Un report partiel que beaucoup lisent comme un report total
Le 27 juillet 2026, le règlement (UE) 2026/1744, dit Omnibus Digital sur l'IA, est entré en vigueur. Son effet le plus médiatisé : l'échéance de conformité pour les systèmes d'IA à haut risque listés à l'Annexe III du règlement IA (recrutement, scoring crédit, identification biométrique, accès à l'éducation, contrôle des frontières, administration de la justice) passe du 2 août 2026 au 2 décembre 2027. Seize mois supplémentaires.
Dans de nombreuses organisations, cette information a traversé les équipes GRC et juridiques sous une forme simplifiée : "l'IA Act, c'est pour 2027." C'est une lecture inexacte, et elle crée une exposition réelle.
Ce que l'Omnibus ne reporte pas
L'Article 50 du règlement IA n'est pas amendé par l'Omnibus. Ses obligations de transparence s'appliquent depuis le 2 août 2026, sans délai de grâce lié au report de l'Annexe III.
Trois situations sont visées.
La première : tout système d'IA qui interagit directement avec des personnes physiques doit informer celles-ci qu'elles traitent avec un système d'IA, sauf si ce fait est évident du contexte. Un chatbot de service client, un assistant virtuel d'onboarding, un configurateur de produit piloté par un modèle de langage : chacun de ces systèmes tombe sous l'Article 50(1).
La deuxième : les fournisseurs de systèmes d'IA génératifs qui produisent du contenu audio, image, vidéo ou texte doivent marquer leurs sorties dans un format lisible par machine, permettant de les identifier comme artificiellement générés ou manipulés. Pour les systèmes existants déployés avant le 2 août 2026, un délai de grâce court jusqu'au 2 décembre 2026. Pour tout système mis en service après le 2 août 2026, aucun délai : l'obligation s'applique immédiatement.
La troisième : les déployeurs de systèmes qui génèrent ou manipulent de l'image, de l'audio ou de la vidéo en créant des représentations réalistes de personnes, de lieux ou d'événements réels (deepfakes) doivent divulguer la nature artificielle du contenu. Une exemption éditoriale existe : si le contenu passe un examen humain préalable à la publication et qu'une personne physique en assume la responsabilité éditoriale, la divulgation n'est pas requise.
Un exemple concret : le chatbot de service client
Votre organisation déploie en septembre 2026 un assistant conversationnel sur son portail client, alimenté par un modèle de langage grand public. L'Annexe III ne s'applique pas : ce système n'entre dans aucune des catégories à haut risque visées. Vous êtes tenté d'en conclure que l'AI Act ne concerne pas ce projet pour l'instant.
Ce serait une erreur. L'assistant converge directement avec des personnes physiques, qui ne savent pas nécessairement qu'elles parlent à une IA. L'Article 50(1) s'applique depuis le premier jour de mise en service. L'absence d'une mention explicite de nature IA, ou d'un mécanisme technique équivalent, constitue une violation à partir de ce déploiement.
Les sanctions prévues pour non-conformité à l'Article 50 peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé (Article 99(4) du règlement IA). Ce n'est pas un régime de sanction symbolique.
Ce que votre programme GRC doit vérifier maintenant
La première étape est un inventaire. Votre organisation utilise probablement des systèmes qui tombent sous l'Article 50 sans que personne ne l'ait formellement identifié : outils de génération de contenu marketing, assistants intégrés dans des outils de productivité, bots de qualification en ligne. L'Annexe III n'est pas le seul prisme de lecture du règlement IA.
La deuxième étape est une revue des interfaces utilisateur. Chaque point de contact où un système d'IA s'adresse à une personne physique doit comporter une mention de nature IA claire, ou permettre d'en établir le caractère évident. "Évident du contexte" est une notion restrictive : un chatbot dont l'icône ressemble à un humain et dont le nom est un prénom ne satisfait pas ce critère.
La troisième étape concerne les systèmes génératifs. Si votre organisation utilise des outils de génération d'images, de voix synthétiques ou de vidéos pour ses communications, le marquage machine-readable des sorties devient obligatoire. Pour les systèmes déployés avant le 2 août 2026, le délai court jusqu'au 2 décembre 2026 : il reste moins de trois mois.
Ces vérifications sont distinctes du travail de conformité pour l'Annexe III. Elles concernent potentiellement une population d'organisations beaucoup plus large, y compris celles qui n'ont pas d'IA à haut risque dans leur périmètre actuel.
Calendrier synthétique à date du 29 septembre 2026
Depuis le 2 août 2026, les obligations de transparence de l'Article 50 sont en vigueur pour tout nouveau système mis en service. Les pratiques interdites par l'Article 5 (manipulation des personnes, notation sociale, certaines utilisations de la reconnaissance biométrique en temps réel) s'appliquent depuis le 2 février 2026.
Le 2 décembre 2026, les systèmes génératifs existants devront satisfaire l'obligation de marquage des sorties. Les nouvelles règles sur les pratiques interdites pour les systèmes d'émotion et les deepfakes entrent également en vigueur à cette date.
Le 2 décembre 2027 est l'échéance pour les systèmes à haut risque de l'Annexe III, après le report opéré par l'Omnibus (Règlement (UE) 2026/1744, JOUE du 15 juillet 2026). C'est la seule échéance que l'Omnibus a modifiée.
Le 2 août 2028 est l'échéance pour les systèmes à haut risque de l'Annexe I (systèmes embarqués dans des produits soumis à des législations d'harmonisation spécifiques : dispositifs médicaux, machines, équipements sous pression).
L'enjeu pour les équipes GRC
Le risque principal n'est pas l'amende en elle-même. C'est l'angle mort : les organisations qui ont structuré leur programme AI Act autour de l'Annexe III et du report de 2027 n'ont souvent pas cartographié leurs systèmes au regard de l'Article 50. Ce sont deux périmètres différents, deux calendriers différents, deux types d'obligations différents.
L'analyse des lacunes structurelles dans la gouvernance documentaire de l'AI Act abordait déjà la question des systèmes qui tombent sous le règlement sans être identifiés comme tels. L'Article 50 en est l'illustration la plus immédiate : il ne demande pas de classifier un système à haut risque, ni de constituer un dossier technique de 60 pages. Il demande d'informer les utilisateurs. C'est une obligation procédurale simple, dont la vérification est facile, et dont l'absence est visible.
Un acheteur, un régulateur ou un journaliste qui teste votre chatbot et ne voit aucune mention de nature IA a entre les mains un constat de non-conformité. La complexité du reste du règlement ne protège pas contre cette vérification-là.