Publications · Gouvernance
AI Act : haut risque reporté à 2027, pas la vigilance du conseil
Depuis le 2 août 2026, l'article 50 de l'AI Act, le règlement (UE) 2024/1689, s'applique. Six jours plus tôt, un second règlement est entré en vigueur, le (UE) 2026/1744 dit Digital Omnibus, qui a reporté les obligations sur les systèmes à haut risque : décembre 2027 pour l'annexe III, août 2028 pour l'annexe I. Vu du conseil, la tentation est de classer ce report comme un répit. Le calendrier qui a bougé est celui du régulateur ; le devoir de surveillance de l'administrateur, lui, n'a pas de date d'entrée en application.
Ce qui s'applique déjà, depuis le 2 août 2026
L'obligation de transparence de l'article 50 est en vigueur. Elle vise le déployeur, c'est-à-dire l'entreprise qui utilise un système d'IA dans le cadre de son activité. Un contenu (image, son, vidéo) généré ou manipulé par IA doit être signalé comme tel ; un texte publié pour informer le public sur une question d'intérêt général doit indiquer qu'il a été produit ou modifié par une IA. Le marquage technique des contenus de synthèse prévu par l'article 50(2) bénéficie d'un délai de grâce jusqu'au 2 décembre 2026, mais le principe, lui, s'impose maintenant.
C'est la partie de l'AI Act que le Digital Omnibus n'a pas touchée. Une entreprise qui a attendu le report pour tout suspendre a déjà une obligation active à traiter, et elle ne concerne pas un service technique lointain : elle concerne tout ce que l'entreprise publie avec l'aide d'une IA, du service client au marketing.
Ce que le Digital Omnibus a réellement reporté
Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, modifie l'AI Act pour décaler l'entrée en application des obligations les plus lourdes, celles qui pèsent sur les systèmes à haut risque. Deux dates à retenir, et une seule logique. Les systèmes autonomes listés à l'annexe III (biométrie, infrastructures critiques, tri de candidatures et gestion des ressources humaines, notation de crédit, accès à l'éducation) passent du 2 août 2026 au 2 décembre 2027. L'IA embarquée dans des produits déjà régulés, à l'annexe I, va jusqu'au 2 août 2028.
Le motif n'est pas politique : les normes harmonisées et les autorités nationales de contrôle n'étaient pas prêtes, et appliquer des obligations sans les outils pour s'y conformer aurait produit une conformité de façade. Le texte a été publié au Journal officiel de l'Union (ELI reg/2026/1744) ; c'est là qu'il faut vérifier, plutôt que dans les résumés de presse, la date exacte qui concerne un usage précis.
Fournisseur ou déployeur : la question que le conseil pose en premier
L'AI Act ne fait pas peser les mêmes obligations sur tout le monde, et un conseil qui veut cadrer le sujet commence par savoir de quel côté se tient son entreprise. Le fournisseur est celui qui développe un système d'IA ou le fait développer pour le mettre sur le marché sous son nom. Le déployeur est celui qui l'utilise sous sa propre autorité. Les obligations du fournisseur sont les plus étendues : documentation technique, gestion des risques, évaluation de conformité avant mise sur le marché. Celles du déployeur portent sur l'usage : surveillance humaine, respect des conditions d'emploi, information des personnes concernées.
La difficulté, en séance, est qu'une même entreprise change de casquette selon l'outil. Elle est déployeur du logiciel de tri de CV qu'elle achète, et elle peut devenir fournisseur dès qu'elle adapte substantiellement un modèle et le diffuse sous sa marque. Un conseil qui ne sait pas répondre à « pour cet usage, sommes-nous fournisseur ou déployeur ? » ne peut pas savoir quelles obligations le calendrier reporté vise, ni lesquelles s'appliquent déjà.
Un report d'échéance n'est pas un report d'attention
Voilà où la lecture du conseil se sépare de celle du juriste. Le juriste note une date qui recule et met le dossier de côté. L'administrateur, lui, regarde ce que recouvre l'annexe III : la notation de crédit, le tri des candidatures, la biométrie, l'accès à des services essentiels. Ce sont exactement les usages qui exposent l'entreprise à un risque de réputation, de discrimination ou de contentieux, que la date de conformité soit 2026 ou 2027. Le devoir de surveillance ne découle pas du règlement ; il découle du mandat. Le règlement fixe une échéance de conformité, pas le moment à partir duquel un conseil devrait s'intéresser à un système qui décide à la place d'un salarié.
Le report est donc utile pour une seule raison : il donne du temps pour faire le travail correctement, plutôt que de le bâcler avant une date. Un conseil qui range le dossier jusqu'en 2027 aura perdu ce temps, et il découvrira tard des usages déjà en production que personne n'a cartographiés.
Ce que l'article 50(4) apprend au conseil sur la délégation
L'article 50 contient une exemption qui, lue de près, décrit un principe de gouvernance bien plus large que la transparence de l'IA. Le texte prévoit que l'obligation d'indiquer qu'un texte a été généré par IA
« ne s'applique pas [...] lorsque le contenu généré par l'IA a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne physique ou morale assume la responsabilité éditoriale de la publication du contenu. »
Autrement dit, la loi n'accepte de lever l'obligation que si un responsable nommé relit et endosse le résultat. L'exemption ne tient pas à la qualité de l'outil ni à la prudence de l'entreprise ; elle tient à ce qu'une personne identifiable réponde de ce qui est publié. C'est, en miniature, la doctrine de la surveillance non délégable qui fonde le rôle d'un conseil : on ne se décharge pas de sa responsabilité en invoquant la machine, ni en la renvoyant à un service. Quelqu'un l'endosse, et ce quelqu'un a un nom.
Un conseil peut faire de cette exigence légale sa grille de lecture. Pour chaque système d'IA qui prend ou prépare une décision engageant l'entreprise, une seule question tranche la maturité du dispositif : qui, nommément, relit et répond du résultat ? Si la réponse est « le système » ou « le service », le contrôle n'existe pas encore.
Par où un conseil reprend la main d'ici décembre 2027
Le temps rendu par le report se dépense en préparation, pas en attente. Quatre gestes suffisent à en faire quelque chose. Cartographier les usages réels d'IA, fournisseur comme déployeur, y compris ceux qui ont échappé à la direction. Classer chacun selon qu'il relève déjà de l'article 50 ou de l'annexe III et I, pour distinguer ce qui s'applique maintenant de ce qui attend 2027 ou 2028. Nommer, pour chaque système sensible, la personne qui en assume la responsabilité, selon la même logique que l'exemption de l'article 50(4). Et inscrire l'IA à l'ordre du jour du conseil au même titre que les risques financiers et juridiques, avec une revue au moins annuelle.
Le cas des produits industriels mérite une note à part. L'IA embarquée dans des machines relève de l'annexe I et bénéficie du délai le plus long, jusqu'au 2 août 2028 ; le Digital Omnibus a d'ailleurs rangé le règlement Machines (UE) 2023/1230 dans cette annexe. Un groupe qui robotise sa production a donc plus de temps, mais la même obligation de surveillance, un sujet que nous suivons de près sur robotiser.eu. Le délai le plus long est aussi celui où il est le plus facile d'oublier le dossier.
Si votre conseil veut cadrer sa supervision de l'IA sans attendre l'échéance, écrivons-nous. Voir aussi la gouvernance de l'IA au conseil d'administration.