À propos du règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026

Par Arnaud Dimeglio, Avocat

27 juillet 2026

Deux ans après l’entrée en vigueur du règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (ci-après le « Règlement IA » ou « AI Act »)[1], le législateur européen en remanie déjà l’économie. Proposé le 19 novembre 2025 dans le cadre du train de mesures « omnibus numérique », adopté le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet 2026, le règlement (UE) 2026/1744, dit « Omnibus IA », est entré en vigueur le 27 juillet 2026[2]. Présenté par la Commission comme une « simplification ciblée » destinée à soutenir l’innovation et la compétitivité, ce texte est souvent résumé à un report des échéances d’application du Règlement IA. Cette lecture est réductrice : au-delà du réaménagement du calendrier (I), l’Omnibus modifie plusieurs dispositions substantielles du Règlement IA, dont certaines touchent à ses équilibres fondamentaux (II).

I. Le réaménagement du calendrier d’application

A. Le report des règles relatives aux systèmes d’IA à haut risque

La mesure la plus attendue concerne les obligations relatives aux systèmes d’IA à haut risque (chapitre III, sections 1 à 3, du Règlement IA), qui devaient entrer en application le 2 août 2026. Invoquant le retard pris dans l’élaboration des normes harmonisées et dans la mise en place des cadres nationaux de gouvernance et d’évaluation de la conformité, le législateur reporte leur entrée en application au 2 décembre 2027 pour les systèmes classés à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III (systèmes dits « autonomes » : biométrie, emploi, éducation, services essentiels, etc.), et au 2 août 2028 pour les systèmes classés à haut risque en vertu de l’article 6, paragraphe 1, et de l’annexe I, c’est-à-dire ceux intégrés dans des produits réglementés (dispositifs médicaux, jouets, ascenseurs, etc.)[3].

L’Omnibus précise en outre la portée du délai de grâce accordé aux systèmes déjà commercialisés : ce délai s’apprécie par « type et modèle » de système d’IA, de sorte que la mise sur le marché d’une seule unité avant la date d’application pertinente permet la poursuite de la commercialisation des unités du même type et modèle, tant que la conception du système demeure inchangée. Les fournisseurs et déployeurs de systèmes à haut risque destinés aux autorités publiques doivent, en tout état de cause, se mettre en conformité au plus tard le 2 août 2030[4].

Le calendrier des bacs à sable réglementaires est également desserré : les autorités nationales compétentes ont désormais jusqu’au 2 août 2027 pour rendre opérationnel au moins un bac à sable réglementaire de l’IA au niveau national (art. 57, § 1er, modifié).

B. Le maintien de l’échéance de transparence du 2 août 2026

Le report ne concerne pas les obligations de transparence de l’article 50 du Règlement IA, qui entrent bien en application le 2 août 2026, conformément au calendrier initial. À compter de cette date, les fournisseurs et déployeurs concernés devront notamment informer les personnes qu’elles interagissent avec un système d’IA, marquer les contenus de synthèse dans un format lisible par machine permettant de les identifier comme générés ou manipulés par une IA, signaler les hypertrucages (deepfakes) et informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique.

L’Omnibus n’aménage ce dispositif que sur un point : les fournisseurs de systèmes d’IA générant des contenus de synthèse (y compris les systèmes d’IA à usage général) déjà mis sur le marché avant le 2 août 2026 bénéficient d’une période transitoire de quatre mois pour se conformer à l’obligation de marquage de l’article 50, paragraphe 2, soit jusqu’au 2 décembre 2026[5]. Cette période transitoire ne s’étend ni aux autres obligations de transparence, ni aux systèmes mis sur le marché à compter du 2 août 2026, qui doivent être conformes dès leur commercialisation. On relèvera enfin que la Commission perd son habilitation à approuver par acte d’exécution les codes de bonne pratique en matière de détection, de marquage et d’étiquetage des contenus (art. 50, § 7, modifié), tout en conservant la faculté d’adopter des règles communes si ces codes se révélaient insuffisants.

II. Les modifications substantielles du Règlement IA

A. Une nouvelle pratique interdite : la « nudification » et les contenus pédopornographiques

Sur le fond, l’Omnibus enrichit d’abord la liste des pratiques interdites de l’article 5. Sont désormais prohibées, d’une part, la mise sur le marché, la mise en service ou l’utilisation de systèmes d’IA générant ou manipulant des images, vidéos ou contenus audio réalistes représentant les parties intimes d’une personne identifiable, ou une personne identifiable se livrant à des activités sexuellement explicites, sans son consentement libre, spécifique, éclairé, univoque et explicite, c’est-à-dire les applications dites de « nudification » ou de « déshabillage » ; d’autre part, les systèmes générant ou manipulant du matériel relatif à des abus sexuels sur enfants[6].

Le régime de cette interdiction est finement calibré. S’agissant des fournisseurs, elle vise les systèmes destinés à générer un tel matériel, ainsi que ceux pour lesquels cette production constitue un résultat raisonnablement prévisible et reproductible en l’absence de mesures techniques de sécurité raisonnables et adéquates (nettoyage des données, entraînement au refus, filtrage des contenus, dispositifs de détection des abus, etc.). S’agissant des déployeurs, seule est interdite l’utilisation du système dans le but de générer ou de manipuler le matériel prohibé. Ces interdictions seront applicables dès le 2 décembre 2026, soit avant même l’entrée en application des règles sur les systèmes à haut risque.

B. Les assouplissements au bénéfice des opérateurs

L’Omnibus étend d’abord le périmètre du régime allégé. Les mesures de proportionnalité jusqu’ici réservées aux PME (documentation technique simplifiée, mise en œuvre proportionnée du système de gestion de la qualité, plafonnement des amendes) bénéficient désormais également aux « petites entreprises à moyenne capitalisation », notion définie par renvoi à la recommandation (UE) 2025/1099[7].

L’obligation de maîtrise de l’IA (« AI literacy ») de l’article 4, applicable depuis le 2 février 2025, est ensuite assouplie. Loin d’être supprimée, elle demeure une obligation juridique, mais devient expressément une obligation de moyens : les fournisseurs et déployeurs doivent prendre des mesures pour « favoriser le développement » de la maîtrise de l’IA de leur personnel, sans être tenus de garantir un niveau spécifique de compétence[8]. La Commission et les États membres sont appelés à soutenir ces efforts, le Comité IA devant adopter des recommandations fixant des objectifs communs.

Les charges administratives sont par ailleurs allégées. L’enregistrement dans la base de données de l’UE des systèmes relevant de l’article 6, paragraphe 3 (systèmes de l’annexe III échappant à la qualification de haut risque), n’est pas supprimé (le considérant 22 le juge « indispensable ») mais son contenu est rationalisé par la suppression de certaines rubriques de l’annexe VIII. De même, le plan de surveillance après commercialisation demeure obligatoire, mais l’habilitation de la Commission à imposer un modèle harmonisé par acte d’exécution est remplacée par des orientations assorties d’un modèle volontaire, attendues au plus tard le 2 septembre 2027 (art. 72, § 3, modifié).

Le soutien à l’expérimentation est enfin renforcé : les essais en conditions réelles hors bac à sable sont étendus aux systèmes à haut risque couverts par la législation d’harmonisation de l’annexe I (art. 60 modifié et art. 60 bis nouveau), et le Bureau de l’IA se voit reconnaître la faculté de créer un bac à sable réglementaire au niveau de l’Union, avec accès prioritaire des PME et des petites entreprises à moyenne capitalisation (art. 57, § 3 bis). Dans le même esprit, le nouvel article 4 bis étend la base juridique permettant le traitement de catégories particulières de données à caractère personnel aux fins de détection et de correction des biais : jusqu’ici réservée aux fournisseurs de systèmes à haut risque, elle bénéficie désormais, sous les mêmes conditions strictes (stricte nécessité, sécurité renforcée, interdiction de transmission, suppression après correction), aux déployeurs de ces systèmes ainsi qu’aux fournisseurs et déployeurs d’autres systèmes et modèles d’IA.

C. Le renforcement de la gouvernance : la montée en puissance du Bureau de l’IA

En sens inverse de la logique d’allègement, l’Omnibus renforce considérablement la surveillance centralisée. Le Bureau de l’IA devient seul compétent pour la surveillance et le contrôle, d’une part, des systèmes d’IA fondés sur des modèles d’IA à usage général lorsque le modèle et le système sont développés par le même fournisseur ou par des fournisseurs de la même entreprise, sous réserve d’exceptions notables (systèmes liés aux produits de l’annexe I, autorités répressives, gestion des frontières, justice, établissements financiers), et, d’autre part, des systèmes d’IA constituant une très grande plateforme en ligne ou un très grand moteur de recherche au sens du règlement sur les services numériques, ou intégrés dans de tels services[9].

Surtout, le Bureau de l’IA est doté de véritables pouvoirs d’exécution, calqués sur ceux de la Commission en droit de la concurrence : demandes d’informations sur simple demande ou par voie de décision, inspections sur place avec possibilité d’apposer des scellés, engagements rendus contraignants, décisions de non-conformité, amendes administratives et astreintes pouvant atteindre 5 % du chiffre d’affaires ou du revenu journalier moyen par jour de retard, sous le contrôle de pleine juridiction de la Cour de justice de l’Union européenne. Un délai de prescription de cinq ans est institué.

D. L’articulation avec les législations sectorielles

Le texte s’attaque enfin aux chevauchements entre le Règlement IA et la législation sectorielle d’harmonisation. Un mécanisme inédit permet à la Commission, par actes délégués à adopter au plus tard le 2 août 2027, de limiter l’application des exigences des articles 9 à 15 et 17 à 25 du Règlement IA lorsque la législation sectorielle de l’annexe I, section A, garantit un niveau de protection équivalent ou supérieur[10]. La définition du « composant de sécurité », déterminante pour la classification à haut risque des systèmes intégrés dans des produits, est resserrée : en sont exclus les systèmes remplissant uniquement des fonctions d’assistance aux utilisateurs, d’optimisation des performances ou de commodité, sans incidence sur la santé et la sécurité.

Le sort réservé aux machines illustre ce basculement : celles relevant du règlement (UE) 2023/1230 sont déplacées de la section A vers la section B de l’annexe I, ce qui les fait sortir du champ d’application directe de l’essentiel du Règlement IA. En contrepartie, la Commission devra adopter, au plus tard pour le 2 août 2028, des actes délégués intégrant au règlement machines des exigences de santé et de sécurité équivalentes pour les systèmes d’IA à haut risque[11]. Des corrections analogues sont apportées au règlement (UE) 2018/1139 dans le domaine de l’aviation civile.

Conclusion

Sous couvert de « simplification », l’Omnibus IA redessine plusieurs équilibres du Règlement IA : il desserre le calendrier et allège les charges des opérateurs, mais crée dans le même mouvement une nouvelle interdiction d’application rapide et institue une autorité de surveillance européenne dotée de pouvoirs d’enquête et de sanction substantiels. Pour les praticiens, trois échéances doivent retenir l’attention immédiate : le 2 août 2026, entrée en application des obligations de transparence de l’article 50, que l’Omnibus n’a précisément pas reportées ; le 2 décembre 2026, expiration de la période transitoire de marquage pour les systèmes déjà commercialisés et entrée en application des nouvelles interdictions ; et le 2 décembre 2027, première échéance des règles relatives aux systèmes à haut risque. Le temps gagné sur le calendrier devrait être mis à profit : il n’est que différé, non supprimé.

Sources : règlement (UE) 2026/1744, JO L du 24 juillet 2026 (ELI : data.europa.eu/eli/reg/2026/1744/oj) ; Commission européenne, « L’Omnibus de l’IA entre en vigueur », 27 juillet 2026, digital-strategy.ec.europa.eu ; Conseil de l’UE, communiqué de presse, « Intelligence artificielle : feu vert définitif du Conseil à la simplification et à la rationalisation des règles ».

[1]Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle (règlement sur l’intelligence artificielle), JO L, 2024/1689, 12 juillet 2024.

[2]Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle (train de mesures omnibus numérique sur l’IA), JO L, 2026/1744, 24 juillet 2026 ; entré en vigueur le troisième jour suivant sa publication (art. 4).

[3]Règlement (UE) 2026/1744, art. 1er, point 40, modifiant l’article 113 du règlement (UE) 2024/1689 ; v. égal. considérant 40.

[4]Règlement (UE) 2024/1689, art. 111, § 2, tel que modifié et précisé par le règlement (UE) 2026/1744, art. 1er, point 39, et considérant 39.

[5]Règlement (UE) 2024/1689, art. 111, § 4 nouveau, et règlement (UE) 2026/1744, considérant 38.

[6]Règlement (UE) 2024/1689, art. 5, § 1er, points b bis et b ter nouveaux, et § 1 bis et 1 ter ; applicables à compter du 2 décembre 2026 (art. 113, troisième alinéa, point a, modifié).

[7]Recommandation (UE) 2025/1099 de la Commission du 21 mai 2025 concernant la définition des petites entreprises à moyenne capitalisation, JO L, 2025/1099, 28 mai 2025.

[8]Règlement (UE) 2024/1689, art. 4 modifié : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

[9]Règlement (UE) 2024/1689, art. 75, § 1er, modifié, et art. 75 bis à 75 quinquies nouveaux.

[10]Règlement (UE) 2024/1689, art. 2, § 13 nouveau ; les actes délégués recensant les cas de limitation doivent être adoptés au plus tard le 2 août 2027.

[11]Règlement (UE) 2026/1744, art. 1er, point 41, et art. 3 (modifications du règlement (UE) 2023/1230 sur les machines) ; v. égal. considérant 42.