L'échéance de l'AI Act que tout le monde redoutait vient de bouger — et report ne veut pas dire annulation

Ce 2 août 2026 ouvre la phase d'application générale de l'AI Act européen — l'échéance que les conseils d'administration des secteurs régulés ont entourée en rouge depuis plus d'un an. Et dans un retournement qui compte bien plus que la cérémonie, les obligations les plus lourdes sont arrivées, ont regardé le calendrier, et ont reculé de seize mois. Bien le lire vaut de l'argent réel.

Commençons par ce qui est effectivement en vigueur et sanctionnable dès aujourd'hui. Transparence (article 50) : tout système d'IA qui interagit avec des personnes doit se déclarer comme IA, les deepfakes et contenus synthétiques doivent être étiquetés, et — point clé — l'obligation pèse sur les déployeurs, pas seulement sur les concepteurs de modèles. Les pouvoirs de contrôle de l'AI Office sur l'IA à usage général deviennent opérationnels : la documentation technique, la politique de droit d'auteur et les résumés de données d'entraînement, nominalement requis depuis août 2025, ont désormais des dents. Et l'architecture de sanctions s'active — jusqu'à 7,5 M€/1% pour information erronée aux autorités, 15 M€/3% pour manquements GPAI et transparence, et 35 M€ ou 7% du chiffre d'affaires mondial pour les pratiques interdites. Chaque plafond dépasse le maximum RGPD de 20 M€/4%.

Voyons maintenant ce qui n'est pas arrivé. Le paquet de simplification Digital Omnibus, finalisé le 29 juin 2026, a déplacé les obligations à haut risque de l'Annexe III — recrutement et gestion des travailleurs, scoring de crédit, accès aux services essentiels, éducation, forces de l'ordre — d'aujourd'hui au 2 décembre 2027. Les évaluations de conformité, analyses d'impact sur les droits fondamentaux, l'enregistrement et la journalisation qui donnent à l'AI Act sa portée opérationnelle pour la plupart des déployeurs industriels se retrouvent seize mois plus loin. Les systèmes à haut risque de l'Annexe I — l'IA comme composant de sécurité au sein de produits déjà régulés, avionique ou dispositifs médicaux — passent au 2 août 2028.

Le marché y a vu un soulagement et l'a valorisé comme des vacances. C'est l'erreur qu'un économiste doit signaler. Un report n'est pas une annulation. Le point d'arrivée est inchangé ; ce qui a bougé, c'est la piste d'envol. La valeur actuelle attendue du coût de conformité a baissé — elle est actualisée sur un horizon plus long et amortissable sur davantage de trimestres — mais l'obligation terminale est exactement aussi certaine qu'elle l'était le 28 juin.

Poussez cette logique et elle inverse la réponse intuitive. Quand un coût futur certain devient moins cher à préparer — plus de temps, une moindre prime d'urgence, la possibilité d'intégrer les contrôles dans des systèmes que vous alliez de toute façon renouveler plutôt que de les rajouter après coup — le geste rationnel est d'acheter davantage de préparation maintenant, pas moins. Seize mois d'optionalité ne valent que pour l'entreprise qui exerce l'option. Pour les autres, c'est un bouton snooze, et l'alarme sonne le 2 décembre 2027 avec moins de route jusqu'à la falaise.

Un point distributif se cache ici, à l'avantage des opérateurs industriels. Les entreprises de l'aéronautique, de la défense, de l'énergie, du pétrole & gaz et du luxe font déjà tourner des régimes de conformité — DO-178C, spécifications API, BPF, REACH, traçabilité anti-contrefaçon. Pour elles, la machinerie à haut risque de l'AI Act n'est pas une discipline étrangère mais une discipline familière pointée vers un nouvel objet. Le coût marginal d'étendre une fonction de gouvernance existante aux systèmes d'IA est très inférieur au coût qu'affronte une entreprise nativement numérique qui la crée de zéro. Le report élargit cet écart : seize mois suffisent aux aguerris pour industrialiser et aux non-préparés pour continuer de procrastiner.

L'instruction pour un opérateur de secteur régulé, aujourd'hui, est donc peu glamour et précise. Ne célébrez pas le report et ne réduisez pas les effectifs. Utilisez la fenêtre pour cartographier vos cas d'usage IA face aux catégories de l'Annexe III, décidez lesquels sont réellement à haut risque, et intégrez les contrôles dans votre fonction de conformité existante tant que le compteur des sanctions ne tourne pas encore sur cette couche. En parallèle, exécutez les obligations de transparence et GPAI en vigueur dès aujourd'hui — elles sont peu coûteuses, larges et déjà sanctionnables. Le fossé défensif, comme toujours dans les industries régulées, n'est pas le modèle. C'est la gouvernance que vous savez déjà faire tourner.