Maurice Müller
Responsable de contenu senior
Maurice Müller est un journaliste et stratège de contenu expérimenté dans la presse écrite et les médias numériques. Chez Formalize, il traduit des sujets complexes de conformité et de réglementation en contenus clairs et pratiques destinés aux professionnels de la conformité, du risque et de la sécurité à travers l'Europe.
Points clés
Les obligations relatives aux systèmes d'IA à haut risque autonomes sont reportées d'août 2026 à décembre 2027. Pour l'IA intégrée à des produits réglementés, elles sont repoussées à août 2028.
Les modèles d'IA à usage général (GPAI), les interdictions générales et les obligations générales de transparence s'appliquent toujours selon le calendrier initial. Seules les exigences de filigranage de l'art. 50(2) ont été ajustées, avec une période de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché.
Seuls 5 à 15 % des systèmes d'IA déployés dans les organisations entrent dans le champ d'application du Règlement européen sur l'IA, mais des réglementations adjacentes telles que le RGPD, NIS2 et DORA restent applicables pour le reste.
Ce report traduit l'absence de normes techniques finalisées et non un abaissement des exigences réglementaires.
L'inaction n'est pas une stratégie : le travail d'inventaire, de classification et de gouvernance devrait déjà être engagé.
Qu'est-ce que le Règlement européen sur l'IA ?
Le Règlement européen sur l'IA (Règlement (UE) 2024/1689) est une réglementation sur la sécurité des produits qui définit des exigences spécifiques pour les modèles et systèmes d'IA déployés dans l'UE. Il s'agit du premier cadre réglementaire global pour l'IA en Europe et il s'applique directement dans tous les États membres, contrairement à une directive qui nécessite une transposition nationale.
Le Règlement adopte une approche fondée sur le risque, en divisant les systèmes d'IA en quatre catégories : risque inacceptable (interdit), risque élevé, risque limité et risque minimal. La majorité des obligations de conformité se concentre sur la catégorie à risque élevé.
L'une des erreurs les plus courantes commises par les organisations consiste à traiter le Règlement sur l'IA comme une simple réglementation en matière de cybersécurité. Ce n'est pas le cas. Il s'enracine dans le droit de la sécurité des produits et intègre des protections explicites relatives aux droits fondamentaux. Cette distinction est cruciale pour la manière dont les organisations abordent la conformité, ainsi que pour déterminer quelles équipes internes doivent la piloter. Une équipe de cybersécurité seule ne suffira pas.
Qu'est-ce que l'Omnibus numérique sur l'IA, et qu'a-t-il modifié ?
L'Omnibus numérique sur l'IA est un ensemble de modifications ciblées du Règlement européen sur l'IA, formellement adopté en juillet 2026. Il s'inscrit dans un effort de simplification plus large de l'UE, en partie motivé par les préoccupations relatives à la complexité réglementaire soulignées dans le rapport de Mario Draghi de 2024 sur la compétitivité européenne.
La raison principale de cette modification est d'ordre pratique : la plupart des normes techniques nécessaires pour rendre opérationnelles les exigences du Règlement sur l'IA pour les systèmes à haut risque n'avaient pas été finalisées. Sans ces normes, les organisations n'avaient aucun moyen clair de démontrer leur conformité. L'Omnibus a prolongé les délais afin de les aligner sur la date à laquelle ces normes devraient être disponibles.
Prolongation des délais pour les systèmes d'IA à haut risque
Les systèmes d'IA à haut risque autonomes figurant à l'Annexe III (couvrant des cas d'usage tels que les outils de recrutement, l'évaluation du crédit, le maintien de l'ordre, l'éducation et le contrôle aux frontières) doivent désormais se conformer d'ici le 2 décembre 2027, une échéance reportée par rapport au 2 août 2026.
Les systèmes d'IA à haut risque intégrés à des produits réglementés relevant de l'Annexe I (tels que les dispositifs médicaux, les machines et les véhicules) sont repoussés au 2 août 2028, au lieu du 2 août 2027.
Ajout de nouvelles interdictions
L'Omnibus introduit de nouvelles pratiques d'IA interdites, couvrant les systèmes qui génèrent des images intimes non consenties et du matériel d'abus sexuel sur mineur. Celles-ci s'appliquent immédiatement.
Ajustement des obligations de transparence
Les exigences de filigranage et de divulgation de contenus synthétiques en vertu de l'article 50(2) s'appliquent désormais à partir du 2 décembre 2026 pour les systèmes déjà sur le marché. Les nouveaux systèmes doivent s'y conformer dès leur mise sur le marché.
Ce qui n'a pas changé
L'architecture fondamentale du Règlement sur l'IA reste inchangée. Le cadre de classification fondé sur le risque, les quatre niveaux, les obligations relatives aux modèles d'IA à usage général (GPAI) et le rôle de surveillance du Bureau de l'IA demeurent intacts. Le report des délais ne s'applique pas aux obligations relatives aux GPAI ni aux cas d'usage interdits d'ordre général déjà en vigueur.
À qui s'applique le Règlement européen sur l'IA ?
Le Règlement établit une distinction principale entre deux rôles clés le long de la chaîne de valeur de l'IA :
Les fournisseurs (providers) sont des organisations qui développent un système d'IA et le mettent sur le marché ou le mettent en service sous leur propre nom ou marque. Cela inclut également les organisations qui développent des systèmes d'IA exclusivement pour un usage interne : si vous concevez un système qui n'a jamais été commercialisé auparavant et que vous le déployez en interne, vous êtes considéré comme un fournisseur au sens du Règlement.
Les déployeurs (deployers) sont des organisations qui utilisent un système d'IA dans un cadre professionnel. Si vous utilisez un outil d'IA développé par un prestataire, vous êtes le déployeur. Vos obligations dépendent de la classification du risque du système et des responsabilités incombant à votre fournisseur selon le contrat.
Une nuance importante :
si un déployeur utilise un système d'IA d'une manière non prévue par le fournisseur ou explicitement interdite dans ses conditions d'utilisation (par exemple, en appliquant un outil à usage général à un cas d'usage à haut risque), ce déployeur peut devenir par défaut le fournisseur d'un système à haut risque.
Déterminer votre rôle pour chaque système que vous utilisez ou développez constitue la première étape de tout programme de conformité en matière d'IA. La plateforme de conformité au Règlement européen sur l'IA de Formalize est spécialement conçue pour les déployeurs, aidant les équipes à cartographier les systèmes d'IA, à classifier les cas d'usage et à maintenir une documentation prête pour les audits en un seul endroit.
Quelles sont les étapes clés de la conformité ?
Le report des délais ne modifie pas le travail de conformité. Il modifie simplement le moment où les obligations deviennent applicables.
Établir et maintenir un inventaire de l'IA: Documentez chaque système d'IA que votre organisation fournit ou déploie. Pour chaque système, répondez aux questions suivantes : s'agit-il d'un système d'IA au sens du Règlement ? Quel est votre rôle (fournisseur ou déployeur) ? Pouvez-vous documenter et défendre ce raisonnement face à un auditeur ?
Classifier chaque système: Déterminez la classification du risque pour chaque système d'IA en fonction de son cas d'usage et de son contexte. La classification n'est pas un exercice ponctuel. Si l'usage d'un système évolue ou s'il est utilisé dans un nouveau contexte, sa classification peut changer. Notez que certaines orientations nationales concernant la classification au titre du Règlement sur l'IA ont été critiquées pour avoir abordé le sujet comme un simple exercice de cybersécurité : les orientations européennes fournies par le Bureau de l'IA doivent constituer la référence principale.
Évaluer vos obligations et convenir d'une matrice RACI avec vos fournisseurs: Pour chaque système, déterminez quelles obligations s'appliquent et qui est responsable de quoi. Si vous déployez un système d'IA à haut risque conçu par un fournisseur, ce dernier doit être en mesure d'expliquer sa feuille de route de conformité au regard de l'échéance de décembre 2027.
Traduire les exigences en gouvernance opérationnelle: Les exigences doivent se traduire en politiques, processus, programmes de formation et procédures de contrôle. Il ne s'agit pas de documenter pour le plaisir de documenter, mais de poser les bases de la préparation aux audits, de la collecte de preuves et de la surveillance continue.
Assurer un suivi continu: La conformité n'est pas un projet avec une date de fin. Les systèmes d'IA évoluent, les cas d'usage se développent et les directives réglementaires s'affinent. Intégrez le suivi dans vos opérations courantes, et non uniquement lors de sprints avant les échéances.
Remarque concernant les PME et les ETI de taille intermédiaire
Étant donné que la majorité des entreprises européennes sont des PME, l'Omnibus numérique élargit également les mesures de simplification existantes. Les PME et les startups — et plus seulement les micro-entreprises comme auparavant — peuvent désormais démontrer leur conformité à certains éléments du système de gestion de la qualité obligatoire pour les systèmes d'IA à haut risque de manière simplifiée. D'autres mesures d'allègement ont été étendues à la catégorie nouvellement créée des petites entreprises de taille intermédiaire (SMC / Small Mid-Caps), définies comme des organisations qui ne sont pas des PME, emploient moins de 750 personnes et réalisent un chiffre d'affaires annuel n'excédant pas 150 millions d'euros ou un total de bilan annuel ne dépassant pas 129 millions d'euros.
Qu'en est-il des systèmes d'IA non couverts par le Règlement européen sur l'IA ?
C'est l'un des points les plus importants à comprendre. Selon l'analyse d'impact de la Commission européenne, seuls 5 à 15 % des systèmes d'IA déployés au sein des organisations entrent dans le champ d'application du Règlement européen sur l'IA.
Cela ne signifie pas pour autant que le reste n'est pas réglementé.
Le RGPD s'applique à tout système d'IA qui traite des données à caractère personnel, ce qui couvre la plupart des outils d'IA utilisés dans les opérations quotidiennes des entreprises. Les organisations sont responsables, en tant que responsables du traitement et/ou sous-traitants, des données qu'elles saisissent dans les systèmes d'IA. Au minimum, cela nécessite de définir ou de mettre à jour les politiques internes, les critères de classification des données et les consignes d'utilisation.
NIS2 et DORA s'appliquent aux organisations entrant dans leurs champs d'application respectifs. Les systèmes d'IA qui touchent aux infrastructures critiques, à la gestion des incidents ou au risque lié aux tiers sont susceptibles d'être concernés par ces obligations de conformité, bien que l'interaction entre les règles sectorielles et le Règlement sur l'IA puisse être complexe et dépendre du contexte.
Des réglementations sectorielles spécifiques, telles que celles régissant les dispositifs médicaux, les services financiers et les infrastructures critiques, peuvent également imposer des exigences aux systèmes d'IA qui échappent au champ d'application du Règlement européen sur l'IA.
Les normes internationales telles que l'ISO 42001 et le cadre de gestion des risques liés à l'IA du NIST (NIST AI Risk Management Framework) fournissent des structures de gouvernance utiles, mais elles ne sont pas équivalentes à la conformité au Règlement européen sur l'IA. Une organisation disposant d'une mise en œuvre aboutie de la norme ISO 42001 trouvera le parcours de conformité au Règlement sur l'IA plus facile, mais ces deux cadres poursuivent des objectifs différents et ne peuvent se substituer l'un à l'autre.
Comment la gouvernance de l'IA s'articule-t-elle avec les cadres GRC existants ?
Pour les organisations qui gèrent déjà NIS2, DORA, la norme ISO 27001 ou le RGPD, la gouvernance de l'IA ne constitue pas un programme distinct. Il s'agit d'une extension de l'infrastructure de conformité existante.
Les compétences fondamentales restent identiques : évaluer les risques, cartographier les contrôles, collecter les preuves et maintenir un état de préparation aux audits. Seul l'objet change. Les systèmes d'IA, leurs cas d'usage et la manière dont ils sont régis remplacent les cadres réglementaires avec lesquels les équipes de conformité ont l'habitude de travailler.
Les organisations disposant déjà de flux de travail GRC structurés sont mieux armées pour intégrer les exigences de gouvernance de l'IA, car le modèle opérationnel leur est familier. Le défi ne réside généralement pas dans la compréhension des actions à mener, mais dans la mise en relation des bonnes équipes et dans le fait de s'assurer que les systèmes d'IA soient inventoriés et classifiés avant leur déploiement, et non après.
Comment démarrer
Le point de départ pratique consiste à réaliser un inventaire. Avant de pouvoir procéder à toute classification, cartographie des obligations ou diligence raisonnable auprès des fournisseurs, vous devez avoir une vision claire des systèmes d'IA que votre organisation fournit ou déploie, de leur fonction et des personnes qui en sont responsables.
À partir de là, le travail est largement familier pour toute équipe de conformité : classifier, évaluer les obligations, attribuer la responsabilité, documenter et constituer des preuves en continu plutôt que dans un sprint de dernière minute avant l'échéance.
Formalize prend en charge la gouvernance de l'IA dans le cadre d'un modèle GRC plus large, incluant la cartographie des systèmes d'IA, les flux de travail d'évaluation des risques, la gestion des incidents et des configurations préétablies, tant pour les déployeurs soumis au Règlement européen sur l'IA que pour les organisations mettant en œuvre la norme ISO 42001. Pour les entreprises qui utilisent déjà Formalize afin de gérer NIS2, DORA ou la norme ISO 27001, la gouvernance de l'IA s'intègre naturellement dans la même structure au lieu de fonctionner comme un axe de travail distinct.