Si votre organisation conçoit, déploie ou utilise de l'IA dans le recrutement, la notation de crédit, les infrastructures critiques ou les contextes frontaliers et répressifs, vous avez passé l'essentiel de 2026 à vous préparer au 2 août 2026. Cette échéance est passée sans que les obligations relatives aux systèmes à haut risque ne s'appliquent. Vous avez désormais jusqu'au 2 décembre 2027 — un report de 16 mois, accordé pour l'essentiel parce que les normes techniques harmonisées censées rendre la conformité réalisable sont arrivées tardivement.
C'est un répit réel, et il est plus étroit qu'il n'y paraît. Le report a déplacé un ensemble d'obligations. Il n'a déplacé ni le RGPD, ni le régime de sanctions du règlement IA, ni deux nouvelles interdictions qui entrent en vigueur dès décembre, sans aucune période de transition. Le chevauchement entre les deux textes — là où ils se heurtent, et où un même ensemble de faits peut être apprécié deux fois selon deux critères différents — est exactement là où il était.
Ce qui a réellement bougé, et ce qui n'a pas bougé
L'omnibus IA a réorganisé le calendrier, pas le fond. Les dates qui font désormais foi :
Ce qui n'a pas bougé. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, comme prévu — si votre chatbot s'adresse à vos clients, ceux-ci doivent en être informés, et aucun report ne couvre cela. Les interdictions existantes de l'article 5 s'appliquent depuis février 2025. Et deux nouvelles interdictions de l'article 5 prennent effet le 2 décembre 2026 : les systèmes d'IA qui génèrent ou manipulent du matériel pédopornographique, et ceux qui génèrent des images intimes réalistes d'une personne identifiable sans son consentement explicite. La seconde va au-delà des applications de « déshabillage » conçues à cet effet : elle atteint les fournisseurs de modèles génératifs à usage général lorsqu'un tel résultat est raisonnablement prévisible et qu'aucune garantie appropriée n'est en place.
À quoi sert le temps gagné. Les systèmes d'IA à haut risque de l'annexe III — recrutement et gestion des travailleurs, évaluation de la solvabilité, accès aux services essentiels, catégorisation biométrique, notation dans l'éducation — devront toujours disposer de tout ceci d'ici décembre 2027 :
- Un système de gestion des risques maintenu tout au long du cycle de vie du système
- Des normes de gouvernance des données pour les jeux de données d'entraînement et de validation, y compris la détection des biais
- Une documentation technique suffisamment solide pour résister à un contrôle réglementaire
- L'enregistrement automatique des opérations du système
- Des dispositions de transparence permettant aux déployeurs et aux personnes concernées de comprendre ce que fait le système
- Des mécanismes de contrôle humain permettant à une personne d'intervenir ou d'arrêter le système à tout moment
- Des normes d'exactitude, de robustesse et de cybersécurité adaptées à la finalité du système
Les fournisseurs devront avoir achevé les évaluations de conformité, finalisé la documentation technique, apposé le marquage CE et effectué l'enregistrement dans la base de données de l'UE à cette date. L'omnibus a également resserré la définition du « composant de sécurité » — un composant ne fait basculer un système dans le haut risque que si sa finalité est de prévenir ou d'atténuer des risques pour la santé et la sécurité, de sorte que l'IA servant uniquement à l'optimisation, à l'assistance à l'utilisateur ou au confort en sort — et il a assoupli la maîtrise de l'IA de l'article 4, passant de l'obligation de garantir un niveau de compétence du personnel à celle d'en soutenir le développement.
Si plusieurs de ces obligations vous semblent familières, c'est normal. Le RGPD imposait déjà des analyses d'impact relatives à la protection des données, une analyse de risque documentée, la transparence envers les personnes concernées et des garanties autour des décisions automatisées. Le règlement IA ne remplace rien de tout cela — il s'y ajoute, avec sa propre base juridique, ses propres exigences documentaires et ses propres amendes. Rien de cela n'a été reporté, car le RGPD n'a jamais fait partie du report.
Là où les deux textes se chevauchent réellement
C'est la partie que le report ne change en rien. Le chevauchement est structurel, il ne dépend pas du calendrier : le RGPD s'applique dès aujourd'hui aux données à caractère personnel présentes dans votre système d'IA, et les obligations du règlement IA viendront frapper ces mêmes systèmes en décembre 2027. Les points de collision les plus nets :
Gouvernance des données. L'article 10 du règlement IA exige une gouvernance des jeux de données d'entraînement et de validation — pertinence, représentativité, détection des biais. Les principes de minimisation et d'exactitude du RGPD (article 5) régissent déjà les données à caractère personnel contenues dans ces mêmes jeux de données. À partir de décembre 2027, un jeu d'entraînement défectueux pourra constituer une violation des deux cadres simultanément, appréciée selon deux critères distincts — et au seul titre du RGPD, il le peut déjà aujourd'hui.
Analyses d'impact. Le RGPD exige une analyse d'impact relative à la protection des données (AIPD) pour les traitements à haut risque. Le règlement IA exige une analyse d'impact sur les droits fondamentaux (AIDF) pour certains déploiements à haut risque, en particulier par des organismes publics et dans des secteurs sensibles. Ce ne sont pas les mêmes documents, mais ils s'appuient largement sur la même analyse de risque sous-jacente — raison précise pour laquelle le temps gagné mérite d'être investi dans les fondations de l'AIPD sur lesquelles l'AIDF devra reposer.
Transparence. Les articles 12 à 14 du RGPD imposent une information claire des personnes concernées sur le traitement. Le règlement IA impose séparément aux fournisseurs de fournir aux déployeurs des instructions d'utilisation sûre ainsi que des informations sur l'exactitude et les limites du système, et impose que les personnes soient informées lorsqu'elles interagissent avec un système d'IA. Deux régimes de transparence, deux publics, deux ensembles d'obligations d'information.
Contrôle humain et décision automatisée. L'article 22 du RGPD encadre les décisions exclusivement automatisées produisant des effets juridiques ou significatifs comparables. L'exigence de contrôle humain du règlement IA est plus large et s'applique indépendamment du caractère « exclusivement » automatisé de la décision — autrement dit, un système qui franchit la barre de l'article 22 du RGPD parce qu'un humain examine formellement les résultats peut malgré tout échouer face à l'exigence plus élevée du règlement IA quant à ce qu'est un contrôle effectif.
Le calcul des sanctions
L'omnibus a déplacé des échéances. Il n'a pas touché à l'article 99, qui conserve une structure à trois niveaux — et notez lequel s'applique déjà : le plus élevé, qui couvre les pratiques interdites en vigueur depuis février 2025 et les deux nouvelles à compter de décembre 2026.
- Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les violations des pratiques interdites (article 5)
- Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour les violations relatives aux systèmes à haut risque
- Jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires pour la communication d'informations inexactes ou trompeuses aux autorités
Le niveau supérieur dépasse désormais le maximum propre au RGPD de 20 millions d'euros ou 4 % du chiffre d'affaires mondial, ce qui fait du règlement IA le plus punitif des deux régimes à son plafond.
Point essentiel : l'article 99, paragraphe 8, prévoit une règle « un même comportement, une seule sanction ». Si une même violation factuelle enfreint à la fois le règlement IA et un autre texte de l'UE tel que le RGPD, les autorités n'infligent que la plus élevée des deux amendes applicables. Mais cette protection est plus étroite qu'il n'y paraît. Si un système d'IA enfreint les règles de gouvernance des données du règlement IA par un jeu d'entraînement biaisé, et enfreint séparément les principes d'exactitude ou de minimisation du RGPD par la manière dont ces mêmes données ont été collectées ou conservées, ces faits sont traités comme des violations distinctes — et peuvent être sanctionnés séparément.
Juridiquement, il ne s'agit pas d'une interdiction de la double peine au sens où beaucoup d'équipes conformité l'imaginent. C'est une appréciation faite violation par violation — et plus les pratiques de données de votre système d'IA sont enchevêtrées avec des données à caractère personnel régies par le RGPD, plus vous offrez de prise à ce que cette séparation joue contre vous.
Que faire de 16 mois supplémentaires
Une échéance reportée n'est pas un risque reporté, et ce ne sont certainement pas seize mois à ne rien faire. Le réflexe consistant à traiter le règlement IA et le RGPD comme deux listes de contrôle à dérouler l'une après l'autre reste l'erreur la plus coûteuse à disposition. Quelques actions qui en valent la peine :
- Inscrivez d'abord les échéances de décembre 2026 dans l'agenda. Les deux nouvelles interdictions de l'article 5 et les règles de marquage des médias de synthèse de l'article 50, paragraphe 2, arrivent sans aucun délai. Si vous générez ou manipulez des images, de la vidéo ou de l'audio sous une forme visible par vos clients, c'est une question pour ce trimestre — pas pour 2027.
- Classez vos systèmes dès maintenant et documentez le raisonnement, même lorsque la réponse est « pas à haut risque ». La définition resserrée du composant de sécurité fait que certains systèmes qui semblaient dans le champ en 2025 en sont sortis — écrivez pourquoi. La classification elle-même doit pouvoir être démontrée, et elle ne devient pas plus facile en la repoussant à 2027.
- Articulez vos AIPD et vos AIDF entre elles plutôt que de les commander séparément. Si un système requiert les deux, l'analyse de risque sous-jacente doit constituer un socle commun, et non deux exercices déconnectés qui se contredisent en silence. Si vous n'avez pas encore de processus d'AIPD, commencez par là — l'AIDF est bien plus difficile à bâtir sur rien.
- Confrontez vos mentions de transparence RGPD existantes aux exigences d'information du règlement IA. Elles couvrent des informations différentes, mais une mention conçue pour le seul RGPD omettra vraisemblablement ce que le règlement IA exige en plus — et les obligations de l'article 50 visant l'IA en contact avec les clients n'ont jamais été reportées. Cela survient au moment même où le CEPD a fait de la transparence des articles 12 à 14 sa priorité d'action coordonnée pour 2026. Les deux autorités examinent les mêmes mentions cette année, pour des raisons différentes.
- Traitez le contrôle humain comme une exigence de conception, pas comme une déclaration d'intention. Les autorités des deux régimes demanderont la preuve qu'un humain peut réellement intervenir, et pas seulement qu'un humain figure nominalement dans la boucle. Notre checklist de contrôle humain de l'IA montre à quoi ressemble cette preuve en pratique.
- Faites dialoguer dès maintenant les équipes juridiques et celles de la documentation technique. Les exigences de documentation technique et de journalisation du règlement IA constitueront de plus en plus la base probatoire sur laquelle les autorités évalueront aussi la conformité au RGPD, car les deux reposent sur la capacité à montrer — et pas seulement à affirmer — comment un système traite réellement les données à caractère personnel.
Pourquoi ce report ne vous offre pas une année tranquille
Le report s'applique à un ensemble d'obligations du règlement IA. Il ne s'applique pas à l'environnement répressif dans lequel ces obligations atterrissent, et cet environnement ne s'est pas calmé.
Les amendes RGPD ont déjà dépassé 7,1 milliards d'euros cumulés, dont plus de 600 millions d'euros prononcés au seul premier semestre 2026. Les notifications quotidiennes de violations de données ont augmenté de 22 % sur un an pour atteindre 443 par jour — la première fois que ce chiffre dépasse 400 depuis l'entrée en application du RGPD en 2018. Et la répression a nettement dépassé les grandes plateformes : depuis janvier 2023, plus d'amendes ont été prononcées à l'encontre de petites et moyennes entreprises que durant les cinq années précédentes réunies.
Superposez à cette trajectoire un second régime de sanctions au plafond plus élevé — à compter de décembre 2027, avec deux interdictions une année entière plus tôt — et le message pour les équipes conformité est simple : le règlement IA n'a pas seulement ajouté un texte de plus à suivre. Il a ajouté une seconde autorité, avec sa propre conception de ce que votre système d'IA doit aux personnes dont il touche les données — qui interviendra en même temps, sur les mêmes systèmes, souvent sur les mêmes faits. Le report a changé le moment où cela commence. Il n'a rien changé au coût de l'impréparation.
Si vous ne savez pas de quel côté de la ligne du haut risque se situent vos systèmes, c'est la question à trancher en premier — les obligations ci-dessus ne mordent qu'à l'intérieur de l'annexe III, mais la classification elle-même doit être documentée. Réservez une consultation gratuite avec GDPRGard →
Sources
- Règlement IA de l'UE — article 99, sanctions
- Règlement IA de l'UE — annexe III, systèmes d'IA à haut risque
- Commission européenne — calendrier de mise en œuvre du règlement IA
- CMS GDPR Enforcement Tracker
- Comité européen de la protection des données — cadre d'action coordonnée
À lire également :
- Dans l'omnibus numérique de l'UE : ce qui change vraiment pour le RGPD
- Le report du règlement IA ne couvre pas votre chatbot
- Pourquoi toute entreprise SaaS a besoin d'une AIPD avant de lancer des fonctionnalités d'IA