Six jours. C'est la marge que l'Union européenne s'est laissée : le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet, soit cinq jours avant l'échéance de conformité la plus importante de l'AI Act. Il modifie le calendrier de la loi alors que ce calendrier courait encore.
L'échéance que ce texte devait devancer
L'AI Act s'est toujours appliqué par étapes : interdiction des IA à risque inacceptable et obligations de formation à l'IA depuis le 2 février 2025, règles sur les modèles d'IA à usage général (GPAI) depuis le 2 août 2025. Le 2 août 2026 devait marquer le basculement : la date à laquelle l'essentiel de la loi, y compris les systèmes à haut risque relevant de l'annexe III (outils de recrutement, scoring de crédit, identification biométrique), devenait pleinement applicable. La Commission a proposé d'en reporter une partie en novembre 2025 ; le Parlement et le Conseil se sont entendus en trilogue le 7 mai 2026, le Parlement a voté le 16 juin, et le Conseil a donné son feu vert définitif le 29 juin. Le texte est ensuite resté près d'un mois en attente avant sa publication, pour arriver au Journal officiel avec moins d'une semaine d'avance.
Ce qui a réellement été reporté
Les systèmes d'IA à haut risque autonomes (annexe III) — ceux que tout le monde s'employait à certifier en urgence — passent du 2 août 2026 au 2 décembre 2027, soit seize mois de report. L'IA à haut risque intégrée à des produits déjà réglementés (dispositifs médicaux, machines, jouets) passe du 2 août 2027 au 2 août 2028, soit douze mois. Deux obligations distinctes, deux délais distincts : ce n'est pas un report uniforme.
Ce qui n'a pas bougé
C'est ce que les titres du type « l'AI Act a été reporté » font disparaître : les obligations de transparence de l'article 50 restent applicables au 2 août 2026, c'est-à-dire les règles imposant d'indiquer qu'un contenu a été généré par une IA ou qu'un utilisateur s'adresse à un agent conversationnel, de même que les mesures de soutien à l'innovation. C'est également à cette date que débute l'application effective, au niveau national comme européen, pour les modèles à usage général, les interdictions de l'article 5, les règles de transparence et les obligations de formation. Une seule exception : les fournisseurs de systèmes de contenu synthétique déjà commercialisés au 2 août 2026 disposent de quatre mois supplémentaires, jusqu'au 2 décembre 2026, pour se conformer à l'obligation particulière de l'article 50(2).
(Point distinct et sans lien : les États membres doivent disposer d'au moins un bac à sable réglementaire national opérationnel pour l'IA d'ici le 2 août 2027, une date que l'omnibus n'a pas touchée, ne serait-ce que parce qu'elle ne faisait pas partie de l'échéance de 2026.)
Une interdiction inédite, sur un calendrier accéléré
L'omnibus ne fait pas que reporter : il ajoute une interdiction au titre de l'article 5, visant les systèmes d'IA conçus pour produire des images intimes non consenties (« nudification » par deepfake) ou du matériel d'abus sexuel sur mineur. Trois cas de figure sont visés : mettre un tel système sur le marché à cette fin ; en mettre un sur le marché sans garde-fous raisonnables contre cet usage ; et, pour un déployeur, utiliser un tel système à cette fin. D'après le calendrier de mise en œuvre publié par la Commission, l'interdiction ne produit pas d'effet immédiat : elle s'applique à partir du 2 décembre 2026, la même date que l'échéance transitoire de l'article 50(2) évoquée plus haut. Soit quatre mois après l'échéance générale d'août 2026. Tout le reste de cet article a obtenu plusieurs années de sursis ; cette disposition, elle, a pris de l'avance.
Le périmètre de surveillance de l'AI Office s'élargit
Dans le texte d'origine, l'AI Office ne surveillait un modèle GPAI et les systèmes construits en aval que lorsque le même fournisseur assurait les deux. L'omnibus étend ce périmètre au même fournisseur ou au même groupe de sociétés, et y ajoute les systèmes d'IA intégrés aux « très grandes plateformes en ligne » et aux « très grands moteurs de recherche » au sens du règlement sur les services numériques. Il confère par ailleurs à l'Office des pouvoirs d'autorité de surveillance du marché : accès aux locaux professionnels, inspection des livres et des données, demandes d'explications au personnel. Précisons ce qui est réellement nouveau : le régime d'amendes GPAI lui-même — jusqu'à 3 % du chiffre d'affaires mondial ou 15 millions d'euros — devait déjà devenir applicable au 2 août 2026 dans le texte d'origine, et l'omnibus n'a pas touché à cette date. Ce qui change, c'est qui d'autre relève désormais de cette surveillance.
Mise à jour du 30 juillet : la Commission publie le mode d'emploi, deux jours avant l'échéance
La partie de la loi dont ce billet disait qu'elle ne bougeait pas dispose enfin de son manuel. À l'approche de la date d'application du 2 août, la Commission a publié ses lignes directrices sur les obligations de transparence de l'article 50, assorties d'un code de bonnes pratiques sur la transparence des contenus générés par IA — le document volontaire d'accompagnement, sur le modèle du code GPAI de l'an dernier, qui permet aux fournisseurs de démontrer leur conformité en adhérant à une mise en œuvre commune plutôt qu'en inventant la leur.
Concrètement, ce qui s'applique à partir de samedi : les systèmes qui interagissent avec des personnes doivent indiquer à l'utilisateur qu'il s'adresse à une IA ; les fournisseurs de systèmes génératifs doivent marquer les contenus générés ou modifiés de façon lisible par une machine ; les deepfakes et les textes générés par IA publiés sur des sujets d'intérêt public doivent être étiquetés ; et les personnes soumises à des systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent en être informées. Seul l'aménagement transitoire signalé plus haut subsiste : les systèmes de contenu synthétique déjà sur le marché au 2 août ont jusqu'au 2 décembre 2026 pour satisfaire à l'obligation de marquage lisible par machine.
Le code de bonnes pratiques ne part pas de rien : la Commission a publié dans le même temps une première liste de plus de 180 organisations déjà signataires. Le véhicule volontaire de conformité arrive donc avec une adoption industrielle substantielle dès le premier jour — le mécanisme même qui a rendu le code GPAI efficace l'an dernier.
Cette date déclenche aussi l'application effective, et le communiqué décrit une architecture plus décentralisée qu'un simple « l'AI Office prend la main ». Trois organes se partagent les règles de transparence et les pratiques interdites. L'AI Office couvre les systèmes d'IA proposés par le fournisseur du modèle GPAI sous-jacent, ainsi que les systèmes intégrés aux très grandes plateformes et moteurs de recherche désignés au titre du DSA — exactement le périmètre élargi décrit plus haut. Les autorités nationales compétentes couvrent tous les autres systèmes. Et le Contrôleur européen de la protection des données couvre l'IA employée par les institutions européennes elles-mêmes. Les manquements à l'article 50 sont passibles d'amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Non sans intention, la Commission souligne que l'application effective « dépendra aussi de la désignation et du financement adéquats des autorités nationales compétentes par les États membres » : c'est la manière la plus diplomatique, dans un communiqué, de reconnaître que plusieurs ne le sont pas encore.
Pour les fournisseurs de modèles à usage général, les obligations qui deviennent exécutoires sont celles que le débat sur le risque systémique a dessinées toute l'année : documentation destinée aux autorités et aux fournisseurs en aval, politique en matière de droit d'auteur, et résumé public des contenus d'entraînement. Les modèles les plus avancés devront en outre répondre de risques à grande échelle que la Commission énumère désormais explicitement : NRBC, perte de contrôle, cyberattaque, manipulation nuisible et atteintes aux droits fondamentaux. Deux d'entre eux — « les risques pour la cybersécurité européenne » et « l'IA échappant au contrôle humain » — sont présentés comme ayant « récemment retenu l'attention du public », ce qui ressemble fort à un clin d'œil à la suspension de Fable 5 provoquée par un contournement et à la vague de modèles cyber de cet été.
La machinerie d'application arrive avec ses moyens humains et techniques. Un panel scientifique de 60 experts indépendants a tenu sa première réunion, et l'AI Office a nommé le professeur Alessandro Abate (Oxford, après Stanford, SRI et TU Delft) conseiller scientifique principal — un spécialiste de la sûreté, de la vérification et du contrôle des systèmes dotés d'IA, choix de discipline révélateur pour un office dont les arbitrages les plus délicats porteront exactement là-dessus. Trois canaux de signalement ouvrent par ailleurs : un outil de plainte public, un dispositif d'alerte confidentiel pour les personnes de l'intérieur et, plus intéressant encore au vu des querelles de distillation de l'année, un canal dédié permettant aux fournisseurs en aval qui bâtissent sur des modèles GPAI de signaler les fournisseurs de ces modèles. L'Union vient donc de créer un mécanisme officiel qui transformera les différends du type K3, suivis sur ce blog, en plaintes réglementaires plutôt qu'en fils de discussion.
Deux enseignements se dégagent de ce calendrier. D'abord, les lignes directrices sont interprétatives et non législatives : elles arrivent quelques semaines avant les obligations qu'elles éclairent, prolongeant la constante de la mise en œuvre de cette loi — le texte contraignant arrive des années à l'avance, son sens pratique au dernier moment. Ensuite, l'enchaînement confirme le constat qui ouvrait ce billet : l'Union a repoussé la partie difficile — la conformité des systèmes à haut risque, à décembre 2027 — tout en tenant bon sur la partie visible. À partir de samedi, l'AI Act auquel la plupart des Européens seront réellement confrontés est une loi d'étiquetage : le chatbot qui annonce qu'il est un chatbot, l'image signalée comme générée. Et cette partie-là est arrivée à l'heure, lignes directrices et signataires compris.
À quoi s'attendre
- Le mot « reporté » continuera d'être exagéré. L'annexe III a bougé de seize mois, l'annexe I de douze, l'article 50 pas du tout. Toute couverture postérieure au 2 août affirmant que « l'AI Act a été repoussé » sans préciser quelle partie passe à côté de ce qui compte le plus pour la majorité des déployeurs.
- L'interdiction visant les deepfakes intimes et le matériel pédocriminel suit le calendrier le plus court du paquet. Tout le reste a été reporté d'un an ou plus ; celle-ci entre en vigueur quatre mois après l'échéance initiale d'août 2026, pas des années après.
- La structuration en groupes de sociétés prend un tour nouveau face à l'AI Office. Tout groupe possédant un fournisseur GPAI et une filiale produit constituée séparément vient de perdre l'argument de l'« entité juridique distincte » pour échapper à sa surveillance.
- Attendons-nous à la même ruée de dernière minute avant le 2 décembre 2027. Le schéma observé ici — accord provisoire des mois à l'avance, adoption formelle repoussée jusqu'au dernier instant — a toutes les chances de se répéter pour l'échéance de l'annexe III.