L'EU AI Act vient de reporter ses obligations les plus dures. Ne soufflez pas.
Si vous exploitez de l'IA dans une activité réglementée, le titre venu de Bruxelles ressemble à un soulagement. Le Digital Omnibus est entré en vigueur le 27 juillet 2026 et, comme le rapporte DLA Piper, les lourdes obligations haut risque de l'annexe III auxquelles tout le monde se préparait ont été repoussées, au 2 décembre 2027 et au 2 août 2028. Une année de pression vient de quitter le calendrier. L'instinct naturel est de souffler et de renvoyer le chantier de gouvernance de l'IA en bas de la pile.
Sauf que le report n'a pas déplacé la partie du régime qui mord dès maintenant. Comme le montrent la même couverture et la synthèse de l'AI Act Office, à partir du 2 août 2026, les obligations de transparence de l'article 50, les pouvoirs d'exécution sur les GPAI et le régime complet de sanctions prennent tous effet. Ce régime de sanctions n'est pas symbolique. Les amendes vont jusqu'à 7 % du chiffre d'affaires mondial ou 35 millions d'euros. La loi n'est donc pas devenue plus douce. Elle a été replanifiée, et la machinerie d'exécution s'est allumée avant les obligations qu'elle finira par faire respecter.
Cet écart entre ce qui a été reporté et ce qui est entré en vigueur, c'est toute l'histoire, et la plupart des organisations la lisent à l'envers.
Ce qui a bougé, et ce qui n'a pas bougé
Soyez précis sur les deux horloges, parce qu'elles tournent à des vitesses différentes.
L'horloge des capacités a été reportée. Les évaluations de conformité détaillées, la documentation technique, les exigences de système de gestion des risques pour les usages haut risque de l'annexe III : ce sont les obligations qui demandent de la vraie ingénierie, et ce sont celles qui se retrouvent maintenant en 2027 et 2028. C'est le travail que les gens redoutaient, et c'est le travail qui a obtenu plus de temps.
L'horloge de la responsabilité n'a pas été reportée. Les devoirs de transparence de l'article 50, les pouvoirs de supervision sur les modèles à usage général et les amendes : tout cela est au présent depuis le 2 août 2026. En clair, l'autorité pour enquêter sur vous et vous sanctionner est arrivée avant l'échéance des contrôles techniques les plus durs. Les régulateurs peuvent désormais agir. Ce qu'ils finiront par vérifier est ce qui a été reporté.
Lues ensemble, ces deux horloges montrent que le report n'est pas un sursis. C'est une piste de décollage. Et une piste ne sert qu'à une organisation qui a décidé vers quoi elle veut décoller.
Le report achète du temps de calendrier, pas de la préparation
Voici le chiffre inconfortable. Comme le rapporte l'analyse de Responsible AI Labs, en avril 2026, 78 % des organisations n'avaient pris aucune mesure significative vers la conformité. Ce chiffre était déjà alarmant sous l'ancien calendrier. Sous le nouveau, c'est un piège.
Le piège, c'est que le temps et la préparation ont l'air de la même ressource, et n'en sont pas. Le temps de calendrier, c'est ce que l'Omnibus a rendu. La préparation est tout autre chose, et elle ne s'accumule pas en attendant. Une organisation qui n'était pas prête en avril 2026 et qui a désormais jusqu'en 2027 ou 2028 n'est pas devenue plus prête. Elle est devenue plus tardive, avec le même écart intact et une piste honnête plus courte que le titre ne le suggère, parce que la gouvernance n'est pas un document qu'on assemble au dernier trimestre avant une échéance.
C'est ce que la lecture « on a plus de temps » rate. La gouvernance est une architecture qu'on construit une fois, pas un dossier qu'on produit à une date d'échéance. Les contrôles que le régime haut risque finira par exiger, un enregistrement auditable de chaque décision à conséquence, une couche de politique que votre équipe conformité possède et peut prouver, un moyen de montrer quel modèle a pris quelle décision et pourquoi, ne sont pas de la paperasse qu'on génère rétroactivement. Ce sont des propriétés qu'un système possède parce qu'il a été construit avec, ou dont il manque parce qu'il ne l'a pas été. Vous ne pouvez pas reconstituer une piste d'audit pour des décisions qu'un système a déjà prises sans les enregistrer.
Une organisation qui traite le report comme une permission d'attendre arrivera en 2027 exactement dans la position où elle est aujourd'hui, mais avec moins de temps pour en changer.
Les pilotes qui sont morts n'ont jamais échoué sur de la paperasse
Il y a une deuxième raison pour laquelle le cadrage par l'échéance de conformité est le mauvais axe d'organisation. Les projets qui échouent n'échouent pas à l'évaluation de conformité. Ils échouent bien avant, et pour des raisons que l'AI Act ne nomme même pas.
Environ 40 % des projets d'IA agentique devraient être annulés d'ici 2027 (Thoughtworks). Remarquez ce que cet échec n'est pas. Ce n'est pas un régulateur qui rejette un dossier technique. Ce sont des pilotes qui n'ont jamais pu passer de la démo à la production, parce qu'à l'instant où un agent doit agir sur des données réglementées, sous une identité, avec un enregistrement que quelqu'un peut inspecter, l'architecture de démo n'a rien à offrir. Le pilote meurt à la revue de sécurité, ou au comité des risques, ou au premier mois où il dérive sans que personne ne le voie, et aucune de ces morts n'apparaît sur un calendrier de conformité.
C'est pourquoi aligner votre plan sur l'échéance reportée est une erreur de catégorie. L'échéance est une date juridique. Le mur que le pilote heurte est architectural, et il ne bouge pas quand Bruxelles déplace une date. Une organisation qui optimise pour le dossier de 2028 optimise pour la mauvaise contrainte. La contrainte qui arrête réellement le travail est celle qui a toujours été là : ce système peut-il seulement agir dans un processus réglementé, et pouvez-vous défendre comment il l'a fait ?
Construisez pour ce mur, et le dossier de conformité devient quelque chose que vous pouvez produire, parce que les preuves existent déjà comme sous-produit d'une exploitation correcte du système. Sautez l'étape, et aucun report ne vous sauve, parce que vous n'alliez de toute façon jamais atteindre le dossier.
Le recadrage
La mauvaise question, celle que le titre de l'Omnibus invite, est « combien de temps nous reste-t-il avant de devoir être conformes ? ». Cette question traite la gouvernance comme une échéance à tenir le plus tard possible, et elle mène directement à arriver à l'échéance sans rien avoir construit.
La meilleure question est celle-ci. Si les pouvoirs d'exécution et les amendes sont actifs maintenant, et que les obligations techniques sont simplement la facture qui arrive plus tard, quelle fondation devrions-nous construire pour qu'être audité soit un rapport que l'on exécute, pas un projet que l'on doit démarrer ? Répondez, et le report est une vraie piste de décollage, du temps pour bâtir la fondation gouvernée pendant que la pression retombe brièvement. Répondez autrement, et le 2 août 2028 arrivera exactement comme le 2 août 2026 est arrivé pour les 78 %, comme une date qui les a trouvés sans rien de construit.
Le calendrier a bougé. Le travail, non. Et les organisations qui utilisent ce temps supplémentaire pour construire la fondation, plutôt que pour repousser le fait d'y penser, sont celles pour qui le report aura vraiment été un cadeau.
Si vous voulez éprouver si votre processus IA le plus sensible survivrait à un audit aujourd'hui, plutôt qu'en 2028, prenez rendez-vous et apportez-nous celui que vous voudriez le moins montrer à un régulateur.