Accord omnibus de l’UE sur l’IA repousse les règles à haut risque décembre 2027

Les colégislateurs de l’UE ont conclu un accord politique provisoire dans les premières heures de jeudi 7 mai 2026 sur le soi-disant Omnibus numérique sur l’IA — un règlement modifiant la loi sur l’IA qui repousse les principales échéances de conformité et ajoute une nouvelle interdiction des applications d’IA de « déshabillage numérique ». Alors que le processus d’adoption formel s’accélère, cet accord remodelera le paysage réglementaire pour les fournisseurs d’IA en Europe au cours des dix-huit prochains mois.

Le report à haut risque : 16 mois

Le changement le plus conséquent est le report des obligations à haut risque de la loi sur l’IA. Selon le Règlement (UE) 2024/1689 d’origine, celles-ci devaient s’appliquer à partir du 2 août 2026. Selon l’Omnibus, les nouvelles dates sont :

• 2 décembre 2027 pour les systèmes d’IA autonomes à haut risque couverts par l’Annexe III — incluant la biométrie, les infrastructures critiques, l’éducation, l’emploi, l’application de la loi et la gestion des frontières ;
• 2 août 2028 pour les systèmes d’IA intégrés dans des produits couverts par la législation sectorielle de sécurité de l’UE (Annexe I) — incluant les dispositifs médicaux, les machines, les jouets, les ascenseurs et les navires.

La Commission européenne avait initialement proposé un report de 16 mois, et les colégislateurs ont largement maintenu l’orientation de cette proposition. Le report est conditionnel à la publication des normes harmonisées et à la mise en place des outils et organes nécessaires — une clause introduite par le Conseil qui fixe une limite ferme plutôt qu’une limite indéfinie.

L’interdiction du déshabillage numérique

L’accord ajoute également — au stade du trilogue — une nouvelle interdiction des systèmes d’IA qui génèrent du contenu sexuellement explicite non-consentuel sous forme d’images, d’audio ou de vidéo, ainsi que du matériel d’abus sexuel d’enfants créé avec l’IA. Les entreprises proposant de tels systèmes auront jusqu’au 2 décembre 2026 pour mettre leurs produits en conformité, ce qui signifie que ces outils doivent être entièrement retirés du marché européen à cette date.

La co-rapporteure pour la commission IMCO Arba Kokalari (PPE, Suède) a encadré l’accord global en termes défensifs : « Nous ne réduisons pas les règles de sécurité ; nous clarifions les règles pour les entreprises en Europe. La situation actuelle est que les entreprises sont confuses quant à savoir si elles doivent suivre la loi sur l’IA ou la législation sectorielle … les entreprises ne devraient pas être réglementées deux fois pour une même chose. »

Le co-rapporteur pour la commission LIBE Michael McNamara (Renew, Irlande) a souligné la dimension des droits fondamentaux : « Je suis heureux que ce matin nous ayons conclu un accord sur l’Omnibus IA. Aux côtés de mesures de simplification, nous interdisons les applications de déshabillage numérique, un élément clé du mandat du Parlement, et bien sûr, la création de matériel d’abus sexuel d’enfants utilisant les systèmes d’IA. De cette manière, nous avons les outils pour agir si les fournisseurs ne traitent pas les systèmes d’IA qui compromettent les droits fondamentaux ou la dignité humaine. »

Marquage et transparence

Les obligations de transparence pour le contenu généré par l’IA ont également été recalibrées. Le délai de grâce pour que les fournisseurs mettent en œuvre des solutions de marquage et de transparence a été réduit de six à trois mois, avec la nouvelle échéance fixée au 2 décembre 2026. Les bacs à sable réglementaires IA au niveau national ont été reportés au 2 août 2027.

Exemptions pour les PME et petites entreprises de taille intermédiaire

L’accord étend une série de privilèges réglementaires précédemment réservés aux petites et moyennes entreprises (PME) aux petites entreprises de taille intermédiaire (PETI) — des entreprises plus grandes que les PME mais n’ayant pas encore les ressources de conformité des grandes sociétés. L’objectif est d’atténuer le changement de régime que les entreprises en croissance connaissent autrement lorsqu’elles dépassent le seuil de taille des PME.

Les autres éléments confirmés dans le texte final incluent l’obligation d’enregistrement simplifiée dans la base de données de l’UE pour les systèmes auto-classifiés comme non-haut-risque par leurs fournisseurs, l’extension des pouvoirs de surveillance du Bureau de l’IA pour les systèmes d’IA basés sur des modèles d’IA à usage général, et un mécanisme pour résoudre l’interaction entre la loi sur l’IA et la législation sectorielle spécifique par le biais de clauses d’équivalence.

Les enjeux politiques

l’Omnibus numérique sur l’IA est le premier résultat du plan d’action « Une Europe, un marché » convenu par les trois institutions et s’inscrit dans le cadre du programme plus large de simplification poussé par la Commission depuis février 2025. À ce jour, la Commission a présenté dix paquets Omnibus visant à simplifier la législation sur la durabilité, l’investissement, l’agriculture, les petites entreprises de taille intermédiaire, la numérisation, la préparation à la défense, les produits chimiques, l’environnement, le secteur automobile et la sécurité des aliments et des aliments pour animaux.

L’accord était politiquement significatif car il a été conclu seulement neuf jours après un trilogue échoué le 28 avril qui s’était terminé sans accord après douze heures de négociation. La clôture du dossier le 7 mai — avant la date de conformité initiale du 2 août 2026 — était, comme l’a dit Mme Kokalari, la preuve que la politique « peut se mouvoir aussi rapidement que la technologie. »

Étapes suivantes

L’accord provisoire doit maintenant être formellement adopté par le Parlement et le Conseil. Les colégislateurs ont l’intention de terminer ce processus avant le 2 août 2026, la date de début initiale des obligations à haut risque. Si l’adoption formelle glisse au-delà de cette date, les calendriers initiaux s’appliqueraient, créant une brève mais perturbatrice période d’incertitude juridique.

Au-delà de l’Omnibus IA, le prochain chapitre est l’Omnibus données — une proposition distincte publiée le 19 novembre 2025 qui modifie le RGPD et la Directive ePrivacy. Sans pression d’échéance imminente, ce processus se déroulera plus lentement, et les changements substantiels qu’il propose — incluant une définition plus étroite des données personnelles et la reconnaissance de l’entraînement IA comme intérêt légitime — devraient être bien plus perturbateurs que l’Omnibus IA lui-même.