Amendements au règlement européen sur l'IA 2026 : ce que change le règlement (UE) 2026/1744

Ce qui s'est réellement passé

Le Parlement européen et le Conseil ont adopté le Règlement (UE) 2026/1744 le 8 juillet 2026 à Strasbourg. Il a été publié au Journal officiel le 24 juillet et est entré en vigueur le 27 juillet, le troisième jour après sa publication plutôt que le vingtième habituel, car le 2 août était trop proche pour laisser le texte en suspens. Son rôle formel est limité : modifier le Règlement (UE) 2024/1689 - l'AI Act - ainsi que le Règlement de base sur l'aviation et le Règlement sur les machines. Tout le monde l'appelle l'Omnibus numérique sur l'IA.

Un règlement modifiant un règlement s'applique directement dans les 27 États membres. Pas d'étape de transposition, pas d'acte d'application national à attendre, pas de dérive entre Dublin et Varsovie. L'AI Act que vous avez lu le mois dernier est un document différent aujourd'hui.

Ce n'est pas une abrogation, et ce n'est pas la déréglementation que certains lobbyistes demandaient. Les niveaux de risque ont survécu. La liste des pratiques interdites est devenue plus longue, pas plus courte. Ce qui a bougé, c'était le calendrier pour le chapitre le plus coûteux, plus une poignée d'obligations dont le respect est devenu moins cher.

La seule date qui n'a pas bougé : le 2 août 2026

C'est la partie que les gros titres sur le retard enterrent, et c'est la partie qui arrive en premier. L'article 50, le chapitre sur la transparence, s'applique toujours à partir du 2 août 2026. Si vous lisez ceci la semaine de sa publication, c'est dans quelques jours, pas dans quelques trimestres.

• Dites aux gens qu'ils parlent à une machine. Un système d'IA interagissant avec des personnes physiques doit le préciser, sauf si cela est évident du contexte.
• Marquez le contenu synthétique de manière lisible par une machine. L'audio, l'image, la vidéo et le texte générés ou manipulés par l'IA doivent porter une marque détectable par une machine.
• Étiquetez les deepfakes. Le contenu qui ressemble à de vraies personnes, lieux ou événements et qui pourrait induire en erreur doit être divulgué comme étant généré artificiellement.
• Divulguer le texte généré par l'IA et publié pour informer le public sur des questions d'intérêt public, à moins qu'un humain n'en ait assumé la responsabilité éditoriale.
• Reconnaissance des émotions et catégorisation biométrique : les déployeurs doivent informer les personnes exposées au système.

Une concession a été accordée. L'article 50(2) - le marquage lisible par machine des résultats synthétiques - bénéficie d'une période de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026. Les nouveaux systèmes ne bénéficient d'aucune période de grâce. Le reste de l'article 50 entre en vigueur le 2 août sans aucune transition, et les nouveaux articles d'application entrent en vigueur le même jour.

Les neuf changements importants

Loi originale à gauche, position modifiée à droite. Les numéros d'article se réfèrent à la loi sur l'IA telle que modifiée.

• 1. Calendrier des risques élevés (article 113). Auparavant : systèmes de l'annexe III autonomes à partir du 2 août 2026, IA intégrée dans les produits réglementés de l'annexe I à partir du 2 août 2027. Maintenant : 2 décembre 2027 pour l'annexe III, 2 août 2028 pour l'annexe I section A. Les systèmes à haut risque existants déjà utilisés par les autorités publiques ont jusqu'au 2 août 2030. Le projet de novembre 2025 de la Commission avait lié ces dates à un déclencheur conditionnel de préparation aux normes ; le texte final l'a abandonné, de sorte que ce sont des dates calendaires inconditionnelles qui ne peuvent plus être reportées sans une nouvelle procédure législative.
• 2. Nouvelles interdictions (article 5). Auparavant : huit pratiques interdites, applicables depuis le 2 février 2025. Maintenant : deux de plus - la génération ou la manipulation de matériel intime sans consentement libre, spécifique, éclairé, univoque et explicite, et la pornographie infantile. Applicables à partir du 2 décembre 2026, dans la catégorie de sanction la plus élevée, pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Le nouvel article 5, paragraphe 1a, répartit la responsabilité entre le fournisseur et le déployeur : un fournisseur est visé lorsque cette génération est l'objectif visé, ou est raisonnablement prévisible et reproductible sans modification technique significative. Les fournisseurs sont censés documenter les véritables garanties techniques - formation au refus, garde-fous rapides, filtrage du contenu, détection des abus.
• 3. Marquage de transparence (article 50, paragraphe 2). Auparavant : applicable le 2 août 2026, sans transition. Maintenant : même date pour les nouveaux systèmes, avec une période de grâce jusqu'au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026.
• 4. Alphabétisation en matière d'IA (article 4). Auparavant : les fournisseurs et les déployeurs doivent assurer un niveau suffisant d'alphabétisation en matière d'IA parmi le personnel. Maintenant : prendre des mesures pour soutenir le développement de l'alphabétisation en matière d'IA, avec un langage explicite selon lequel aucun niveau spécifique n'a à être garanti. Plus souple dans le fond, et elle s'applique à partir du 27 juillet 2026. Elle s'applique toujours aux déployeurs, ce qui signifie qu'elle s'applique aux cabinets d'avocats.
• 5. Données de détection des biais (nouvel article 4a). Auparavant : une base juridique étroite pour les fournisseurs à haut risque afin de traiter des catégories spéciales de données personnelles pour détecter et corriger les biais. Maintenant : étendue à tous les fournisseurs et tous les déployeurs de systèmes d'IA et de modèles à usage général, en vertu d'une norme de stricte nécessité avec des garanties. Si le RGPD bloquait vos tests d'équité, ceci est la solution.
• 6. Classification et machinerie à haut risque (Articles 6, Annexe I). Anciennement : un vaste test de composants de sécurité qui incluait de nombreux produits d'IA ordinaires. Désormais : les nouveaux Articles 6(1a)–(1c) excluent les systèmes utilisés pour des fonctions non liées à la sécurité - assistance utilisateur, optimisation des performances, efficacité des services, automatisation, commodité, contrôle qualité - et rétablissent un critère objectif pour ce qui constitue un composant de sécurité. L'IA dans les machines est passée de l'Annexe I Section A à la Section B, de sorte que les Articles 9–15 et 17–25 ne s'y appliquent plus directement ; des exigences équivalentes proviennent d'actes délégués en vertu du Règlement sur les machines, attendus d'ici le 2 août 2027.
• 7. L'enregistrement a été maintenu (Article 6(3), Annexe VIII). Anciennement : les fournisseurs auto-évaluant un système comme n'étant pas à haut risque devaient néanmoins l'enregistrer dans la base de données de l'UE. La Commission avait proposé de le supprimer. Désormais : maintenu, au motif qu'il est crucial pour la surveillance du marché, avec deux points de données retirés de l'Annexe VIII Section B pour alléger le dépôt. Les autorités conservent leur accès.
• 8. Bac à sable (Article 57). Anciennement : les États membres devaient avoir au moins un bac à sable réglementaire pour l'IA opérationnel avant le 2 août 2026. Désormais : 2 août 2027, plus un nouveau bac à sable au niveau de l'Union géré par l'AI Office avec un accès prioritaire pour les PME.
• 9. Application et sanctions (Articles 75, 75a–75d, 99). Anciennement : la supervision était partagée, l'AI Office se concentrant sur les modèles à usage général. Désormais : l'AI Office acquiert une compétence exclusive sur les systèmes d'IA construits sur un modèle à usage général par la même entreprise, et sur l'IA intégrée dans les très grandes plateformes et moteurs de recherche en ligne. Les nouveaux Articles 75a–75d lui confèrent des pouvoirs d'enquête, y compris des inspections sur place et la mise sous scellés des locaux, la capacité d'accepter des engagements contraignants, une procédure de non-conformité avec des sanctions périodiques allant jusqu'à 5 % du chiffre d'affaires quotidien moyen, un délai de prescription de cinq ans et des droits de la défense. L'Article 99 ajoute un niveau d'amendes plafonnées pour les petites entreprises de taille moyenne (une nouvelle définition à l'Article 3, conformément à la Recommandation (UE) 2025/1099 de la Commission) et une place explicite pour les avertissements et les mesures non monétaires. Les obligations de gestion de la qualité simplifiées ont été étendues des micro-entreprises aux PME en général. Le tout à partir du 2 août 2026.

L'UE vient de nommer l'IA agentique, sans la définir

La ligne la plus intéressante de ce règlement ne se trouve dans aucun Article. Elle est dans une nouvelle Annexe XIV, un tableau de codes de nomenclature utilisés pour désigner ce qu'un organisme notifié est compétent pour évaluer. À côté des codes verticaux pour les domaines d'application, l'amendement introduit des codes horizontaux AIH pour la technologie sous-jacente. L'AIH 0401 est l'IA agentique.

Autant que nous puissions en juger, c'est la première fois que l'expression apparaît dans le droit contraignant de l'Union. Son code frère est révélateur : l'AIH 0205 couvre les systèmes d'IA qui apprennent de leur environnement, à l'exclusion de l'IA agentique. Un rédacteur de tableau de codes administratifs a décidé que les systèmes agentiques étaient une catégorie suffisamment distincte pour être distinguée.

Faites attention à ce que cela signifie. Un code administratif n'est pas une définition juridique. Il n'y a pas d'Article définissant un agent, pas de niveau de risque lié à l'autonomie, pas d'obligation qui évolue en fonction du nombre d'étapes qu'un système franchit sans intervention humaine. Le droit de l'Union a mis le mot par écrit et a laissé la substance pour plus tard.

Cette lacune est le problème entier pour quiconque crée des systèmes agentiques dans un domaine réglementé. Les obligations qui s'y attacheront éventuellement sont en cours de rédaction tandis que les systèmes sont déployés, ce qui signifie que la seule position défendable est de limiter ce qu'un agent est capable de faire plutôt que de vérifier ce qu'il a fait. C'est l'argument que nous avons avancé dans governance by construction, et c'est pourquoi Justinian encadre l'espace d'action d'un agent à une juridiction avant de lui permettre d'agir plutôt que de filtrer la réponse après coup. Thomson Reuters a estimé l'adoption de l'IA agentique à 15 % des professionnels en 2026, 77 % s'attendant à ce qu'elle soit centrale à leur flux de travail d'ici 2030. Les règles arriveront au milieu de cette courbe.

Ce qui change pour un cabinet d'avocats qui utilise l'IA

Presque toutes les alertes client concernant cette réglementation sont rédigées pour un responsable de la conformité d'une entreprise qui crée de l'IA. Si vous êtes un cabinet qui l'utilise, le vocabulaire est contre vous. Commencez donc par la distinction. Un fournisseur développe un système d'IA et le met sur le marché sous son propre nom. Un déployeur en utilise un sous sa propre autorité. La plupart des cabinets d'avocats sont des déployeurs, et les devoirs du déployeur sont moins nombreux, mais ils ne sont pas nuls.

• Votre culture de l'IA est vôtre, et elle est vivante. L'article 4 lie les déployeurs ainsi que les fournisseurs. L'amendement l'a assoupli pour soutenir le développement de la culture plutôt que de garantir un niveau, à compter du 27 juillet 2026. C'est une exigence moins élevée, mais pas absente, et il n'y a toujours pas d'exemption pour les petits cabinets.
• Si vous examinez des CV avec l'IA, vous déployez un système à haut risque. Le recrutement figure à l'annexe III point 4. Les obligations qui y sont associées devaient être respectées le 2 août 2026 et doivent désormais l'être le 2 décembre 2027. Seize mois supplémentaires, c'est la chose la plus précieuse que cette réglementation offre à un cabinet d'avocats ordinaire.
• Si vous publiez des commentaires rédigés par l'IA, divulguez-le. L'article 50(4) couvre les textes publiés pour informer le public sur des questions d'intérêt public, et l'exemption repose sur la responsabilité éditoriale humaine. Le contenu de blog de cabinet généré en volume sans relecteur humain nommé est précisément le cas qu'il décrit. À partir du 2 août 2026.
• Si vous utilisez un chatbot en contact avec la clientèle, dites que c'est une machine. Article 50(1), à partir du 2 août 2026, sauf si cela est évident.
• Si vous développez en interne, vous êtes peut-être devenu un fournisseur. Mettez un outil en service sous votre propre nom et l'intégralité du statut de fournisseur peut s'appliquer, y compris l'enregistrement lorsque l'article 6(3) s'applique. Les cabinets qui construisent leurs propres couches de flux de travail sur un modèle devraient faire évaluer cela plutôt que de se contenter d'hypothèses.
• Les tests d'équité sont devenus plus faciles. Le nouvel article 4a donne aux déployeurs une base juridique pour traiter des données de catégories spéciales strictement pour détecter et corriger les biais. Utile si un client s'est demandé si votre triage d'admission désavantageait quelqu'un et que le GDPR était la raison pour laquelle vous ne pouviez pas vérifier.
• L'extraterritorialité n'a pas changé. L'article 2 vise les fournisseurs et les déployeurs en dehors de l'Union lorsque le résultat est utilisé à l'intérieur de celle-ci. Un cabinet à Dubaï ou à Beyrouth servant des clients de l'UE se trouve dans le périmètre. La loi suit le résultat, pas le code postal.

Huit questions pour votre fournisseur d'Legal AI

Nous sommes un fournisseur d'Legal AI, alors lisez ceci en sachant que nous devons y répondre également. C'est d'ailleurs le but - chacune de ces questions a une réponse spécifique et vérifiable, et un fournisseur qui ne peut pas vous en donner une vous dit quelque chose.

• Pour tout ce que nous entreprenons avec vous, êtes-vous le fournisseur d'un système à haut risque de l'Annexe III, et quel point de l'Annexe III ?
• Quelles obligations de l'Article 50 le produit décharge-t-il pour nous, et lesquelles nous incombent-elles en tant que déployeur ? Nommez-les individuellement.
• Marquez-vous aujourd'hui les résultats générés par l'IA de manière lisible par machine, et sinon, le ferez-vous avant le 2 décembre 2026 ?
• Lorsque l'auto-évaluation de l'Article 6(3) vous concerne, êtes-vous enregistré dans la base de données de l'UE, et pouvons-nous consulter l'entrée ?
• En quoi consiste votre support de l'Article 4 - une formation et des matériaux concrets, ou un PDF et un webinaire ?
• Laquelle des deux nouvelles interdictions de l'Article 5 notre utilisation de votre outil pourrait-elle raisonnablement déclencher, et quelles garanties techniques documentez-vous contre celles-ci ?
• Qui est votre représentant autorisé dans l'Union, et quelle autorité de surveillance du marché vous supervise ?
• Si votre système est construit sur votre propre modèle à usage général, l'AI Office est-il désormais votre superviseur exclusif en vertu de l'Article 75 reformulé ?

Ce qui n'a pas changé

• Obligations des IA à usage général. Articles 51 à 55, en vigueur depuis le 2 août 2025, inchangés. Les seuils de risque systémique et les obligations des fournisseurs de modèles restent.
• Les interdictions initiales. Le scoring social, la manipulation subliminale, certaines catégorisations biométriques et le reste sont appliqués depuis le 2 février 2025 et n'ont pas été rouverts.
• L'annexe III elle-même. La liste de classification est inchangée. Un système qui était à haut risque en juin est toujours à haut risque. Seule la date à laquelle il doit être conforme a été déplacée, et les évaluations déjà effectuées restent valables.
• Les niveaux d'amende supérieur et intermédiaire. Jusqu'à 35 millions d'euros ou 7 % pour les pratiques interdites, et le niveau inférieur, sont restés tels quels.
• L'architecture. Niveaux de risque, évaluation de la conformité, la voie de l'organisme notifié, la base de données, la surveillance du marché. L'UE est toujours la seule juridiction au monde avec une loi horizontale complète sur l'IA, et cet amendement la laisse intacte.

Notre lecture

Le délai est réel et limité. Un chapitre a été déplacé, pour de bonnes raisons qui tiennent davantage à l'absence de normes harmonisées et d'infrastructures d'évaluation de la conformité qu'à un quelconque changement d'avis. Interpréter cela comme un recul de l'UE est une erreur pour les deux prochaines années.

Pour les fournisseurs, la pression a augmenté. À partir du 2 août 2026, l'Office de l'IA pourra inspecter les locaux et les sceller, imposer des sanctions périodiques et prendre des engagements contraignants. L'enregistrement a survécu à une tentative de suppression. Le marquage lisible par machine des résultats synthétiques devient une exigence produit avec une date butoir. Rien de tout cela n'est un allègement; c'est la même substance avec une meilleure application et une facture ultérieure pour la partie la plus chère.

Le déclencheur conditionnel abandonné est le détail sous-estimé. Le projet de novembre aurait laissé les dates de haut risque flotter en fonction de la disponibilité des normes. Le texte final les fixe. Quiconque a construit un plan autour d'un nouveau glissement devrait le reconstruire : le 2 décembre 2027 et le 2 août 2028 nécessitent désormais une toute nouvelle procédure législative pour être déplacés, et personne ne veut refaire celle-ci deux fois.

Nous ne sommes pas une entreprise établie dans l'UE. Nous construisons depuis Beyrouth et nos clients sont concentrés au Moyen-Orient et en Europe, ce qui nous place clairement dans le champ d'application de l'article 2 et hors du confort de penser que c'est la réglementation de quelqu'un d'autre. Nous avons donc lu le texte consolidé le jour de sa publication plutôt que d'attendre un résumé, et nous préférons publier les dates clairement plutôt que de vendre une panique liée à la conformité. La position honnête au 28 juillet 2026 est que la plupart des entreprises ont une échéance dans quatre jours et une autre dans vingt-huit mois, et confondre les deux dans un sens ou dans l'autre est l'erreur coûteuse.

• Règlement (UE) 2026/1744 sur EUR-Lex
• Service d'assistance de la Commission européenne pour l'IA Act
• Freshfields - l'Omnibus Numérique final sur l'IA
• Gibson Dunn - délais à haut risque reportés et autres changements clés
• Thomson Reuters - Rapport 2026 sur l'IA dans les services professionnels

• Gouvernance par construction - restreindre ce qu'un agent peut faire
• Comment HAQQ gère la sécurité et la conformité
• Justinian - IA juridique à portée juridictionnelle
• Pourquoi l'examen humain est une fonctionnalité conçue
• Comment devenir un cabinet d'avocats AI-native