Omnibus IA de l’UE — 7 Mai : Nouvelles Interdictions Deepfake, Allègement PME et Ce qui a Vraiment Changé

Ce que l’Accord du 7 Mai a Réellement Changé

Le calendrier d’application de la loi IA de l’UE était déjà parmi les calendriers réglementaires les plus complexes de l’histoire de la tech. L’accord politique de l’Omnibus numérique du 7 mai 2026 — conclu entre le Conseil et le Parlement européen — a réécrit ce calendrier dans trois directions simultanément : il a renforcé certaines interdictions (nouvelles règles sur les deepfakes), étendu les délais de conformité pour les systèmes à haut risque, et élargi le groupe d’entreprises bénéficiant d’obligations simplifiées.

La justification des changements a été déclarée publiquement : les normes techniques et les documents d’orientation n’étaient pas prêts pour le calendrier d’août 2026, créant une véritable incertitude de conformité pour les opérateurs qui n’avaient aucune interprétation faisant autorité de ce que la gouvernance des « systèmes d’IA à haut risque » exigeait réellement en pratique.

L’accord doit encore être formellement adopté par le Parlement européen et le Conseil. L’adoption formelle est attendue pour juillet 2026, avec entrée en vigueur peu après. Les dispositions substantielles ci-dessous sont considérées comme acquises.

Les Nouvelles Interdictions : Ce qui Est Maintenant Interdit dès Décembre 2026

L’accord Omnibus a ajouté deux nouvelles pratiques d’IA interdites à l’Article 5 de la loi IA, avec une date limite de conformité du 2 décembre 2026 — nettement plus tôt que les délais haut risque prolongés.

Interdiction 1 : Imagerie Intime Non Consensuelle (« Nudification »)

Les systèmes d’IA qui génèrent ou manipulent des images, vidéos ou audios à caractère sexuellement explicite ou intime de personnes réelles sans leur consentement explicite sont désormais interdits dans toute l’UE. Selon l’analyse Dastra de la loi IA de l’UE, les fournisseurs et déployeurs ne peuvent pas utiliser ou mettre sur le marché de l’UE des systèmes d’IA conçus pour créer des deepfakes intimes ou qui manquent de garanties raisonnables contre de tels usages. Les violations peuvent entraîner des amendes allant jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé.

Interdiction 2 : Matériel d’Abus Sexuels sur Enfants (CSAM) Généré par IA

Les systèmes d’IA conçus pour générer des CSAM sont interdits avec la même structure d’amendes. Cette interdiction codifie dans la loi IA ce qui était déjà interdit par le droit pénal dans les États membres de l’UE.

Les deux interdictions s’appliquent aux développeurs qui placent des systèmes sur le marché de l’UE et aux déployeurs qui utilisent de tels systèmes dans l’UE, quel que soit l’endroit où le système a été construit.

Les Prolongations de Délais : Calendrier de Conformité Mis à Jour

Le calendrier d’application original de la loi IA comportait deux dates critiques en août 2026. Les deux ont été repoussées :

| Obligation | Délai Original | Nouveau Délai |

|————|—————|————–|

| Systèmes IA à haut risque (Annexe III — autonomes) | 2 août 2026 | 2 décembre 2027 |

| IA à haut risque dans les produits réglementés (Annexe I) | 2 août 2027 | 2 août 2028 |

| Marquage des contenus générés par IA | Août 2026 | 2 décembre 2026 |

La prolongation de 16 mois pour les systèmes à haut risque de l’Annexe III est la plus significative sur le plan commercial. Elle couvre l’IA utilisée dans les infrastructures critiques, l’éducation, l’emploi, les services essentiels, les forces de l’ordre, la gestion des migrations et l’administration de la justice.

Ce que les Équipes Produit Doivent Faire

1. Auditer Votre Produit par Rapport aux Nouvelles Échéances d’Interdiction de Décembre 2026

Tout produit IA qui génère, manipule ou pourrait être utilisé pour générer des images intimes de personnes réelles nécessite un examen juridique et produit immédiat. L’interdiction ne se limite pas aux applications de « nudification » explicitement conçues à cet effet — elle s’étend aux systèmes d’IA qui manquent de « garanties raisonnables » contre un tel usage. L’analyse d’Inside Privacy sur la loi IA de l’UE fournit le standard juridique spécifique pour ce que « garanties raisonnables » signifie dans l’interprétation de la Commission.

2. Réévaluer Votre Classification PME/SMC — Le Seuil a Bougé

L’accord Omnibus a élargi les avantages de conformité simplifiée des PME traditionnelles aux « sociétés à petite-moyenne capitalisation » (SMC) définies comme : jusqu’à 750 employés et 150 millions d’euros de chiffre d’affaires annuel. C’est une augmentation significative par rapport au seuil PME original (250 employés, 50 millions d’euros de revenus). Les avantages SMC comprennent des orientations simplifiées, des amendes réduites, l’accès aux bacs à sable réglementaires et des modèles de documentation standardisés. Si votre entreprise s’était précédemment évaluée au-dessus du seuil PME et construisait des programmes de conformité à l’échelle entreprise, réévaluez immédiatement — vous pourriez vous qualifier pour le parcours SMC nettement allégé.

3. Mettre à Jour Votre Feuille de Route de Conformité IA à Haut Risque pour Décembre 2027

La prolongation de 16 mois s’applique à votre programme de conformité, pas à votre développement produit. Utilisez-la pour construire une infrastructure de conformité adéquate : établissez votre fonction de gouvernance interne de l’IA, cartographiez vos systèmes d’IA par rapport aux catégories de l’Annexe III avec une justification documentée, et commencez à vous engager dans le processus de normalisation technique via CEN-CENELEC. Les entreprises qui montrent des preuves de progrès substantiels à l’arrivée de décembre 2027 feront face à un risque réglementaire significativement plus faible que celles qui attendent mi-2027 pour commencer.

La Leçon Structurelle : L’Interdiction Se Resserre, la Permission S’Élargit

L’évolution de la loi IA de l’UE en mai 2026 révèle une logique réglementaire claire : les interdictions deviennent plus nettes et plus précoces (décembre 2026 pour les deepfakes), tandis que les cadres de permission deviennent plus larges et plus tardifs (décembre 2027 pour la gouvernance à haut risque). Ce n’est pas une contradiction — cela reflète la calibration de l’UE selon laquelle certains dommages sont suffisamment clairs pour être immédiatement interdits, tandis que les cadres de gouvernance pour les systèmes complexes à haut risque ont besoin de plus de temps pour être techniquement significatifs.

Pour les responsables produit, cela signifie que deux postures de conformité différentes sont nécessaires simultanément. L’audit des interdictions est urgent et binaire — vous êtes soit conforme, soit pas. Le programme de gouvernance à haut risque est à long terme et itératif — commencez maintenant, construisez progressivement, démontrez votre progrès. L’analyse de ResultSense sur l’Omnibus de la loi IA de l’UE note que les pouvoirs d’application renforcés du Bureau de l’IA augmentent également la probabilité d’actions d’application contre les violations claires avant l’échéance formelle.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Le Conseil et le Parlement s’accordent pour simplifier les règles IA — Conseil de l’UE
• Plus simple, plus sûr, plus strict là où ça compte : L’accord Omnibus IA de l’UE — Dastra
• Mise à jour de la loi IA de l’UE : Allègement des délais et nouvelles interdictions — Inside Privacy
• Mise à jour de la loi IA : L’UE décide de modifier les règles — Latham & Watkins
• Accord provisoire de l’Omnibus numérique sur l’IA — Bird & Bird
• L’Omnibus de la loi IA de l’UE prolonge les délais haut risque — ResultSense