L'AI Omnibus est entré en vigueur le 27 juillet 2026 et a reporté les obligations à haut risque du règlement européen sur l'IA du 2 août 2026 au 2 décembre 2027 [1][2]. Les systèmes dans les domaines sensibles de l'annexe III — biométrie, infrastructures critiques, éducation, emploi, migration, asile, contrôle aux frontières — ont bénéficié de 16 mois supplémentaires. Les organisations qui avaient construit un calendrier d'achat d'IA autour de la date d'août 2026 ont perdu leur levier six jours avant son application. Notre position : il s'agit d'un report lié à la disponibilité des normes plutôt que d'un changement dans les exigences finales, et interpréter cela comme 16 mois de marge est une lecture coûteuse.
Ce qui a réellement changé le 27 juillet
L'Omnibus a été proposé le 19 novembre 2025, a atteint un accord politique le 7 mai 2026, et est entré en vigueur le 27 juillet 2026 [2]. Il modifie deux dates. Les systèmes à haut risque dans les domaines sensibles de l'annexe III s'appliquent désormais à partir du 2 décembre 2027. L'IA à haut risque intégrée dans des produits réglementés — les exemples donnés par le règlement sont les ascenseurs et les jouets — est repoussée au 2 août 2028 [1].
Trois éléments n'ont pas changé. Les pratiques interdites et l'obligation d'alphabétisation à l'IA s'appliquent depuis le 2 février 2025. Les obligations relatives aux modèles GPAI et le cadre de gouvernance s'appliquent depuis le 2 août 2025. Et le 2 août 2026 reste la date à laquelle l'AI Office et les autorités des États membres ont commencé à superviser et appliquer le règlement [1].
Le règlement est en vigueur et appliqué. Un de ses chapitres commence plus tard que prévu.
Le report concerne les normes, pas le fond
Le CEN et le CENELEC ont été chargés de produire les normes harmonisées sous-jacentes aux exigences à haut risque avec un calendrier fixé à août 2025, mais ne les ont pas livrées [3]. Ce décalage est le mécanisme. Sans normes harmonisées, il n'existe pas de base technique stable à laquelle un déployeur peut se conformer et rien de concret sur quoi fonder une évaluation, ce qui explique que la Commission justifie ce report par le fait que les règles avançaient plus vite que les normes nécessaires pour les soutenir [3].
Le paquet a suivi la pression publique d'ASML, Airbus, Ericsson, Nokia, SAP, Siemens et Mistral AI, qui soutenaient que l'Europe se régulait hors de la course mondiale à l'IA. Mais il a introduit de nouvelles interdictions plutôt que de simplement alléger les contraintes : des interdictions sur les systèmes d'IA produisant des deepfakes sexuels non consentis et des contenus d'abus sexuels sur enfants ont été ajoutées dans le même texte [3]. Qualifier l'Omnibus de relâchement général est une mauvaise interprétation.
Les orientations restent incomplètes parallèlement aux normes. La page de la Commission sur les lignes directrices à haut risque, mise à jour pour la dernière fois le 6 juillet 2026, couvre la classification — comment une organisation détermine si un système est à haut risque — et indique que les lignes directrices pour les obligations elles-mêmes sont encore à venir [4] ; les déployeurs qui se préparent aujourd'hui travaillent à partir de documents provisoires.
La valeur réelle des 16 mois
Les obligations attendues à la fin de ce report sont les mêmes. La supervision humaine, la surveillance, la conservation des journaux et la capacité à démontrer chacune de ces obligations sur demande incombent toujours au déployeur — la banque, l'hôpital, l'agence — et non au fournisseur du modèle. Nous avons cartographié ces obligations aux architectures de déploiement dans Règlement européen sur l'IA en 2026 : ce que le déploiement sur site change en matière de conformité.
Le piège réside dans un décalage des délais. Un document de politique, un registre des risques et un ensemble de procédures internes peuvent être rédigés en un trimestre. Modifier le lieu où l'inférence se produit ne peut pas l'être. Déplacer un flux de production d'une API gérée vers une inférence opérée par le déployeur, acheminer l'audit vers le SIEM propre au déployeur, et placer l'identité derrière l'IdP du déployeur constitue un cycle d'approvisionnement suivi d'un cycle de déploiement, et dans les secteurs réglementés, le seul cycle d'approvisionnement dure déjà de neuf à douze mois. Le modèle qui le consomme est bien documenté : le pilote technique réussit, puis le dossier reste en attente auprès de la conformité.
Seize mois permettent un seul changement d'architecture. Ils ne permettent pas deux, ni un plus une année d'attente pour la stabilisation des normes.
Le moteur qui ignore le calendrier de la Loi
Les exigences de résidence sont intégrées aux projets indépendamment de toute date de conformité. Dario Maisto, analyste principal chez Forrester, décrit des acheteurs spécifiant la résidence des données et une architecture d'IA souveraine dès la phase de planification plutôt que comme un contrôle ajouté ultérieurement [5]. Les fournisseurs européens détiennent environ 15 % du marché régional des infrastructures cloud, et Gartner prévoit que les dépenses en cloud souverain européen plus que tripleront entre 2025 et 2027 [5].
Ce sont des chiffres de marché, non des échéances légales, et c'est précisément le point. Rien dans l'Omnibus n'a changé l'endroit où une organisation souhaite que ses prompts soient traités.
Ce que nous ferions avec cette fenêtre
Effectuer dès maintenant le changement d'architecture sur une charge de travail non à haut risque, où une erreur coûte une reconstruction plutôt qu'une sanction. Laisser la piste d'audit s'accumuler sous une utilisation réelle. Au moment où une charge de travail de l'Annexe III devra être justifiée, le chemin de preuve aura fonctionné pendant un an et la note de conformité décrira quelque chose qui existe déjà.
La AI Suite de Software Tailor exécute l'inférence sur du matériel exploité par le déployeur, et AI Admin Console est l'endroit où la politique, la licence et l'audit sans contenu sont gérés. Six clients du Fortune Global 500 dans les secteurs pharmaceutique, financier, gouvernemental, juridique, de la défense et de l'énergie utilisent cette configuration (anciens clients).
Un pilote d'une semaine sur le matériel propre au déployeur suffit à répondre à la question cruciale avant décembre 2027 : si les preuves qu'une équipe de conformité devra fournir peuvent effectivement être produites.
Références
- Commission européenne. « AI Act — Cadre réglementaire sur l'IA. » https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Consulté le 4 août 2026. Page mise à jour pour la dernière fois le 3 août 2026.
- Commission européenne. « Le paquet législatif sur l'IA entre en vigueur. » https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force. Consulté le 4 août 2026. Page mise à jour pour la dernière fois le 31 juillet 2026.
- The Register. « L'UE met en pause les règles de l'AI Act après la réaction de l'industrie. » https://www.theregister.com/ai-and-ml/2026/05/07/eu-hits-snooze-on-ai-act-rules-after-industry-backlash/5234530. Publié le 7 mai 2026. Consulté le 4 août 2026.
- Commission européenne. « Lignes directrices pour les fournisseurs et déployeurs de systèmes d'IA à haut risque. » https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems. Consulté le 4 août 2026. Page mise à jour pour la dernière fois le 6 juillet 2026.
- The Register. « Les acheteurs technologiques intègrent la souveraineté dès le premier jour, selon Forrester. » https://www.theregister.com/ai-and-ml/2026/07/31/tech-buyers-are-baking-in-sovereignty-from-day-one-says-forrester/5281208. Publié le 31 juillet 2026. Consulté le 4 août 2026.