AI Act : le vrai calendrier de conformité 2026-2027 après le report du Digital Omnibus

Depuis quelques semaines, on entend deux discours contradictoires sur l’AI Act. Le premier : « la deadline du 2 août 2026 est passée, on est en infraction ». Le second, à l’inverse : « tout a été reporté à 2027, on a le temps ». Les deux sont faux, et la confusion coûte cher — soit en stress inutile, soit en angle mort réglementaire.

Ce qui s’est réellement passé : le Digital Omnibus, adopté par le Parlement européen le 16 juin 2026 (423 voix pour, 57 contre) puis par le Conseil le 29 juin 2026, a repoussé une partie du calendrier — pas tout. Voici ce qui est dû aujourd’hui, ce qui vient de changer, et ce que ça signifie concrètement si vous exploitez Bedrock, un RAG ou n’importe quel système IA en production.

Le calendrier réel, poste par poste

2 février 2025 — Interdictions (Article 5), déjà en vigueur. Notation sociale, manipulation subliminale, reconnaissance d’émotions au travail ou à l’école, scoring biométrique par catégorie sensible : ces pratiques sont interdites depuis 18 mois. Amende maximale : 35 M€ ou 7 % du chiffre d’affaires mondial, le montant le plus élevé.

2 août 2025 — Obligations GPAI, déjà en vigueur. Les fournisseurs de modèles à usage général (les modèles derrière Bedrock, Claude, GPT, Mistral) doivent documenter l’entraînement, respecter le droit d’auteur, publier un résumé du contenu d’entraînement. Ça ne vous concerne pas directement si vous êtes utilisateur de Bedrock — mais ça encadre ce qu’AWS et les fournisseurs de modèles doivent vous fournir en transparence.

2 août 2026 — Transparence (Article 50), inchangé, vient de passer. C’est la date qui crée la confusion : elle n’a pas bougé. Obligation d’informer un utilisateur qu’il interagit avec une IA (chatbot, agent), et de labelliser le contenu généré par IA (deepfakes, synthèse vocale) quand il est diffusé publiquement. Si vous avez un chatbot support ou un agent Bedrock exposé aux utilisateurs finaux sans disclosure claire, vous êtes en infraction depuis le 2 août 2026 — pas en 2027.

2 décembre 2026 — Marquage des contenus IA et interdiction des deepfakes non consentis, inchangé. Watermarking technique des sorties génératives, interdiction explicite des systèmes produisant du contenu intime non consenti.

2 décembre 2027 — Systèmes à haut risque, Annexe III, REPORTÉ. C’était la date qui faisait peur à toutes les PME utilisant l’IA en RH (tri de CV), en scoring crédit, en évaluation médicale, ou en systèmes éducatifs. Elle était fixée au 2 août 2026. Le Digital Omnibus la repousse de 16 mois.

2 août 2028 — Systèmes à haut risque, Annexe I (produits déjà réglementés : dispositifs médicaux, machines, jouets connectés), REPORTÉ depuis août 2027.

Sources : Règlement (UE) 2024/1689, analyse Quantic Avocats du texte Digital Omnibus, suivi Cloud Security Alliance.

Ce qui n’a pas bougé — et qui vous concerne probablement déjà

Le piège du report, c’est de l’utiliser comme excuse pour ne rien faire. Trois choses restent dues maintenant, indépendamment du report Annexe III :

1. La classification de vos systèmes IA. Interdit / haut risque / risque limité (transparence) / risque minimal — cette classification ne dépend pas du calendrier d’application, elle détermine justement de quel calendrier vous relevez. Un système RH de tri de CV reste Annexe III haut risque même si son obligation d’application est repoussée à 2027 : vous devez le savoir, le documenter, et ne pas le déployer en pensant être hors radar.

2. L’Article 50 (transparence) est actif depuis le 2 août 2026. Chatbot support, agent conversationnel Bedrock, générateur de contenu marketing IA exposé au public : disclosure obligatoire, dès maintenant.

3. Vos obligations en tant que déployeur d’un système fourni par un tiers. Même sans construire votre propre modèle, l’Article 26 impose aux entreprises qui utilisent un système haut risque (RH, crédit, assurance) des obligations de supervision humaine, de documentation d’usage, et de remontée d’incidents — actées au même calendrier que les obligations fournisseur.

Pourquoi attendre 2027 est quand même une mauvaise idée

Le report de 16 mois change la date limite, pas le volume de travail. Sur les missions Distribuée, la classification + gap analysis d’un système IA en production prend en moyenne 6 à 10 semaines — cartographie des systèmes en production ET en shadow IT (souvent le plus gros du travail : les équipes métier utilisent des outils IA sans que la DSI le sache), classification par niveau de risque, documentation Article 4 (littératie IA des équipes), audit technique de la stack (Bedrock Guardrails, logging, contrôle d’accès RAG).

Si vous commencez cette cartographie en 2027, vous découvrez vos systèmes à haut risque au moment où l’obligation devient effective — zéro marge de manœuvre pour corriger. Commencer maintenant, avec 16 mois devant vous au lieu de 2, change tout : vous pouvez faire évoluer une architecture RAG mal gouvernée, retirer un accès trop large, documenter proprement, sans urgence.

Qui contrôle, en France

La gouvernance française s’est clarifiée cette année : la loi DDADUE, validée par le Sénat le 17 février 2026, désigne la CNIL comme autorité pivot pour la mise en œuvre de l’AI Act sur le sol français, avec la DGCCRF comme point de contact unique et coordinateur des autorités sectorielles. Une quinzaine d’autorités sectorielles se répartissent le reste : l’Arcom sur les deepfakes, l’ACPR et l’AMF sur la finance, l’ANSM et la HAS sur le médical. L’ANSSI intervient en appui technique cybersécurité, sans pouvoir de sanction direct.

Concrètement, pour une PME B2B classique sans activité finance ou santé réglementée, c’est la CNIL qui sera l’interlocuteur en cas de contrôle — le même réflexe RGPD, élargi à l’IA.

Notre lecture pour une PME qui utilise Bedrock ou un LLM tiers en prod

Trois priorités, dans l’ordre :

• Classifiez avant de documenter. Beaucoup de PME se lancent dans la paperasse AI Act sans avoir fait l’inventaire réel de leurs systèmes IA — y compris ceux que les équipes marketing ou support ont adoptés sans validation IT. Cartographie d’abord.
• Traitez l’Article 50 comme échéance immédiate, pas future. Si un utilisateur externe interagit avec un système IA sans le savoir, c’est le point de non-conformité le plus simple à corriger et le plus visible en cas de contrôle.
• Utilisez le délai jusqu’en 2027 pour corriger l’architecture, pas pour repousser la classification. Guardrails Bedrock, logging CloudTrail sur les appels aux modèles, séparation des accès RAG par sensibilité de donnée : ce sont des chantiers techniques de plusieurs semaines qui sont beaucoup plus simples à mener sans pression de deadline.

Notre audit Conformité AI Act couvre exactement ces trois étapes — cartographie, classification, audit technique Bedrock/RAG — livrées en 3 semaines avec un plan d’action priorisé, que votre échéance réelle soit 2026 (Article 50) ou 2027 (Annexe III).

Conclusion

Le Digital Omnibus a donné de l’air aux entreprises sur les obligations les plus lourdes (haut risque Annexe III), mais il n’a rien changé aux obligations de transparence qui sont déjà actives, ni au travail de classification qui reste un préalable incontournable. La meilleure façon d’utiliser ce délai n’est pas de l’ignorer : c’est de transformer une deadline qui aurait été subie en 2026 en un chantier mené proprement d’ici fin 2027.