Une confusion stratégique bien installée
Le 29 juin 2026, le Conseil de l'Union européenne donnait son feu vert définitif au « Digital Omnibus ». La nouvelle a circulé vite dans les directions informatiques, souvent réduite à une formule rassurante : les délais de l'AI Act ont été repoussés. Ce raccourci, devenu réflexe dans beaucoup de comités IT, est potentiellement très coûteux.
Car tout n'a pas été repoussé. Et la date du 2 août 2026 reste une échéance réelle pour deux obligations distinctes, indépendantes du niveau de risque des systèmes déployés.
Ce que le Digital Omnibus a effectivement décalé
Pour les systèmes d'IA dits à haut risque, relevant de l'Annexe III du règlement — recrutement algorithmique, scoring de crédit, gestion des infrastructures critiques ou aide à la décision médicale —, le report est bien réel. La deadline initialement fixée au 2 août 2026 a été repoussée au 2 décembre 2027, soit un délai supplémentaire de seize mois. Les systèmes d'IA embarqués dans des produits physiques réglementés (Annexe I) bénéficient pour leur part d'un report jusqu'en août 2028.
Cette extension répond à un goulet d'étranglement réglementaire concret : les organismes notifiés chargés des certifications n'avaient pas la capacité d'absorber le volume de dossiers attendu. Un élargissement de la définition « small mid-cap » — couvrant désormais les entreprises jusqu'à 750 salariés et 150 millions d'euros de revenus — apporte également un cadre simplifié pour les acteurs de taille intermédiaire.
Ce qui reste au rendez-vous du 2 août
Deux obligations majeures ne figurent pas dans le périmètre du report, et c'est là que le diagnostic de nombreuses équipes IT pêche.
L'Article 50 et ses exigences de transparence entrent en application le 2 août 2026, sans condition de taille ni de classification de risque. Toute organisation qui expose un chatbot à ses utilisateurs, publie des contenus générés par IA ou diffuse des médias synthétiques est concernée. L'obligation est simple dans son principe : informer clairement l'utilisateur qu'il interagit avec une intelligence artificielle. Elle couvre les assistants conversationnels, les générateurs d'images, les contenus audio et vidéo synthétiques. Les sanctions pour non-conformité peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel — le montant le plus élevé étant retenu.
Les pouvoirs de sanction sur les fournisseurs de modèles à usage général (GPAI) deviennent également effectifs le 2 août. Les obligations elles-mêmes — documentation technique, politique de conformité au droit d'auteur, résumés des données d'entraînement — étaient en vigueur depuis août 2025. C'est désormais le bras armé de l'AI Office qui entre en jeu : capacité d'inspection, d'évaluation technique, de restriction de mise sur le marché et d'amendes allant jusqu'à 3 % du chiffre d'affaires mondial.
Le risque concret pour les organisations
L'équation est simple : la grande majorité des entreprises n'opèrent pas de système à haut risque au sens de l'Annexe III. En revanche, presque toutes ont intégré des assistants conversationnels dans leur support client, leur service RH ou leurs outils internes. Ce sont ces déploiements — perçus comme anodins, souvent portés par des équipes métiers sans coordination IT structurée — qui tombent sous le coup de l'Article 50 dès le 2 août.
L'audit à conduire est circonscrit mais non trivial : inventorier tous les points de contact IA exposés à des utilisateurs européens, vérifier l'existence de notices de transparence explicites et documenter la chaîne de responsabilité entre fournisseur de modèle et déployeur.
Lire les textes, pas les titres
Le Digital Omnibus a apporté une respiration bienvenue sur les systèmes à haut risque. Il n'a pas suspendu l'AI Act. Les DSI qui ont interprété le report comme un signal général de relâchement prennent un risque documentable — et sanctionnable. En matière de conformité réglementaire, la précision de lecture vaut souvent plus que la veille juridique elle-même.