AI Act : les infrastructures critiques énergie & O&G sont-elles vraiment reportées à 2027 ?

Depuis le 2 août 2026, la Commission européenne, via son AI Office et les autorités nationales, a commencé à faire appliquer l'AI Act ; de nouvelles règles de transparence s'appliquent à la même date. Le paquet de simplification Digital Omnibus, finalisé le 29 juin 2026, a de son côté repoussé au 2 décembre 2027 les obligations les plus lourdes pour « certains cas d'usage à haut risque » de l'Annexe III — une nouvelle largement lue comme un soulagement général.

Mais le diable est dans l'énumération. Les résumés publics de ce report citent le recrutement et la gestion des travailleurs, le scoring de crédit, l'accès aux services essentiels, l'éducation et l'application de la loi — pas, explicitement, les infrastructures critiques (Annexe III, point 2 : composants de sûreté dans l'électricité, le gaz, le chauffage, les services énergétiques). Pour les systèmes qualifiés à haut risque en O&G et en énergie — prévention d'éruption en amont, détection de fuite sur systèmes SCADA en midstream, pilotage de dispatch en production électrique — la clarté manque à ce stade.

Cette zone grise a un prix concret : le régime de sanctions de l'AI Act atteint 15 M€ ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé des deux étant retenu, pour non-conformité d'un système à haut risque. Attendre une clarification officielle expose donc à un risque asymétrique : le gain d'attendre — un report de la dépense de mise en conformité — est borné, la perte potentielle ne l'est pas.

Analyse Cardan-AI : les opérateurs O&G et énergie ont intérêt à cartographier dès maintenant leurs systèmes d'IA de sûreté au regard du point 2 de l'Annexe III, à documenter formellement l'hypothèse retenue (report présumé ou non) et à engager la mise en conformité des cas les plus critiques sans attendre une clarification qui pourrait arriver après l'exposition au risque.