ElegArtechTechnologie · Organisations · Action publique
S’abonner
Numérique, IA & souveraineté—Régulation et droit · Gouvernance · État et administration—Analyse

AI Act : reporter l'échéance, déléguer la conformité

Le 7 mai 2026, le Conseil de l'Union et le Parlement européen se sont entendus pour repousser au 2 décembre 2027 l'application du régime « haut risque » de l'AI Act, soit l'essentiel de l'annexe III. Présenté comme une « simplification », ce report dit beaucoup d'un droit qui entre en vigueur avant que les outils permettant de s'y conformer n'existent. Pour les administrations françaises, premières concernées par l'annexe III, l'échéance recule au moment précis où la France n'a toujours pas désigné par la loi ses autorités de surveillance. Tour d'horizon d'un décalage entre ambition normative et capacité de mise en œuvre.

AM
Par Alexandre Berge8 juin 2026 · 19 min de lecture
Illustration éditoriale pour « AI Act : reporter l'échéance, déléguer la conformité »
Entre ambition et réalité : les transformations à l’épreuve du terrain.

Un paquet de simplification présenté comme technique

Le 19 novembre 2025, la Commission européenne a présenté son « Digital Omnibus », un ensemble de mesures destiné à alléger le droit numérique de l'Union. Le paquet comprend en réalité deux propositions de règlement distinctes mais liées. La première, le Digital Omnibus dit « données », modifie le RGPD, la directive ePrivacy, le Data Act, le règlement sur la gouvernance des données et la directive NIS2. La seconde, le Digital Omnibus on AI, modifie le seul règlement (UE) 2024/1689 sur l'intelligence artificielle et, à la marge, le règlement (UE) 2018/1139 sur l'aviation civile. La référence de la proposition relative à l'IA est COM(2025) 836, celle du volet données COM(2025) 837. L'ensemble s'inscrit dans le septième paquet « Omnibus » de l'agenda de simplification, dont la cible chiffrée, fixée par le Conseil de l'Union, est une réduction des coûts et des obligations de reporting d'au moins 25 % pour l'ensemble des entreprises et d'au moins 35 % pour les PME d'ici 2030, soit une économie annoncée de 37,5 milliards d'euros par an.

Cet agenda ne sort pas de nulle part. Il prolonge le rapport de Mario Draghi sur la compétitivité européenne, dont la première version remonte à septembre 2024. Un an plus tard, le 16 septembre 2025, lors d'une conférence organisée par la présidente de la Commission, l'ancien président de la Banque centrale européenne a explicitement demandé une pause dans l'application des règles relatives aux systèmes à haut risque, qu'il décrivait comme « une source d'incertitude ». Cette prise de position faisait suite à une demande industrielle : dans une lettre ouverte « Stop the Clock » rendue publique le 3 juillet 2025, les dirigeants de plus de quarante entreprises européennes, dont ASML, Philips, Siemens et Mistral, avaient réclamé un arrêt du calendrier de deux ans, adressé à Ursula von der Leyen. L'initiative, coordonnée par General Catalyst, comptait une cinquantaine de signataires, parmi lesquels Airbus, Mercedes-Benz, Lufthansa, BNP Paribas, TotalEnergies et Dassault Systèmes. La Commission a finalement choisi la voie de la simplification plutôt que celle de l'arrêt pur et simple du calendrier.

Un accord arraché à dix-huit mois de l'échéance initiale

L'accord du 7 mai 2026 est un accord politique provisoire de trilogue, conclu entre les négociateurs de la présidence du Conseil et ceux du Parlement européen, en présence de la Commission. Il n'a donc pas, à ce stade, de valeur juridique contraignante. Le terme « provisoire » a un sens procédural précis : le texte doit encore être formellement adopté par les deux colégislateurs, après révision juristes-linguistes, puis publié au Journal officiel de l'Union avant d'entrer en vigueur. Les institutions visent une adoption avant le 2 août 2026, date à laquelle, faute d'adoption, le calendrier initial de l'AI Act s'appliquerait tel quel.

La chronologie de la négociation mérite d'être rappelée, car elle éclaire la nature de l'accord. Le Conseil a arrêté son orientation générale le 13 mars 2026. Les commissions IMCO et LIBE du Parlement ont adopté leur rapport conjoint le 18 mars 2026, par 101 voix pour, 9 contre et 8 abstentions. Le Parlement réuni en plénière a confirmé son mandat de négociation le 26 mars 2026, par 569 voix pour, 45 contre et 23 abstentions. Le premier trilogue s'est tenu le jour même. Le deuxième, le 28 avril 2026, a échoué après une douzaine d'heures de discussion, non sur le report lui-même, sur lequel les trois institutions convergeaient, mais sur l'articulation entre l'AI Act et les législations sectorielles de sécurité des produits relevant de l'annexe I. C'est lors de la session suivante, dans la nuit du 6 au 7 mai 2026, qu'un compromis a été trouvé. La date exacte mérite une réserve : le communiqué du Conseil est daté du 7 mai, plusieurs cabinets évoquent une conclusion dans la nuit du 6 au 7, et la confirmation par le Comité des représentants permanents (COREPER) est intervenue le 13 mai 2026. Le signal de veille à l'origine de cet article, qui retient le 7 mai, est donc confirmé par les sources primaires.

Une échéance qui recule faute de normes pour s'y conformer

Sur le fond, l'accord déplace deux jalons. Les obligations applicables aux systèmes à haut risque listés à l'annexe III, qui devaient s'appliquer le 2 août 2026, sont repoussées au 2 décembre 2027, soit un report de seize mois. Celles des systèmes à haut risque de l'annexe I, intégrés dans des produits réglementés et initialement prévues pour le 2 août 2027, basculent au 2 août 2028. D'autres échéances bougent également : le marquage des contenus générés par IA prévu à l'article 50(2) est reporté au 2 décembre 2026, avec une période de grâce ramenée de six à trois mois, et l'obligation pour les États d'établir un bac à sable réglementaire national est décalée au 2 août 2027. Le compromis ajoute par ailleurs une nouvelle pratique interdite à l'article 5, visant les systèmes de « nudification » et la production de contenus sexuels non consentis ou pédocriminels.

Le motif officiel du report est l'indisponibilité des outils de mise en conformité, au premier rang desquels les normes harmonisées. Ces normes, élaborées par le comité technique commun CEN-CENELEC JTC 21, fournissent aux fournisseurs une présomption de conformité aux exigences du règlement. Or elles accusent un retard substantiel. Selon la Commission européenne, c'est le 30 octobre 2025 que le projet prEN 18286, portant sur les systèmes de management de la qualité, est devenu la première norme harmonisée en matière d'IA à entrer en enquête publique, avec environ huit mois de retard sur la cible d'avril 2025 inscrite aux registres du JTC 21, l'enquête publique courant du 30 octobre au 27 décembre 2025. Sans norme, démontrer la conformité d'un système à haut risque relève de l'exercice spéculatif.

Un point technique mérite attention. La proposition initiale de la Commission liait l'application des règles à la disponibilité effective des normes, par un mécanisme conditionnel proche d'un « stop-the-clock » assorti de dates butoirs. Les colégislateurs ont écarté ce déclencheur conditionnel au profit de dates fixes. Le 2 décembre 2027 n'est donc pas une cible mobile mais une échéance ferme, indépendante de l'état d'avancement des normes à cette date. Le pari implicite est que l'écosystème de conformité sera prêt d'ici là, pari que rien ne garantit.

Quand la conformité se construit hors du législateur

Le fait empirique est le suivant : une loi entre en vigueur, fixe une ambition, puis recule l'application de son cœur opérationnel parce que les instruments permettant de prouver qu'on s'y conforme n'existent pas encore, et que ces instruments sont produits par des organismes de normalisation où l'industrie pèse lourd. Le compromis du 7 mai a même réintroduit, après une bataille de la société civile, l'obligation pour les fournisseurs d'enregistrer dans la base européenne les systèmes qu'ils auto-classent comme non à haut risque au titre de l'article 6(3). Autrement dit, l'évaluation décisive, celle qui détermine si un système relève ou non du régime contraignant, reste pour partie aux mains de ceux qu'elle est censée contraindre.

Ce mécanisme a un nom en sociologie du droit. Lauren Edelman a montré que les organisations ne se contentent pas de subir le droit : elles construisent activement le sens de la conformité, en élaborant des structures, des procédures et des standards que les régulateurs et les juges finissent par accepter comme preuves de respect de la loi. Ce processus, qu'elle nomme endogénéité juridique, vide progressivement la norme de sa substance protectrice sans jamais l'abroger formellement. Le report de l'annexe III en offre une illustration nette. La date d'application est suspendue à la production, par des comités largement pilotés par les acteurs régulés, des normes qui définiront concrètement ce que conformité veut dire. Le législateur n'a pas reculé sur l'ambition affichée. Il a délégué la définition opérationnelle de la conformité, et calé son propre calendrier sur celui de cette délégation.

Le concept central : l'endogénéité juridique

L'endogénéité juridique désigne le processus par lequel le contenu effectif d'une règle de droit est façonné de l'intérieur par les organisations qu'elle régule, à travers les structures et les standards de conformité qu'elles produisent et que les institutions publiques finissent par entériner. La notion est développée par Lauren B. Edelman dans Working Law : Courts, Corporations, and Symbolic Civil Rights, Chicago, University of Chicago Press, 2016, prolongeant son article fondateur « Legal Ambiguity and Symbolic Structures : Organizational Mediation of Civil Rights Law » (American Journal of Sociology, vol. 97, n° 6, 1992, p. 1531-1576). Appliquée à l'AI Act, elle éclaire un report dont la date dépend de normes harmonisées élaborées par des comités où l'industrie est surreprésentée, et un régime où l'auto-classification des systèmes par leurs fournisseurs joue un rôle pivot.

Le report vise d'abord les administrations

L'annexe III n'est pas une liste neutre. Elle énumère les domaines où un système d'IA est présumé à haut risque, et la plupart concernent directement la sphère publique : la biométrie, l'accès aux services publics et aux prestations sociales, la gestion de la migration, de l'asile et des contrôles aux frontières, l'administration de la justice et les processus démocratiques, l'éducation, l'emploi. Reporter l'annexe III, c'est donc d'abord reporter l'encadrement contraignant des déploiements d'IA dans l'administration.

L'effet le plus tangible porte sur l'analyse d'impact sur les droits fondamentaux prévue à l'article 27. Cette obligation pèse spécifiquement sur les déployeurs qui sont des organismes publics ou des entités privées fournissant des services publics, pour la quasi-totalité des cas d'usage de l'annexe III. Une administration qui déploie un système d'aide à l'instruction de dossiers sociaux, un opérateur comme France Travail ou la branche famille pour l'attribution de prestations, un service confronté à un outil de tri ou de priorisation, tous auraient dû, à compter d'août 2026, documenter usages, populations affectées, risques, supervision humaine et mesures d'atténuation, sous peine d'une amende pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. Le report repousse cette discipline de seize mois.

Une réserve juridique aggrave la portée du report. L'AI Act n'est pas rétroactif. Les systèmes mis sur le marché ou en service avant les nouvelles dates d'application n'entrent dans le champ des obligations haut risque que s'ils subissent une modification substantielle, ou, pour les systèmes destinés aux autorités publiques, à compter du 31 décembre 2030. L'eurodéputé écologiste allemand Sergey Lagodinsky y voit une faille, mettant en garde contre l'incitation à mettre rapidement sur le marché des systèmes à haut risque avant l'entrée en application, pour échapper durablement aux obligations. Pour le secteur public, qui déploie précisément en 2025 et 2026 une vague d'outils d'IA, cette fenêtre de non-rétroactivité est tout sauf théorique.

En France, des autorités encore en quête de base légale

Le report intervient dans un contexte français singulier : la France n'a toujours pas désigné par la loi ses autorités compétentes pour l'AI Act, alors que le règlement fixait l'échéance au 2 août 2025. Le véhicule retenu, le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE, projet de loi n° 118), a été déposé au Sénat le 10 novembre 2025, adopté par le Sénat le 18 février 2026 et transmis à l'Assemblée nationale le 20 février 2026, où il demeure en première lecture. Aucune loi n'est promulguée à ce jour. La France figure ainsi parmi les retardataires : selon le service de recherche du Parlement européen (EPRS, Tristan Marcelin, « Enforcement of the AI Act », 18 mars 2026), seuls 8 des 27 États membres avaient notifié leur point de contact unique en mars 2026.

L'architecture de gouvernance française privilégie la spécialisation sectorielle, avec environ dix-sept autorités de surveillance du marché. Le schéma publié par Bercy en septembre 2025 confie à la DGCCRF la coordination opérationnelle et la fonction de point de contact unique au sens de l'article 70, la DGE représentant la France au Comité européen de l'IA. La CNIL, longtemps en concurrence avec Bercy pour ce dossier, voit son rôle consolidé : l'amendement gouvernemental n° 442, déposé le 12 février 2026, modifie la loi Informatique et Libertés de 1978 pour lui confier la mise en œuvre effective de l'AI Act sur un large périmètre de cas d'usage, dont une grande partie de l'annexe III. La CNIL elle-même, dans son programme de contrôles 2026, n'évoque cette mission qu'au futur, comme préfigurant « ses futures attributions en tant qu'autorité de surveillance de marché ».

Pendant ce temps, le déploiement avance sans attendre la doctrine. La DINUM a lancé son socle interministériel d'IA générative (SIAAG), construit sur des infrastructures certifiées SecNumCloud, ainsi que l'assistant Albert et un Assistant IA interministériel. Le ministère de la Justice a ouvert à plusieurs milliers d'agents son outil « Mon Assistant Justice » et s'est doté en décembre 2025 d'une direction de programme IA. La doctrine d'usage de l'IA publique, esquissée par le Conseil d'État dès 2022 autour de sept principes, complétée par les recommandations de la Cour des comptes et les conditions posées par le CESE, reste en construction. Le décalage est patent : l'État équipe ses agents plus vite qu'il ne stabilise le cadre juridique censé encadrer ces mêmes outils.

Ce que le report ne change pas

Le Digital Omnibus ne touche ni les interdictions de l'article 5, applicables depuis le 2 février 2025, ni les obligations de littératie en IA, ni le régime des modèles à usage général (GPAI) applicable depuis le 2 août 2025. Le RGPD demeure pleinement applicable, et la CNIL a rappelé début 2026, par plusieurs sanctions lourdes pour défaut de sécurité au titre de l'article 32, que la simplification annoncée n'emporte aucun relâchement du contrôle. Pour une administration, l'inventaire des systèmes d'IA, leur classification au regard de l'annexe III et la gouvernance des données restent des chantiers utiles quelle que soit la date d'application retenue.

La controverse : simplification ou détricotage ?

Le report n'a pas fait consensus. Le Comité européen de la protection des données (CEPD) et le Contrôleur européen (EDPS) ont rendu deux avis conjoints, l'un sur le volet IA (avis 1/2026), l'autre sur le volet données (avis 2/2026, adopté autour du 10-11 février 2026). Tout en saluant l'objectif de compétitivité, ils ont exhorté les colégislateurs à ne pas adopter la modification de la définition de la donnée personnelle, jugée allant bien au-delà d'un ajustement technique. La présidente du CEPD, Anu Talus, a résumé la ligne : la simplification ne doit pas se faire « aux dépens des droits fondamentaux ».

Du côté de la société civile, l'opposition a été frontale. Dès novembre 2025, une coalition de 127 organisations a dénoncé, dans une lettre ouverte, « le plus grand recul des droits numériques fondamentaux de l'histoire de l'UE ». EDRi, noyb, l'organisation de Max Schrems, et l'ECNL ont qualifié l'opération de déréglementation déguisée en simplification, menée selon un processus jugé peu démocratique. Une analyse du Corporate Europe Observatory et de LobbyControl, rapportée par Tech Policy Press, relève que 69 % des réunions tenues par la Commission en 2025 l'ont été avec des groupes industriels, contre 16 % avec des ONG, le rapport concluant que « les Omnibus sont nés des listes de souhaits des groupes de lobbying industriels ». La société civile a toutefois remporté une manche : la suppression, un temps envisagée, de l'obligation d'enregistrement des systèmes auto-classés non à haut risque a été abandonnée. Le co-rapporteur Michael McNamara a lui-même averti qu'un renvoi de la gouvernance de l'IA vers les législations sectorielles risquait d'être « déréglementaire plutôt que simplificateur ».

Le précédent du règlement sur les dispositifs médicaux

L'histoire récente du droit européen offre un parallèle dont la proximité structurelle est forte : le règlement (UE) 2017/745 sur les dispositifs médicaux, le MDR. Adopté en 2017, entré en vigueur la même année, il devait s'appliquer le 26 mai 2020. Or, faute d'organismes notifiés désignés en nombre suffisant, faute de spécifications communes et faute d'une base de données EUDAMED opérationnelle, son application a été repoussée d'un an, au 26 mai 2021, par le règlement (UE) 2020/561. La période de transition a ensuite été prolongée, par le règlement (UE) 2023/607, jusqu'en 2027 et 2028 selon les classes de dispositifs.

La mécanique est presque identique à celle de l'annexe III : une ambition normative posée, puis une infrastructure de mise en conformité (organismes habilités, normes, base de données) qui n'est pas prête, et donc un report. Le MDR enseigne deux choses. D'abord, qu'un report initial appelle souvent des reports ultérieurs, le retard de l'écosystème se résorbant moins vite que prévu. Ensuite, que le délai supplémentaire ne se traduit pas mécaniquement par une meilleure préparation des acteurs : les organismes notifiés ont signalé un net ralentissement des demandes pendant la période de grâce, beaucoup d'industriels ayant interprété le report comme un répit plutôt que comme un sursis à mettre à profit. Le risque, pour les administrations françaises, est exactement celui-là : confondre les seize mois gagnés avec une dispense.

Conclusion : une hypothèse vérifiable

Le report du 2 décembre 2027 n'est pas un simple ajustement de calendrier. Il révèle un droit qui s'aligne sur le rythme de production de normes élaborées hors du législateur, et qui délègue de fait la définition de la conformité aux acteurs régulés et aux comités où ils siègent. C'est en ce sens que le cas illustre l'endogénéité juridique théorisée par Edelman : la norme demeure, l'ambition reste affichée, mais son contenu opérationnel se construit ailleurs, et son calendrier s'y soumet.

De ce diagnostic découle une hypothèse vérifiable. Si l'analyse est juste, le 2 décembre 2027 ne tiendra pas comme date d'application pleine et effective de l'annexe III pour le secteur public, faute de normes harmonisées finalisées et d'autorités françaises pleinement opérationnelles. L'indicateur observable est double et daté. Premièrement, à la fin du premier trimestre 2027, l'ensemble du corpus de normes harmonisées du CEN-CENELEC JTC 21 nécessaires à la conformité des systèmes de l'annexe III aura-t-il été publié au Journal officiel de l'Union, ou restera-t-il à l'état de projets ? Deuxièmement, au 2 décembre 2027, la loi DDADUE aura-t-elle été promulguée et la CNIL aura-t-elle été formellement investie de ses fonctions d'autorité de surveillance du marché ? Si l'un de ces deux indicateurs est négatif à son horizon, l'hypothèse d'un report symbolique, c'est-à-dire d'une échéance affichée mais non opérante, sera confirmée, et un troisième report, ou un mécanisme de tolérance administrative de fait, deviendra l'issue la plus probable.

Note méthodologique

Cet article repose en priorité sur des sources primaires institutionnelles (communiqué du Conseil du 7 mai 2026, fiche du train législatif du Parlement européen, avis conjoints du CEPD et de l'EDPS, dossier législatif du Sénat, pages de la DGE et de la CNIL) et sur le texte consolidé du règlement (UE) 2024/1689. Les analyses de cabinets juridiques ont servi à corroborer les dates et le contenu de l'accord, non à les établir seuls.

Trois choix éditoriaux ont été tranchés. Premièrement, sur la date de l'accord : les sources divergent légèrement entre le 6 et le 7 mai 2026, avec une confirmation par le COREPER le 13 mai. La date du 7 mai, retenue par le communiqué du Conseil et par la majorité des sources, a été conservée, la divergence étant explicitement signalée. Deuxièmement, sur le concept central : la notion d'endogénéité juridique (Edelman) a été préférée à celle, voisine, de régulation symbolique, parce qu'elle rend mieux compte du rôle pivot de l'auto-classification et des normes industrielles dans ce dossier précis. Le découplage de Meyer et Rowan a été écarté à dessein. Troisièmement, sur le parallèle historique : le MDR a été préféré au précédent de l'ePrivacy (jamais aboutie) et à la période de grâce du RGPD (planifiée), car lui seul correspond à un report motivé par l'impréparation de l'infrastructure normative.

Une ambiguïté factuelle subsiste et est signalée comme telle : à la date de publication, le Digital Omnibus on AI n'est pas encore formellement adopté ni publié au Journal officiel, de sorte que le 2 août 2026 demeure juridiquement l'échéance en vigueur tant que l'adoption n'est pas intervenue. Une précision relative à la France mérite d'être notée : un postulat initial selon lequel les dispositions IA auraient été retirées du DDADUE est dépassé. Le volet IA a été réintroduit et renforcé par amendements gouvernementaux en février 2026 et figure dans le texte adopté par le Sénat le 18 février 2026.

Sources

Sources primaires institutionnelles et réglementaires

Sources parlementaires et européennes

Sources françaises (autorités et administration)

Presse spécialisée

Cadres académiques

  • Edelman, Lauren B., Working Law : Courts, Corporations, and Symbolic Civil Rights, University of Chicago Press, 2016.
  • Edelman, Lauren B., « Legal Ambiguity and Symbolic Structures : Organizational Mediation of Civil Rights Law », American Journal of Sociology, vol. 97, n° 6, 1992, p. 1531-1576.

Vérification secondaire

Toutes les analyses