Le 29 juin 2026, lepaquet « Digital Omnibus» a été adopté, entraînant des modifications ciblées de la loi européenne sur l’IA. Principalement, ce paquet a reporté à décembre 2027 la date limite de mise en conformité pour certains systèmes d’IA à haut risque (catégorie concernant notamment les outils juridiques, de ressources humaines et autres outils similaires), a assoupli l’obligation de formation à l’IA et a instauré un délai de grâce jusqu’en décembre 2026 pour l’apposition de filigranes sur les contenus générés par l’IA. 

L'extension du champ d'application à l'IA à haut risque, bien que bienvenue, ne représente qu'une partie du tableau. Plusieurs obligations sont déjà en vigueur, notamment les exigences de transparence concernant les contenus générés par l'IA, qui sont entrées en vigueur en août dernier. Les organisations qui utilisent aujourd'hui l'IA devraient mettre à profit ce délai supplémentaire pour mettre en place ou renforcer les fondements de gouvernance que la loi sur l'IA, une fois pleinement en vigueur, exigera.  

Ce qui est en vigueur et ce qui va changer 

La loi sur l'IA est mise en œuvre par étapes depuis son entrée en vigueur le 1er août 2024. Le calendrier suivant l'adoption de la loi « Digital Omnibus » est le suivant : 

En route vers décembre 2027 

La prolongation de 16 mois accordée pour les obligations liées à l'IA à haut risque constitue un véritable soulagement. Toutefois, les obligations sous-jacentes n'ont pas changé et il convient de mettre à profit ce délai pour jeter les bases de la gouvernance qui seront nécessaires en décembre 2027.  

• Dressez l'inventaire de tous les outils d'IA utilisés. Passeulement ceux que le service informatique a officiellement acquis, mais tous les outils utilisés par les employés, y compris ceux adoptés de manière informelle en dehors du processus d'achat standard. Les obligations prévues par la loi sur l'IA s'appliquent à tous les outils activement utilisés, et pas seulement à ceux qui ont été approuvés. 
• Classez chaque outil selon les niveaux de risque définis par la loi sur l’IA. Pourles outils intervenant dans l’interprétation juridique, l’analyse de documents ou tout autre domaine influençant les conseils prodigués aux clients, la question de la classification mérite une attention particulière. La catégorie « administration de la justice » de l’annexe III est plus large qu’il n’y paraît à première vue, et le niveau de risque auquel un outil est rattaché détermine l’ensemble des obligations qui s’appliqueront d’ici décembre 2027.  
• Mettre en place une infrastructure de journalisation. Laloi sur l'IA impose l'enregistrement automatique des utilisations des systèmes à haut risque : entrées, sorties, actions des utilisateurs et horodatages, qui doivent être conservés pendant au moins six mois. De nombreux outils d'IA à usage général ne fournissent pas ce type de journal par défaut. La mise en place de cette infrastructure prend du temps et ne doit pas être reportée à 2027. 

Il existe également un avantage moins évident. Les exigences d'audit en vigueur constituent en effet un levier permettant d'assurer la visibilité sur l'utilisation de l'IA, qui fait actuellement défaut dans la plupart des organisations. Cette infrastructure peut aider les organisations à comprendre comment l'IA est utilisée, par qui et à quelles fins, de manière à favoriser à la fois la gouvernance et la transparence vis-à-vis des clients. 

• Veiller à ce que le contrôle humain soit pertinent.Pour que le contrôle prévu par la loi sur l’IA soit efficace, il ne suffit pas qu’un humain examine simplement les résultats générés par l’IA. Il faut que les évaluateurs comprennent les limites du système, soient capables d’interpréter ses résultats, puissent les contester sans difficulté et, surtout, que la conception du flux de travail lutte activement contre les biais liés à l’automatisation. Concrètement, cela signifie qu’il ne devrait pas être plus facile d’accepter les résultats de l’IA que de les remettre en question. Il s’agit là d’une exigence de conception, et il convient de se demander si les outils actuels y répondent. 
• Mettre en place un programme de formation à l’IA. L’obligationde promouvoir la culture de l’IA auprès des personnes utilisant des outils d’IA est déjà en vigueur. Concrètement, cela implique de s’assurer que les collaborateurs comprennent le fonctionnement réel des outils d’IA qu’ils utilisent, dans quels cas leurs résultats sont fiables et dans quels cas le jugement humain est nécessaire. Un programme documenté couvrant les outils utilisés, les rôles concernés et les risques spécifiques dans un contexte juridique répond aux exigences réglementaires et jette les bases d’une politique d’IA à l’échelle de l’entreprise. 
• Mettre en place un cadre d'évaluation des outils d'IA. À mesure quele secteur des technologies d'IA se développe, les organisations seront confrontées à un afflux constant de nouveaux outils et de nouveaux fournisseurs. Un cadre d'évaluation détaillé, couvrant la classification, la localisation des données, les capacités de contrôle et la conformité des fournisseurs, et appliqué dès la phase d'achat, garantit que la conformité est intégrée dès le départ. 

Pour les organisations situées en dehors de l’UE, le champ d’application de la loi sur l’IA est plus large qu’il n’y paraît. Elle s’applique dès lors que les résultats d’un système d’IA sont utilisés au sein de l’UE. Cela signifie que les organisations non européennes ayant des clients dans l’UE ou proposant des outils destinés au marché européen peuvent entrer dans son champ d’application. Les organisations se trouvant dans cette situation devraient demander conseil afin de déterminer si et comment la loi sur l’IA s’applique à elles.