Le texte est sorti au Journal officiel un vendredi, le 24 juillet, et quelque part dans une équipe conformité les épaules sont enfin redescendues. Soulagement. Les obligations haut risque qui bouffaient chaque comité de pilotage du jeudi depuis l'automne passé n'étaient plus dues dans neuf jours, elles étaient dues le 2 décembre 2027, pis un calendrier qui ressemblait à un compte à rebours avait soudainement de l'air dedans. Après, la deuxième pensée arrive. L'inventaire est encore un fichier Excel avec une quarantaine de lignes et aucun responsable, personne n'a écrit à quoi le modèle de tri des candidatures devait servir, et seize mois de plus, ça a l'air énorme juste tant qu'on soustrait pas l'ouvrage qui n'a pas commencé.
Déjà vu. 25 ans dans la livraison de logiciels d'entreprise, pis j'ai jamais vu une équipe se servir d'un délai prolongé pour prendre de l'avance : ça arrête, le programme perd sa pression, pis ça repart au onzième mois avec les mêmes questions sans réponse et pas mal moins de piste devant. Bon. L'autre lecture existe, faut être juste. Une boîte déjà en plein chantier, elle, respire pour vrai. Mais la date? Ça n'a jamais été le bout difficile.
Qu'est-ce qui change vraiment le 2 août 2026?
Moins que le soulagement le laisse croire. Les obligations de transparence de l'article 50 s'appliquent toujours à partir du 2 août 2026, incluant le devoir bien plate de dire à quelqu'un qu'il parle à une machine. Les règles sur les modèles d'IA à usage général, en vigueur depuis août 2025, n'ont pas été touchées, et la machine d'application et de sanction de la Commission embarque comme prévu. Ce qui a bougé, c'est la couche haut risque, et juste elle : les systèmes autonomes de l'annexe III (embauche, cote de crédit, identification biométrique, le reste de la liste) s'appliquent maintenant à partir du 2 décembre 2027, tandis que l'IA intégrée dans des produits réglementés comme les dispositifs médicaux et la machinerie passe au 2 août 2028. Les systèmes déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour le marquage des contenus synthétiques. Fait que la date n'a pas disparu. Elle s'est séparée.
Et là, c'est du droit en vigueur, pas une chicane de lobby. Le Parlement européen a adopté le paquet le 16 juin 2026, le Conseil de l'UE a signé le 29 juin, et le texte est paru comme règlement (UE) 2026/1744 le 24 juillet, en vigueur le 27 juillet. J'ai passé le printemps à dire aux clients de planifier les deux scénarios, parce que l'arithmétique parlementaire avait l'air vraiment incertaine. Ce conseil-là est périmé. La lecture de Gibson Dunn sur les échéances haut risque reportées et les autres changements clés tombe sur le même point pratique : le fond des obligations haut risque a survécu à la simplification pas mal intact. Ce que tu dois à un évaluateur n'a pas rapetissé. Juste le jour où ça devient dû.
Pourquoi le report de l'omnibus numérique est une fenêtre, pas un congé?
Parce que reporté, ce n'est pas effacé, et l'écart de préparation que ça expose n'a jamais été une affaire de calendrier. Regarde ce que les organisations ont vraiment en place. Dans le sondage IA et conformité 2026 de Compliance Week et konaAI, publié le 30 avril auprès de 193 responsables conformité, éthique, risque et audit, plus de 83 % disent utiliser des outils d'IA alors que seulement 25 % environ ont mis en place un cadre de gouvernance solide. Lis les deux ensemble. L'adoption est finie, la gouvernance est à peine commencée, et les seize mois qu'on vient d'accorder, c'est exactement la distance entre ces deux chiffres-là.
Le piège, le voici. Une piste d'atterrissage, ça sert juste à celui qui court dessus. Le système de gestion des risques, la documentation technique, la gouvernance des données, la journalisation, la conception de la supervision humaine, le suivi après mise en marché : chacune de ces obligations est encore là, mot pour mot, à attendre au bout d'un chemin qui a maintenant une longueur confirmée. Une organisation qui lit le 2 décembre 2027 comme une permission de se taire n'arrive pas prête en 2027. Elle arrive avec exactement les mêmes questions sans réponse, après avoir dépensé la seule affaire que l'omnibus lui a réellement donnée. On a détaillé les obligations elles-mêmes dans le guide de conformité à la Loi IA UE, et presque rien là-dedans n'a changé vendredi.
Comment la discipline des exigences produit une piste d'audit?
On pense toujours qu'un audit, c'est technique. Ça l'est pas. L'évaluateur veut savoir à quoi le système devait servir, qui a tranché ça, pis comment tu sais que ça tient encore aujourd'hui. Personne t'a jamais demandé ton fournisseur d'hébergement dans une salle d'audit. Ce qu'ils cherchent, c'est une intention écrite quelque part, dans une forme qu'un autre humain peut aller vérifier tout seul, sans t'appeler pour se la faire expliquer.
C'est là que la plupart des programmes de gouvernance calent, pis ça m'a pris du temps à le voir. Mon premier réflexe, honnêtement, c'était de penser à un problème de documentation : les équipes savaient ce que leurs systèmes faisaient, elles ne l'avaient juste pas tapé. Après, j'ai commencé à m'asseoir dans les ateliers. Elles savaient pas. Ou plutôt, quatre personnes connaissaient quatre versions différentes, le seuil de détection de fraude avait été ajusté deux fois par quelqu'un parti en 2024, et la raison du réglage vivait dans un fil Slack introuvable. On ne documente pas son chemin hors de ça. La documentation met une décision en forme; elle ne la récupère pas.
Ça ressemble à quoi, l'ouvrage, d'ici décembre 2027? On commence par un inventaire qui inclut les systèmes que l'approvisionnement n'a jamais vus, parce que ce sont ceux-là qui vont surprendre. Pour chaque système, on récupère l'intention en une phrase testable, ensuite les décisions qu'il influence, les règles qu'il doit respecter (réglementaires, contractuelles, pis les règles internes que personne n'a réécrites depuis 2019) et la supervision humaine censée l'attraper quand il se trompe. On écrit chacune de ces affaires-là comme une exigence, avec un responsable et une date. L'ordre compte. Seulement après, on rattache la preuve : un log qui répond à une exigence, un test qui en prouve une, une revue qui en signe une. Fais-le dans cet ordre et la piste d'audit sort toute seule. Fais-le à l'envers et tu obtiens un classeur très cher de captures d'écran qui ne répond à aucune question réellement posée. L'outillage et un bon conseil juridique comptent tous les deux, vraiment, mais ni l'un ni l'autre ne te donne une intention que personne n'a captée.
Telefónica n'a pas attendu une échéance, et la chronologie est publique. L'entreprise a publié ses principes éthiques d'IA en 2018, puis conçu une méthodologie « Responsible AI by Design » en 2019, bien avant que la Loi IA existe sous forme applicable. Cinq ans d'avance. Entre 2020 et 2021, elle a bâti et itéré un questionnaire d'évaluation avec analyse de risque intégrée, exactement l'affaire que la plupart des organisations magasinent aujourd'hui en panique. En 2022, elle a piloté le modèle de gouvernance dans quatre unités d'affaires mondiales, et le modèle a été approuvé formellement en décembre 2023 avant d'être déployé en 2024.
Deux détails comptent. Environ 4 000 employés ont complété le cours interne d'éthique de l'IA, ce qui veut dire que la discipline a rejoint le monde qui écrit les exigences, pas juste le comité qui les révise. Et le questionnaire a passé trois versions, les plus récentes intégrant explicitement les exigences de la Loi IA européenne, la recommandation de l'UNESCO et les normes du NIST. C'est ça, utiliser une piste : au moment où le règlement a mordu, l'entreprise avait plus de 500 applications d'IA qui roulaient dans une structure capable d'en répondre. Ce n'est pas un extrant de département conformité. C'est une habitude d'exigences qui satisfait un régulateur par ricochet.
Regarde l'ordre. Ce n'est pas un achat de plateforme suivi d'une course pour la nourrir : les artefacts sont venus en premier, le questionnaire s'est affûté à l'usage, et l'outillage a atterri par-dessus une pratique qui existait déjà. C'est toute la leçon. Et c'est le même ordre qui sépare un programme de gouvernance IA qui survit à un auditeur d'un programme qui produit un cartable.
Quel est le lien avec les programmes d'IA agentique?
Direct, et pas confortable. Un agent ne sort pas juste une prédiction qu'on peut réviser : il pose des gestes, appelle des systèmes, enchaîne des décisions, ce qui fait passer la question d'audit de « qu'est-ce que le modèle a dit » à « qu'est-ce que cet agent avait le droit de faire, et qui a tracé la limite ». Une limite, c'est une exigence. La gouvernance mature des agents reste rare pendant que l'adoption grimpe, un écart qu'on a mesuré dans l'écart d'adoption de l'IA agentique, et les seize mois de piste, c'est précisément le moment où la plupart des entreprises comptent scaler leurs agents le plus fort. Scaler du comportement non gouverné maintenant, l'expliquer en 2027. C'est aussi le patron d'échec derrière la prévision que une bonne part des projets d'IA agentique sera abandonnée d'ici 2027 : pas la qualité des modèles, l'intention floue.
Le sursis est une fenêtre, et une fenêtre, ça se referme à date fixe.
Le règlement (UE) 2026/1744 est en vigueur. Zéro ambiguïté. Les obligations haut risque autonomes s'appliquent à partir du 2 décembre 2027 et l'IA intégrée à partir du 2 août 2028, pendant que la transparence de l'article 50 et le régime d'application tombent encore le 2 août 2026. Reporté, ce n'est pas effacé : la documentation, la journalisation, la supervision et le suivi restent identiques sur le fond.
L'écart que la piste est censée fermer n'est pas un écart d'outillage. Plus de 83 % des organisations utilisent l'IA et seulement 25 % environ ont un cadre de gouvernance solide, parce que la préparation, c'est un problème d'exigences : à quoi le système doit servir, qui a décidé, et comment on prouve que ça tient encore. Récupère l'intention, écris-la en exigences testables avec des responsables, rattache la preuve. La piste d'audit sort de cet ouvrage-là. Impossible à rattraper.
Quelles sont les questions les plus fréquentes sur la préparation à la Loi IA européenne?
