Le calendrier réel
Ce calendrier se lit comme une suite de bascules, pas comme une liste. Chaque date déplace des obligations — et, avec elles, ce qu'il est raisonnable de financer cette année.
Un budget de « conformité haut risque pour 2026 » vise une échéance qui n'existe pas encore. La transparence et la littératie, elles, sont dues depuis des mois.
Ce qui est déjà exigible aujourd'hui
Quatre blocs sont en application. C'est sur eux que porte l'effort immédiat, parce qu'ils sont contrôlables dès maintenant.
Article 50 — transparence
Applicable depuis le 2 août 2026 et sanctionnable au titre de l'article 99(4)(g) : jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial annuel. Il concerne les systèmes interagissant directement avec des personnes (art. 50(1)), les contenus de synthèse et les hypertrucages (art. 50(2)(3)), la reconnaissance des émotions et la catégorisation biométrique (art. 50(3)), et les textes générés publiés pour informer le public (art. 50(4)).
Article 4 — littératie IA
Applicable depuis le 2 février 2025, sous la surveillance des autorités nationales de surveillance du marché depuis le 2 août 2026. L'obligation porte sur les fournisseurs et les déployeurs : prendre des mesures pour soutenir la littératie IA du personnel, selon ses connaissances techniques, son expérience, sa formation et le contexte d'usage. Aucun niveau « suffisant » n'est exigé, et l'entreprise n'a pas à mesurer le niveau de ses employés. L'article 4 ne figure pas dans la liste des articles passibles d'amende de l'article 99. Mais pour les déployeurs de systèmes à haut risque, l'article 26 impose un personnel suffisamment formé pour assurer la supervision humaine — « lire la notice » ne suffit pas.
Article 5 — interdictions
En vigueur depuis le 2 février 2025. La violation des interdictions est le manquement le plus lourdement sanctionné : jusqu'à 35 000 000 € ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé du règlement. Les sanctions sont déterminées par les États membres, qui informent la Commission.
GPAI — modèles à usage général
Obligations applicables depuis le 2 août 2025. Les amendes peuvent atteindre 3 % du chiffre d'affaires mondial annuel ou 15 000 000 € (art. 101). Pour les PME, les start-ups et les entreprises de taille intermédiaire (SMC), le régime retient le montant le plus faible.
Ce qui a été reporté — et ce que ça change
Le Digital Omnibus a déplacé le centre de gravité du calendrier. Le retenir de travers coûte cher : on prépare une échéance inexistante pendant que passent les échéances opposables.
| Étape | Date |
|---|---|
| Proposition de la Commission — paquet « Omnibus VII » | 19 novembre 2025 |
| Accord provisoire Conseil / Parlement | 7 mai 2026 |
| Vote du Parlement européen | 11 juin 2026 — 423 pour, 57 contre, 174 abstentions |
| Feu vert final du Conseil | 29 juin 2026 |
| Entrée en vigueur | mi-juillet 2026 |
Ce que l'Omnibus modifie :
- Report du haut risque : 2 décembre 2027 (autonome) et 2 août 2028 (intégré).
- Nouvelle interdiction : génération de contenus intimes non consentis et de matériel d'abus sexuel sur mineurs.
- Report des bacs à sable réglementaires au 2 décembre 2027.
- Délai de mise en œuvre des solutions de transparence pour les contenus générés ramené de 6 mois à 3 mois, échéance au 2 décembre 2026 — un resserrement, pas un répit.
- Exemptions PME étendues aux entreprises de taille intermédiaire (SMC).
- Clarification de la définition de « composant de sécurité » : la qualification de certains systèmes s'en trouve déplacée.
- Traitement de données personnelles autorisé si strictement nécessaire à la détection et correction des biais.
- Clarification des compétences du Bureau de l'IA pour les systèmes fondés sur des modèles GPAI.
Ce report redistribue le travail. La transparence et la littératie sont dues maintenant ; la documentation haut risque se construit en amont.
Les deux échéances proches
2 décembre 2026 — la transparence des contenus déjà en circulation
Elle porte deux choses. De nouvelles interdictions, d'abord : la génération de contenus intimes non consentis et de matériel d'abus sexuel sur mineurs devient explicitement proscrite. Ensuite, l'échéance transitoire de l'article 50(2) pour les systèmes déjà sur le marché avant le 2 août 2026 : les contenus générés devront être signalés comme tels, leur délai de mise en œuvre étant ramené de six mois à trois mois. Toute organisation qui publie des contenus générés — images, textes, voix — par un outil mis en service avant août 2026 doit donc avoir mis le marquage en place. Ce n'est pas un chantier de 2027.
2 août 2027 — le bac à sable réglementaire
À cette date, au moins un bac à sable réglementaire doit exister dans chaque État membre. Il ne crée aucune obligation nouvelle : il ouvre une possibilité — un cadre d'expérimentation encadré, où un dispositif se teste sous supervision. On n'y accède pas par défaut, et il faut savoir à l'avance quel cas d'usage mérite un test. Le Digital Omnibus en a reporté le dispositif au 2 décembre 2027.
Ce qu'il faut faire maintenant
Quatre actions concrètes, indépendantes de toute échéance reportée.
Établir votre rôle, système par système
Fournisseur ou déployeur : la réponse commande toutes les obligations, et elle se tranche par système. Une même organisation peut être fournisseur sur un outil et déployeur sur un autre.
Documenter la littératie IA
Aucun niveau « suffisant » n'est exigé, mais l'article 4 demande des mesures. On construit le programme selon les écarts de connaissances et le contexte d'usage, et on en garde la trace.
Cartographier la transparence
Recenser les systèmes qui interagissent avec des personnes, produisent des contenus de synthèse ou des hypertrucages, lisent les émotions, catégorisent la biométrie ou publient des textes pour informer le public.
Préparer 2027 sans immobiliser 2026
Identifier les systèmes Annexe III et Annexe I susceptibles d'être concernés, sans engager un budget de conformité haut risque visant une échéance encore lointaine.
Une revue trimestrielle, concrètement
La revue est le cœur de l'accompagnement : une demi-journée, un ordre fixe, pour que rien ne dépende de la mémoire de qui que ce soit.
Ce qu'on regarde
Les échéances des six mois à venir, et pour chacune ce qui est exigible et ce qui ne l'est pas. Les modifications du texte publiées depuis la dernière revue. L'usage effectif des systèmes d'IA, y compris ceux qu'aucun service n'a formellement validés.
Ce qu'on met à jour
Le registre des systèmes, la classification de chacun avec la base de sa qualification, les pièces de littératie, et une note de calendrier datée qui servira de référence à la revue suivante.
Ce qu'on décide
Les priorités du trimestre, ce qui se traite en interne et ce qui appelle une intervention devisée, et le responsable de chaque action.
Les autorités en France
Le contrôle est réparti : préparer une seule autorité quand plusieurs sont concernées fait perdre un temps précieux.
| Autorité | Ce qu'elle contrôle |
|---|---|
| Arcom + DGCCRF | Systèmes recourant à des techniques subliminales, délibérément manipulatrices ou trompeuses (art. 5(1a)), et exploitant les vulnérabilités liées à l'âge ou au handicap. |
| CNIL | Systèmes de reconnaissance des émotions ou de catégorisation biométrique (art. 50(3)). La CNIL reste pleinement compétente pour appliquer le RGPD aux données personnelles traitées pour ou par des systèmes d'IA. |
| DGCCRF + Arcom | Systèmes destinés à interagir directement avec des personnes (art. 50(1)) ; systèmes qui génèrent des contenus de synthèse ou créent des hypertrucages (art. 50(2)(3)). |
| Arcom | Systèmes générant ou manipulant des textes publiés dans le but d'informer le public sur des questions d'intérêt public (art. 50(4)). |
| Autorités sectorielles | Systèmes à haut risque déjà soumis à une réglementation sectorielle (Annexe I) : ils restent contrôlés par les autorités existantes — par exemple l'ANSM pour les dispositifs médicaux. |
Ce schéma est mis en œuvre sous réserve d'acceptation par le Parlement d'un projet de loi.
Les objections
« On verra en 2027. »
L'article 50 est applicable depuis le 2 août 2026, l'article 4 et les interdictions depuis le 2 février 2025, les règles GPAI depuis le 2 août 2025. Attendre 2027, c'est rester exposé plus d'un an sur des obligations déjà contrôlables, et aborder 2027 sans les pièces que la préparation exige. Le report porte sur le haut risque, pas sur le reste.
« C'est le problème du fournisseur, pas le nôtre. »
Vrai pour une partie seulement. Les obligations de transparence de l'article 50 visent aussi les déployeurs, et l'article 26 leur impose un personnel suffisamment formé pour la supervision humaine. La littératie de l'article 4 concerne explicitement fournisseurs et déployeurs. Reporter la responsabilité sur le fournisseur laisse une obligation qui n'a pas été transférée.
« On n'a pas de système haut risque. »
C'est possible. Mais la qualification est une conclusion, pas un point de départ : elle se démontre. Tant que les systèmes n'ont pas été inventoriés et classés, « nous n'avons pas de système haut risque » est une impression, pas une position défendable. L'article 50, lui, s'applique indépendamment du niveau de risque.
« Pourquoi payer tous les mois pour de la veille que je peux lire gratuitement ? »
Nous ne vendons pas la veille seule. Ce qui est payé, c'est la tenue du dossier — registre à jour, classification revue, pièces classées — et la traduction d'un texte européen en décisions applicables à vos systèmes. Les textes sont publics ; la réponse à « qu'est-ce que cela change pour nous, cette semaine » ne l'est pas.
Conditions et déroulé
Ce n'est pas une prestation ponctuelle, mais une présence régulière, faite pour absorber les échéances au fur et à mesure plutôt que d'en subir une seule, trop tard.
Formule
Accompagnement continu à 1 450 € HT par mois, engagement de trois mois reconductible au trimestre. Comprend une revue trimestrielle d'une demi-journée, la veille réglementaire et les échanges courants. Au-delà, les interventions supplémentaires sont devisées avant d'être engagées.
Ce qui est inclus
- Une revue trimestrielle d'une demi-journée : ce qui devient exigible dans les six mois, ce qui bouge dans le texte, ce que cela change pour vous.
- La veille réglementaire sur le règlement européen et ses modifications — vous n'avez pas à suivre le Journal officiel.
- La tenue du dossier : registre à jour, classification revue, pièces classées.
- La préparation des échéances : la labellisation des contenus générés, la qualification des systèmes de l'annexe III, les obligations de décembre 2027 et d'août 2028.
- Un interlocuteur joignable entre deux revues, qui connaît votre dossier.
Ce qui n'est pas inclus
Les interventions qui dépassent la revue trimestrielle et les échanges courants — audit approfondi, montage complet d'un dossier, préparation d'une échéance lourde — sont devisées séparément. Ni une assurance, ni une délégation : la responsabilité de conformité reste la vôtre, et nous ne déposons aucune déclaration ni aucun enregistrement à votre place. Le cabinet n'est ni agréé, ni habilité, ni mandaté par une autorité.
Comment cela démarre
- Cadrer — un diagnostic préalable. Sans lui, aucun accompagnement sérieux n'est possible.
- Faire — mise en place des premières pièces et de l'architecture de gouvernance.
- Tenir — les revues trimestrielles, dès lors, rythment l'année.
- Affiner — le périmètre s'ajuste à chaque échéance réelle, sans renégocier un contrat.
Et la distance ?
Le cabinet travaille entièrement à distance. Aucun déplacement n'est prévu, aucun n'est facturé, aucun n'est nécessaire. Tout se fait en visioconférence ou par téléphone, selon ce que vous préférez.
Ce n'est pas une contrainte subie : c'est le mode de travail qui convient à cette mission. Quatre raisons, vérifiables.
- Ce que nous produisons n'a pas besoin d'une salle. Nous lisons des contrats et des notices de fournisseurs, nous interrogeons vos équipes, nous classons des systèmes, nous rédigeons des documents. Aucune de ces étapes n'exige que quelqu'un se trouve dans un même bâtiment.
- La distance laisse plus de trace, pas moins. Chaque entretien donne lieu à un compte rendu écrit. Les séances de travail peuvent être enregistrées si vous le souhaitez. Une réunion dans un bureau ne laisse aucune preuve ; nos échanges en laissent une — et c'est exactement ce que vous devrez pouvoir présenter.
- Vos équipes sont plus disponibles. Une heure d'entretien se cale plus facilement qu'une demi-journée bloquée dans un agenda. Dans une structure où personne n'a d'heure à perdre, c'est ce qui fait la différence entre un inventaire complet et un inventaire partiel.
- Le prix ne dépend pas de votre adresse. Une entreprise à Lille, Marseille ou Bordeaux paie le même montant qu'une entreprise parisienne : aucun frais de déplacement, aucune nuit d'hôtel, aucune journée perdue en trajet.
Ce que cela demande de votre côté : un ordinateur, une connexion, et la disponibilité de vos équipes aux créneaux convenus. Rien d'autre.
Si, dans un cas particulier, une intervention sur place devenait réellement indispensable, elle ferait l'objet d'un devis distinct. En Île-de-France, elle resterait exceptionnelle ; hors Île-de-France, elle serait facturée. Nous n'avons pas eu à le faire à ce jour, et nous ne le proposons pas par défaut — parce que nous n'en voyons pas l'utilité pour ce type de travail.
Et si la visioconférence vous rebute, dites-le simplement : tout ce que nous faisons en visio, nous savons le faire par téléphone.
Questions fréquentes
Faut-il préparer le haut risque dès maintenant ?
Oui, mais pas au même rythme. Après le Digital Omnibus, le haut risque autonome (Annexe III) s'applique au 2 décembre 2027 et le haut risque intégré à des produits réglementés (Annexe I) au 2 août 2028. Identifier les systèmes concernés se fait en amont ; documenter la transparence et la littératie se fait maintenant.
Qu'est-ce qui est déjà exigible aujourd'hui ?
L'article 50 (transparence) est applicable depuis le 2 août 2026, sanctionnable jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial. L'article 4 (littératie IA) est applicable depuis le 2 février 2025, sous surveillance des autorités nationales depuis le 2 août 2026. Les interdictions de l'article 5 s'appliquent depuis le 2 février 2025, les règles GPAI depuis le 2 août 2025.
L'article 4 sur la littératie IA est-il sanctionnable ?
Non : l'article 4 ne figure pas dans la liste des articles passibles d'amende de l'article 99. Aucun niveau « suffisant » n'est exigé, et l'entreprise n'a pas à mesurer le niveau de ses employés. Mais l'article 26 impose un personnel suffisamment formé pour la supervision humaine des systèmes à haut risque.
Que se passe-t-il au terme des trois mois d'engagement ?
L'engagement est de trois mois, reconductible au trimestre. Il comprend une revue trimestrielle d'une demi-journée, la veille réglementaire et les échanges courants. Au-delà, les interventions supplémentaires sont devisées avant d'être engagées : ni reconduction automatique cachée, ni pénalité de sortie.
Cadrer votre gouvernance IA
Écrivez-nous avec la liste de vos systèmes d'IA en production et le rôle que vous estimez tenir — fournisseur, déployeur, ou les deux. Nous revenons sur ce qui est dû maintenant, ce qui se prépare pour 2027 et 2028, et ce qui peut attendre.