EU AI ActConformité IADPORSSI

    EU AI Act · Le report de décembre 2027 est une bonne nouvelle. Mais pas pour les raisons que vous croyez.

    27 mars 2026 6 min de lectureEuroAIGuard team

    Le 26 mars 2026, le Parlement européen a voté : 569 voix pour. 45 contre. Les obligations haut risque de l'EU AI Act, qui devaient s'appliquer en août 2026, sont reportées à décembre 2027.

    J'ai vu passer beaucoup de réactions depuis ce vote. Beaucoup de "ouf, on a du temps." Quelques "enfin, les normes n'étaient pas prêtes." Et presque aucun "maintenant, qu'est-ce qu'on fait ?" C'est cette dernière question qui m'intéresse.

    Ce qui a vraiment été voté

    Avant de tirer des conclusions, quelques précisions sur ce que ce vote change concrètement · et ce qu'il ne change pas du tout.

    ✓ Ce qui change

    L'Annexe III, les systèmes haut risque explicitement listés (recrutement, scoring crédit, médical, éducation, justice), ne seront soumis aux obligations strictes qu'à partir du 2 décembre 2027 au lieu du 2 août 2026. Pour les systèmes couverts par la législation sectorielle, la date passe même au 2 août 2028.

    ✗ Ce qui ne change pas

    • · Les pratiques IA interdites depuis février 2025 (manipulation comportementale, notation sociale, biométrie en temps réel) · toujours hors la loi.
    • · L'obligation de littératie IA Art.4 · vos équipes doivent être formées, avec des attestations. Toujours en vigueur depuis février 2025.
    • · Les obligations GPAI Art.52-55 (transparence des LLMs, watermarking) · en vigueur depuis août 2025.

    + Nouveauté ajoutée par le Parlement

    Interdiction explicite des systèmes de "nudification". Sanction : jusqu'à 35 millions d'euros ou 7% du CA mondial.

    Ce vote n'est pas une pause. C'est un rééchelonnement.

    Pourquoi ce report est une bonne nouvelle

    La raison officielle : les normes harmonisées ne seront pas finalisées à temps. C'est vrai. Et c'est légitime. Appliquer des obligations sans normes d'évaluation claires, c'est créer de l'incertitude juridique pour tout le monde.

    Mais la vraie bonne nouvelle, c'est autre chose. Ce report donne aux organisations sérieuses une fenêtre pour faire les choses correctement. Pas dans l'urgence. Vraiment : identifier les systèmes IA, comprendre ce qu'ils font, évaluer les risques, mettre en place la supervision humaine, former les équipes.

    Décembre 2027, c'est 20 mois. C'est juste si vous commencez maintenant. C'est trop court si vous attendez 2027.

    Ce que j'ai vu sur le terrain

    Le problème numéro un n'est jamais "on ne sait pas ce que dit l'EU AI Act." C'est toujours le même : on n'a pas fait l'inventaire.

    • ·Des organisations qui utilisent 15 systèmes IA différents et qui en déclarent 3 parce qu'elles ne savent pas que leur outil RH, leur CRM et leur chatbot support sont aussi des systèmes IA au sens du règlement.
    • ·Des DPO qui savent exactement ce qu'est une AIPD mais qui n'ont aucun outil pour la connecter à l'inventaire IA, au registre des risques et au workflow de validation Direction.
    • ·Des RSSI qui gèrent NIS2, ISO 27001 et DORA en même temps que l'EU AI Act, avec les mêmes ressources qu'avant.

    La stratégie qui gagne

    Les organisations qui seront vraiment prêtes en décembre 2027 ne sont pas celles qui commenceront en janvier 2027.

    1
    Étape 1 · L'inventaire
    Cartographier tous les systèmes IA utilisés. Vraiment tous. Y compris les outils SaaS avec IA intégrée que les métiers ont adoptés sans passer par la DSI.
    2
    Étape 2 · La classification
    Pour chaque système : haut risque, limité, minimal. C'est cette classification qui détermine l'ensemble des obligations applicables.
    3
    Étape 3 · La priorisation
    Concentrer les efforts sur les systèmes haut risque. Ce sont eux qui exposent l'organisation aux sanctions les plus lourdes.
    4
    Étape 4 · La documentation
    AIPD, registre des risques ISO 23894, politique IA ISO 42001. Des documents vivants, pas des livrables qu'on produit une fois et qu'on oublie.
    5
    Étape 5 · La formation
    Art.4 est déjà en vigueur. Les attestations de formation doivent exister maintenant, pas en 2027.

    Note importante

    Ce vote n'est pas encore définitif. La position du Parlement doit être négociée avec le Conseil européen lors des trilogues. Si le texte n'est pas adopté avant le 2 août 2026, les obligations originales s'appliquent automatiquement. Préparez-vous comme si août 2026 était réel. Planifiez comme si décembre 2027 était probable.

    Commencez l'inventaire maintenant

    Hébergé en France sur OVH · Outil opérationnel, pas prestataire juridique.

    Commencer
    EAG

    EuroAIGuard team

    team@euroaiguard.com