En juin, tout le monde a lu le même titre : « L’UE reporte l’AI Act. » Voici ce que le titre a manqué — et ce que cela implique si vous exploitez des systèmes d’IA dans un secteur régulé.
Ce qui a bougé
L’Omnibus numérique — accord politique en mai, feu vert final du Conseil le 29 juin 2026 — a reporté les obligations « haut risque » de l’annexe III (scoring de crédit, recrutement, biométrie et systèmes autonomes similaires) d’août 2026 au 2 décembre 2027, et l’IA à haut risque intégrée aux produits réglementés au 2 août 2028. Cette partie du titre est exacte. (Réserve formelle : à ce jour, le texte attend encore sa publication au Journal officiel.)
Ce qui n’a pas bougé
Les obligations de transparence de l’article 50 s’appliquent dès le 2 août 2026. Si vos systèmes dialoguent avec des clients ou génèrent du contenu, les obligations d’information et de marquage arrivent dans quelques semaines, pas dans des années : les chatbots doivent s’identifier, les contenus synthétiques doivent être marqués de façon lisible par machine, les deepfakes et les textes d’intérêt public générés par IA doivent être étiquetés. La Commission a publié son code de bonnes pratiques sur la transparence le 10 juin 2026 ; les systèmes déjà sur le marché bénéficient d’un délai de grâce pour le seul marquage lisible par machine — jusqu’au 2 décembre 2026. Le régime de sanctions s’applique dès ce même 2 août : jusqu’à 15 M€ ou 3 % du chiffre d’affaires mondial.
L’Espagne est allée dans l’autre sens. Pendant que Bruxelles allongeait les délais, le gouvernement espagnol a transmis au Parlement son projet de loi sur l’IA le 26 mai 2026, avec des sanctions pouvant atteindre 35 M€ ou 7 % du chiffre d’affaires et l’AESIA comme autorité de surveillance. Point notable pour la finance : selon le projet, la Banque d’Espagne supervisera la conformité des entités financières. L’AESIA a déjà publié seize guides de mise en œuvre. La machinerie de contrôle se construit pendant le « report ».
Votre superviseur n’a jamais fait de pause. Les priorités de supervision de la BCE pour 2026–2028 placent la gouvernance de l’IA au cœur de la supervision bancaire, et l’EBA a indiqué que les cadres existants de gouvernance et d’externalisation s’appliquent déjà à l’IA des banques. Si vous êtes supervisé, le calendrier qui vous lie est celui de votre superviseur, pas celui de Bruxelles.
Le schéma qui se répète
Les équipes traitent la gouvernance comme un problème d’échéances. Ce n’en est pas un. C’est un problème d’architecture : ajouter après coup la traçabilité, le contrôle d’accès et les pistes d’audit à un système livré sans eux coûte plusieurs fois plus cher que de les concevoir dès le départ. Les organisations qui utiliseront les dix-sept prochains mois pour construire des systèmes gouvernés — inventaire des systèmes d’IA, classification des risques, supervision humaine réelle et non cérémonielle, journaux permettant de reconstituer les décisions — ne seront pas seulement conformes en décembre 2027. Elles seront celles dont les revues de sécurité prennent des jours et non des trimestres — ce qui, en pratique, décide qui met en production. C’est le travail derrière nos pratiques Gouvernance et Confiance de l’IA et IA Agentic et Automatisation par Agents.
Alors, répit ou piège ? Un répit pour la paperasse. Un piège pour qui y lit une permission de s’arrêter.
Ceci est une lecture de praticien, pas un avis juridique. Si une obligation précise concerne votre activité, vérifiez-la dans les textes définitifs.
Où nous pouvons aider : Si l’article 50 ou la planification de l’annexe III figure sur votre feuille de route du T3, Gouvernance et Confiance de l’IA couvre l’inventaire, la classification des risques et les preuves prêtes pour l’audit. Pour les contrôles et inventaires d’agents en production, voir IA Agentic et Automatisation par Agents. Réservez un Discovery Workshop — nous répondons par une évaluation directe, pas par une séquence commerciale.