AI Act : le Digital Omnibus entre en vigueur — ce qui change (et ce qui ne change pas) avant le 2 août

Un report réel, mais beaucoup plus étroit qu'on ne le dit

Le règlement (UE) 2026/1744 modifiant l'AI Act — connu sous le nom de « Digital Omnibus sur l'IA » — a été adopté au terme d'un processus législatif accéléré : vote du Parlement européen le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), puis approbation finale du Conseil de l'UE le 29 juin 2026. Il a été publié au Journal officiel de l'UE le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026.

Le raccourci qui a circulé depuis — « l'AI Act est reporté » — est inexact et potentiellement dangereux pour la conformité d'un établissement financier. Le Digital Omnibus ne touche qu'à une partie du calendrier : les obligations substantielles liées aux systèmes d'IA à haut risque. Il laisse inchangé tout le reste du dispositif, y compris des obligations qui s'appliquaient déjà à la date de rédaction de cet article.

Ce qui est reporté

Les systèmes à haut risque « autonomes » (annexe III)

Les obligations substantielles applicables aux systèmes à haut risque autonomes visés à l'annexe III de l'AI Act — notation de crédit, outils de recrutement, identification biométrique, et plus largement les cas d'usage typiques du scoring et du KYC automatisé dans le secteur financier — sont reportées du 2 août 2026 au 2 décembre 2027, soit un report de 16 mois.

L'IA intégrée dans des produits déjà réglementés (annexe I)

Pour les systèmes d'IA à haut risque intégrés dans des produits couverts par une réglementation sectorielle préexistante (annexe I), le report est de 12 mois, avec une nouvelle échéance fixée au 2 août 2028.

L'objectif affiché de ce report est de laisser le temps aux normes techniques harmonisées — aujourd'hui en retard — d'être finalisées avant que les obligations de mise en conformité ne deviennent opposables.

Ce qui reste dû au 2 août 2026 — donc déjà applicable

C'est le point sur lequel la vigilance doit porter en priorité, car ces obligations sont en vigueur au moment où cet article est publié.

• L'article 5 sur les pratiques interdites n'a jamais bougé : il s'applique depuis le 2 février 2025. Le Digital Omnibus y ajoute même deux nouvelles catégories de pratiques interdites (génération d'images intimes non consenties et de contenus pédopornographiques par IA), avec un délai de mise en conformité technique courant jusqu'au 2 décembre 2026 pour les seules mesures de sauvegarde associées.
• Les obligations de transparence de l'article 50 (information des utilisateurs qu'ils interagissent avec un système d'IA, information sur un contenu généré ou manipulé par IA) s'appliquent depuis le 2 août 2026, sans changement de calendrier lié au Digital Omnibus.
• L'obligation de marquage (« watermarking ») des contenus générés par IA, rattachée à l'article 50, bénéficie en revanche d'un délai de grâce spécifique jusqu'au 2 décembre 2026 pour les systèmes déjà mis sur le marché avant le 2 août 2026 — une nuance à ne pas confondre avec le calendrier général de l'article 50.
• Les obligations relatives aux modèles d'IA à usage général (GPAI) sont en vigueur depuis le 2 août 2025 ; les modèles mis sur le marché avant cette date disposent d'un délai allant jusqu'au 2 août 2027 pour se mettre en pleine conformité — un calendrier que le Digital Omnibus ne modifie pas.
• Les pouvoirs de surveillance du marché et de sanction de la Commission restent pleinement applicables : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement aux obligations d'opérateur (dont l'article 50), et jusqu'à 35 millions d'euros ou 7 % pour une violation du régime des pratiques interdites de l'article 5.

Ce que cela implique en pratique pour la conformité

• Ne pas suspendre les chantiers de mise en conformité « haut risque » au prétexte du report : la classification des systèmes reste inchangée, seule l'échéance de mise en conformité substantielle recule à décembre 2027 (annexe III) ou août 2028 (annexe I).
• Vérifier en priorité le respect effectif de l'article 50 sur les systèmes déployés aujourd'hui — information des clients, documentation du contenu généré par IA — puisque cette obligation est due depuis le 2 août 2026.
• Distinguer, dans les tableaux de bord de conformité IA, les échéances « article 5 / article 50 / GPAI » (actives) des échéances « annexe III / annexe I » (reportées), pour éviter qu'un mauvais calibrage interne n'expose l'établissement à un risque de sanction sur les obligations qui restent, elles, pleinement dues.
• Suivre la publication des normes techniques harmonisées dont l'attente motive le report des obligations « haut risque », car leur calendrier de finalisation conditionnera le rythme réel de mise en conformité d'ici décembre 2027.

Sources consultées le 11 août 2026.