Fin juillet, l’Union européenne a repoussé de seize mois l’application des principales obligations du règlement aux systèmes d’IA à haut risque relevant de l’annexe III. Dans la foulée, beaucoup d’établissements ont classé le dossier. C’est précisément l’inverse qu’il fallait en conclure : le report est ciblé, une partie du règlement s’applique depuis le 2 août, et le sursis accordé au scoring crédit et à certains usages assurantiels ne supprime pas le chantier : il le décale.
Ce que le Digital Omnibus a réellement décalé
Le report ne porte que sur les systèmes classés à haut risque, pas sur le règlement dans son ensemble. La date d’application générale de l’AI Act, le règlement (UE) 2024/1689, reste fixée au 2 août 2026.
Deux échéances se sont déplacées :
- les systèmes à haut risque autonomes, ceux de l’annexe III, passent du 2 août 2026 au 2 décembre 2027 ;
- les systèmes à haut risque intégrés à des produits déjà réglementés, ceux de l’annexe I, passent au 2 août 2028.
Un point mérite l’attention des directions juridiques. Le projet présenté par la Commission en novembre 2025 conditionnait ces dates à la disponibilité effective des normes harmonisées. Le texte finalement adopté a supprimé ce déclencheur : ce sont désormais des dates fermes, qui ne peuvent plus glisser sans une nouvelle procédure législative. Autrement dit, le sursis est acquis, mais il ne se renouvellera pas tout seul.
Les obligations déjà exigibles dans votre établissement
Depuis le 2 août 2026, plusieurs obligations de transparence de l’article 50 s’appliquent déjà aux fournisseurs et déployeurs de certains systèmes d’IA, y compris dans les services financiers.
Informer la personne qu’elle interagit avec un système d’IA, sauf si la situation le rend évident. Un assistant conversationnel sur un espace client ou un agent vocal en centre de relation peuvent notamment entrer dans ce champ, sauf lorsque le caractère artificiel de l’interaction est évident pour la personne concernée.
Identifier les contenus générés ou manipulés par une IA, qu’il s’agisse de texte, d’image, de son ou de vidéo.
Signaler les hypertrucages, les fameux deepfakes.
Une nuance de calendrier s’applique au marquage lisible par machine des systèmes d’IA générative déjà mis sur le marché avant le 2 août 2026 : le texte leur accorde un délai jusqu’au 2 décembre 2026. Cela ne concerne ni le principe d’information de l’utilisateur, ni les déploiements postérieurs à août.
Deux échéances antérieures continuent par ailleurs de produire leurs effets : les interdictions de certaines pratiques d’IA depuis le 2 février 2025, et les premières obligations applicables aux modèles d’IA à usage général depuis le 2 août 2025.
Pour les entreprises, certains manquements aux obligations de l’AI Act peuvent être sanctionnés jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
AI Act : scoring crédit et tarification en assurance, quels systèmes sont à haut risque ?
L’annexe III vise deux cas d’usage qui structurent des pans entiers de l’activité bancaire et assurantielle.
Le point 5(b) couvre les systèmes servant à évaluer la solvabilité d’une personne physique ou à établir son score de crédit. Une exclusion explicite mérite d’être relevée, car elle est rarement commentée : les systèmes de détection de la fraude financière n’entrent pas dans cette catégorie. Un dispositif de scoring temps réel dédié à la lutte contre la fraude ne bascule donc pas en haut risque du seul fait qu’il analyse des comportements de paiement. La frontière se joue sur la finalité déclarée du système, ce qui rend la documentation de cette finalité déterminante.
Le point 5(c) couvre l’évaluation des risques et la tarification en assurance vie et santé.
Pour ces systèmes, le règlement exige un socle qui ne se monte pas en quelques semaines : gestion des risques, gouvernance et qualité des données d’entraînement, documentation technique, journalisation, contrôle humain effectif, exigences de précision, de robustesse et de cybersécurité, évaluation de conformité, enregistrement du système. Pour les déployeurs concernés par les systèmes à haut risque de l’annexe III, s’y ajoute, au titre de l’article 27, une analyse d’impact sur les droits fondamentaux préalable à la mise en service.
Seize mois pour cartographier un parc d’algorithmes hérités, renégocier les clauses documentaires avec les éditeurs et instruire les analyses d’impact : le délai est confortable pour un projet lancé maintenant, très court pour un projet lancé au printemps 2027.
L’ACPR, elle, n’attend pas décembre 2027
Le superviseur français, lui, prépare déjà la mise en œuvre du dispositif de supervision qui accompagnera l’échéance de décembre 2027.
L’article 74(6) du règlement confie aux superviseurs financiers nationaux le rôle d’autorité de surveillance du marché pour les systèmes d’IA à haut risque utilisés par les entités qu’ils supervisent. En France, cette désignation passe par le projet de loi DDADUE, encore en cours de processus législatif à la date de publication de cet article.
Sans attendre, l’ACPR conduit des travaux méthodologiques avec les acteurs de la place autour de quatre axes : performance et robustesse, explicabilité, équité algorithmique, cybersécurité et protection des données. Son document de réflexion sur l’équité algorithmique est resté en consultation publique jusqu’au 30 septembre 2026.
Ce point a une conséquence pratique immédiate. Les attentes de supervision se construisent en ce moment, dans des consultations ouvertes. Les établissements qui y contribuent participent à la construction des pratiques de place ; les autres devront ensuite composer avec le cadre qui émergera.
Les trois chantiers à mener avant décembre 2027
Le report transforme une course contre la montre en fenêtre de préparation. Trois chantiers la remplissent utilement.
Cartographier. Recenser les systèmes d’IA en production et en projet, documenter pour chacun sa finalité déclarée, le rôle de l’établissement (fournisseur ou déployeur) et sa qualification au regard des annexes. C’est ce document qui déterminera, cas par cas, si le 2 décembre 2027 vous concerne.
Contractualiser. Les clauses à renégocier avec les éditeurs portent sur l’accès à la documentation technique, les engagements de conformité et leur calendrier, la journalisation, le régime des mises à jour et le traitement des données nécessaires à la correction des biais. Ces négociations prennent des mois.
Gouverner. Politique d’usage, procédures de validation, traçabilité des qualifications retenues. Le sujet quitte la DSI pour devenir un sujet de comité, ce qui suppose de l’instruire avant de le présenter.
Deux questions qui reviennent
Le report de l’AI Act peut-il être annulé ou raccourci ? Les dates du texte adopté sont fermes et détachées de toute condition de disponibilité des normes. Les modifier supposerait une nouvelle procédure législative européenne, dont rien n’indique qu’elle soit engagée à ce jour.
Un établissement qui déploie un chatbot doit-il agir maintenant ? Les obligations de l’AI Act déjà applicables depuis le 2 août 2026, indépendamment du report. Un assistant conversationnel en relation client entre dans le champ de l’article 50, quelle que soit sa qualification au regard de l’annexe III.
Le calendrier est désormais lisible, ce qui est rarement arrivé depuis l’entrée en vigueur du texte. Restent les arbitrages, et ceux-là ne se lisent dans aucun règlement : quel niveau de documentation viser sur un parc hérité, où placer le curseur de l’explicabilité sur un modèle de tarification, comment répartir la charge entre l’établissement et ses éditeurs. Ce sont les questions que nous mettons au programme de l’édition 2027 de F.A.B. Impulse, le 16 mars 2027 au Palais des Congrès de Paris. Elle se tient à un peu plus de huit mois de l’échéance du 2 décembre 2027, au moment où ces arbitrages se prennent encore.
Découvrir le programme et les sessions de l’édition 2027 ·
Sources
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil établissant des règles harmonisées concernant l’intelligence artificielle (AI Act).
- Règlement (UE) 2026/1744 (« Digital Omnibus IA »), publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026. Texte sur EUR-Lex
- Autorité de contrôle prudentiel et de résolution, Règlement européen sur l’IA (« AI Act ») et consultation publique sur l’équité algorithmique, close le 30 septembre 2026.
- Haas Avocats, IA Act banque et assurance : ce qui s’applique au 2 août 2026 et ce qui bascule en 2027, juillet 2026.
- L’Assurance en Mouvement, IA Act : ce qui s’applique aux assureurs depuis le 2 août, 11 août 2026.
0 commentaires