AI Act et Digital Omnibus : le report réglementaire ne solde pas le risque contentieux de l’entreprise
Un règlement qui recule n’est pas un règlement qui disparaît. C’est le message que le Digital Omnibus vient d’adresser aux entreprises qui avaient calé leur feuille de route de conformité sur l’échéance du 2 août 2026.
En effet, l’intelligence artificielle est devenue un outil de gestion courant : tri des candidatures, rédaction de contrats, aide à la décision financière. Le Règlement (UE) 2024/1689, dit AI Act, devait imposer dès le 2 août 2026 ses obligations les plus lourdes aux systèmes à haut risque.
Or, le Règlement (UE) 2026/1744, dit Digital Omnibus, entré en vigueur le 27 juillet 2026, reporte de seize mois l’essentiel de ces obligations. Ce report ne règle ni le risque contentieux immédiat que l’usage mal maîtrisé de l’IA peut faire naître, ni l’incertitude propre à la France avec les autorités de contrôle compétentes.
Le présent article distingue ce qui relève de l’urgence de ce qui demeure, en toute hypothèse, un risque pour l’entreprise.
I - Le nouveau calendrier de l’AI Act.
1 - Ce que le Digital Omnibus reporte.
Le Règlement (UE) 2026/1744 reporte du 2 août 2026 au 2 décembre 2027 les obligations applicables aux systèmes d’IA « à haut risque » de l’Annexe III : recrutement, éducation, crédit, assurance, services essentiels (typiquement, un logiciel de tri de candidatures ou de scoring de crédit). Les systèmes intégrés à des produits déjà réglementés, comme les dispositifs médicaux ou les machines industrielles, bénéficient quant à eux d’un report distinct, du 2 août 2027 au 2 août 2028 [1].
2 - Ce qui reste applicable dès le 2 août 2026.
Le report ne concerne pas l’ensemble du texte. Trois obligations demeurent pleinement exigibles : l’information de l’utilisateur interagissant avec une IA, les pouvoirs de sanction des autorités de contrôle et l’obligation de former le personnel à l’usage critique de l’IA, dans une version assouplie entrée en vigueur le 27 juillet 2026 [2].
Une nouvelle interdiction s’y ajoute, applicable au 2 décembre 2026 : les systèmes d’IA générant des contenus intimes non consentis ou pédopornographiques.
3 - Repère chronologique.
- Pratiques interdites - art. 5 : en vigueur depuis le 2 février 2025 ;
- Contenus intimes non consentis / pédopornographie - art. 5 modifié : 2 décembre 2026 ;
- Transparence utilisateur - art. 50 § 1 : 2 août 2026 ;
- Marquage des contenus (watermarking) - art. 50 § 2 : délai jusqu’au 2 décembre 2026 ;
- Alphabétisation IA (« AI literacy ») - art. 4 : en vigueur depuis le 27 juillet 2026.
- Haut risque autonome (RH, crédit, éducation) - Annexe III : reporté au 2 décembre 2027 ;
- Haut risque intégré (dispositifs médicaux, machines) - Annexe I : reporté au 2 août 2028.
II - Le dispositif de contrôle en France : une gouvernance en cours d’achèvement.
1 - Un schéma proposé, toujours en attente d’adoption.
L’IA Act s’applique directement en droit français, mais sa mise en œuvre suppose que l’État désigne ses autorités nationales de surveillance du marché [3].
La DGCCRF et la DGE ont présenté, le 9 septembre 2025, un schéma décentralisé : la DGCCRF comme point de contact unique, la CNIL pour la biométrie et les données personnelles, l’Arcom pour les deepfakes et la transparence des contenus, l’ACPR pour le crédit et l’assurance, l’ANSSI et le PEReN en appui technique.
Ce schéma doit être consacré par la loi : le volet numérique du projet de loi DDADUE, adopté par le Sénat le 18 février 2026 et transmis à l’Assemblée nationale, est toujours en cours d’examen à la date de rédaction [4]. Seule l’ACPR fait exception : elle exerce déjà, dans le cadre de ses pouvoirs habituels, son rôle d’autorité de surveillance du marché pour les systèmes d’IA à haut risque du secteur financier [5].
2 - La conséquence pratique pour l’entreprise.
Tant que la loi n’est pas adoptée, un même système d’IA peut relever de plusieurs autorités à la fois : un outil de génération de contenu commercial, par exemple, pourrait mobiliser la DGCCRF, l’Arcom et la CNIL simultanément. Cette incertitude ne dispense l’entreprise d’aucune obligation de fond ; elle doit seulement composer, en cas de contrôle, avec une répartition des compétences non encore stabilisée par la loi. L’audit de cartographie recommandé plus loin doit donc identifier, pour chaque système, l’autorité la plus vraisemblablement compétente au regard du schéma gouvernemental.
III - Les risques que l’entreprise doit anticiper malgré le report.
Trois catégories de risques retiennent l’attention en priorité, indépendamment de tout calendrier réglementaire : les usages purement interdits, la requalification silencieuse en fournisseur et l’usage incontrôlé d’IA génératives par les salariés.
1 - Les usages strictement interdits.
Certains usages restent prohibés en toute hypothèse, sans lien avec le calendrier : l’analyse des émotions des salariés, la notation sociale extra-professionnelle, la surveillance biométrique en temps réel non autorisée [6] , un logiciel de reconnaissance faciale mesurant le stress des équipes, par exemple, expose l’entreprise à une sanction, et potentiellement aux poursuites croisées de la CNIL et de la DGCCRF.
2 - Le statut de déployeur ou de fournisseur.
L’entreprise qui se contente d’utiliser un outil d’IA développé par un tiers est « déployeur » [7]. Mais si elle modifie substantiellement le modèle, l’entraîne sur ses propres données pour une autre finalité, ou le commercialise sous sa marque, elle devient « fournisseur » et se voit imposer l’ensemble des obligations de conformité du fabricant, une requalification souvent involontaire, à anticiper dès la contractualisation avec l’éditeur.
3- Le risque du « Shadow AI » : un terrain contentieux méconnu.
Le principal danger, en pratique, ne vient pas des outils validés par la direction, mais de ceux utilisés hors de tout cadre. Un salarié qui soumet un contrat confidentiel ou des données financières à une IA générative gratuite expose l’entreprise à une fuite de secrets d’affaires et à une violation de sa propriété intellectuelle.
Encore faut-il que l’interdiction soit opposable au salarié. Une charte informatique n’a en principe aucune valeur contraignante autonome : pour fonder une sanction disciplinaire, elle doit être jointe au règlement intérieur et suivre la même procédure, récemment allégée mais toujours impérative [8]. Une charte diffusée par simple courriel, hors de cette procédure, expose l’entreprise : le salarié licencié pourrait soutenir que l’interdiction ne lui était pas opposable, ce qui priverait le licenciement de cause réelle et sérieuse.
4 - Grille d’auto-diagnostic.
Les questions ci-dessous doivent se poser dans les entreprises :
- Un système utilisé en interne ou par un prestataire figure-t-il dans les domaines de l’Annexe III (recrutement, crédit, éducation, services essentiels) ?
- L’entreprise a-t-elle modifié un modèle tiers au point de basculer du statut de déployeur à celui de fournisseur ?
- Une charte IA existe-t-elle, et a-t-elle suivi la procédure d’adjonction au règlement intérieur ?
- Un outil d’IA traite-t-il des données personnelles de salariés, clients ou candidats ?
Répondre « oui » à l’une de ces questions suffit à justifier un audit ciblé.
5 - Check-list pratique.
La sécurisation du déploiement de l’IA passe par la révision des contrats SaaS (garantie de conformité, répartition des responsabilités en cas de biais ou de violation de données, clause d’auditabilité) et par la formation du personnel, adossée à une charte interne annexée au règlement intérieur, qui définit les outils autorisés, les données interdites de saisie et le principe d’une validation humaine avant toute décision importante.
IV - L’articulation entre l’intelligence artificielle et la protection des données personnelles.
L’AI Act ne remplace pas le RGPD, il s’y superpose. L’entreprise qui déploie un outil d’IA traite très souvent, sans toujours s’en rendre compte, des données de ses salariés, clients ou candidats, un terrain sur lequel la CNIL, déjà compétente au titre du RGPD, occupe aussi, on l’a vu, une place centrale dans le futur schéma de contrôle de l’AI Act.
1- Le sort des données d’entraînement.
Un modèle entraîné sur des données personnelles peut rester soumis au RGPD longtemps après cet entraînement, en raison de sa capacité à en mémoriser une partie, ainsi que l’a relevé le Comité européen de la protection des données. La CNIL invite les entreprises à documenter cette analyse pour chaque système, et à mettre en place des filtres techniques limitant l’exposition aux données personnelles.
2 - L’analyse d’impact, un réflexe à intégrer en amont.
Lorsque le traitement présente un risque élevé - recrutement, notation, scoring -, l’entreprise doit réaliser une analyse d’impact intégrant les spécificités de l’algorithme, avant le déploiement plutôt qu’après un contrôle : le 3 avril 2026, la CNIL a fait du recrutement l’une de ses trois thématiques de contrôle prioritaires pour 2026, avec un focus sur les systèmes de décision automatisée [9].
3 - Les droits des personnes face aux décisions automatisées.
Lorsqu’une décision aux effets significatifs - refus de crédit, rejet de candidature - résulte exclusivement d’un traitement automatisé, l’article 22 du RGPD reconnaît à la personne le droit d’obtenir une intervention humaine et de contester la décision [10]. L’entreprise ne peut se retrancher derrière le caractère technique de l’outil pour s’y soustraire.
4 - La vigilance sur les prestataires et le registre des traitements.
Le recours à un prestataire d’IA externe, souvent hébergé hors de France, suppose un contrat de sous-traitance conforme à l’article 28 du RGPD et, le cas échéant, des clauses contractuelles types pour le transfert. Le registre des traitements doit enfin mentionner les briques d’IA exploitées, à mesure que le CEPD précise ses lignes directrices sur la collecte de données destinées à l’entraînement des modèles génératifs.
V - Conclusion.
Pour conclure, le report des obligations les plus lourdes de l’AI Act n’est pas un renoncement du législateur européen, mais un ajustement de méthode : le calendrier s’assouplit, mais les risques demeurent.
La requalification en fournisseur, la sanction d’un salarié sur le fondement d’une charte mal adossée au règlement intérieur, ou la contestation d’une décision automatisée devant un juge, relèvent du droit positif déjà applicable.
À ce risque contentieux s’ajoute, pour la France, un risque institutionnel transitoire : tant que le volet numérique du projet de loi DDADUE n’aura pas été définitivement adopté, l’entreprise devra composer avec une répartition des compétences de contrôle encore incertaine, hors le cas, déjà acquis, du secteur financier supervisé par l’ACPR.
Les entreprises qui engagent dès maintenant la cartographie de leurs outils, l’audit de leurs contrats et la sécurisation procédurale de leur discipline interne transformeront cette double incertitude en avantage concurrentiel. Cette transition ne se pilote pas seule : c’est précisément un accompagnement juridique - audit contractuel, sécurisation des chartes internes, anticipation de la qualification retenue par l’autorité compétente – que les entreprises doivent solliciter auprès des professionnels du droit pour faire de l’IA un atout plutôt qu’un risque.
Notes de bas de page de l'article:
[1] Règlement (UE) 2026/1744 du 8 juillet 2026 (« Digital Omnibus sur l’IA »), publié le 24 juillet 2026, entré en vigueur le 27 juillet 2026, modifiant le Règlement (UE) 2024/1689.
[2] Article 50 § 1 du Règlement (UE) 2024/1689 (le marquage technique des contenus générés, § 2, bénéficie pour les systèmes déjà commercialisés d’un délai supplémentaire jusqu’au 2 décembre 2026) ; article 4 du même règlement, modifié par le Règlement (UE) 2026/1744, sur l’obligation d’alphabétisation à l’IA (« AI literacy »).
[3] Article 70 du Règlement (UE) 2024/1689 : chaque État membre désigne au moins une autorité de surveillance du marché, l’une d’entre elles endossant le rôle de point de contact unique
[4] Ministère de l’Économie, communiqué du 9 septembre 2025, « IA : la DGCCRF coordonnera l’action des autorités de surveillance en France » ; Sénat, adoption en première lecture du projet de loi DDADUE, séance du 18 février 2026, transmission à l’Assemblée nationale le 20 février 2026.
[5] ACPR, « Règlement européen sur l’IA (« AI Act ») » : « En France, l’ACPR a été désignée autorité de surveillance du marché pour les systèmes d’IA à haut risque relevant du secteur financier. »
[6] Article 5 du Règlement (UE) 2024/1689. Le Règlement (UE) 2026/1744 y ajoute la génération de contenus intimes non consentis ou pédopornographiques.
[7] Articles 3, 25 et 26 du Règlement (UE) 2024/1689.
[8] Articles L. 1321-4 et L. 1321-5 du Code du travail. Depuis la loi de simplification du 26 mai 2026, le dépôt au greffe du conseil de prud’hommes a été supprimé au profit de la consultation du CSE, de la communication à l’inspection du travail et de la publicité auprès des salariés.
[9] CNIL, communiqué du 3 avril 2026 sur les thématiques prioritaires de contrôle pour 2026.
[10] Article 22 du RGPD. La CJUE a jugé qu’une valeur de probabilité établie par un algorithme constitue une « décision automatisée » dès lors qu’un tiers s’appuie de manière prépondérante sur ce score (CJUE, 7 décembre 2023, Aff. C-634/21, SCHUFA Holding).
Cet article est également disponible sur le Village de la justice : https://www.village-justice.com/articles/act-digital-omnibus-report-reglementaire-solde-pas-risque-contentieux,58567.html
