Échéance d’août 2026 du règlement européen sur l’IA : votre entreprise est-elle prête ?
Si vous avez entendu des informations contradictoires concernant le règlement européen sur l’IA et l’échéance d’août 2026 qui approche à grands pas, vous n’êtes pas le seul. Ce guide présente l’état actuel des choses, les changements à venir et les mesures qu’il convient de prendre, quelle que soit la forme finale que prendront les dispositions.
Il convient de noter qu’au cours des derniers mois, le règlement européen sur l’IA a fait l’objet de modifications et que les dates d’entrée en vigueur ont été revues. Nous vous conseillons donc de suivre de près l’évolution de la situation au cours des prochaines semaines. Le centre de ressources sur le règlement européen sur l’IA et le Bureau européen de l’IA constituent des sources utiles pour suivre l’adoption officielle du « Digital Omnibus » et prendre connaissance de toute nouvelle orientation publiée d’ici le mois d’août.
Que se passera-t-il le 2 août 2026 ?
Le règlement européen sur l’IA est entrée en vigueur le 1er août 2024 et deviendra pleinement applicable deux ans plus tard, le 2 août 2026. Selon la page officielle de la Commission européenne consacrée au règlement européen sur l’IA, cette date avait initialement été fixée pour la mise en œuvre de la plupart des obligations restantes de la loi, notamment les règles régissant les systèmes d’IA à haut risque et les obligations de transparence applicables aux contenus générés par l’IA.
Les systèmes d’IA à haut risque sont ceux utilisés dans des domaines tels que le recrutement, les décisions en matière d’emploi, l’identification biométrique, les infrastructures critiques, l’éducation et l’accès aux services essentiels. Les fournisseurs de ces systèmes devaient avoir achevé les évaluations de conformité, la documentation technique et l’enregistrement dans la base de données de l’UE avant cette date limite, tandis que les exploitants étaient tenus de mettre en place des dispositifs de supervision et de surveillance humaines.
Pourquoi la situation a récemment évolué
En novembre 2025, la Commission européenne a proposé un ensemble d’amendements, connu sous le nom de « Digital Omnibus » sur l’IA, visant à simplifier certains aspects de la mise en œuvre du règlement européen sur l’IA. Après plusieurs cycles de négociations, le Parlement européen a officiellement approuvé ces amendements par 423 voix contre 57, avec 174 abstentions. Ces amendements reportent au 2 décembre 2027 l’application des obligations relatives aux systèmes autonomes à haut risque énumérés à l’annexe III, qui couvrent des domaines tels que l’emploi, la biométrie et les infrastructures critiques, soit un report d’environ seize mois par rapport à la date initialement prévue.
Une prolongation distincte, plus longue, s’applique aux systèmes d’IA faisant partie de produits réglementés, tels que les dispositifs médicaux ou les machines, pour lesquels le délai est désormais repoussé au 2 août 2028. La publication officielle au Journal officiel constitue la dernière étape avant que ces modifications n’entrent pleinement en vigueur.
Les amendements « Omnibus » ont également introduit un certain nombre d’autres changements qu’il convient de connaître. Les exemptions qui ne s’appliquaient auparavant qu’aux petites et moyennes entreprises ont été étendues aux petites entreprises de taille intermédiaire. Le traitement des données à caractère personnel à des fins de détection des biais est désormais explicitement autorisé, ce qui constitue une clarification importante pour les organisations effectuant des tests d’égalité et d’équité sur leurs systèmes d’IA. La définition de ce qui est considéré comme un composant de sécurité a également été précisée, ce qui a une incidence sur les systèmes relevant du champ d’application de l’échéance plus longue de 2028.
Ce qui ne change pas, malgré le report
Il convient de préciser que ce report ne concerne que les obligations relatives aux systèmes à haut risque. Plusieurs autres obligations restent, pour l’instant, fermement d’actualité. Les exigences de transparence prévues à l’article 50, notamment l’obligation d’étiqueter les contenus générés par l’IA et d’informer les utilisateurs lorsqu’ils interagissent avec un chatbot, s’appliqueront à compter du 2 août 2026. La seule exception concerne le tatouage numérique, dont l’application a été reportée au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026.
Les amendements « Omnibus » ont également introduit une interdiction totale des systèmes d’IA capables de générer du matériel pédopornographique ou des images intimes non consenties. Les entreprises ont jusqu’au 2 décembre 2026 pour se conformer à cette interdiction, ce qui en fait l’une des exigences à court terme les plus urgentes, quel que soit le secteur dans lequel vous opérez.
En matière de transparence, la Commission européenne a publié en juin 2026 un code de bonnes pratiques sur la transparence des contenus générés par l’IA. Ce code aide les fournisseurs et les exploitants de systèmes d’IA générative à démontrer leur conformité aux obligations prévues à l’article 50 concernant l’étiquetage et le marquage des contenus générés par l’IA. Une fois approuvé par la Commission et le Conseil de l’IA, les organisations qui y adhèrent peuvent invoquer leur adhésion comme preuve de conformité, bien que cette adhésion ne la garantisse pas et reste volontaire. La Commission a également publié un ensemble d’icônes facultatives pouvant être utilisées pour étiqueter les contenus générés par l’IA, facilitant ainsi le respect de l’obligation spécifique de signaler les « deepfakes » et les textes générés par l’IA portant sur des questions d’intérêt public.
Chaque État membre de l’UE devrait également disposer d’au moins un « bac à sable » réglementaire dédié à l’IA opérationnel d’ici le mois d’août, et l’infrastructure de gouvernance au sens large, y compris le Bureau de l’IA, continue de développer ses activités de mise en application.
Cela signifie que, même si le délai pour les activités à haut risque a été prolongé, les entreprises utilisant des outils d’IA générative, des chatbots basés sur l’IA ou des systèmes d’IA produisant du contenu synthétique ont encore un véritable travail de mise en conformité à accomplir cet été.
Ce que cela signifie si vous employez du personnel ou vendez vos produits dans l’UE
Pour les entreprises britanniques et autres entreprises non européennes, le champ d’application du règlement européen sur l’IA s’étend au-delà des sociétés physiquement implantées dans l’UE. Si les résultats de votre système d’IA sont utilisés par des personnes situées dans l’UE ou ont un impact sur celles-ci, vous êtes probablement concerné, quel que soit le lieu où se trouve le siège social de votre entreprise. Cette approche fait écho à celle, extraterritoriale, adoptée par le RGPD, et signifie que les employeurs britanniques utilisant des outils d’IA pour le recrutement, la gestion des performances ou la surveillance du personnel basé dans l’UE doivent continuer à considérer la conformité comme une priorité absolue, et non comme un problème désormais résolu.
Mesures pratiques à prendre cet été
Compte tenu de la réelle incertitude entourant l’adoption définitivedu règlement, l’approche la plus sûre consiste à continuer d’agir en partant du principe que la date limite initiale pourrait toujours s’appliquer, tout en restant attentif aux changements confirmés. Commencez par établir ou mettre à jour un inventaire de tous les systèmes d’IA que votre entreprise utilise ou fournit, en précisant leur finalité, les données qu’ils traitent et les personnes concernées. Classez chaque système selon les catégories de risque définies par le règlement européen sur l’IA afin de déterminer quelles obligations pourraient s’appliquer à vous.
Si vous faites appel à des fournisseurs tiers d’IA, vérifiez vos contrats pour confirmer les garanties qu’ils vous donnent quant à leur propre conformité, car vos obligations en tant que déployeur peuvent dépendre fortement des leurs en tant que fournisseur. Si vos systèmes d’IA génèrent du contenu synthétique, tel que du texte, des images ou des fichiers audio, commencez dès maintenant à vous préparer aux obligations de transparence et d’étiquetage, car celles-ci restent d’actualité malgré le report lié au risque élevé.
Enfin, continuez à suivre de près l’évolution de la situation au cours des prochaines semaines. La plateforme de ressources du règlement européen sur l’IA et le Bureau européen de l’IA constituent des ressources utiles pour suivre l’adoption officielle du « Digital Omnibus » et toute nouvelle orientation publiée avant le mois d’août.
Le rôle de la législation sur la protection des données
Un aspect parfois négligé dans les discussions sur le règlement européen sur l’IA est le rôle du RGPD. En tant que législation technologiquement neutre, le RGPD s’applique partout où des données à caractère personnel sont traitées, ce qui signifie qu’il couvre un large éventail de systèmes d’IA, même lorsque les définitions du règlement européen sur l’IA ne s’appliquent pas clairement. Il offre également ce que le règlement européen sur l’IA ne prévoit généralement pas : des voies de recours directes pour les personnes ayant subi un préjudice.
L’interdiction prévue par le RGPD concernant les décisions prises exclusivement par des moyens automatisés, sans intervention humaine significative, a une portée plus large que les dispositions équivalentes du règlement européen sur l’IA. Pour les personnes concernées par des décisions automatisées en matière de recrutement, d’évaluation de solvabilité ou d’autres décisions ayant des conséquences importantes, cela peut constituer une voie de recours plus accessible. Si votre organisation utilise l’IA dans un contexte quelconque impliquant le traitement de données à caractère personnel concernant des personnes situées dans l’UE ou au Royaume-Uni, la conformité au RGPD et au règlement européen sur l’IA doivent être envisagées conjointement, et non séparément.
Le mois d’août 2026 marque une véritable étape réglementaire, même si le calendrier de certaines obligations a été modifié. Les exigences de transparence sont déjà en vigueur, l’interdiction de certains contenus préjudiciables générés par l’IA approche, et l’attente selon laquelle les organisations doivent comprendre leurs propres systèmes d’IA n’a pas changé.
Si votre entreprise utilise ou fournit des systèmes d’IA ayant un lien quelconque avec l’UE ou le Royaume-Uni, et que vous ne savez pas exactement comment la situation actuelle affecte votre cas particulier, consulter dès maintenant un spécialiste vous évitera de devoir courir après le temps plus tard.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal