Report de l’AI Act européen : règles à haut risque repoussées à décembre 2027

Ce qui a réellement changé

L’AI Act européen est entré en vigueur par étapes. Les usages interdits se sont appliqués à partir de février 2025. Les obligations pour les modèles d’IA à usage général (GPAI) ont commencé en août 2025. Le grand morceau — le régime de conformité complet pour les systèmes d’IA « à haut risque », couvrant la biométrie, les infrastructures critiques, l’éducation, l’emploi, les services essentiels, l’application de la loi, la justice et la gestion des frontières — était fixé au 2 août 2026.

Le 19 novembre 2025, la Commission européenne a mis sur la table une proposition, dans le cadre de son paquet plus large de simplification Digital Omnibus, pour repousser cette date. Le paquet regroupe les révisions du RGPD, des règles ePrivacy et de l’AI Act, avec un objectif déclaré de réduire les coûts de conformité d’au moins 6 milliards d’euros d’ici 2029.

Les changements spécifiques à l’AI Act :

• Systèmes d’IA à haut risque autonomes : date d’application déplacée du 2 août 2026 au 2 décembre 2027 — un glissement de 16 mois.
• IA à haut risque intégrée dans des produits réglementés (dispositifs médicaux, machines, véhicules, jouets, etc.) : date d’application déplacée au 2 août 2028.
• Les règles GPAI déjà en vigueur restent en vigueur ; le report ne concerne que les obligations à haut risque.
• Clause de grand-père : En vertu de l’article 111, les systèmes mis sur le marché avant les nouvelles dates d’application n’ont pas besoin de se conformer à moins d’être substantiellement modifiés.

La Commission proposait initialement un déclencheur flexible — les règles ne s’activeraient qu’une fois que les normes adéquates et l’outillage de conformité seraient confirmés disponibles. Le Conseil a poussé en arrière, favorisant des dates fixes, et les commissions concernées du Parlement se sont maintenant alignées sur des dates fixes également. Cela verrouille effectivement le 2 décembre 2027 comme un filet de sécurité ferme.

Pourquoi le report a lieu

Trois raisons sont citées, avec divers degrés d’enthousiasme officiel.

1. Les normes ne sont pas prêtes. La Commission et les régulateurs des États membres ont ouvertement reconnu que les normes harmonisées CEN/CENELEC sous-tendant la conformité à haut risque — couvrant la gestion des risques, la gouvernance des données, la documentation technique, la supervision humaine, l’exactitude, la robustesse et la cybersécurité — ne seront pas finalisées à temps pour la date limite initiale d’août 2026. Le communiqué de presse du Parlement dit explicitement que le report est justifié « étant donné que les normes clés peuvent ne pas être finalisées d’ici la date limite actuelle ».

2. Lobbying industriel et anxiété de compétitivité. Les associations technologiques européennes, les grandes entreprises et plusieurs États membres ont fait valoir que le calendrier initial était trop agressif compte tenu des charges parallèles d’implémentation du Digital Services Act, du Digital Markets Act, NIS 2 et du Data Act. Les préoccupations à la Draghi sur la compétitivité de l’UE face aux États-Unis et à la Chine planent sur la conversation.

3. Capacité d’application. Les autorités nationales compétentes dans la plupart des États membres ne sont pas dotées en personnel ou outillées pour exécuter le régime d’évaluation de conformité de l’AI Act à grande échelle. Plusieurs demandaient discrètement plus de temps.

Les critiques — menés par des organisations de défense des droits numériques, plusieurs coalitions de la société civile et une minorité bruyante d’eurodéputés — répliquent que le report affaiblit l’impact de l’Acte « à un moment critique », notamment pour les systèmes utilisés dans l’application de la loi et la migration où des préjudices réels sont déjà documentés.

La réponse de l’industrie

Elle s’est divisée selon des lignes prévisibles.

Les Big Tech (Microsoft, Google, Meta, Amazon, Oracle, Salesforce) soutiennent généralement le Digital Omnibus, le présentant publiquement comme « réduisant l’incertitude de conformité ». Leurs propres programmes de gouvernance IA sont largement construits ; un report aide leurs clients d’entreprise, pas les vendeurs eux-mêmes.

Les grandes entreprises européennes — banques, assureurs, fabricants industriels, groupes de santé — sont largement soulagées. La plupart étaient en débat interne frénétique sur la possibilité réaliste d’atteindre août 2026 avec des évaluations d’impact matures, une documentation de gouvernance des données et des procédures de supervision humaine pour des dizaines de cas d’usage en scope.

Les PME et startups AI-natives sont plus ambivalentes. Certaines accueillent la respiration ; d’autres craignent que l’incertitude prolonge un environnement de conformité déjà nuageux et allonge les cycles de vente.

Les organisations de défense des droits numériques (EDRi, Access Now, Algorithm Watch) et un segment de la société civile académique s’opposent au report, le qualifiant de capture réglementaire.

L’industrie juridique et de conformité a émis une recommandation remarquablement unanime aux clients : ne ralentissez pas. Plusieurs grands cabinets d’avocats et de conseil — Kennedys, Sidley Austin, Morrison Foerster, Jones Day, OneTrust et d’autres — ont explicitement conseillé aux entreprises de continuer à opérer comme si la date limite initiale d’août 2026 tenait toujours.

Ce que « continuer à construire la conformité » signifie réellement

Pour les CIO, RSSI et responsables de la gouvernance IA, l’implication pratique est étroite : vous avez maintenant 16 mois supplémentaires, conditionnellement. Mais presque toutes les recommandations d’experts s’opposent à traiter le report comme une raison de ralentir les dépenses du programme. Quatre raisons :

1. Le trilogue n’a pas conclu. L’adoption formelle nécessite encore un accord politique avant la date limite initiale d’août 2026. Si le trilogue traîne, les entreprises font toujours face aux dates initiales par défaut.

2. Les règles elles-mêmes n’ont pas matériellement changé. Seul le timing. Les obligations substantielles — systèmes de gestion des risques, gouvernance des données, documentation technique, surveillance post-marché, supervision humaine, cibles d’exactitude/robustesse, évaluations de conformité — sont toujours ce qu’elles étaient. Plus de marge, même course.

3. Les travaux de normalisation se déroulent en parallèle. Le report est en partie destiné à laisser CEN/CENELEC finaliser les normes. Les entreprises qui attendent que les normes tombent seront en retard ; celles qui construisent déjà leurs programmes se brancheront sur les normes de manière incrémentale.

4. Les règles sectorielles et exigences des États membres avancent indépendamment. L’agence espagnole IA (AESIA), la CNIL française, la BfDI allemande, le Garante italien et plusieurs autres mènent déjà des enquêtes adjacentes à l’IA sous le RGPD, la réglementation sectorielle et les lois nationales sur l’IA. Ces actions d’application ne sont pas en pause.

Le playbook sur lequel les praticiens convergent :

• Continuer à construire l’inventaire IA dans toute l’organisation ; s’assurer que chaque système en scope a un propriétaire et une classification de risque.
• Finaliser les processus de gestion des risques et d’évaluation d’impact.
• Implémenter des contrôles de supervision humaine pour les cas d’usage à haut risque.
• Aligner les voies d’évaluation de conformité (auto-évaluation interne vs revue d’organisme notifié) pour chaque système en scope.
• Maintenir les workstreams de gouvernance des données, de journalisation et de documentation technique sur leurs calendriers initiaux.
• Exécuter le programme vers une cible de préparation interne T3 2026 — six mois en avance sur la nouvelle échéance externe de 2027, mais essentiellement sur le calendrier initial comme marge de sécurité.

Le signal plus large

Le report de l’AI Act européen n’est pas un renversement. C’est une reconnaissance que réguler la technologie la plus conséquente du monde nécessite des normes fonctionnelles, une capacité d’application adéquate et des temps de montée en charge réalistes — aucun de ces éléments n’étant en place dans le calendrier initial.

Pour les organisations mondiales construisant des programmes de gouvernance IA, l’enseignement n’est pas que l’Europe recule. L’enseignement est que le contenu de l’AI Act est inchangé, que l’application arrive et que la marge ajoutée est mieux dépensée à mûrir les programmes plutôt qu’à les différer. Les juridictions qui regardent l’Europe — le Royaume-Uni, le Canada, Singapour, le Brésil et certaines parties des États-Unis — modélisent toutes leurs propres règles IA sur les concepts de l’AI Act, ce qui signifie que le travail effectué maintenant rapporte sur l’ensemble de la carte mondiale de conformité, pas seulement à Bruxelles.

Sources et lectures complémentaires

• European Commission proposes delaying full implementation of AI Act to 2027 — Euronews
• Digital Omnibus on AI Regulation Proposal — European Commission
• Council agrees position to streamline rules on Artificial Intelligence — Consilium
• MEPs support postponement of certain rules on artificial intelligence — European Parliament
• EU Digital Omnibus Proposes Delay of AI Compliance Deadlines — OneTrust
• EU’s AI Act Delays Let High-Risk Systems Dodge Oversight — TechPolicy.Press
• EU Digital Omnibus: Analysis of key changes — IAPP