En bref : La date d’application générale de la loi européenne sur l’IA, fixée au 2 août 2026, n’entraîne pas de mesures coercitives à haut risque : elle concrétise trois obligations structurelles que les secteurs réglementés doivent déjà avoir mises en œuvre. Les conseils d’administration des secteurs de la finance, de la santé et de l’assurance qui interpréteraient à tort les délais de mise en œuvre prolongés prévus par la loi omnibus sur l’IA comme une autorisation de reporter leurs mesures se retrouveront, lors des audits de 2027, avec des registres de gouvernance vides.
Ce que la date butoir du 2 août 2026 déclenche réellement
Le Loi européenne sur l'IA (règlement (UE) 2024/1689) est entrée en vigueur le 1er août 2024 et deviendra d'application générale le 2 août 2026. Cette date est largement citée dans les présentations destinées aux conseils d'administration comme étant la date butoir pour la mise en conformité en matière d'IA. Pour être plus précis, il s’agit d’un point de cristallisation de la gouvernance : le moment où trois obligations structurelles deviennent pleinement opérationnelles pour tout exploitant de systèmes d’IA dans l’Union européenne, et le moment à partir duquel commencent à s’accumuler les traces de gouvernance que les régulateurs examineront ultérieurement.
La première obligation est celle de la transparence. Les dispositions de la loi en matière de transparence imposent aux exploitants d'informer les personnes concernées lorsqu'elles interagissent avec un système d'IA. Pour les entreprises de services financiers exploitant des canaux de service client basés sur l'IA, les assureurs utilisant des communications de souscription algorithmiques et les organismes de santé déployant des interfaces cliniques d'IA, les architectures de divulgation doivent être opérationnelles à compter de cette date.
La deuxième obligation concerne la culture numérique en matière d'IA. Article 4 de la loi exige des fournisseurs et des responsables du déploiement qu’ils veillent à ce que le personnel et les utilisateurs disposent de connaissances suffisantes en matière d’IA, adaptées à leur rôle dans le déploiement de cette technologie. Il s’agit d’une obligation organisationnelle documentée que les autorités de contrôle peuvent vérifier, et non d’un simple objectif de formation.
La troisième obligation concerne la mise en place des infrastructures. La base de données de l’UE relative aux systèmes d’IA à haut risque, gérée par le Bureau européen de l’IA, sera pleinement opérationnelle à compter du 2 août 2026. Un registre de gouvernance ouvert en août 2026 recueille les données institutionnelles sur une période de 12 à 16 mois avant la date d’entrée en vigueur de décembre 2027, qui s’applique aux systèmes d’IA à haut risque dans la plupart des secteurs réglementés. Ce n’est pas le cas d’un registre de gouvernance ouvert en octobre 2027.
Ce que modifie la loi « AI Omnibus », et ce qu’elle ne modifie pas
Le « paquet numérique sur la simplification », adopté par la Commission européenne en novembre 2025 et ayant fait l'objet d'un accord politique en mai 2026, a reporté plusieurs échéances relatives à la conformité des IA à haut risque. En vertu de la Omnibus IA, Les systèmes d'IA classés comme présentant un risque élevé dans les domaines réglementés, notamment les infrastructures critiques, l'emploi et la migration, devront se conformer à l'ensemble des obligations applicables aux systèmes à haut risque d'ici le 2 décembre 2027. Pour l'IA intégrée dans des produits réglementés, la date limite est fixée au 2 août 2028.
Les instances qui interprètent ces prolongations comme un relâchement de l’urgence se méprennent sur la logique de gouvernance. L’« AI Omnibus » a repoussé la date d’entrée en vigueur de certaines obligations spécifiques aux systèmes à haut risque. Il a maintenu inchangée la date d’application générale d’août 2026 pour les obligations de transparence, les exigences en matière de culture de l’IA et l’ouverture de la base de données d’enregistrement de l’UE. Elle n’a pas non plus modifié la logique des évaluations de conformité : un système d’IA à haut risque qui atteint sa date de mise en conformité de décembre 2027 sans historique documenté d’évaluation des risques, sans piste d’audit des données d’entraînement et sans registre de supervision humaine ne peut pas constituer ces dossiers a posteriori.
Le précédent du Règlement général sur la protection des données (RGPD) est instructif. Les organisations qui ont reporté la cartographie des données jusqu’à peu avant la date d’entrée en vigueur de mai 2018 ont découvert qu’il était impossible de reconstituer trois ans d’historique de traitement en trois mois. L’AI Omnibus crée la même dynamique structurelle : des délais d’application prolongés combinés à des registres de gouvernance qui commenceront à s’accumuler à partir d’août 2026.
Pourquoi les secteurs réglementés sont-ils exposés à des risques disproportionnés ?
La loi sur l'IA classe les systèmes en fonction de leur niveau de risque. En vertu de l’annexe III de la loi, plusieurs applications couramment utilisées dans les secteurs réglementés sont classées comme présentant un risque élevé. Il s’agit notamment de l’IA utilisée pour l’évaluation de la solvabilité et la notation de crédit, des outils d’IA destinés à la classification des risques et à la souscription d’assurances, des systèmes d’IA fonctionnant comme composants de sécurité dans des dispositifs médicaux ou comme aide à la décision clinique, ainsi que de l’IA qui évalue la fiabilité des preuves dans le cadre de procédures réglementées.
Cette classification crée une exposition structurelle spécifique aux conseils d’administration des secteurs de la finance, de la santé et de l’assurance. Ces conseils d’administration sont confrontés non seulement aux obligations d’août 2026 communes à tous les utilisateurs d’IA, mais aussi à une échéance fixée à décembre 2027, date à laquelle un programme de conformité documenté pour les systèmes visés à l’annexe III devra être en place. Une organisation exploitant aujourd’hui un modèle de notation de crédit dispose, à compter de juillet 2026, d’un délai de 17 mois avant cette date. Ce délai doit être mis à profit de manière active, en commençant par l’inventaire des systèmes et la classification des risques.
Cette exposition se renforce dans les secteurs déjà soumis à une surveillance prudentielle. Les attentes de la Banque centrale européenne en matière de gestion du risque lié aux modèles par les banques, les lignes directrices de l’Autorité européenne des assurances et des pensions professionnelles concernant l’utilisation du big data et de l’apprentissage automatique, ainsi que la position de l’Agence européenne des médicaments sur l’IA dans le développement des médicaments créent chacune des pistes d’audit parallèles. Les régulateurs de ces secteurs examinent déjà la gouvernance de l’IA dans le cadre de leurs contrôles prudentiels habituels. La loi sur l’IA ajoute une obligation légale de documentation aux attentes prudentielles existantes, ce qui renforce les critères de preuve relatifs à ce que signifie une gouvernance adéquate.
Comment les principales organisations des secteurs réglementés s'adaptent-elles déjà ?
La Commission européenne Pacte sur l'IA, cette initiative volontaire de mise en conformité anticipée, qui fonctionne en parallèle de la loi, permet d’identifier clairement les organisations des secteurs réglementés qui ont entamé leurs travaux de préparation structurelle. Le Pacte exige des signataires qu’ils s’engagent à mener trois actions fondamentales : adopter une stratégie de gouvernance de l’IA, recenser les systèmes d’IA susceptibles d’être classés comme présentant un risque élevé au titre de la loi, et promouvoir la culture de l’IA au sein de leur personnel.
Allianz SE, l’un des plus grands groupes d’assurance européens, figure parmi les plus de 230 signataires du Pacte sur l’IA. Generali, le groupe italien d’assurance et de gestion d’actifs, l’a également signé, tout comme Intesa Sanpaolo, la plus grande banque de détail d’Italie en termes d’actifs. Dedalus Healthcare, une société européenne de logiciels de santé présente dans plus de 40 pays, figure parmi les signataires, aux côtés de Mastercard, dont les systèmes d'IA destinés aux réseaux de paiement relèvent du champ d'application de la loi en matière de services financiers.
Ces organisations se sont officiellement engagées à mettre en œuvre des mesures de gouvernance horodatées avant la date limite de mise en conformité obligatoire. La participation au Pacte sur l’IA ne confère aucun statut de conformité juridique. Elle démontre toutefois la logique de gouvernance que les autorités de contrôle s’attendent à voir : un historique documenté et chronologique de la classification des systèmes d’IA, de l’évaluation des risques et de la mise en œuvre des programmes de sensibilisation, établi au fil du temps plutôt que constitué à la hâte dans les semaines précédant un audit.
Le déficit de gouvernance que la loi elle-même ne met pas en évidence
L'obligation la plus importante pour les conseils d'administration des secteurs réglementés, et la plus difficile à repérer dans le texte de la loi, concerne le lien entre la date de dépôt des demandes fixée à août 2026 et les exigences en matière de preuves relatives aux systèmes d'IA à haut risque, dont l'échéance est fixée à décembre 2027.
En vertu des articles 9 à 16 de la loi, les fournisseurs et les exploitants de systèmes d’IA à haut risque doivent mettre en place un système de gestion des risques, tenir une documentation technique et conserver des registres du fonctionnement du système. La loi précise le contenu de ces registres, mais ne fixe pas de durée minimale de conservation. Les autorités de contrôle qui examineront un système de notation de crédit ou un modèle de risque d’assurance en décembre 2027 considéreront l’ancienneté et la provenance de ces registres comme un indicateur du sérieux de la gouvernance, de la même manière que les autorités chargées de la protection des données ont pris en compte l’ancienneté et l’exhaustivité des registres de traitement au titre du RGPD.
Une organisation qui rendra public son inventaire des systèmes d’IA en août 2026, cartographiera ses expositions visées à l’annexe III d’ici octobre 2026 et mettra en place un cycle formel de gestion des risques avant la fin de l’année 2026 présentera une posture de conformité fondamentalement différente de celle d’une organisation qui entamera ce même processus à l’automne 2027. La loi ne prescrit pas explicitement ce délai de préparation. La pratique réglementaire dans les secteurs soumis à surveillance le récompense systématiquement.
Le pôle “ Affaires publiques et veille réglementaire ” de Kainjoo considère la date d’août 2026 comme le point de départ de la gouvernance, et non comme la ligne d’arrivée. La question de conformité qui se pose aujourd’hui à un conseil d’administration n’est pas “ sommes-nous prêts pour août 2026 ? ”, mais « le dossier que nous commencerons à constituer en août 2026 sera-t-il suffisant pour décembre 2027 ? »
Préparation au niveau du conseil d'administration : calendrier de mise en conformité pour les secteurs réglementés
Références
- Commission européenne, “ Loi sur l'IA (règlement (UE) 2024/1689) ”, EUR-Lex, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202401689
- Commission européenne, Direction générale des réseaux de communication, des contenus et des technologies, “ Loi sur l’IA ”, Façonner l’avenir numérique de l’Europe, dernière mise à jour le 11 mai 2026, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Commission européenne, “ Pacte sur l’IA ”, Façonner l’avenir numérique de l’Europe, dernière mise à jour le 20 avril 2026, https://digital-strategy.ec.europa.eu/en/policies/ai-pact
- Commission européenne, “ Omnibus numérique : proposition de règlement sur l’IA (Omnibus IA) ”, Façonner l’avenir numérique de l’Europe, https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-ai-regulation-proposal
