L’omnibus européen sur l’IA apporte des changements clés, mais la conformité nécessite toujours un contrôle des versions

Omnibus sonne comme si quelqu’un avait rangé le classeur. Les équipes de conformité devraient se méfier de ce son, poliment. L’Omnibus IA de l’UE pourrait réduire certaines frictions administratives, mais il crée aussi le plus vieux problème de la gouvernance : la règle dans votre outil de suivi n’est peut-être pas celle qui survivra à la négociation. Un calendrier de conformité n’est pas une position de politique interne ; c’est un journal des changements avec des échéances attachées.

Le paquet est large, et c’est la première complication

PwC indique que la Commission européenne a publié l’Omnibus numérique le 19 novembre 2025, en le présentant comme un allègement réglementaire pour l’IA tout en laissant des questions sans réponse. Morrison Foerster décrit le paquet comme un effort visant à réduire les charges administratives d’au moins 25 % pour toutes les entreprises et d’au moins 35 % pour les petites et moyennes entreprises d’ici 2029, à travers le règlement sur l’IA, le règlement sur les données, le RGPD, la directive ePrivacy et les lois sur la cybersécurité. Bruegel décrit de manière similaire deux projets de loi publiés le 19 novembre qui modifieraient plusieurs lois de l’UE, avec pour objectif déclaré la simplification et la rationalisation. Ce contexte est utile, mais il ne remplace pas le fait de savoir quels systèmes d’IA vous exploitez, dans quelle catégorie juridique chacun se trouve, et quel dossier de preuves le démontre.

Cette portée compte parce qu’une simplification à travers plusieurs lois peut déplacer les obligations latéralement plutôt que les supprimer. Une définition harmonisée dans un dossier peut tout de même obliger une équipe produit à mettre à jour une cartographie des données, une clause d’achat ou un registre de classification des modèles. La leçon pour les équipes qui construisent est sèche, mais pratique : ne transformez pas un objectif politique en exigence produit tant que le texte applicable ne le justifie pas. Autrement dit, moins de formulaires ne signifie pas moins d’obligations.

Les allègements proposés doivent rester dans une colonne d’hypothèses

L’alerte client de Morrison Foerster de décembre 2025 est un bon exemple de la raison pour laquelle les plans de mise en œuvre ont besoin d’un contrôle de version. Elle décrivait la suppression proposée de l’exigence d’enregistrement dans la base de données de l’UE pour les fournisseurs de systèmes d’IA exemptés de la classification à haut risque en vertu de l’article 6(3) du règlement sur l’IA, y compris les systèmes utilisés uniquement pour des tâches préparatoires. C’est exactement le genre de phrase qui pousse les équipes à supprimer un flux de travail trop tôt. Elle doit rester dans un journal d’hypothèses jusqu’à ce que le texte final, les orientations et l’interprétation juridique de l’organisation aillent tous dans le même sens.

Le compte rendu de la CCIA de mai 2026 sur l’accord scellé concernant l’Omnibus IA a présenté le résultat comme un cas où les négociateurs de l’UE ont manqué des occasions, ce qui constitue un avertissement contre l’idée de traiter chaque proposition comme un allègement déjà acquis. La règle opérationnelle simple est la suivante : conservez la note de classification, conservez la description du cas d’utilisation, et conservez le déclencheur qui indique au service juridique quand un outil préparatoire est devenu quelque chose de plus conséquent. Si l’obligation d’enregistrement change, le dossier de preuves explique toujours pourquoi le système a été évalué comme il l’a été. Les régulateurs ont tendance à préférer les dossiers aux impressions, une habitude qu’il vaut mieux anticiper.

Le contrôle de version est

le plan de conformité, pas du théâtre administratif

Tech Policy Press rapporte que les législateurs de l’UE sont parvenus à un accord sur l’Omnibus IA à 4 h 30 du matin le 7 mai 2026, concluant la phase la plus ardue d’un processus de négociation de six mois mené selon un calendrier serré. Le même rapport indique que le processus visait à se terminer avant l’échéance initiale du 2 août 2026. Ce calendrier explique le risque opérationnel : les équipes disposent d’assez de signaux pour mettre à jour leurs plans, mais pas d’assez de certitude finale pour les figer. La bonne réponse n’est pas une pause attentiste ; c’est une branche gérée.

Pour les équipes produit et gouvernance, cela signifie que chaque obligation issue du règlement sur l’IA devrait avoir un statut, une source, une date et un responsable. Une colonne devrait marquer les obligations qui sont stables au titre du règlement sur l’IA tel qu’il est actuellement mis en œuvre. Une deuxième devrait marquer les hypothèses dépendantes de l’Omnibus, avec un lien vers la source et la condition qui changerait la réponse. Une troisième devrait identifier le contrôle métier concerné, comme l’inventaire, la classification, l’enregistrement, l’avis de transparence, l’examen des fournisseurs ou les preuves d’audit.

L’incertitude restante est là où les équipes de construction se bloquent

Bruegel soutient que les propositions omnibus numériques et IA de la Commission répondent à la pression visant à accélérer la croissance de la productivité dans l’UE en réduisant les coûts de conformité réglementaire, mais indique aussi que les plans introduisent de nouvelles incohérences et restent en deçà d’une réforme transformatrice. C’est la partie que les équipes qui construisent ressentent en premier. Une startup ne se conforme pas à une ambition politique ; elle se conforme à un texte, à des orientations, à une pratique de supervision et à des questionnaires de diligence raisonnable client. Lorsque ces couches sont en désaccord, le système le plus sûr est celui qui consigne pourquoi la réponse d’hier a changé.

Le cadrage de PwC, un allègement réglementaire avec des questions restantes, est donc moins un titre qu’une instruction de mise en œuvre. Les équipes chargées du règlement sur l’IA devraient mettre à jour les inventaires dès maintenant, signaler clairement les hypothèses et éviter de supprimer des contrôles uniquement parce qu’une proposition a un jour suggéré un allègement. Surveillez le texte final, les orientations des autorités de supervision et les interprétations propres aux secteurs, en particulier là où la gouvernance de l’IA recoupe les règles relatives à la vie privée, à la cybersécurité et à l’accès aux données. La simplification peut encore aider, mais seule la version que vous pouvez prouver vous aidera pendant un audit.