Le calendrier à deux vitesses de l'AI Act : une échéance tient, les autres glissent — ne mésestimez pas le glissement

Le 2 août 2026 — dans six jours — l'AI Act atteint sa première échéance d'application ferme, et ce n'est pas celle que la plupart des dirigeants surveillent. Les échéances haut risque que tout le monde redoutait viennent d'être repoussées par l'accord Digital Omnibus : les systèmes haut risque autonomes (Annexe III) passent du 2 août 2026 au 2 décembre 2027, et les systèmes haut risque intégrés à des produits (Annexe I) du 2 août 2027 au 2 août 2028. La couverture médiatique tient en un mot : répit. Lu en économiste, cette lecture est une erreur — et coûteuse pour les secteurs régulés, intensifs en capital.

Commençons par ce qui ne bouge pas. À partir du 2 août 2026, les obligations de transparence de l'article 50 s'appliquent : l'utilisateur doit être informé qu'il interagit avec une IA, les images, sons et vidéos générés par IA doivent être marqués et lisibles par machine, et les deepfakes représentant des personnes ou événements réels doivent être divulgués. À la même date, la machinerie d'application de la Commission pour les modèles à usage général (GPAI) devient pleinement opérationnelle — demandes d'information, accès au modèle, pouvoirs de retrait — adossée à des amendes jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Les obligations de fond GPAI s'appliquent depuis août 2025 ; ce qui arrive maintenant, ce sont les dents.

La première chose qu'un conseil d'administration devrait noter, c'est que les obligations de court terme n'ont jamais été reportées. Toute entreprise dont l'IA touche une interface client, produit du contenu synthétique ou repose sur un modèle à usage général — ce qui décrit désormais la plupart des déploiements dans les fonctions support de l'aéronautique, de l'énergie et de l'O&G — fait face à une obligation effective dans quelques jours, pas quelques années. Le répit de l'Omnibus concerne une catégorie de systèmes différente de celle que la plupart des entreprises déploient en premier.

Venons-en au report lui-même. Décaler l'Annexe III de seize mois et l'Annexe I de douze est réel, et n'a rien d'anodin. Mais une échéance différée n'est pas une exigence réduite. Le travail de conformité — système de gestion des risques, gouvernance des données, documentation technique, supervision humaine, surveillance post-commercialisation — est inchangé. Ce qui a changé, c'est seulement la date à laquelle il doit être terminé. En termes financiers, l'Omnibus n'a pas réduit le passif ; il a repoussé la date d'exercice d'une option que l'entreprise doit toujours financer.

Et les options sont mal évaluées — systématiquement dans le même sens. La réponse naturelle d'une entreprise à « l'échéance a bougé » est de réaffecter le budget ailleurs et d'y revenir plus tard. Cela traite le report comme une remise. C'en n'est pas une. C'est du temps, et le temps a une valeur qui dépend entièrement de ce qu'on en fait. Construisez la capacité de gouvernance maintenant, sans pression d'échéance, et son coût marginal est faible tandis que ses sous-produits — pipelines de données propres, modèles documentés, décisions auditables — paient immédiatement. Construisez-la en 2027 sous date ferme, avec des spécialistes rares et un calendrier comprimé, et vous payez la prime de délai classique.

Cela compte davantage pour l'aéronautique & défense, l'énergie et l'O&G que pour presque tout le monde, pour une raison généralement vécue comme un fardeau et qui est en fait un avantage. Ces secteurs pratiquent déjà exactement la discipline qu'exige la conformité IA haut risque : dossiers de sûreté, dossiers de certification, traçabilité, gestion de versions, seuils d'acceptation. La gouvernance de l'IA haut risque n'est pas un processus étranger greffé de l'extérieur — c'est le muscle d'ingénierie de la sûreté que ces entreprises entretiennent depuis des décennies, pointé vers les modèles. L'entreprise qui le comprend part d'une position acquise, pas d'un départ arrêté, et peut convertir la conformité en argument d'appel d'offres bien avant que ses concurrents n'y voient un coût.

La séquence pratique en découle directement. D'abord, cartographier chaque cas d'usage IA face au calendrier réel — ce qui est exposé au 2 août 2026 (transparence, application GPAI), ce qui a réellement glissé à 2027-2028 (haut risque), et ce qui se trouve dans les fenêtres transitoires (l'interdiction CSAM/deepfake et le délai de grâce sur le marquage, se refermant tous deux le 2 décembre 2026). Ensuite, évaluer le report comme du temps acheté, pas de l'argent économisé, et l'utiliser pour bâtir la gouvernance quand le coût marginal est le plus bas. Une réserve : le Digital Omnibus est un accord politique, son adoption formelle est attendue avant le 2 août 2026, le texte final mérite donc d'être suivi — mais les dates de court terme sont fixées. La question pour un dirigeant de secteur régulé cette semaine n'est pas « combien de temps pouvons-nous attendre » mais « que vaut le fait d'être prêt avant d'y être obligé ».