Le règlement omnibus sur l'IA repousse les règles pour les systèmes à haut risque à 2027 et 2028

Ce que change l'omnibus

L'omnibus numérique sur l'IA a été publié au Journal officiel et s'applique à partir du 27 juillet 2026. Il modifie le règlement sur l'IA, le règlement (UE) 2024/1689 du 13 juin 2024, entré en vigueur le 1er août 2024. Mayer Brown indique que ces changements visent à simplifier la mise en œuvre et à réduire les chevauchements avec la réglementation existante.

Les obligations pour les systèmes d'IA à haut risque énumérés à l'annexe III s'appliquent désormais à partir du 2 décembre 2027. Ces usages couvrent la biométrie, les infrastructures critiques, l'éducation, l'emploi, les forces de l'ordre et la gestion des frontières. Les systèmes à haut risque utilisés comme composants de sécurité dans des produits relevant de la législation sectorielle de l'UE s'appliquent à partir du 2 août 2028. Ce report doit laisser au comité de normalisation de l'UE le temps de publier les normes du règlement sur l'IA. Ces normes précisent comment les fournisseurs peuvent se conformer et créent une présomption de conformité lorsqu'elles paraissent au Journal officiel, rapporte le Data Protection Report.

L'omnibus fait aussi passer le règlement européen sur les machines, 2023/1230, à l'annexe I section B. Les exigences d'IA pour les machines dotées d'IA relèvent donc de ce règlement et non directement du règlement sur l'IA. La Commission doit adopter des actes délégués intégrant ces obligations avant le 2 août 2028, selon Mayer Brown.

Pour les systèmes à haut risque déjà en service avant les nouvelles dates, le règlement ne s'applique aux opérateurs que si ces systèmes subissent des modifications de conception importantes à partir de cette date. Pour les opérateurs qui sont des autorités publiques, on ignore si les dates d'application seront reportées, précise Mayer Brown.

Nouvelle interdiction des applications de nudification

L'omnibus ajoute une interdiction visant les systèmes d'IA qui créent des contenus d'abus sexuels sur mineurs, ou qui représentent les parties intimes ou une activité sexuelle d'une personne identifiable sans son consentement. Elle couvre la mise sur le marché de l'UE de tels systèmes, leur mise sur le marché sans mesures de sécurité raisonnables, et les déployeurs qui les utilisent pour créer ces contenus. Les fournisseurs ont jusqu'au 2 décembre 2026 pour se conformer, indique Mayer Brown.

Les règles de transparence gardent leur date

L'omnibus n'a pas reporté les autres exigences de transparence. Les obligations de l'article 50, comme informer les personnes qu'elles interagissent avec une IA et signaler les hypertrucages, s'appliquent à partir du 2 août 2026 pour les systèmes d'IA mis sur le marché après cette date. Pour les fournisseurs qui génèrent de l'audio, des images, des vidéos ou du texte de synthèse, l'obligation de marquage lisible par machine bénéficie d'un délai limité jusqu'au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026, et pour cette seule obligation.

La Commission a publié les lignes directrices finales sur la transparence au titre de l'article 50 le 20 juillet 2026, ainsi qu'une première liste de plus de 180 organisations signataires du code de bonnes pratiques sur la transparence des contenus générés par l'IA.

L'application commence

Les pouvoirs d'exécution du Bureau de l'IA s'appliquent à partir du 2 août 2026, selon la page de la Commission consacrée à l'application. Ils concernent les fournisseurs de modèles d'IA à usage général, les systèmes d'IA développés par le même fournisseur ou par un fournisseur du même groupe, et les systèmes d'IA intégrés à de très grandes plateformes en ligne ou à des moteurs de recherche désignés au titre du règlement sur les services numériques. Les autorités nationales font appliquer les règles pour les autres systèmes d'IA. Les manquements liés aux pratiques interdites peuvent atteindre 35 000 000 euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les autres manquements, y compris aux obligations sur l'IA à usage général, peuvent atteindre 15 000 000 euros ou 3 %. Une mauvaise gestion d'une demande d'information peut être sanctionnée jusqu'à 7 500 000 euros ou 1 % pour les systèmes d'IA.

La suite

La nouvelle interdiction est l'échéance la plus proche : les fournisseurs et déployeurs des systèmes concernés ont jusqu'au 2 décembre 2026 pour se conformer. Elle rejoindra ensuite les interdictions existantes du règlement, applicables depuis le 2 février 2025. L'application de ces interdictions relève des autorités nationales de surveillance du marché, et certains États membres adoptaient encore leur législation de mise en œuvre après la date limite de désignation du 2 août 2025, rapporte le Data Protection Report.