L'échéance haut risque de l'EU AI Act repoussée à décembre 2027 — ce que cela change pour les acheteurs
L'AI Omnibus est entré en vigueur le 27 juillet 2026 et a déplacé les obligations haut risque de l'EU AI Act du 2 août 2026 au 2 décembre 2027[1][2]. Les systèmes relevant des domaines sensibles de l'annexe III — biométrie, infrastructures critiques, éducation, emploi, migration, asile, contrôle aux frontières — gagnent 16 mois. Les organisations qui avaient bâti leur calendrier d'achats IA autour de la date d'août 2026 ont perdu leur élément de contrainte six jours avant qu'il ne produise ses effets. Notre position : il s'agit d'un report lié à la maturité des normes et non d'un changement de ce qui sera finalement exigé, et lire ces 16 mois comme du mou est l'interprétation coûteuse.
Ce qui a réellement bougé le 27 juillet
L'Omnibus a été proposé le 19 novembre 2025, a fait l'objet d'un accord politique le 7 mai 2026 et est entré en vigueur le 27 juillet 2026 [2]. Il modifie deux dates. Les systèmes à haut risque relevant des domaines sensibles de l'annexe III s'appliquent désormais à compter du 2 décembre 2027. L'IA à haut risque intégrée à des produits réglementés — les exemples cités par le règlement lui-même sont les ascenseurs et les jouets — est repoussée plus loin, au 2 août 2028 [1].
Trois choses n'ont pas bougé. Les pratiques interdites et l'obligation de maîtrise de l'IA s'appliquent depuis le 2 février 2025. Les obligations relatives aux modèles GPAI et le cadre de gouvernance s'appliquent depuis le 2 août 2025. Et le 2 août 2026 reste la date à laquelle l'AI Office et les autorités des États membres ont commencé à superviser et à faire appliquer le règlement [1].
Le règlement est en vigueur et il est appliqué. L'un de ses chapitres démarre plus tard que prévu.
Le report porte sur les normes, pas sur le fond
Le CEN et le CENELEC devaient produire pour août 2025 les normes harmonisées qui sous-tendent les exigences haut risque, et ne les ont pas livrées [3]. Cet écart est le mécanisme. Sans normes harmonisées, il n'existe pas de socle technique stabilisé auquel un déployeur puisse se conformer, ni rien de concret sur quoi fonder une évaluation, ce qui explique la justification affichée par la Commission : les règles avançaient plus vite que les normes censées les soutenir [3].
Le paquet fait suite à une pression publique d'ASML, Airbus, Ericsson, Nokia, SAP, Siemens et Mistral AI, qui soutenaient que l'Europe se réglementait hors de la course mondiale à l'IA. Mais il a inscrit de nouvelles interdictions plutôt que de seulement alléger des charges : l'interdiction des systèmes d'IA produisant des deepfakes sexuels non consentis et du matériel pédocriminel a été ajoutée dans le même texte [3]. Décrire l'Omnibus comme un assouplissement général revient à le lire de travers.
Les orientations restent incomplètes au même titre que les normes. La page de la Commission consacrée aux lignes directrices haut risque, mise à jour le 6 juillet 2026, traite de la classification — comment une organisation détermine si un système est seulement à haut risque — et indique que les lignes directrices sur les obligations elles-mêmes restent à venir [4] ; ceux qui se préparent aujourd'hui travaillent sur des documents provisoires.
Ce que valent réellement 16 mois
Les obligations qui attendent au bout de la prolongation sont les mêmes obligations. La supervision humaine, la surveillance, la conservation des journaux et la capacité à démontrer chacune d'elles sur demande incombent toujours au déployeur — la banque, l'hôpital, l'administration — et non au fournisseur du modèle. Nous avons rapproché ces obligations des architectures de déploiement dans EU AI Act en 2026 : ce que le déploiement on-prem change à la conformité.
Le piège tient à un décalage des délais. Un document de politique interne, un registre des risques et un jeu de procédures se rédigent en un trimestre. Changer l'endroit où s'exécute l'inférence, non. Sortir un flux de production d'une API managée pour le porter sur une inférence exploitée par le déployeur, router l'audit vers son propre SIEM et adosser l'identité à son IdP, c'est un cycle d'achat suivi d'un cycle de déploiement — et dans les secteurs réglementés, le seul cycle d'achat tourne depuis longtemps autour de neuf à douze mois. Le schéma qui les consomme est bien documenté : le pilote technique passe, puis le dossier reste en attente chez la conformité.
Seize mois financent un changement d'architecture. Ils n'en financent pas deux, et ils ne financent pas un changement plus une année d'attente que les normes se stabilisent.
Le moteur qui ignore le calendrier du règlement
Les exigences de résidence des données s'inscrivent dans les projets indépendamment de toute date de conformité. Dario Maisto, analyste principal chez Forrester, décrit des acheteurs qui spécifient la résidence des données et une architecture d'IA souveraine dès la phase de planification, au lieu de la greffer plus tard comme un contrôle [5]. Les fournisseurs européens détiennent environ 15 % du marché de l'infrastructure cloud de la région, et Gartner s'attend à ce que les dépenses européennes de cloud souverain plus que triplent entre 2025 et 2027 [5].
Ce sont des chiffres de marché, pas des échéances légales, et c'est précisément le point. Rien dans l'Omnibus n'a changé l'endroit où une organisation souhaite que ses prompts soient traités.
Ce que nous ferions de cette fenêtre
Engager le changement d'architecture maintenant, sur une charge de travail qui n'est pas à haut risque, où une erreur coûte une reconstruction et non un constat d'écart. Laisser la piste d'audit se constituer en usage réel. Le jour où une charge relevant de l'annexe III devra être justifiée, le chemin de preuve tournera depuis un an et la note de conformité décrira quelque chose qui existe déjà.
L'AI Suite de Software Tailor exécute l'inférence sur du matériel exploité par le déployeur, et AI Admin Console est l'endroit où se gèrent la politique, les licences et l'audit sans contenu. Six clients du Fortune Global 500, dans la pharmacie, la finance, le secteur public, le juridique, la défense et l'énergie, exploitent cette forme (clients passés).
Un pilote d'une semaine sur le matériel du déployeur suffit à répondre à la question qui compte avant décembre 2027 : la preuve qu'une équipe conformité réclamera peut-elle effectivement être produite ?
Références
- Commission européenne. « AI Act — Regulatory framework on AI. » digital-strategy.ec.europa.eu. Consulté le 2026-08-04. Page mise à jour le 3 août 2026.
- Commission européenne. « AI Omnibus enters into force. » digital-strategy.ec.europa.eu. Consulté le 2026-08-04. Page mise à jour le 31 juillet 2026.
- The Register. « EU hits snooze on AI Act rules after industry backlash. » theregister.com. Publié le 7 mai 2026. Consulté le 2026-08-04.
- Commission européenne. « Guidelines for providers and deployers of AI high-risk systems. » digital-strategy.ec.europa.eu. Consulté le 2026-08-04. Page mise à jour le 6 juillet 2026.
- The Register. « Tech buyers are baking in sovereignty from day one, says Forrester. » theregister.com. Publié le 31 juillet 2026. Consulté le 2026-08-04.
Articles connexes
Seize mois, c'est un changement d'architecture. Lancez-le.
Un pilote d'une semaine sur le matériel du déployeur place l'inférence, l'audit et l'identité à l'intérieur du périmètre sur une charge de travail réelle, de sorte que la preuve des obligations du déployeur existe bien avant le 2 décembre 2027 au lieu d'être conçue face à une échéance.