Digital Omnibus : ce que le report de l’AI Act change (ou pas) pour votre conformité

L’essentiel en 30 secondes. Le règlement (UE) 2026/1744, dit « Digital Omnibus sur l’IA », est entré en vigueur le 27 juillet 2026. Il reporte les obligations applicables aux systèmes d’IA à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Mais il ne reporte pas l’AI Act : depuis le 2 août 2026, les obligations de transparence de l’article 50 s’appliquent, les autorités de contrôle sont opérationnelles et le régime de sanctions — jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial — est actif. Croire que « l’AI Act est reporté » est aujourd’hui l’erreur de conformité la plus répandue, et la plus coûteuse.

Le Digital Omnibus IA, c’est quoi exactement ?

Proposé le 19 novembre 2025 dans le cadre du paquet « omnibus numérique » de la Commission européenne, le règlement (UE) 2026/1744 a été adopté le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet. Il s’agit de la première modification du règlement sur l’intelligence artificielle (règlement (UE) 2024/1689) depuis son adoption en juin 2024. Le texte modifie également deux règlements sectoriels, celui relatif à l’aviation civile (UE 2018/1139) et le règlement Machines (UE 2023/1230).

Présenté par Bruxelles comme une « simplification ciblée » au service de la compétitivité européenne, le Digital Omnibus est arrivé cinq jours seulement avant l’échéance la plus attendue du calendrier initial : le 2 août 2026. D’où la confusion massive qui a suivi. Le raccourci « l’AI Act est reporté » s’est installé dans les esprits, alors que la réalité juridique est très différente : seules certaines obligations glissent dans le temps, tandis que le cœur du dispositif est désormais pleinement applicable et contrôlable.

Ce qui est effectivement reporté

Le report concerne les systèmes d’IA à haut risque, c’est-à-dire les obligations les plus lourdes du règlement (chapitre III, sections 1 à 3) : système de gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, évaluation de conformité et marquage CE.

Deux nouvelles échéances, désormais fermes — le législateur a écarté le mécanisme de déclenchement conditionnel lié à la disponibilité des normes harmonisées que proposait initialement la Commission :

Concrètement, si votre organisation déploie un logiciel de tri de candidatures, un outil de scoring de crédit ou un système biométrique, les obligations spécifiques au haut risque ne vous seront opposables qu’à compter du 2 décembre 2027. Seize mois de gagnés — sur l’échéance, pas sur l’exigence.

Le Digital Omnibus réécrit par ailleurs l’article 4 sur la maîtrise de l’IA (« AI literacy ») : l’obligation de garantir un niveau suffisant de maîtrise devient une obligation de prendre des mesures pour soutenir son développement. Une obligation de moyens, donc, mais toujours contraignante pour tout déployeur, et supervisée par les autorités nationales depuis le 3 août 2026. Nuance de rédaction, pas dispense.

Enfin, le texte ajoute deux interdictions nouvelles à l’article 5, applicables dès le 2 décembre 2026 : les systèmes de « nudification » générant des contenus intimes non consentis et les systèmes générant des contenus pédopornographiques.

Ce qui s’applique bel et bien depuis le 2 août 2026

C’est le point aveugle de la plupart des feuilles de route que nous auditons actuellement. Le 2 août 2026 reste la date d’application générale de l’AI Act, et trois blocs majeurs sont désormais opposables.

Les obligations de transparence de l’article 50. Les fournisseurs de chatbots, d’agents conversationnels et d’assistants IA doivent concevoir leurs systèmes de sorte que les personnes soient informées, dès le début de l’interaction, qu’elles échangent avec une machine. Les contenus de synthèse (texte, image, audio, vidéo) doivent intégrer un marquage lisible par machine ; les hypertrucages (deepfakes) doivent être signalés ; les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent en informer les personnes exposées. Seule exception de calendrier : l’obligation de marquage de l’article 50(2) ne s’appliquera qu’à partir du 2 décembre 2026 pour les systèmes déjà mis sur le marché avant le 2 août 2026.

La gouvernance et le contrôle. Le Bureau de l’IA de la Commission et les autorités nationales de surveillance sont opérationnels et ont commencé à exercer leurs pouvoirs de contrôle. Les États membres doivent par ailleurs disposer d’au moins un bac à sable réglementaire (« sandbox ») pour accompagner l’innovation.

Le régime de sanctions. Les amendes prévues par le règlement sont applicables : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, avec des paliers inférieurs pour les autres manquements. S’y ajoutent les obligations déjà en vigueur depuis 2025 : les huit pratiques d’IA interdites (février 2025) et le régime des modèles d’IA à usage général — GPAI (août 2025).

Pourquoi le report ne suspend pas votre risque juridique

Un règlement qui recule n’est pas un règlement qui disparaît, et le risque de l’entreprise ne se limite pas au risque administratif. Trois raisons de ne pas relâcher l’effort.

D’abord, le droit commun continue de s’appliquer. Un outil de tri de candidatures discriminatoire engage la responsabilité de l’employeur sur le fondement du droit du travail et du principe de non-discrimination, AI Act ou pas. Un système d’IA qui traite des données personnelles — c’est-à-dire la quasi-totalité d’entre eux — reste pleinement soumis au RGPD : base légale, information, minimisation, analyse d’impact (AIPD), encadrement des transferts. La CNIL n’a pas attendu décembre 2027.

Ensuite, le marché n’attend pas le régulateur. Les grands donneurs d’ordre intègrent déjà les exigences du chapitre III dans leurs audits fournisseurs et leurs clauses contractuelles ; les investisseurs valorisent les trajectoires de conformité documentées. Arriver en décembre 2027 sans registre de vos systèmes d’IA, sans cartographie des risques et sans gouvernance, c’est aborder l’échéance dans l’urgence — le scénario le plus coûteux.

Enfin, seize mois, c’est exactement le temps qu’il faut pour faire les choses correctement : recenser les systèmes d’IA utilisés et développés, les qualifier au regard des quatre niveaux de risque, mettre en conformité immédiatement ce qui relève de l’article 50, documenter les mesures de littératie IA, et construire une conformité « by design » au rythme de vos produits plutôt que sous la contrainte d’une date butoir.

Notre lecture : un calendrier redistribué, pas une pause

Le Digital Omnibus redistribue les priorités, il ne les supprime pas. La séquence de travail que nous recommandons à nos clients est la suivante : traiter dès maintenant la transparence (article 50) et la littératie IA, qui sont contrôlables et sanctionnables ; maintenir un registre à jour des systèmes d’IA articulé avec le registre RGPD des traitements ; et planifier la mise en conformité haut risque sur 2026-2027 avec des jalons trimestriels, plutôt que de redécouvrir le sujet à l’été 2027.

C’est précisément l’articulation RGPD + AI Act que le DPO est le mieux placé pour piloter — et ce que nous outillons au quotidien chez DPO 101 avec la plateforme Comply101.

FAQ — Digital Omnibus et report de l’AI Act

L’AI Act est-il reporté ? Non. Seules les obligations relatives aux systèmes à haut risque sont reportées, au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Les obligations de transparence, la gouvernance, le contrôle et les sanctions s’appliquent depuis le 2 août 2026.

Qu’est-ce que le règlement (UE) 2026/1744 ? C’est le « Digital Omnibus sur l’IA », publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Il modifie le calendrier de l’AI Act, réécrit l’obligation de littératie IA et ajoute deux interdictions applicables au 2 décembre 2026.

Quelles sanctions sont applicables depuis le 2 août 2026 ? Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, avec des paliers inférieurs pour les autres manquements. Les autorités nationales et le Bureau de l’IA de la Commission exercent désormais leurs pouvoirs de contrôle.

Que doit faire mon entreprise en priorité ? Trois actions immédiates : mettre en conformité vos chatbots et contenus générés avec l’article 50, documenter vos mesures de littératie IA, et tenir un registre de vos systèmes d’IA articulé avec votre conformité RGPD, en planifiant le haut risque avant décembre 2027.

Article rédigé par Assaf Bensoussan, DPO externe et fondateur de DPO 101, cabinet de conseil en protection des données (500+ structures accompagnées). Mis à jour le 12 août 2026.

Sources : règlement (UE) 2026/1744 du 8 juillet 2026 (JOUE du 24 juillet 2026) ; règlement (UE) 2024/1689 du 13 juin 2024 ; Commission européenne, communiqué du 27 juillet 2026 ; lignes directrices de la Commission sur les obligations de transparence du 20 juillet 2026.