Loi européenne sur l'IA : état des lieux en mai 2026
Si vous avez essayé de suivre l'évolution de la loi européenne sur l'IA, nous vous comprenons si vous avez trouvé cela difficile. Alors que de nombreuses entreprises s'efforçaient de déterminer ce que l'échéance d'août 2026 allait exiger d'elles, un accord politique majeur conclu le 7 mai 2026 a changé la donne. Cet article explique ce qui s'est passé, ce que cela signifie pour les délais que vous aviez peut-être prévus, et quelles obligations restent fermement en vigueur à l'heure actuelle.
Quelles sont les dispositions déjà en vigueur ?
Les premières obligations prévues par la loi européenne sur l'IA sont entrées en vigueur en février 2025. Elles comprenaient l'interdiction de certaines pratiques d'IA jugées fondamentalement incompatibles avec les valeurs de l'UE : les systèmes de notation sociale gérés par les autorités publiques, les systèmes d'IA qui exploitent des vulnérabilités pour manipuler des individus de manière préjudiciable, ainsi que certaines utilisations de la catégorisation biométrique et de l'identification biométrique à distance en temps réel dans les espaces publics. Ces interdictions sont absolues et s'appliquent sans période de transition.
À partir de février 2025 également, l'obligation de formation à l'IA prévue à l'article 4 est entrée en vigueur. Elle impose aux fournisseurs et aux déployeurs de veiller à ce que le personnel travaillant avec l'IA dispose d'un niveau de compréhension suffisant des systèmes qu'il utilise, adapté à son rôle et aux risques encourus.
Le mois d'août 2025 a marqué l'entrée en vigueur d'une nouvelle série de changements importants. Les règles relatives aux modèles d'IA à usage général (GPAI) sont entrées en vigueur, s'appliquant aux fournisseurs de modèles d'IA puissants, y compris les grands modèles linguistiques. Ces fournisseurs doivent respecter des obligations en matière de documentation technique, de transparence des droits d'auteur et, pour les modèles présentant un risque systémique, des exigences plus strictes, notamment l'évaluation des modèles et la notification des incidents au Bureau de l'IA de l'UE.
Les structures de gouvernance de l'UE sont également devenues opérationnelles à partir d'août 2025. Le comité de l'IA, le groupe scientifique d'experts indépendants et le Bureau de l'IA au sein de la Commission européenne sont désormais actifs. Les États membres étaient tenus, à cette date, de désigner leurs autorités nationales de surveillance du marché et de définir leurs cadres nationaux de sanctions.
Dernières actualités concernant la loi européenne sur l'IA
Le Parlement européen et le Conseil de l'UE sont parvenus, le 7 mai 2026, à un accord politique sur un ensemble de modifications à apporter à la loi sur l'IA, proposées par la Commission européenne dans le cadre de ce qu'elle appelle le paquet omnibus numérique sur l'IA. L'objectif déclaré est de faciliter la mise en œuvre de la loi pour les entreprises, en particulier les plus petites, sans pour autant réduire les protections qu'elle est censée offrir aux citoyens de l'ensemble de l'UE.
Il est important de noter que cet accord n'a pas encore été formellement adopté. Le Parlement européen et le Conseil doivent encore mener à bien ce processus, après quoi les modifications seront publiées au Journal officiel et entreront en vigueur ultérieurement. Cela dit, l'accord politique reflète la direction que prennent les choses, et les entreprises devraient en tenir compte dès maintenant dans leur planification. Le communiqué de presse du Conseil de l'UE présente en détail ce qui a été convenu.
Quels sont les changements apportés au calendrier de la loi européenne sur l'IA ?
L'un des résultats les plus significatifs de cet accord est le report des dates d'application des règles relatives aux systèmes d'IA à haut risque. En vertu du Digital Omnibus, les obligations concernant les systèmes d'IA utilisés dans des domaines tels que la biométrie, les infrastructures critiques, l'éducation, l'emploi, la migration, l'asile et le contrôle des frontières s'appliqueront désormais à partir du 2 décembre 2027. Pour les systèmes d'IA intégrés à des produits tels que les ascenseurs ou les jouets, la date butoir a été repoussée au 2 août 2028.
Ce décalage s'explique par la volonté de laisser le temps aux normes techniques et autres outils d'accompagnement d'être mis en place avant que les règles n'entrent en vigueur. Il s'agit là d'une reconnaissance du fait que la mise en conformité nécessite une préparation de toutes les parties, y compris de la part des régulateurs et des organismes de normalisation sur lesquels les entreprises devront s'appuyer. Si vous vous prépariez pour la date d’août 2026, il s’agit d’un changement important qui mérite d’être réexaminé avec votre conseiller juridique.
Quelles nouvelles protections sont ajoutées ?
L’accord stipule que les systèmes d’IA qui génèrent du contenu sexuellement explicite ou intime non consensuel, y compris les applications de « nudification » alimentées par l’IA, seront interdits en vertu des règles révisées. La génération de matériel pédopornographique par l’IA est également explicitement interdite, comme les applications d’« IA de nudification ». Ces ajouts renforcent les protections prévues par la loi pour les personnes physiques d’une manière qui reflète la façon dont l’IA est réellement détournée.
Quels changements pour les entreprises ?
L’Omnibus numérique introduit un certain nombre de changements destinés à faciliter la mise en conformité. Certains privilèges qui n’étaient auparavant accessibles qu’aux petites et moyennes entreprises sont étendus aux petites entreprises de taille intermédiaire, ce qui élargit l’éventail des entreprises pouvant bénéficier de règles simplifiées et d’obligations allégées.
Qu'est-ce que l'Omnibus numérique de l'UE et pourquoi est-ce important ?
L'UE a passé la dernière décennie à mettre en place l'un des cadres réglementaires numériques les plus complets au monde. Cette ambition n'a pas disparu, mais il est de plus en plus reconnu, comme le reflètent les rapports Draghi et Letta sur la compétitivité européenne, que la superposition de réglementations a, dans certains cas, rendu plus difficile, et non plus facile, pour les entreprises d'opérer et de se développer au sein de l'UE.
L'Omnibus numérique est la réponse de la Commission à cette situation : un ensemble de modifications ciblées visant à réduire les coûts de mise en conformité, à supprimer les doublons administratifs et à clarifier les règles sans affaiblir les protections qu'elles sont censées garantir.
Proposé en novembre 2025 et approuvé politiquement par le Parlement européen et le Conseil le 7 mai 2026, l'Omnibus numérique sur l'IA touche plusieurs domaines à la fois. En matière de données, il regroupe plusieurs réglementations distinctes, notamment la loi sur la gouvernance des données, la directive sur les données ouvertes et le règlement sur la libre circulation des données à caractère non personnel, en un cadre unique et plus clair au sein de la loi sur les données. Il apporte également des ajustements ciblés aux obligations du RGPD, en tenant compte des petites entreprises et de celles qui effectuent des traitements à faible risque.
Un changement attendu depuis longtemps vise à remédier à la lassitude face aux demandes de consentement pour les cookies : la proposition s'oriente vers des signaux de consentement basés sur le navigateur et lisibles par machine, ce qui réduirait le recours aux bannières contextuelles qui frustrent tant les utilisateurs que les entreprises depuis des années.
En matière de cybersécurité, elle introduit un point d'entrée unique pour la notification des incidents, afin que les entreprises tenues d'informer plusieurs autorités de régulation puissent le faire en une seule étape plutôt qu'en plusieurs. Elle abroge également le règlement «Plateforme-à-entreprise», qui a été largement remplacé par la loi sur les marchés numériques et la loi sur les services numériques. Vous pouvez consulter tous les détails ici.
Pour les entreprises qui utilisent ou développent l'IA, les changements les plus significatifs concernent le calendrier et la charge administrative. Les petites entreprises de taille intermédiaire, et pas seulement les PME, bénéficient désormais d'obligations allégées. Comme mentionné précédemment dans cet article, les délais de mise en œuvre pour les systèmes d'IA à haut risque ont été reportés au 2 décembre 2027 pour les systèmes dans des domaines tels que l'emploi, l'éducation et le contrôle des frontières, et au 2 août 2028 pour l'IA intégrée dans des produits physiques.
Ces prolongations ne seraient pas un recul par rapport aux ambitions de la loi. Elles visent à permettre l'élaboration et la publication préalables des normes techniques et des lignes directrices dont les entreprises auront réellement besoin pour se conformer correctement à la réglementation.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal