Report de l'AI Act : la Commission a raté ses propres délais, l'industrie en paye le prix
Le 26 mars 2026, le Parlement européen a voté à 569 voix contre 45 pour repousser les obligations des systèmes IA à haut risque à décembre 2027. Officiellement : les standards techniques ne sont pas prêts. Vraiment : la Commission européenne n'a pas tenu ses propres engagements. Pour les DSI, le consensus des analystes est brutal — ce vote ne change rien à leur agenda.
Le calendrier réel, pas celui des communiqués
La Commission avait jusqu'au 2 février 2026 pour publier les lignes directrices sur la classification des systèmes à haut risque. Elle a raté ce délai. Dans le même temps, les organismes de normalisation européens chargés des standards techniques ont manqué leur propre deadline à l'automne 2025 et visent maintenant fin 2026. Un régulateur qui ne respecte pas son propre calendrier et qui demande aux entreprises de se conformer à des règles dont les contours ne sont pas encore définis : le paradoxe a fini par devenir trop visible pour être ignoré.
D'où le Digital Omnibus. D'où le vote.
Le résultat en plénière est sans ambiguïté : 569 voix pour, 45 contre, 23 abstentions. Un consensus transpartisan rarement atteint sur les sujets tech à Bruxelles. Les dates proposées sont claires. Pour les systèmes à haut risque listés explicitement (biométrie, infrastructure critique, éducation, emploi, services essentiels, justice, frontières) : 2 décembre 2027. Pour les systèmes couverts par la législation sectorielle : 2 août 2028.
Sur le watermarking des contenus IA, le Parlement a surpris en se montrant plus exigeant que la Commission : il retient le 2 novembre 2026 au lieu du 2 février 2027 proposé par Bruxelles, signalant que la transparence des contenus synthétiques reste une priorité politique non négociable.
Ce que ce vote ne change pas encore
Voilà ce que les titres de presse n'expliquent pas assez clairement. Parlement et Commission sont alignés — mais le Conseil de l'Union européenne, troisième institution législative, doit encore approuver le texte. Les trilogues sont attendus en avril-mai 2026. Conclusion estimée : mi-2026 au plus tôt.
Conséquence directe : si les négociations dépassent le 2 août 2026, les délais originaux restent en vigueur. Le report est une intention. Pas encore une loi. Et seulement 8 des 27 États membres ont désigné des contacts nationaux d'application à ce jour. L'infrastructure d'enforcement est largement inexistante, ce qui atténue le risque d'amende immédiate, sans pour autant le supprimer.
La position des analystes est unanime. Ce qui est rare.
Nader Henein, VP analyst chez Gartner, est direct :
la décision finale interviendra si près de l'ancienne échéance que les organisations n'ont pas d'autre choix que de continuer comme prévu initialement.
Doug Barbin, de la firme de compliance Schellman, formule l'avertissement sans détour : les DSI qui ont attendu sont les plus exposés si les négociations s'éternisent. Les organisations qui construisent leur gouvernance maintenant ne seront pas en crise plus tard.
Une opinion tranchée s'impose ici. Le report est, en réalité, une mauvaise nouvelle déguisée. Il donne aux organisations les moins matures une excuse pour ne pas bouger. Il retarde un travail de cartographie et de gouvernance qui aurait dû commencer en 2024. Et quand les deadlines reviendront en 2027, ces mêmes organisations découvriront qu'elles ont perdu deux ans dans un marché où la conformité devient un avantage concurrentiel, pas une obligation subie.
La co-rapporteuse Arba Kokalari a encadré le vote dans un langage de compétitivité :
"Si l'Europe veut être compétitive, nous devons faciliter l'utilisation de l'IA, pas punir les entreprises qui introduisent des fonctionnalités innovantes dans des produits sûrs."
C'est une lecture raisonnable. Mais elle omet que la compétitivité se construit aussi sur la confiance, et que la confiance se construit sur des règles respectées, pas sur des règles repoussées jusqu'à ce qu'elles deviennent inévitables.
Ce que les DSI doivent faire maintenant
Trois actions concrètes, indépendantes du résultat du trilogue.
Première priorité : cartographier tous les systèmes IA déployés ou en cours de déploiement contre l'Annexe III. Cet exercice ne dépend d'aucun délai législatif. Il est nécessaire maintenant, et le sera encore plus en 2027.
Deuxième priorité : les obligations déjà en vigueur ne sont pas touchées par le report. Pratiques interdites depuis février 2025, GPAI depuis août 2025 — ces règles s'appliquent aujourd'hui à quiconque déploie des modèles fondamentaux dans ses produits. Un audit rapide sur ces points est non optionnel.
Troisième priorité : surveiller le trilogue comme un signal marché. Si les négociations se prolongent au-delà de juillet 2026, les équipes juridiques devront être prêtes à actionner des plans de contingence sur les systèmes à haut risque déjà opérationnels.
L'Europe a voté un report parce qu'elle ne s'était pas donnée les moyens de tenir ses propres promesses. Les entreprises, elles, n'auront pas cette justification disponible quand les régulateurs nationaux commenceront leur travail.
TL;DR
Le Parlement européen vient de voter massivement pour repousser l'AI Act — mais le report n'est pas encore une loi, et août 2026 est toujours sur le calendrier.
- Le vote de 569 voix pour 45 repousse les obligations des systèmes IA à haut risque à décembre 2027, mais le Conseil de l'UE doit encore valider : si le trilogue traîne, les délais originaux restent juridiquement en vigueur jusqu'en août 2026.
- La raison du report est structurelle : la Commission européenne a elle-même manqué ses propres délais de guidance technique, et les organismes de normalisation ont raté leurs deadlines de standards à l'automne 2025.
- L'unanimité des analystes (Gartner, Schellman, Fusion Collective) est sans appel : continuer les préparations compliance comme si le report n'existait pas est la seule posture sans risque.
Questions fréquentes
Mon entreprise utilise l'IA pour des processus RH ou de scoring de crédit — suis-je concernée par les obligations "haut risque" ?
Très probablement oui. Ces usages figurent dans l'Annexe III de l'AI Act. La classification dépend de la nature du système, de son degré d'influence sur des décisions individuelles, et de critères que la Commission n'a pas encore tous finalisés. C'est précisément pourquoi les DSI doivent engager dès maintenant un exercice de cartographie des systèmes IA déployés, indépendamment du calendrier de vote.
Les obligations GPAI (modèles fondamentaux type GPT, Claude, Gemini) sont-elles aussi reportées ?
Non. Ces obligations, entrées en vigueur en août 2025, ne sont pas incluses dans le périmètre du report. Les fournisseurs de modèles GPAI (et les entreprises qui les intègrent dans leurs produits) doivent se conformer aux exigences de documentation, transparence et gestion des risques systémiques dès maintenant.
Si le Conseil n'approuve pas le report avant août 2026, que se passe-t-il ?
Les obligations high-risk entrent en vigueur le 2 août, comme prévu initialement. L'absence d'autorités nationales d'application dans la plupart des États membres rend une enforcement immédiate improbable dans les faits, mais le risque légal et réputationnel existe. Des États comme l\\'Allemagne ou la France, qui ont des intérêts industriels forts, pourraient agir plus rapidement. La prudence commande de ne pas parier sur l'inaction des régulateurs.