Acte Omnibus sur l’IA reporte les risques élevés : la gouvernance reste

Le 7 mai 2026, le Conseil, le Parlement et la Commission ont provisoirement trouvé un accord sur l’Omnibus numérique relatif à l’AI Act, repoussant ainsi les obligations les plus strictes pour les systèmes d’IA à haut risque. Une fois le paquet définitivement confirmé, les principales exigences applicables aux systèmes à haut risque au niveau des applications n’entreront en vigueur que le 2 décembre 2027, au lieu d’août 2026. Pour de nombreuses entreprises, cela ressemble à une bouffée d’air frais. C’est précisément là que réside le piège : ceux qui gèlent désormais leur travail de gouvernance accumulent une dette de conformité qui sera exigible avec intérêts en 2027.

À lire aussi :Stratégie IA improvisée : ce que le conseil de surveillance doit exiger  /  BlackRock et Morgan Stanley évaluent la gouvernance de l’IA

Ce que l’Omnibus reporte vraiment

Cet accord constitue la première modification de l’AI Act depuis son adoption en 2024. Il ne reporte pas la loi dans son ensemble, mais cible précisément les délais applicables aux systèmes à haut risque. C’est une distinction importante qui se perd volontiers dans le premier soulagement.

Qu’est-ce que l’AI Act Omnibus ? Le Digital Omnibus relatif à l’AI Act est un ensemble de modifications sur lesquelles les institutions européennes se sont provisoirement accordées le 7 mai 2026. Il reporte plusieurs délais de conformité, permet à la Commission de suspendre les exigences redondantes lorsque des règles sectorielles existantes couvrent déjà le même objet, et introduit de nouvelles interdictions. L’accord provisoire doit encore être formellement confirmé et publié au Journal officiel.

Deux groupes sont concrètement concernés. Les systèmes à haut risque liés aux applications relevant de l’annexe III bénéficient de 16 mois supplémentaires : leurs obligations s’appliqueront désormais à compter du 2 décembre 2027. Les systèmes régis par la réglementation produit de l’annexe I, notamment dans les dispositifs médicaux ou les ascenseurs, voient leur échéance repoussée d’un an au 2 août 2028. L’obligation faite aux États membres de mettre en place des bacs à sable nationaux pour l’IA est également reportée à août 2027.

Un report n’est pas une levée d’alerte

Le réflexe consistant à mettre en pause un programme de gouvernance de l’IA lorsqu’on dispose de plus de temps est compréhensible – et coûteux. Les exigences ne changent pas avec le report, seule leur date d’échéance est modifiée. Qui attend la fin 2027 pour s’attaquer à la classification des risques de ses systèmes d’IA, à leur documentation et à la supervision humaine, effectuera exactement le même travail sous pression, dans un marché du conseil déjà saturé.

À cela s’ajoute l’effet marché. Lorsque toutes les entreprises partagent la même échéance de décembre 2027, elles se retrouvent en concurrence pour les mêmes capacités limitées d’audit et de conseil. Celles qui anticipent évitent cet embouteillage et ne négocient pas au moment le plus défavorable.

Là où l’Omnibus durcit le cadre

Le report n’est qu’une face du paquet. De l’autre côté, l’Omnibus introduit à l’article 5 une nouvelle interdiction visant les images d’abus générées par l’IA, qui entre en vigueur sans période de transition dès l’adoption du paquet. La liste des pratiques interdites s’allonge donc.

S’y ajoute une simplification aux conséquences notables : la Commission pourra désormais, par voie d’acte d’exécution, suspendre les exigences redondantes lorsque des règles sectorielles couvrent déjà le même objet. Cela réduit la charge administrative, mais exige des entreprises qu’elles rattachent précisément leurs systèmes d’IA aux bons référentiels réglementaires. Qui perd le fil ici ne réduit pas sa conformité – il la déplace simplement dans un autre dossier.

Ce que la direction doit décider maintenant

La décision est fondamentalement binaire. Soit l’entreprise gèle son programme de conformité et rattrapera le retard sous pression en 2027, soit elle profite de ces 16 mois comme d’une phase préparatoire ordonnée. La deuxième option n’est pas seulement moins risquée, elle est généralement moins coûteuse.

Trois étapes s’imposent indépendamment de la date limite. Premièrement, l’inventaire IA : quels systèmes en interne relèvent d’une catégorie à haut risque ? Deuxièmement, l’analyse des lacunes : où manquent la documentation, la gestion des risques et la supervision humaine exigées par l’AI Act ? Troisièmement, la responsabilité : la gouvernance de l’IA appartient au niveau de la direction, et non à un projet qui disparaîtra dès le premier cycle budgétaire. Le délai reporté est un cadeau pour ceux qui le traitent comme une période préparatoire, et un piège pour ceux qui le perçoivent à tort comme une pause.

Foire aux questions

Plus du réseau MBF Media

Source de l’image : générée par IA (juin 2026), certificat C2PA intégré dans l’image