AI Act : ce que le report de décembre 2027 ne reporte pas
Le 2 août 2026 devait tout déclencher. Un règlement paru neuf jours plus tôt a déplacé l’essentiel de l’AI Act. Voici ce qui reste dû, et ce qui ne se rattrape pas.
Beaucoup d’établissements ont inscrit le 2 août 2026 dans leur plan de conformité. La date était juste au moment où ils l’ont notée. Elle ne l’est plus tout à fait.
Neuf jours avant l’échéance, l’Union européenne a publié le règlement (UE) 2026/1744, dit Digital Omnibus on AI. Il déplace au 2 décembre 2027 les obligations les plus lourdes de l’AI Act, dont celles qui visent le tri des candidatures et la notation.
Le report est donc réel, et partiel. Voici ce qu’il vous laisse à faire aujourd’hui, et ce qu’il vous laisse à préparer.
Ce que le report change, et ce qu’il ne change pas
Le calendrier d’origine tenait en quatre paliers. Celui du 2 août 2026 portait l’essentiel du texte, dont les systèmes à haut risque de l’annexe III — ceux qui vous concernent. Un dernier palier, en 2027, visait les systèmes intégrés à des produits déjà réglementés ; il glisse à 2028 et ne change rien pour une école. L’omnibus a ouvert le palier de 2026 en deux. Une part est partie à décembre 2027. Le reste est arrivé à la date prévue.
Deux mots reviennent dans le texte, et la distinction décide de tout. Le fournisseur construit et vend le système. Le déployeur l’utilise. Une école est presque toujours déployeur, et c’est à ce titre que la loi lui parle.
Une nuance sur le marquage des contenus générés : il bénéficie d’un sursis. Les fournisseurs dont le système générait déjà des contenus avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour s’y conformer. Votre part, ici, tient dans le choix du fournisseur.
Votre établissement est-il concerné ?
Le « haut risque » n’est pas une catégorie floue. L’annexe III de l’AI Act nomme huit domaines, et l’un d’eux est l’éducation et la formation professionnelle. Quatre usages y sont classés :
- décider de l’accès et de l’admission ;
- évaluer les acquis d’apprentissage ;
- déterminer le niveau d’enseignement accessible ;
- détecter les comportements interdits pendant une épreuve.
Une école qui trie des dossiers de candidature avec un outil d’IA déploie donc un système à haut risque. Un centre de formation qui note automatiquement des travaux aussi.
Le classement n’est pourtant pas automatique. Un système qui ne pèse pas sur l’issue de la décision en sort : la tâche procédurale étroite, l’amélioration d’un travail humain déjà achevé, la préparation d’une évaluation. Ce qui compte est la finalité prévue, et l’influence réelle sur le résultat.
Cette réserve a une limite, et elle est nette : un système qui profile des personnes reste à haut risque, toujours. Corriger l’orthographe d’une copie ne relève pas de la même analyse que classer un candidat d’après son parcours.
Ce que vous devez déjà faire
Former vos équipes, d’abord. L’obligation de littératie IA s’applique depuis le 2 février 2025, à tout déployeur, sans seuil d’effectif : une école de cinq personnes qui utilise un assistant conversationnel y est soumise comme un groupe. L’omnibus l’a réécrite en obligation de moyens — soutenir le développement des compétences, au lieu de garantir un niveau. Elle reste une obligation.
Vérifier vos usages, ensuite. Depuis le 2 août 2026, une personne doit savoir qu’elle parle à une machine, et un contenu généré doit être signalé. Ces deux obligations-là pèsent sur le fournisseur du système, pas sur l’école qui s’en sert. Elle se lit donc dans un contrat, et se vérifie avant la signature.
Ce que vous risquez, enfin. Les plafonds de sanction n’ont pas bougé : 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements aux obligations. Le montant le plus élevé s’applique, et les plafonds sont abaissés pour les PME.
Ce qui vous attend le 2 décembre 2027
Trois exigences se détachent, dès qu’un système est classé à haut risque. Le texte du déployeur en compte davantage, et il les adresse à vous.
- Conserver les journaux que le système produit, six mois au minimum.
- Confier la supervision à des personnes compétentes, formées, et dotées de l’autorité de dire non.
- Informer les personnes soumises au système qu’elles le sont.
Ces trois exigences arrivent en décembre 2027. Elles arrivent quand même.
Deux lectures du report
La raison officielle est prosaïque. Les autorités nationales compétentes n’étaient pas désignées partout. Les normes harmonisées, sans lesquelles un fournisseur ne sait pas comment se mettre en conformité, ne sont pas publiées. Une échéance sans outil de conformité produit de l’insécurité juridique, pas de la protection.
Les organisations de défense des droits lisent le même texte autrement. Le 11 juin 2026, cinq jours avant le vote du Parlement, Amnesty International et huit autres organisations ont demandé aux élus de rejeter le texte, qu’elles décrivent comme un recul des garanties.
Un troisième argument vise l’architecture du marché. Une analyse publiée sur le Blog Droit Européen rappelle que la majorité des systèmes d’IA à haut risque déployés en Europe viennent de l’extérieur de l’Union, principalement des États-Unis. Reporter la contrainte prolonge alors une dépendance, plus qu’il ne donne du temps à une industrie européenne.
Les deux lectures se tiennent. Aucune ne change ce que votre établissement doit préparer.
Pourquoi le délai n’est pas du temps gagné
Le report se lit comme un cadeau de calendrier. Il n’en est un que pour les organisations dont les données sont déjà tenues.
Regardez ce que ces trois exigences demandent vraiment. Conserver six mois de journaux suppose que votre système en produise, qu’ils soient horodatés, et qu’ils survivent à un export. Confier la supervision à une personne identifiée suppose de savoir qui a validé quoi, et quand. Informer un candidat qu’un système l’a évalué suppose de retrouver, un an après, le dossier exact que ce système a lu.
Aucune de ces trois exigences ne se coche. Ce sont des propriétés d’architecture.
Une candidature qui transite par un tableur, un fil de messagerie et trois exports manuels ne produit pas de journal. Elle produit des copies. Le jour où un candidat conteste une décision, personne ne peut dire quelle version de son dossier a servi, ni qui l’a arbitrée. Décembre 2027 ne répare pas cela : le délai donne le temps de le reconstruire, ce qui est un autre travail, plus long.
C’est la raison pour laquelle Subrequest range la traçabilité du côté du socle de données, et non du côté des options. Ce qui s’écrit sur le socle garde son origine, son auteur et sa date — la conformité devient une lecture du système, pas un chantier de reconstitution. Nous décrivons cette démarche, étape par étape, sur notre page méthodologie.
Le 2 décembre 2027 tombera un jeudi. Les établissements qui l’aborderont sereinement ne seront pas ceux qui auront attendu 2027 pour l’ouvrir.