La « bouffée d'air » offerte par le calendrier de la loi européenne sur l'IA est plus complexe qu'il n'y paraît

Imaginez une responsable de la conformité à Francfort qui lit un titre sur un « assouplissement du calendrier » de la loi européenne sur l'IA et décide que son équipe a mérité quelques mois de répit. Elle est sur le point de mal interpréter la situation, et cela lui coûtera cher. Le mot « assouplissement » accomplit un travail politique considérable dans la couverture actuelle du calendrier d'application révisé de la loi, et un travail juridique nettement plus limité. Les révisions contiennent en réalité une véritable extension de délai pour une catégorie importante d'obligations, assortie de nouvelles interdictions entrées en vigueur sans aucun report.

La loi européenne sur l'IA établit ce que la Commission européenne décrit comme un cadre réglementaire horizontal fondé sur les risques, régissant le développement, la mise sur le marché et l'utilisation des systèmes d'IA au sein de l'Union européenne, comme indiqué sur digital-strategy.ec.europa.eu. Les obligations de la loi se déploient par phases plutôt que toutes à la fois, ce qui crée à la fois de la souplesse et le type de confusion bien particulier qui engendre de coûteuses erreurs de conformité. Comprendre ce qui a réellement changé en 2026 exige de distinguer le volet des extensions du volet des nouvelles obligations, car ils obéissent à des calendriers entièrement différents.

Ce qu'a réellement modifié le Digital Omnibus sur l'IA

Le 7 mai 2026, un accord a été conclu sur ce que l'on appelle le Digital Omnibus sur l'IA. D'après l'analyse publiée par les avocats de Covington and Burling Dan Cooper, Marty Hansen, Jadzia Pierce, Anna Sophia Oberschelp de Meneses, Madelaine Harrington et Marianna Drake dans leur note Global Policy Watch du 2 juin 2026, la révision a officiellement reporté les obligations relatives aux systèmes d'IA à haut risque de l'annexe III utilisés dans certains contextes du 2 août 2026 au 2 décembre 2027. Il s'agit d'un report de 16 mois qui constitue, par tout critère raisonnable, une véritable extension. Les équipes de conformité travaillant sur des déploiements à usage défini de systèmes à haut risque devraient mettre à jour leurs calendriers de planification en conséquence et considérer décembre 2027 comme la date opérationnelle pour cette catégorie.

L'analyse de la même équipe de Covington, également publiée sur Inside Privacy, confirme que la révision inclut des mesures de simplification ciblées. Celles-ci allègent certaines obligations procédurales pour les déploiements à risque moindre et ajustent certains seuils documentaires, notamment pour les fournisseurs de modèles d'IA à usage général qui ne sont pas classés à risque systémique. Pour les opérateurs et développeurs de plus petite taille qui travaillent en deçà du seuil de risque systémique, la charge administrative liée à des tâches de conformité spécifiques est réellement plus légère que ce qu'envisageait le texte initial. Cela mérite d'être reconnu, car toutes les dispositions de la révision ne vont pas à l'encontre des intérêts des équipes de conformité.

La partie de la révision qui n'a pas bénéficié d'extension

C'est ici que le cadrage axé sur l'« assouplissement » devient trompeur. La même révision qui a étendu le délai de l'annexe III a également introduit de nouvelles interdictions, et ces interdictions ne sont pas assorties d'une période transitoire. Comme le soulignent clairement les analyses d'Inside Privacy et de Global Policy Watch rédigées par l'équipe de Covington, la mise à jour contient à la fois un assouplissement du calendrier et de nouvelles interdictions dans le même ensemble. Ne retenir que le titre sur l'extension sans lire la section sur les interdictions est le type d'attention sélective sur lequel se fondent les avis d'exécution.

La structure de la loi européenne sur l'IA, telle que résumée sur artificialintelligenceact.eu, suit une approche par niveaux de risque : les systèmes présentant un risque inacceptable font l'objet d'une interdiction pure et simple, les systèmes à haut risque sont soumis à des obligations de conformité, et les systèmes à risque moindre sont assujettis à des exigences de transparence. Lorsqu'une révision ajoute des éléments à la catégorie des pratiques interdites tout en reportant simultanément certaines obligations liées aux systèmes à haut risque, la position nette en matière de conformité n'est pas simplement « plus facile ». Elle est plus facile dans une colonne et plus exigeante dans une autre. Tout programme de conformité qui n'a mis à jour que le calendrier de l'annexe III sans examiner les nouvelles interdictions fonctionne désormais avec une image incomplète.

« La loi européenne sur l'IA établit des règles harmonisées pour le développement, la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union européenne, en suivant une approche proportionnée fondée sur les risques. » (artificial-intelligence-act.com)

Pour les concepteurs déployant de l'IA dans les domaines de l'éducation, du recrutement ou de l'accès aux services, la catégorie des pratiques interdites mérite un examen immédiat, et non une simple note pour y revenir lorsque le compte à rebours de l'annexe III reprendra.

Comment lire un calendrier par phases sans prendre de l'avance

Le calendrier de mise en œuvre sur artificialintelligenceact.eu rend visible la structure en couches. Différentes obligations sont entrées en vigueur à différents moments après la publication de la loi, et la révision de 2026 a modifié certains de ces intervalles sans en toucher d'autres. Le niveau des interdictions a toujours été conçu pour s'appliquer en premier et de manière la plus stricte. Le niveau des risques élevés, qui couvre les systèmes prenant des décisions importantes concernant des individus dans des domaines incluant l'éducation et l'emploi, est celui où opère le report de l'annexe III. Les obligations relatives aux modèles d'IA à usage général s'inscrivent dans leur propre registre, soumises à leurs propres exigences de documentation et de transparence.

Latham and Watkins a publié une analyse intitulée « AI Act Update: EU Resolves to Change Rules and Extend Deadlines », confirmant que l'UE a fait avancer de concert modifications des règles et extensions de délais. Le titre lui-même est instructif : décider de modifier les règles et décider de prolonger les délais sont deux actions distinctes qui se sont trouvées associées. Traiter l'extension comme la seule nouvelle de cet ensemble constitue une erreur de lecture, et non une position juridique.

Pour les équipes de conformité et les concepteurs qu'elles accompagnent, la discipline pratique à adopter est simple. Gérer deux chantiers séparément. Le premier consiste à se demander : lesquels de nos systèmes relèvent des classifications à haut risque de l'annexe III, et le report à décembre 2027 s'applique-t-il à notre cas d'usage spécifique ? Le second consiste à se demander : certains des systèmes que nous avons déployés, ou que nous prévoyons de déployer, entrent-ils désormais dans le champ révisé des pratiques interdites ? Cette deuxième question ne bénéficie d'aucun report.

Ce que cela signifie pour les concepteurs de plateformes éducatives et les apprenants

Pour quiconque conçoit ou déploie de l'IA dans un contexte éducatif, les enjeux de la classification à haut risque sont concrets. Le cadre fondé sur les risques de la loi, tel que décrit sur les pages de stratégie numérique de la Commission européenne, couvre spécifiquement les systèmes d'IA susceptibles d'affecter l'accès à l'éducation et à la formation. Il ne s'agit pas d'une application hypothétique. Les systèmes d'apprentissage adaptatif, les outils d'admission pilotés par l'IA, les plateformes d'évaluation automatisée et les moteurs de recommandation de contenu personnalisé se situent tous dans le périmètre du niveau à haut risque de la loi, selon la façon dont ils sont définis et déployés.

L'extension de 16 mois des obligations de l'annexe III offre une vraie marge de manœuvre aux équipes qui ont besoin de mettre en place des processus d'évaluation de la conformité, une documentation technique et des mécanismes de supervision humaine. Cette marge vaut mieux être utilisée de manière délibérée plutôt que thésaurisée comme du temps de latence. Les organisations les mieux positionnées d'ici décembre 2027 seront celles qui auront profité de l'extension pour construire une infrastructure de conformité solide, et non celles qui auront interprété « extension » comme « aucune urgence jusqu'à fin 2027 ».

Pour les apprenants et les enseignants qui utilisent des outils d'IA, le cadre le plus utile est simplement la conscience de la situation : la réglementation qui détermine si votre plateforme d'apprentissage assistée par IA a été correctement évaluée et documentée est active, précise, et appliquée selon un régime qui prend encore forme en temps réel. Suivre l'échéance de mise en œuvre de l'annexe III, surveiller d'éventuelles nouvelles révisions de la liste des pratiques interdites, et observer comment les autorités nationales de surveillance du marché dans les États membres de l'UE commencent à opérationnaliser l'application : voilà les trois développements à suivre dès maintenant. Les notes régulières de l'équipe de Covington sur Inside Privacy et Global Policy Watch, ainsi que le calendrier de mise en œuvre maintenu sur artificialintelligenceact.eu, sont les sources les plus fiables pour suivre cette évolution au fil des événements.