Si vous aviez noté le 2 août 2026 comme la date à partir de laquelle les obligations de conformité IA deviendraient sérieuses, cette date est passée et, pour l’essentiel de ce qui préoccupait le marché, rien n’a changé. La deadline qui a dominé les webinaires des éditeurs et les publications LinkedIn au cours du premier semestre a été repoussée avant même qu’elle n’arrive.
Ceci importe pour quiconque a lu des orientations publiées au cours du premier semestre 2026. Au printemps, le report existait en tant qu’accord politique en attente d’adoption formelle. Les articles responsables le qualifiaient donc fortement et rappelaient aux lecteurs qu’août 2026 restait la date légale applicable. Cette qualification n’est plus exacte et la réserve s’est subtilement inversée.
L’Omnibus Numérique est désormais en vigueur, et la deadline de conformité high-risk pour les systèmes Annex III est le 2 décembre 2027. Cet article explique ce qui a changé, ce qui tient bon et quelle part du travail vous devriez poursuivre de toute façon.
Pour une vue d’ensemble de la manière dont la loi classe les agents en premier lieu, voir AI Act et agents IA.
Ce qui a vraiment changé
Le paquet Omnibus Numérique a été convenu politiquement le 7 mai 2026 et publié au Journal officiel fin juillet 2026, entrant en vigueur à sa publication. Son effet sur le calendrier est direct :
| Catégorie | Date initiale | Nouvelle date |
|---|---|---|
| Systèmes Annex III stand-alone à haut risque | 2 août 2026 | 2 décembre 2027 |
| IA Annex I intégrée aux produits réglementés | 2 août 2026 | 2 août 2028 |
| Obligations de transparence (article 50) | 2 août 2026 | Inchangées |
| Pratiques interdites (article 5) | 2 février 2025 | Inchangées |
| Obligations des fournisseurs d’IA généraliste | 2 août 2025 | Inchangées |
L’erreur la plus courante dans les commentaires actuels est de traiter ceci comme un report global uniforme de toute la loi. Deux catégories qui partageaient une date ont été séparées et repoussées à des années différentes, tandis que trois ensembles d’obligations qui étaient déjà en vigueur restent exactement où ils étaient.
Annex III couvre les usages high-risk stand-alone que la plupart des PME rencontrent : emploi et recrutement, éducation, évaluation de solvabilité, accès aux services essentiels et application de la loi. Si vous procédez à la sélection de candidats avec un agent, vous êtes dans cette catégorie et disposez maintenant jusqu’en décembre 2027.
Annex I est une toute autre affaire. Elle couvre l’IA intégrée dans les produits déjà régis par la législation de sécurité des produits de l’UE : dispositifs médicaux, machines, ascenseurs, etc. Ces obligations ont été repoussées davantage, au 2 août 2028, au motif qu’elles doivent être coordonnées avec les régimes d’évaluation de conformité existants.
Ce qui n’a pas changé, et pourquoi c’est encore plus important
L’article 50 est la disposition que la plupart des PME suisses touchent réellement et qui a été délibérément laissée sur le calendrier initial. Elle s’applique depuis le 2 août 2026, ce qui signifie qu’elle vous oblige dès aujourd’hui.
L’obligation centrale est la divulgation. Toute personne interagissant avec un système d’IA doit être informée qu’elle interagit avec une IA, sauf si c’est évident dans le contexte. Pour une entreprise exploitant un chatbot d’assistance, un assistant de réservation ou un agent vocal qui répond au téléphone, c’est l’élément de conformité avec une deadline contraignante.
Il existe une exception à connaître. Les fournisseurs de systèmes placés sur le marché avant le 2 août 2026 qui génèrent de l’audio, des images, des vidéos ou du texte synthétiques disposent jusqu’au 2 décembre 2026 pour respecter les obligations de marquage de l’article 50(2) pour ce contenu. Il s’agit d’une fenêtre transitoire pour les déploiements existants plutôt que d’une extension générale.
L’Omnibus a également ajouté deux catégories interdites couvrant l’imagerie intime non consentie et le matériel d’abus sexuel d’enfants, qui entrent en vigueur le 2 décembre 2026.
Pourquoi le délai supplémentaire est moins important qu’il n’y paraît
Seize mois semblent généreux jusqu’à ce que vous examiniez vraiment ce qu’exige une évaluation de conformité Annex III. Les obligations ne constituent pas un document que vous rédigez à la fin. Ce sont des affirmations sur la manière dont le système s’est comporté durant toute sa vie opérationnelle et elles doivent être justifiées.
Un fournisseur de système à haut risque doit disposer d’un système de gestion des risques maintenu sur l’ensemble du cycle de vie, d’une gouvernance des données couvrant les ensembles d’entraînement et de validation, de documentation technique, d’enregistrement automatique des événements, de mesures de supervision humaine intégrées au système et d’un niveau démontré de précision et de robustesse. Un déploiement comporte un ensemble de responsabilités plus léger mais réel concernant le suivi, l’examen humain et la tenue des dossiers.
Chacun de ces éléments s’appuie sur des données que votre système doit avoir collectées. Les journaux de décision ne peuvent pas être reconstitués après coup. La traçabilité des données d’entraînement ne peut pas être établie rétrospectivement pour un ensemble de données constitué sans documentation. La supervision humaine doit être une étape réelle du flux de travail plutôt qu’une affirmation dans un document.
C’est l’argument pratique pour poursuivre le travail d’ingénierie selon le calendrier initial tout en détendant les délais de documentation. Un système architecturé avec enregistrement d’audit, points de contrôle et traçabilité dès le départ transforme la conformité en exercice de documentation en 2027. Un système construit sans ces éléments doit être entièrement reconçu.
Pour la plupart des automatisations B2B, ceci est moins inquiétant qu’il n’y paraît. Le triage des demandes de support, le traitement des factures et les agents d’organisation tombent généralement dans les catégories à risque limité ou minimal, où le lourd fardeau de documentation d’Annex III ne s’applique pas du tout. La question à se poser tôt est celle du classement réel de votre système, car la réponse détermine tout le reste.
Ce que les entreprises suisses doivent en tirer
La loi s’applique sur le plan extraterritorial. Elle vous concerne dès que votre système d’IA est mis sur le marché de l’UE ou que son output y est utilisé. S’établir en Suisse ne vous protège donc pas si vous servez des clients européens.
Les obligations suisses s’appliquent parallèlement plutôt qu’en substitution. La Loi fédérale révisée sur la protection des données régit les données personnelles traitées par votre agent indépendamment de son classement en vertu de l’AI Act, et les autorités sectorielles comme FINMA imposent leurs propres attentes de transparence aux entreprises régulées. Un report à Bruxelles ne change rien à cela.
La position raisonnable est de traiter décembre 2027 comme la deadline de documentation et aujourd’hui comme la deadline d’architecture. Confirmez votre classement de risque, satisfaites l’obligation de divulgation de l’article 50 dès maintenant car elle est déjà contraignante et continuez de mettre en place les mécanismes d’enregistrement et de contrôle sur lesquels reposera toute future évaluation.
Si vous opposez cette évaluation à une décision de développement, notre travail de développement IA part des contraintes de gouvernance plutôt que de les ajouter, et le guide de gouvernance des agents IA couvre le volet opérationnel en détail.
Sources
Questions fréquentes
La deadline high-risk de l'AI Act a-t-elle vraiment changé ou n'était-ce qu'une proposition ?
Elle a vraiment changé et c'est désormais une loi définitive. Le paquet Omnibus Numérique a été convenu politiquement le 7 mai 2026 et publié au Journal officiel fin juillet 2026, moment où il est entré en vigueur. Les obligations pour les systèmes Annex III stand-alone à haut risque s'appliquent maintenant à partir du 2 décembre 2027 au lieu du 2 août 2026. Toute source lue avant août 2026 présentant cela comme provisoire ou en attente d'adoption formelle est obsolète.
Quelles obligations de l'AI Act sont en vigueur dès maintenant ?
Le régime des pratiques interdites selon l'article 5 s'applique depuis février 2025 et les obligations imposées aux fournisseurs d'IA généraliste depuis août 2025. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 et ont été explicitement exclues du report. Si vous exploitez un chatbot ou un agent vocal orienté client dans l'UE, l'obligation de divulguer que l'utilisateur interagit avec une IA est une obligation présente aujourd'hui.
Le report s'applique-t-il aussi à l'IA intégrée dans les produits physiques ?
Celle-ci suit un calendrier différent et plus tardif. L'IA intégrée dans les produits déjà couverts par la réglementation de sécurité des produits de l'UE (la catégorie Annex I, qui englobe les dispositifs médicaux et les machines) a été repoussée au 2 août 2028. Ces deux catégories étaient toutes deux prévues pour août 2026 selon la loi originale et ont maintenant été séparées, de sorte qu'il n'y a plus une seule « deadline high-risk ».
Ma société suisse est-elle concernée si nous ne vendons pas dans l'UE ?
La loi vous atteint dès lors que votre système d'IA est mis sur le marché de l'UE ou que son output est utilisé dans l'UE. Une entreprise suisse desservant des clients de l'UE relève donc du champ d'application, indépendamment de son siège. Les obligations suisses s'y ajoutent : la Loi fédérale révisée sur la protection des données régit les données personnelles traitées par votre agent indépendamment de sa classification au titre de l'AI Act, et les autorités de secteur comme FINMA imposent leurs propres attentes de transparence aux entreprises réglementées.
Devons-nous ralentir nos efforts de conformité maintenant que la deadline a changé ?
Ralentir la documentation de conformité est raisonnable. Ralentir le travail d'ingénierie est généralement une erreur. L'évaluation de conformité d'un système Annex III repose sur des preuves qui doivent être générées pendant la vie opérationnelle du système, notamment les journaux de décision, les registres d'examen humain et la traçabilité des données d'entraînement. Un système conçu sans ces mécanismes devra être réconçu plutôt que de recevoir simplement une documentation additionnelle à l'approche de la deadline.