On a beaucoup retenu, ces dernières semaines, que l'AI Act venait de gagner un peu d'air. Un accord politique sur le paquet « Digital Omnibus », scellé le 7 mai 2026, repousse les obligations de conformité pour les systèmes à risque élevé listés à l'Annexe III d'août 2026 à décembre 2027, seize mois de plus pour les entreprises. Les systèmes embarqués, eux, gagnent un an supplémentaire, jusqu'à août 2028. De quoi soulager une partie de l'industrie européenne, qui réclamait du temps depuis des mois.
Mais dans ce même texte se cache une disposition qui, elle, ne bouge pas d'un pouce : deux interdictions précises entrent en application dès le 2 décembre 2026. Elles concernent la génération par IA de contenus intimes non consentis et les systèmes destinés à produire du matériel d'abus sexuel sur mineurs (CSAM). Ces deux usages sont proscrits sans période de grâce, sans exemption pour les PME, sans marge de manœuvre.
Un calendrier à deux vitesses
Le contraste est frappant. D'un côté, la Commission européenne assouplit sensiblement le calendrier pour les systèmes classés à risque élevé : reconnaissance faciale dans certains contextes, outils de notation de crédit, systèmes utilisés dans le recrutement ou l'éducation. Ces acteurs auront jusqu'en décembre 2027 pour se mettre en conformité, contre août 2026 initialement prévu. L'accord prévoit aussi une exemption pour l'IA appliquée à la machinerie industrielle, désormais couverte par le règlement Machinery Regulation plutôt que par l'AI Act lui-même.
De l'autre côté, sur les usages jugés les plus dommageables pour les personnes, aucun report n'est envisagé. Le texte distingue clairement les risques systémiques ou organisationnels, qui peuvent attendre une mise en conformité progressive, des atteintes directes à la dignité et à la sécurité des individus, qui ne souffrent aucun délai.
Ce que couvrent ces deux interdictions
La première interdiction vise les IA capables de générer des contenus à caractère intime représentant une personne réelle sans son consentement, ce qu'on appelle communément les deepfakes sexuels. Le phénomène a explosé avec la démocratisation des outils de génération d'images et de vidéos, touchant aussi bien des personnalités publiques que des particuliers, souvent des femmes, via des applications grand public.
La seconde cible les systèmes utilisés pour produire du contenu pédopornographique généré par IA. Ce sujet occupe les régulateurs du monde entier depuis l'apparition de modèles génératifs capables de produire des images synthétiques réalistes, un problème que les lois existantes sur le CSAM, pensées pour du contenu photographique réel, peinent à couvrir pleinement.
Le texte trace une ligne nette entre la gestion du risque organisationnel, qui tolère des délais, et la protection des personnes contre certains usages, qui n'en tolère aucun.
Des PME mieux loties, mais pas sur tout
Le Digital Omnibus étend par ailleurs le régime simplifié aux entreprises comptant jusqu'à 750 salariés et 150 millions d'euros de chiffre d'affaires, un relèvement net du seuil qui élargit considérablement le nombre de sociétés pouvant bénéficier d'obligations allégées. L'objectif affiché par la Commission : ne pas freiner l'innovation européenne face à la concurrence américaine et chinoise, dans un contexte où plusieurs industriels du continent dénonçaient depuis des mois la complexité du texte initial.
Mais cet assouplissement ne s'applique en rien aux deux interdictions de décembre 2026. Quelle que soit la taille de l'entreprise, développer ou déployer un système entrant dans ces deux catégories reste illégal sur le territoire européen à partir de cette date. Le Conseil de l'Union européenne, qui a validé l'accord aux côtés de la Commission, a insisté sur ce point lors des négociations : la flexibilité accordée sur les délais de mise en conformité ne devait en aucun cas s'étendre aux usages jugés intrinsèquement nuisibles.
Reste à voir comment ces interdictions seront concrètement appliquées et contrôlées, notamment face à des outils souvent hébergés hors de l'UE ou diffusés via des canaux difficiles à tracer. La Commission n'a pas encore détaillé les mécanismes de contrôle qui accompagneront l'entrée en vigueur de ces règles en décembre prochain.
