Un calendrier bouleversé à quelques semaines de l’échéance
Pendant près de deux ans, une date a structuré la préparation des organisations à l’AI Act : le 2 août 2026, échéance à laquelle devaient s’appliquer les obligations relatives aux systèmes d’IA à haut risque. Pour le secteur financier, l’enjeu était direct, puisque cette catégorie inclut notamment l’évaluation de la solvabilité (scoring de crédit) et la tarification en assurance.
Ce calendrier vient d’être modifié. Le « Digital Omnibus » sur l’IA, paquet de simplification proposé par la Commission européenne le 19 novembre 2025, a été adopté définitivement fin juin 2026 : le Parlement européen l’a endossé le 16 juin, le Conseil de l’Union européenne a donné son feu vert final le 29 juin, et l’acte a été signé le 8 juillet 2026. Il entre en vigueur le troisième jour suivant sa publication au Journal officiel. Sa disposition phare est le report de l’application des obligations « haut risque ».
Cet article propose une lecture de gouvernance et de sécurité, et non un commentaire juridique. L’objectif est de clarifier ce qui change réellement, quels systèmes financiers relèvent du « haut risque », et surtout comment utiliser le délai accordé. Le fil conducteur est simple : un report n’est pas une pause.
L’AI Act en bref : une approche par les risques
L’AI Act — le règlement (UE) 2024/1689 — repose sur une approche graduée par les risques, que le Digital Omnibus ne remet pas en cause. Son architecture reste intacte.
Quatre niveaux structurent le texte. Les pratiques interdites (risque inacceptable) sont prohibées. Les systèmes à haut risque sont soumis à un ensemble d’exigences (gestion des risques, gouvernance des données, documentation technique, journalisation, transparence, surveillance humaine, exactitude, robustesse et cybersécurité) et à une évaluation de conformité. Les systèmes à risque limité sont soumis à des obligations de transparence. Les systèmes à risque minimal ne sont pas spécifiquement encadrés. À cela s’ajoute un régime distinct pour les modèles d’IA à usage général (GPAI).
Le Digital Omnibus ne modifie ni cette classification, ni le régime d’évaluation de conformité, ni le suivi des GPAI, ni le rôle de supervision du Bureau européen de l’IA (AI Office). Ce qui change, ce sont principalement des dates d’application et quelques mesures ciblées.
Ce que le Digital Omnibus change vraiment
Le Digital Omnibus est un paquet de simplification. Sa partie relative à l’IA a été détachée du paquet plus large (qui touche aussi le RGPD, la directive ePrivacy, le Data Act et la directive NIS2), précisément en raison de l’échéance imminente des obligations « haut risque ».
Son changement le plus conséquent est le report de l’application des obligations applicables aux systèmes d’IA à haut risque. Il introduit également d’autres ajustements : une nouvelle interdiction, un aménagement de l’obligation de littératie en IA, une clarification du régime d’enregistrement, et un renforcement des pouvoirs du Bureau européen de l’IA. La partie du Digital Omnibus consacrée aux données et à la cybersécurité, elle, reste en négociation.
Le report des obligations « haut risque » : dates et mécanisme
Le report distingue deux situations. Pour les systèmes à haut risque autonomes relevant de l’annexe III, l’application est repoussée au 2 décembre 2027. Pour les systèmes d’IA à haut risque intégrés à des produits déjà couverts par la législation de sécurité des produits de l’Union (annexe I), l’échéance est fixée au 2 août 2028.
Le mécanisme mérite d’être compris. Dans la logique retenue, l’application des exigences « haut risque » était liée à la disponibilité des normes harmonisées et des outils de support. Le dispositif prévoit une application déclenchée par une décision de la Commission confirmant la disponibilité de ces éléments, suivie d’une période de transition (six mois pour l’annexe III, douze mois pour l’annexe I), avec les dates du 2 décembre 2027 et du 2 août 2028 comme dates butoirs. La raison de fond est pragmatique : les normes techniques harmonisées, qui traduisent les exigences du règlement en critères concrets et vérifiables, ne sont pas encore publiées, et l’infrastructure réglementaire nécessaire n’était pas prête à l’échéance initiale.
Autrement dit, le report reflète moins un recul politique qu’un décalage entre le calendrier légal et la maturité des outils de mise en conformité.
Ce qui n’est pas reporté
Le report est ciblé : plusieurs obligations continuent de s’appliquer, et il serait risqué de conclure à une suspension générale de l’AI Act.
Les pratiques interdites s’appliquent depuis le 2 février 2025. Les obligations relatives aux modèles d’IA à usage général (GPAI) s’appliquent depuis le 2 août 2025 et ne sont pas modifiées par le Digital Omnibus. Les obligations de transparence de l’article 50 — informer les utilisateurs qu’ils interagissent avec une IA, signaler les contenus générés ou manipulés par IA — restent applicables. Seule l’obligation de marquage des contenus générés par IA (article 50, paragraphe 2) bénéficie d’une période transitoire de quatre mois pour les systèmes déjà sur le marché avant le 2 août 2026, ce qui la reporte au 2 décembre 2026 pour ces systèmes.
Le Digital Omnibus introduit par ailleurs une nouvelle interdiction, insérée à l’article 5 : celle des contenus intimes non consentis générés par IA et des contenus pédocriminels, applicable à compter du 2 décembre 2026. Enfin, l’obligation de littératie en IA demeure, dans une formulation assouplie (voir plus bas).
Quels systèmes financiers relèvent du « haut risque » ?
C’est un point central pour le secteur, et il appelle de la précision. L’annexe III de l’AI Act liste les cas d’usage à haut risque. Deux d’entre eux concernent directement la finance.
Le premier vise les systèmes d’IA destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit. Le second vise les systèmes d’IA utilisés pour l’évaluation des risques et la tarification en matière d’assurance vie et santé. Ces deux catégories relèvent du haut risque et seront donc soumises, à l’échéance reportée, à l’ensemble des exigences correspondantes.
Une exclusion importante doit toutefois être soulignée : les systèmes d’IA utilisés aux fins de détection de la fraude financière sont explicitement exclus de cette classification « haut risque ». Cette précision, souvent mal comprise, ne signifie pas que ces systèmes échappent à toute exigence : ils peuvent relever d’autres obligations (transparence, régime GPAI si des modèles à usage général sont mobilisés) et, en tout état de cause, des bonnes pratiques de gouvernance et de sécurité. Mais ils ne portent pas les obligations spécifiques aux systèmes à haut risque.
Enfin, la qualification « haut risque » suppose une analyse au cas par cas. Tous les usages de l’IA dans un établissement ne sont pas à haut risque, et une cartographie précise est nécessaire pour distinguer ce qui relève de cette catégorie, de la transparence, ou d’un encadrement minimal.
Les exigences de sécurité : l’article 15 au cœur du sujet cyber
Pour un lectorat cybersécurité, l’article 15 de l’AI Act est le point d’ancrage. Il impose aux systèmes à haut risque d’atteindre un niveau approprié d’exactitude, de robustesse et de cybersécurité, et de fonctionner de manière cohérente tout au long de leur cycle de vie.
Deux dimensions se dégagent. La robustesse vise la résilience face aux erreurs, défaillances et incohérences, y compris en cas d’interaction avec des personnes ou d’autres systèmes. La cybersécurité vise la résistance aux tentatives de tiers non autorisés de modifier l’usage, les sorties ou le comportement du système en exploitant ses vulnérabilités. Le texte cible explicitement des attaques propres à l’IA : empoisonnement des données d’entraînement (data poisoning), empoisonnement des modèles (model poisoning), exemples antagonistes conduisant à contourner le modèle (adversarial examples), et attaques visant la confidentialité.
L’article 15 ne se lit pas isolément. Il s’articule avec d’autres exigences des systèmes à haut risque directement pertinentes pour la sécurité et la traçabilité : la gestion des risques (article 9), la journalisation et l’enregistrement des événements (article 12), et la surveillance humaine (article 14). Pour les équipes sécurité et risques, ce sont ces exigences — robustesse, cybersécurité, journalisation, supervision — qui traduisent l’AI Act en travail concret, et qui ne disparaissent pas avec le report : elles sont différées, pas annulées.
Enregistrement, littératie en IA et autres ajustements
Le Digital Omnibus apporte plusieurs ajustements de mise en œuvre utiles à connaître.
Concernant l’enregistrement, le texte rétablit une obligation d’enregistrement pour les fournisseurs qui, après auto-évaluation, considèrent que leur système relevant de l’annexe III n’est pas à haut risque : ces systèmes doivent tout de même être enregistrés dans la base de données de l’Union, avec une charge administrative allégée. Le Digital Omnibus vise plus largement à simplifier le processus d’enregistrement.
Concernant la littératie en IA, l’article 4 est assoupli. Là où le texte initial imposait aux fournisseurs et déployeurs de garantir un niveau suffisant de littératie en IA parmi leur personnel, la version modifiée leur demande de prendre des mesures visant à soutenir le développement de cette littératie parmi le personnel et les autres personnes impliquées dans l’exploitation des systèmes d’IA.
Enfin, le Bureau européen de l’IA voit ses pouvoirs de supervision renforcés. La Commission doit par ailleurs publier des orientations, notamment sur les plans de suivi après commercialisation et sur l’articulation entre l’AI Act et les règles sectorielles pour les systèmes de l’annexe I.
Un report n’est pas une pause : comment utiliser le délai
Le principal risque, pour les établissements, serait de lire ce report comme un signal d’arrêt. Ce serait une erreur de méthode, pour deux raisons.
D’abord, les exigences n’ont pas disparu : elles s’appliqueront à une échéance repoussée, et les normes harmonisées finiront par être publiées. Or la mise en conformité d’un système à haut risque — documentation technique, gestion des risques, gouvernance des données, robustesse, cybersécurité, surveillance humaine — demande du temps et ne s’improvise pas à quelques semaines d’une échéance.
Ensuite, le travail à mener pendant ce délai a une valeur qui dépasse l’AI Act. Plusieurs chantiers gagnent à être engagés dès maintenant : cartographier les cas d’usage de l’IA dans l’établissement, classer ces usages (haut risque, transparence, minimal), structurer la gouvernance de l’IA (rôles, responsabilités, validation), et anticiper les exigences de robustesse et de cybersécurité de l’article 15 pour les systèmes concernés, au premier rang desquels le scoring de crédit et la tarification en assurance.
Le délai est donc une fenêtre, pas une dispense. Il permet de préparer sereinement ce qui, sinon, deviendrait une contrainte de dernière minute.
Articulation avec DORA, NIS2 et le Cyber Resilience Act
Cette lecture prend tout son sens dans une perspective transverse. L’inventaire et la classification des systèmes d’IA — le travail précisément rendu possible par le délai — alimentent aussi la posture de l’établissement au regard d’autres cadres.
La gestion du risque lié aux modèles et à leurs fournisseurs rejoint la logique de DORA sur la gestion du risque TIC et du risque lié aux prestataires tiers. Les exigences de robustesse, de journalisation et de cybersécurité de l’article 15 recoupent des attentes déjà portées par NIS2 et par le Cyber Resilience Act. Le Digital Omnibus s’inscrit d’ailleurs dans un effort de simplification plus large, qui vise notamment à consolider le signalement des incidents vers un point d’entrée unique.
Traiter le report de l’AI Act comme un simple décalage de calendrier reviendrait donc à en manquer l’intérêt : le travail de classification et de constitution de preuves qu’il permet est en grande partie le même que celui qui réduit l’exposition de l’établissement à l’échelle de l’ensemble des cadres réglementaires.
Perspective Forum des Compétences
Le report des obligations « haut risque » de l’AI Act constitue un répit réel, mais un répit à manier avec discernement. Pour les banques et les assurances, deux systèmes au moins relèvent du haut risque — le scoring de crédit et la tarification en assurance vie et santé —, et les exigences de sécurité associées, portées notamment par l’article 15, ne disparaissent pas : elles sont différées.
Le fil conducteur reste donc valable : un report n’est pas une pause. Les établissements qui utiliseront ce délai pour cartographier leurs usages d’IA, structurer leur gouvernance et préparer les exigences de robustesse et de cybersécurité aborderont l’échéance de 2027 dans de bien meilleures conditions que ceux qui auront différé ce travail.
Enfin, ce chantier a une portée qui dépasse l’AI Act. L’inventaire et la classification des systèmes d’IA, la gestion des risques associés et la maîtrise de leur sécurité constituent un socle commun avec DORA, NIS2 et le Cyber Resilience Act. C’est probablement la meilleure manière de lire ce report : non pas comme une contrainte repoussée, mais comme le temps offert pour construire une gouvernance de l’IA solide, cohérente avec l’ensemble du cadre de résilience et de sécurité du secteur financier.
Sources publiques utilisées
Cet article s’appuie principalement sur les textes et communications officiels de l’Union européenne relatifs à l’AI Act et à sa simplification :
- Règlement (UE) 2024/1689 (AI Act), notamment son approche par les risques, son annexe III (cas d’usage à haut risque, dont l’évaluation de la solvabilité et la tarification en assurance vie et santé, à l’exclusion de la détection de fraude financière) et son article 15 (exactitude, robustesse et cybersécurité des systèmes à haut risque), ainsi que les articles 5, 9, 12, 14 et 50.
- Commission européenne, proposition de « Digital Omnibus » sur l’IA (19 novembre 2025) et communications associées sur la simplification et le report des obligations « haut risque ».
- Conseil de l’Union européenne et Parlement européen, communications officielles sur l’accord et l’adoption du Digital Omnibus (accord politique du 7 mai 2026 ; adoption par le Parlement le 16 juin 2026 ; feu vert du Conseil le 29 juin 2026 ; signature de l’acte le 8 juillet 2026), précisant le report des obligations de l’annexe III au 2 décembre 2027 et de l’annexe I au 2 août 2028, ainsi que les mesures d’accompagnement (enregistrement, littératie en IA, pouvoirs du Bureau européen de l’IA, nouvelle interdiction insérée à l’article 5).