Le 16 juin 2026, le Parlement européen a définitivement voté le texte du Digital Omnibus on AI, qui redessine une partie du calendrier de l’AI Act pour les entreprises actives au Luxembourg et dans le reste de l’Union. Le Conseil de l’UE a donné son feu vert le 29 juin. Il ne reste plus que la signature et la publication au Journal officiel, attendue avant la fin du mois de juillet, pour que le texte entre officiellement en vigueur.
En résumé : les obligations les plus contraignantes de l’AI Act, prévues pour août 2026, sont reportées. Les systèmes d’IA à haut risque de l’Annexe III (données biométriques, infrastructures critiques, administration de la justice, entre autres) ont désormais jusqu’au 2 décembre 2027. Ceux de l’Annexe I jusqu’au 2 août 2028.
Ce report était prévisible. Les normes harmonisées nécessaires à la mise en conformité (gestion des risques, qualité des données, supervision humaine) ne seront pas disponibles avant la fin de l’année 2026 au plus tôt. La Commission européenne a préféré décaler les échéances plutôt que d’imposer une conformité sans boussole technique.
Mais ce délai ne doit pas être lu comme un signal de pause. Plusieurs obligations sont déjà en vigueur, et le texte adopté en ajoute même une nouvelle.
Les entreprises qui attendront la prochaine échéance pour agir prendront exactement le même retard qu’avant.
Ce qui est déjà applicable, dès aujourd’hui
L’AI Act est en application progressive depuis le 1er août 2024, et une partie de ses obligations est déjà contraignante.
Depuis le 2 février 2025, les interdictions sont effectives. Les systèmes d’IA dits à « risque inacceptable » sont prohibés sur le territoire de l’Union européenne : notation sociale, IA manipulatrices, reconnaissance biométrique en temps réel dans les espaces publics (avec des exceptions strictement encadrées), entre autres.
Depuis ce même 2 février 2025, l’article 4 du règlement impose aussi aux déployeurs de systèmes IA de veiller à ce que leur personnel dispose du niveau de compétence, de formation et d’autorité nécessaires pour superviser ces systèmes. C’est l’obligation dite d’« AI literacy ». Elle s’applique à toute organisation qui utilise des outils IA dans son activité, et elle reste souvent la moins visible sur les radars des équipes conformité. Le Digital Omnibus vient d’ailleurs d’en assouplir légèrement la formulation : l’obligation passe d’un devoir de garantir un niveau de compétence à celui d’adopter des mesures pour en soutenir le développement.
Depuis le 2 août 2025, les obligations relatives aux modèles d’IA à usage général (les GPAI, comme GPT, Claude ou Gemini) sont actives : transparence sur les données d’entraînement, respect du droit d’auteur, évaluation des risques systémiques pour les modèles les plus puissants.
Ce que le report implique
Le report concerne les obligations liées aux systèmes à haut risque définis aux Annexes I et III du règlement. Ces systèmes incluent notamment les outils utilisés en ressources humaines (recrutement, évaluation des performances), en finance, en éducation, dans la justice, ou encore dans les infrastructures critiques.
Pour la majorité des entreprises luxembourgeoises, la question se pose surtout autour de l’Annexe III. Dès qu’un système IA intervient dans une décision de crédit, une évaluation de performance ou une analyse de solvabilité, on entre dans son champ d’application, parce que ces décisions ont un impact réel sur la vie des personnes concernées.
Ces systèmes ont maintenant jusqu’au 2 décembre 2027, soit 16 mois de plus qu’initialement prévu.
Le texte introduit aussi une nouveauté qui n’existait pas dans la version d’origine du règlement : une interdiction visant les systèmes d’IA capables de générer des contenus intimes non consentis, comme les applications dites de « nudification », ou du matériel pédopornographique. Cette interdiction entre en application dès le 2 décembre 2026, avant même l’échéance sur le haut risque. Le marquage des contenus générés par IA (l’obligation de « watermarking » prévue à l’article 50) glisse aussi, du 2 août au 2 décembre 2026, pour les systèmes déjà sur le marché.
Ce que ce report ne change pas, en revanche, c’est la nécessité de savoir ce qu’on a déployé. Vous ne pouvez pas savoir si vos systèmes sont à haut risque, à risque limité ou minimal si vous n’avez pas fait cet inventaire. Et c’est précisément là que la plupart des organisations accusent du retard.
Le vrai enjeu : l’inventaire et la classification
Les questions que posent les régulateurs sont simples : quels systèmes IA utilisez-vous ? Dans quel contexte ? Quel est leur niveau de risque ?
Pour y répondre, il faut un inventaire : un document vivant qui recense les outils IA en production, leur usage réel, les données qu’ils traitent et les décisions qu’ils influencent. C’est la base de toute démarche de conformité sérieuse, et c’est ce que les auditeurs demanderont en premier.
Au Luxembourg, ce travail compte d’autant plus que le secteur financier est particulièrement exposé. La CSSF suit de près les développements réglementaires européens en matière d’IA. Pour les fonds, les banques et les assurances, mieux vaut anticiper que réagir.
Pourquoi agir maintenant, malgré le report
Les délais supplémentaires sont une ressource, pas une autorisation de ralentir.
Le Digital Omnibus a été négocié parce que beaucoup d’entreprises n’étaient pas prêtes. Ce retard collectif a pesé dans la décision de reporter les échéances. Mais il illustre aussi l’écart entre la vitesse à laquelle les outils IA se déploient dans les organisations et la lenteur avec laquelle la conformité suit.
Les entreprises qui sortent gagnantes des cycles réglementaires ne sont pas celles qui courent en fin de délai. Ce sont celles qui ont construit une gouvernance lisible : un inventaire à jour, une classification documentée, des processus de supervision en place.
Ce que SerendipAI propose
SerendipAI accompagne les entreprises luxembourgeoises sur deux volets complémentaires.
Le premier est le diagnostic : on part de votre situation réelle. Quels outils IA sont déployés ? Dans quels processus ? Par qui ? On établit un inventaire, on classe les systèmes selon la grille de l’AI Act et on identifie les points de vigilance prioritaires.
Le second est la formation. L’obligation d’AI literacy (article 4) est déjà active. Former vos équipes n’est pas une option de confort, c’est une exigence réglementaire. Nos formations « L’IA pour les décideurs » et « L’IA pour tous » sont conçues pour y répondre concrètement, avec un référencement INFPC et une certification Fit4AI qui permettent d’accéder aux aides publiques luxembourgeoises.
Pour finir
Le Digital Omnibus offre du temps, mais il ne fait que repousser l’échéance. Il ne l’annule pas.
Si vous n’avez pas encore commencé à cartographier vos usages IA, décembre 2027 arrivera dans le même état qu’août 2026 : trop vite, avec trop peu de préparation. Les décisions que vous prenez maintenant sur vos outils IA seront celles que vous devrez justifier d’ici la fin 2027.
SerendipAI est une société de conseil, de formation et de développement IA basée au Luxembourg, référencée organisme de formation par le ministère de l’Éducation nationale et certifiée Fit4AI par LuxInnovation.
Sources :
Parlement européen, vote en plénière du 16 juin 2026 sur le Digital Omnibus on AI
Conseil de l’UE, accord provisoire du 7 mai 2026
Commission européenne, calendrier d’application de l’AI Act
Règlement (UE) 2024/1689 (AI Act)
Analyses WEnvision (avril 2026) et Klein Blue (mai 2026)
A lire aussi : Anonymisation et pseudonymisation : une distinction qui change tout pour vos usages IA
