de preuve, en tenant compte de la nouvelle rédaction de l’article 4.
Recenser les systèmes autorisés ou expérimentaux, qualifier le rôle de l’organisation et documenter la première analyse de risque.
Obtenir les informations, droits d’accès, garanties techniques et modalités d’assistance nécessaires auprès des éditeurs, fournisseurs de modèles et intégrateurs.
Gouvernance des risques, qualité des données, documentation, supervision humaine, traçabilité, incidents, FRIA et articulation avec l’AIPD.
Le Digital Omnibus offre un délai supplémentaire aux acteurs des systèmes à haut risque, mais il ne réduit pas la conformité IA à une échéance située en 2027 ou 2028. Depuis le 2 août 2026, des obligations opérationnelles de transparence s’appliquent déjà. L’AI literacy demeure exigée. Les règles applicables aux modèles GPAI sont en vigueur et plusieurs nouvelles facultés ou simplifications doivent être intégrées à la gouvernance des données et de l’IA.
La priorité consiste donc à adopter une démarche à deux vitesses : sécuriser immédiatement les obligations déjà applicables et utiliser le temps accordé pour construire, sans précipitation mais sans attentisme, la conformité des futurs systèmes à haut risque.
DPO Consulting accompagne les organisations dans la cartographie et la qualification de leurs systèmes d’IA, la mise en conformité avec l’article 50, la structuration de l’AI literacy, la gouvernance AI Act, les analyses de risques, les FRIA et AIPD, ainsi que la préparation des dossiers de conformité applicables aux systèmes à haut risque.
Pour sécuriser votre trajectoire de conformité AI Act : découvrir notre accompagnement
Inscrivez-vous à notre webinaire du 17 septembre sur le sujet : lien d'inscription
.svg)
%20(1).png)
_FR%20(1).png)
