AI Act et IA à haut risque à l'automne 2026 : ce que le report de l'omnibus change au Luxembourg

Les obligations de l’AI Act applicables aux systèmes d’IA à haut risque n’ont pas démarré le 2 août 2026 comme prévu. Le règlement (UE) 2026/1744, dit omnibus numérique sur l’IA, en vigueur depuis le 27 juillet 2026, les a reportées au 2 décembre 2027 pour les systèmes autonomes de l’annexe III et au 2 août 2028 pour l’IA intégrée aux produits relevant de l’annexe I. Pour les entreprises luxembourgeoises, les interdictions, la maîtrise de l’IA, les règles sur l’IA à usage général et la transparence suivent leur calendrier initial.

Comment le report a été adopté

La Commission européenne a présenté l’omnibus numérique sur l’IA le 19 novembre 2025. Le Parlement et le Conseil sont parvenus à un accord provisoire début mai 2026 ; le Parlement européen a adopté le texte le 16 juin 2026 et le Conseil le 29 juin 2026. Le règlement, daté du 8 juillet 2026, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026, six jours avant l’échéance initiale.

Les considérants en donnent la raison : les normes applicables aux systèmes à haut risque et les cadres nationaux de gouvernance et d’évaluation de la conformité n’étaient pas prêts, ce qui rendait la mise en conformité plus lourde que prévu. La proposition de la Commission liait le report à la disponibilité des normes et des outils d’accompagnement ; le texte adopté retient des dates fixes.

Le calendrier de l’AI Act après l’omnibus

Ce qui est reporté, et ce qui ne l’est pas

Le report porte sur les sections 1 à 3 du chapitre III du règlement sur l’IA : la classification, les exigences techniques (gestion des risques, gouvernance des données, documentation, journalisation, contrôle humain, exactitude et robustesse) et les obligations des fournisseurs, des déployeurs et des autres opérateurs, y compris l’analyse d’impact sur les droits fondamentaux.

L’article 50 n’a pas été reporté. Depuis le 2 août 2026, les personnes doivent être informées lorsqu’elles interagissent avec un système d’IA, les contenus synthétiques doivent être marqués dans un format lisible par machine et les déployeurs doivent signaler les hypertrucages. Les fournisseurs de systèmes génératifs déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour l’obligation de marquage.

L’omnibus précise aussi le régime transitoire des systèmes déjà commercialisés. Les systèmes à haut risque mis sur le marché avant les nouvelles dates ne sont visés que si leur conception change de manière significative par la suite, et les considérants précisent que cette règle s’apprécie par type et modèle. Les fournisseurs et déployeurs de systèmes à haut risque utilisés par les autorités publiques doivent se conformer au plus tard le 2 août 2030.

Ce que cela signifie pour le Luxembourg

Pour la place financière, les catégories les plus pertinentes de l’annexe III sont l’évaluation de la solvabilité et la notation de crédit des personnes physiques, ainsi que l’évaluation des risques et la tarification en assurance vie et santé. Toutes deux s’appliquent désormais à partir du 2 décembre 2027. Selon le projet de loi n° 8476, la CSSF et le Commissariat aux assurances en assureraient la surveillance, la CNPD couvrant la plupart des autres usages, comme l’IA de recrutement et de gestion du personnel, également visée à l’annexe III. Les fabricants de dispositifs médicaux et d’autres produits de l’annexe I ont jusqu’au 2 août 2028.

Ce délai supplémentaire compte aussi pour l’État. Au 1er octobre 2026, la loi désignant ces autorités n’était pas votée ; le Conseil d’État a rendu son avis, assorti de plusieurs oppositions formelles, le 10 juillet 2026. L’omnibus laisse par ailleurs aux États membres jusqu’au 2 août 2027, au lieu du 2 août 2026, pour rendre opérationnel un bac à sable réglementaire national de l’IA.

Le report n’est pas une pause. Les pratiques interdites, la maîtrise de l’IA et les obligations de transparence sont exigibles dès aujourd’hui, et deux nouvelles interdictions entrent en application le 2 décembre 2026. Les 14 mois qui séparent de décembre 2027 sont le moment de recenser les systèmes d’IA, de confirmer lesquels sont à haut risque et de bâtir la documentation et le contrôle humain que les exigences imposeront, une fois les normes harmonisées disponibles.