Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Son application effective a toutefois été organisée de manière progressive, l’ensemble des obligations devant initialement devenir applicables au plus tard le 2 août 2027.
Le cadre réglementaire applicable à l’IA reste néanmoins en constante évolution. Le 19 novembre 2025, le législateur européen a publié une proposition de règlement omnibus sur l’IA (l’Omnibus de l’IA). Cette proposition vise à simplifier le cadre existant instauré par le règlement sur l’IA et à favoriser une mise en œuvre rapide, harmonieuse et praticable de celui-ci.
Le 29 juin 2026, cette proposition a été définitivement approuvée par le Conseil de l’Union européenne. Dès sa publication officielle, les modifications présentées ci-dessous entreront en vigueur le troisième jour suivant cette publication.
Dans nos précédentes lettres d’information, nous avons déjà abordé la publication du règlement sur l’IA ainsi que l’entrée en application de ses premières obligations (The publication of the AI Act – Monard Law and First rules of the AI Act to apply – Monard Law). Dans la présente lettre d’information, nous revenons sur les principales modifications introduites par l’Omnibus de l’IA et nous examinons ce qu’elles impliquent concrètement pour votre organisation.
En résumé: l’Omnibus de l’IA ne modifie pas fondamentalement les règles applicables à l’IA. Il vise principalement à faciliter leur mise en œuvre pratique et à soutenir les organisations dans le respect de certaines obligations. Il clarifie plusieurs dispositions du règlement sur l’IA, il accorde davantage de temps pour la mise en conformité des systèmes d’IA à haut risque et interdit les systèmes d’IA capables de générer du contenu sexuellement explicite sans le consentement des personnes concernées. Bien que certaines échéances soient reportées, la majorité des obligations prévues par le règlement sur l’IA demeure inchangée. Les organisations ont dès lors tout intérêt à poursuivre leurs efforts en matière de gouvernance, d’utilisation et de documentation des systèmes d’IA.
1. Plus de temps pour les systèmes d’IA à haut risque
L’une des principales modifications introduites par l’Omnibus de l’IA concerne le report de certaines obligations prévues par le règlement de l’IA. Dans sa version initiale, les obligations applicables aux systèmes d’IA à haut risque devaient entrer en application le 6 août 2026.
L’Omnibus de l’IA reporte ces obligations aux dates suivantes:
- les obligations applicables aux systèmes d’IA utilisés dans des domaines à risque (notamment la biométrie, les infrastructures critiques, l’éducation, l’emploi, la migration et le contrôle aux frontières) s’appliqueront à partir du 2 décembre 2027;
- les obligations applicables aux systèmes d’IA intégrés dans des produits réglementés (tels que les ascenseurs ou les jouets) s’appliqueront à partir du 2 août 2028.
Ce délai supplémentaire doit permettre aux organisations de se préparer de manière approfondie à ces nouvelles exigences. Il offrira également le temps nécessaire à l’élaboration de normes techniques et d’autres instruments d’accompagnement.
Par ailleurs, la Commission européenne publiera des lignes directrices complémentaires afin de clarifier l’articulation entre les différentes obligations applicables aux systèmes d’IA à haut risque. L’objectif est de faciliter la mise en conformité et de limiter autant que possible les charges administratives pesant sur les organisations.
2. Extension des systèmes d’IA interdits
L’Omnibus de l’IA renforce la protection des droits fondamentaux des citoyens européens.
Il complète la liste existante des systèmes d’IA interdites en y ajoutant une interdiction explicite des systèmes d’IA générant du contenu intime ou sexuellement explicite sans le consentement des personnes concernées, y compris les applications dites de « nudification ».
À compter du 2 décembre 2026, la mise sur le marché européen de tels systèmes sera interdite, sauf si les fournisseurs mettent en œuvre les mesures techniques nécessaires afin d’empêcher la génération de ce type de contenu. Cette interdiction s’appliquera également aux utilisateurs qui recourent aux systèmes d’IA à cette fin.
3. Simplification des exigences pour les petites entreprises à moyenne capitalisation
L’Omnibus de l’IA introduit également plusieurs simplifications et clarifications en faveur des petites entreprises à moyenne capitalisation (« Small Mid-Caps » ou « SMC »), qui ne relèvent pas de la définition classique des « PME ». Les avantages accordés aux PME par le règlement sur l’IA leur seront désormais également étendus.
Concrètement, les SMC bénéficieront notamment:
- d’une simplification des exigences de documentation visant à réduire les charges administratives ;
- d’une adaptation des exigences en matière de gestion de la qualité et de gouvernance interne adaptées à leur taille et à leurs ressources ;
- de modalités de contrôle et d’application plus proportionnées afin d’éviter des sanctions lors des premières phases de mise en œuvre.
4. Extension des bacs à sable réglementaires
Le règlement sur l’IA permet déjà aux entreprises de tester des systèmes d’IA en cours de développement dans un environnement contrôlé, appelé « regulatory sandbox » ou un bac à sable réglementaire. Ces environnements offrent la possibilité de tester des systèmes d’IA dans un cadre supervisé sans que les éventuels manquements constatés dans ce contexte n’entraînent automatiquement des sanctions administratives.
L’Omnibus de l’IA prévoit désormais la création d’un bac à sable réglementaire au niveau européen destinée aux systèmes d’IA présentant une dimension transfrontalière. Ce bac à sable européenne vise à renforcer la coopération entre les bacs à sable nationales et à favoriser une application plus uniforme de la réglementation en matière d’IA au sein de l’Union européenne.
Il vise également à soutenir l’innovation au sein des PME en leur accordant un accès prioritaire à cet environnement européen d’expérimentation.
5. Assouplissement de l’obligation de maîtrise de l’IA
Jusqu’à récemment, les organisations utilisant des systèmes d’IA étaient tenues de veiller à un niveau suffisant de maîtrise et de compréhension de l’IA au sein de leur personnel, de sorte que chaque collaborateur dispose des connaissances nécessaires quant aux systèmes utilisés au sein de l’organisation.
L’Omnibus de l’IA assouplit substantiellement cette obligation. Les organisations devront toujours encourager le développement des compétences en matière d’IA, mais elles ne pourront plus être tenues responsables lorsqu’un collaborateur individuel présente un niveau de connaissance insuffisant.
En revanche, la Commission européenne et les États membres devront fournir davantage de soutien au moyen d’exemples pratiques, de lignes directrices et de recommandations destinées aux organisations souhaitant promouvoir la maîtrise de l’IA.
6. Interaction entre le règlement sur l’IA et la législation relative à la sécurité des produits
La version initiale du règlement sur l’IA imposait des obligations supplémentaires aux organisations intégrant des systèmes d’IA dans leurs produits, tels que les dispositifs médicaux ou les robots industriels. Ces organisations auraient ainsi dû se conformer simultanément aux exigences du règlement sur l’IA et à celles de la législation relative à la sécurité des produits.
L’Omnibus de l’IA supprime ces chevauchements réglementaires en clarifiant les relations entre ces deux cadres juridiques. Les organisations pourront ainsi mieux coordonner leurs démarches de conformité, ce qui permettra de réduire les coûts de mise en conformité tout en renforçant la sécurité juridique.
7. Évolutions potentielles à l’avenir
Parallèlement à l’Omnibus de l’IA, des discussions sont actuellement en cours concernant une proposition d’Omnibus Digital, destinée à améliorer la cohérence et l’articulation de différentes réglementations européennes dans le domaine de la réglementation numérique.
L’une des modifications envisagées permettrait, sous certaines conditions, de traiter des données à caractère personnel à des fins d’entraînement de systèmes d’IA sans recueillir le consentement des personnes concernées. Dans ce cas, le traitement reposerait sur l’intérêt légitime du responsable du traitement. Des garanties techniques et organisationnelles supplémentaires devraient toutefois être mises en place et les personnes concernées devraient conserver la possibilité de s’opposer au traitement.
Il convient néanmoins de souligner que cette proposition fait toujours l’objet de discussions et n’est pas encore applicable.
L’Omnibus de l’IA constitue une nouvelle étape vers un cadre réglementaire qui ne se limite pas à encadrer l’utilisation de l’intelligence artificielle, mais qui tient également compte des réalités pratiques auxquelles les organisations sont confrontées.
Bien que certaines dates d’application aient été reportées, l’impact de ces modifications ne doit pas être sous-estimé. En outre, la majorité des obligations prévues par le règlement sur l’IA demeureront applicables, sans modification, à partir du 2 août 2026.
Pour les organisations ayant déjà commencé à déployer des systèmes d’IA, le moment est venu d’évaluer l’impact des nouvelles règles et de solliciter l’accompagnement juridique nécessaire. Elles ont notamment intérêt à:
- recenser les cas d’usage de l’IA existants et prévus;
- déterminer la classification des risques pour chaque système d’IA ;
- mettre en place des politiques internes et des formations de base relatives à l’IA;
- adapter les contrats, politiques internes et documents de conformité aux nouveaux calendriers d’application;
- suivre la publication de nouvelles lignes directrices et mesures d’exécution.
L’équipe Technology, Digital and Data de Monard Law se tient à votre disposition pour répondre à toutes vos questions relatives au règlement sur l’IA, aux technologies innovantes, à la stratégie numérique de l’Union européenne ainsi qu’à la protection de la vie privée et des données à caractère personnel.
