AI Act : le report des systèmes à haut risque n'est pas un répit

Dans le calendrier d'origine de l'AI Act, le 2 août 2026 devait marquer l'entrée en application de l'essentiel des obligations sur les systèmes à haut risque : gestion des risques documentée, gouvernance des données d'entraînement, documentation technique, contrôle humain, enregistrement dans la base européenne. Avec, à la clé, des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Puis le paquet de simplification Digital Omnibus est passé de l'accord politique au droit : le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet et en vigueur depuis le 27 juillet 2026, reporte ces obligations au 2 décembre 2027 pour les systèmes de l'annexe III, et à août 2028 pour les systèmes à haut risque embarqués dans des produits réglementés.

L'histoire réglementaire récente a déjà joué cette scène. Le RGPD a laissé deux ans entre son adoption et son application ; une partie des organisations a utilisé ce délai pour construire son dispositif, l'autre l'a regardé passer. En mai 2018, les premières étaient prêtes ; les secondes ont improvisé dans l'urgence, et certaines improvisent encore.

Un report réglementaire n'est jamais du temps gagné : c'est du temps alloué. La question n'est pas « à quand l'échéance ? » mais « que faut-il avoir construit d'ici là ? », car le contenu des obligations, lui, ne bouge pas : inventaire des systèmes, qualification des risques, gouvernance, documentation, preuves.

L'annexe III couvre des usages que beaucoup d'organisations pratiquent sans y penser : tri de candidatures et décisions RH, scoring de crédit, accès à l'éducation, biométrie, gestion d'infrastructures critiques, services publics essentiels. Et les obligations ne pèsent pas que sur les fournisseurs de ces systèmes : les déployeurs, c'est-à-dire les organisations qui les utilisent, ont les leurs, du contrôle humain à la surveillance du fonctionnement.

Beaucoup d'entreprises sont donc déployeuses de systèmes à haut risque sans le savoir, via un outil RH ou un module de scoring acheté sur étagère. La première question n'est pas juridique mais factuelle : quels systèmes, achetés ou construits, tournent réellement chez nous, et pour quels usages ?

Le débat sur le report ne doit pas masquer l'essentiel : une partie du règlement s'applique déjà. Les pratiques interdites, de la notation sociale à certaines identifications biométriques, le sont depuis février 2025. Les obligations de transparence des modèles à usage général courent depuis août 2025. Et l'exigence de littératie IA des équipes concerne déjà tout employeur qui déploie ces systèmes. Quant à la transparence de l'article 50, applicable au 2 août 2026, la Commission a adopté le 20 juillet ses lignes directrices finales : systèmes conversationnels qui se déclarent dès le premier échange, contenus générés marqués dans un format lisible par machine, sans rétroactivité pour les contenus antérieurs.

Autrement dit, le report discuté ne concerne que le bloc haut risque ; le socle, lui, est en vigueur. Une organisation qui attend « la clarification du calendrier » pour s'y mettre est déjà en retard sur la partie stabilisée du texte.

La démarche rationnelle ne change donc pas d'un jour : cartographier ses usages de l'IA, y compris ceux qui entrent par les outils du marché ; mesurer la maturité de sa gouvernance sur un référentiel structuré ; et convertir les écarts en plan d'action daté, calé sur le calendrier qui sera finalement adopté. Ceux qui mesurent aujourd'hui choisiront leur rythme ; ceux qui attendent le texte final subiront le sien.

Notre catalogue compte 19 référentiels données et IA pour outiller cette trajectoire, du cadre de gouvernance aux exigences réglementaires spécifiques. Le calendrier bougera peut-être encore ; votre position de départ, elle, peut être connue dès maintenant.