Omnibus IA : ce que le règlement 2026/1744 change vraiment au RIA
Omnibus IA : ce que le règlement 2026/1744 change vraiment au RIA
Report du haut risque à décembre 2027 et août 2028, article 4 assoupli, deux interdictions nouvelles, allègements PME et petites ETI : le règlement 2026/1744 est en vigueur depuis le 27 juillet. Décryptage complet et arbitrages à en tirer.
Le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et publié au Journal officiel le 24 juillet, est entré en vigueur le 27 juillet 2026. Ce train de mesures, volet IA du paquet « omnibus numérique » proposé en novembre 2025, modifie le RIA sur trois fronts : le calendrier d'application, la charge administrative des entreprises et le contenu même de certaines obligations. Il ajoute aussi deux interdictions nouvelles. Pour les startups et PME tech, le texte redistribue les priorités de mise en conformité sans les supprimer. Décryptage complet de ce qui change, de ce qui ne change pas et de ce qu'il faut en faire.
L'essentiel en 30 secondes. Les règles applicables aux systèmes d'IA à haut risque sont reportées : au 2 décembre 2027 pour les cas d'usage de l'annexe III, au 2 août 2028 pour l'IA intégrée aux produits réglementés. Les bacs à sable nationaux doivent être opérationnels au 2 août 2027, et un bac à sable au niveau de l'Union peut être créé par le Bureau de l'IA. L'article 4 sur la maîtrise de l'IA est assoupli, les mesures de simplification réservées aux PME s'étendent aux petites entreprises à moyenne capitalisation, et deux formalités disparaissent. En sens inverse, le texte interdit les systèmes générant du matériel intime non consenti ou pédocriminel, à compter du 2 décembre 2026. Les obligations de transparence de l'article 50, applicables au 2 août 2026, ne bougent pas.
Un nouveau calendrier pour le haut risque
Le report constitue la mesure la plus attendue. Le législateur prend acte du retard des normes harmonisées et des cadres nationaux d'évaluation de la conformité : imposer les exigences du chapitre III sans les outils techniques permettant de les satisfaire aurait fait peser une charge disproportionnée sur les fournisseurs. Les sections 1 à 3 du chapitre III s'appliquent donc à partir du 2 décembre 2027 pour les systèmes à haut risque de l'annexe III (recrutement, scoring de crédit, éducation, services essentiels notamment), et à partir du 2 août 2028 pour les systèmes relevant de l'annexe I, l'IA intégrée aux machines, dispositifs médicaux, jouets ou véhicules.
Le texte clarifie au passage deux points qui nourrissaient l'insécurité juridique. La notion de composant de sécurité est précisée : les systèmes utilisés pour des aspects non liés à la sécurité, assistance aux utilisateurs, optimisation des performances, commodité ou contrôle qualité, n'en sont pas, sauf si leur défaillance mettrait en danger la santé ou la sécurité. Le délai de grâce de l'article 111 est également explicité : il s'apprécie unité par unité, à la date de mise sur le marché de la première unité du système.
Des allègements ciblés pour les PME et les petites ETI
Le deuxième front est celui de la simplification. Les mesures de proportionnalité jusqu'ici réservées aux PME et jeunes pousses, documentation technique simplifiée, accès prioritaire aux bacs à sable, modulation des amendes, s'étendent aux petites entreprises à moyenne capitalisation, ce qui élargit sensiblement le cercle des bénéficiaires dans la tech française.
Deux formalités disparaissent. L'obligation d'enregistrer dans la base de données de l'UE les systèmes de l'annexe III que leur fournisseur estime exemptés du haut risque est supprimée. Le modèle harmonisé obligatoire de plan de surveillance après commercialisation l'est aussi : les fournisseurs conçoivent librement un plan adapté à leur organisation, la Commission devant publier des orientations et un modèle volontaire au plus tard le 2 septembre 2027. Ces allègements réduisent le formalisme, pas les obligations de fond : la surveillance après commercialisation demeure, seule sa forme se libéralise.
L'article 4 assoupli : la maîtrise de l'IA change de nature
L'obligation de maîtrise de l'IA, souvent présentée comme le premier chantier de conformité universel, est réécrite. Les fournisseurs et déployeurs doivent désormais prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel, sans être tenus de garantir un niveau spécifique pour chaque individu. La Commission et les États membres soutiennent ces efforts, notamment par la publication d'exemples pratiques, et le Comité IA adoptera des recommandations appuyées sur les référentiels européens de compétences.
Pour les entreprises, la traduction est simple : le programme de formation documenté reste une bonne pratique, valorisable auprès des clients et des investisseurs, mais l'exposition juridique attachée à son absence diminue nettement. Les budgets peuvent se recentrer sur les chantiers à échéance ferme.
Deux interdictions nouvelles, applicables au 2 décembre 2026
L'omnibus n'est pas qu'un texte d'allègement. Il insère à l'article 5 deux interdictions visant les systèmes d'IA qui génèrent ou manipulent du matériel intime non consenti, représentations réalistes des parties intimes d'une personne identifiable ou d'activités sexuellement explicites sans son consentement explicite, et du matériel pédocriminel au sens de la directive 2011/93/UE. Ces interdictions s'appliquent à compter du 2 décembre 2026.
Le régime mérite l'attention des éditeurs d'outils génératifs. La mise sur le marché d'un système n'est interdite que si cette production constitue sa destination, ou si elle en est un résultat raisonnablement prévisible et reproductible sans modification technique importante, en l'absence de garde-fous techniques adéquats pour l'empêcher de manière fiable. Autrement dit, un générateur d'images grand public n'est pas interdit en soi, mais son fournisseur doit pouvoir démontrer des mesures de sécurité robustes contre ces usages. L'utilisation, elle, est interdite dès lors que le déployeur poursuit ce but. Les fournisseurs de solutions génératives doivent donc auditer leurs garde-fous avant décembre, documentation à l'appui.
Gouvernance : le Bureau de l'IA monte en puissance
Le texte renforce l'échelon européen. Le Bureau de l'IA peut créer un bac à sable réglementaire au niveau de l'Union, avec accès prioritaire des PME, jeunes pousses et petites ETI, et voit sa surveillance étendue à certains systèmes fondés sur des modèles à usage général, notamment ceux intégrés aux très grandes plateformes en ligne. Le Contrôleur européen de la protection des données peut ouvrir son propre bac à sable pour les institutions de l'Union. Les bacs à sable nationaux, eux, doivent être opérationnels au plus tard le 2 août 2027, et peuvent désormais inclure des essais en conditions réelles supervisés. Le texte élargit enfin la passerelle permettant de traiter des catégories particulières de données pour détecter et corriger les biais, sans créer d'obligation de le faire.
Ce qui ne change pas, et comment arbitrer
Le report ne vaut pas pause générale. Restent applicables sans modification les interdictions historiques de l'article 5, en vigueur depuis février 2025, les règles sur les modèles d'IA à usage général, les obligations de transparence de l'article 50 qui entrent en application le 2 août 2026 avec leurs lignes directrices et leur code de bonnes pratiques, et l'appareil de sanctions. Notre série sur le calendrier du RIA et notre focus sur les guidelines transparence détaillent ces volets.
L'arbitrage stratégique se reformule donc ainsi : les seize mois gagnés sur le haut risque reportent l'échéance, pas l'exigence. Les grands comptes continuent d'auditer leurs fournisseurs sur la structure des exigences du chapitre III, et les investisseurs valorisent les feuilles de route tenues. Utiliser le délai pour bâtir une conformité dès la conception, au rythme du produit plutôt que dans l'urgence d'une échéance, est la lecture la plus rentable du texte.
Le nouveau calendrier redistribue vos priorités RIA : le cabinet met à jour votre feuille de route, audite vos garde-fous génératifs avant décembre et valorise votre trajectoire de conformité. Prendre rendez-vous pour une consultation
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}