Report de l'AI Act de l'UE : Quinze mois de preuves de surveillance
Un plan trimestre par trimestre, du Digital Omnibus au 2 décembre 2027
Cet article est publié à des fins pédagogiques et ne constitue pas un avis juridique. Les organisations soumises à l'AI Act européen doivent consulter des conseils qualifiés au sujet de leurs obligations spécifiques.
L'Omnibus a repoussé la date d'entrée en vigueur du contrôle humain, et chaque mois passé à attendre le prochain report est un mois de preuves que vous n'aurez pas.
Ce que le report a réellement permis de gagner
Le règlement (UE) 2026/1744, l'Omnibus numérique sur l'IA, est entré en vigueur le 27 juillet 2026 et a repoussé le bloc à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027. Ce bloc comprend l'article 14 (contrôle humain), l'article 26 (obligations des déployeurs), la gestion des risques, la journalisation et l'évaluation de conformité. Le bloc à haut risque relatif à la sécurité des produits de l'annexe I a quant à lui été repoussé au 2 août 2028. Le calendrier de l'AI Act Service Desk de la Commission montre un déploiement complet achevé d'ici le 2 août 2028.
Deux dates se situent à l'intérieur de cet intervalle. Le 2 décembre 2026, les nouvelles interdictions de l'article 5 relatives aux images intimes non consenties et aux contenus pédopornographiques commencent à s'appliquer, et la période transitoire prévue à l'article 111(4) pour que les systèmes génératifs préexistants respectent le marquage de l'article 50(2) arrive à échéance. Le 2 août 2027, les règles de classification de l'article 6(1) deviennent applicables et les États membres doivent disposer d'au moins un bac à sable réglementaire opérationnel conformément à l'article 57(1) modifié. Le suivi disposition par disposition est assuré par EveryAILaw, la source des dates citées dans cet article.
Nous avons déjà traité la refonte de l'article 4 et la manière d'auditer le contrôle une fois les registres constitués ailleurs sur ce blog. Cet article se situe entre les deux, au niveau de la planification : que faire, dans quel ordre, sur les quelque quinze mois qui séparent septembre 2026 de l'échéance de l'annexe III. La plupart des présentations de planification interprètent ce report comme un soulagement. Nous y voyons plutôt un compte à rebours.
Pourquoi les preuves de contrôle exigent un délai de constitution
L'article 14(4) énumère ce que les personnes physiques chargées du contrôle doivent être en mesure de faire : comprendre les capacités et les limites du système et surveiller les anomalies, dysfonctionnements et performances inattendues ; rester conscientes du biais d'automatisation ; interpréter correctement les résultats ; décider de ne pas utiliser un résultat ou de l'ignorer, de le contourner, de le révoquer ou de l'inverser ; et intervenir ou arrêter le système. L'article 26(2) impose aux déployeurs de confier le contrôle à des personnes physiques disposant des compétences, de la formation et de l'autorité nécessaires, ainsi que du soutien requis. L'article 26(5) impose aux déployeurs de surveiller le fonctionnement du système sur la base de la notice d'utilisation.
Lu comme une simple liste de conformité, chacun de ces éléments correspond à un document. Lu comme une cible d'audit, chacun devient une question portant sur le comportement démontré d'une personne nommée, dans la durée. Quelle personne ? Désignée à quelle date ? Sur la base de quelle preuve de compétence ? Combien de fois a-t-elle contourné le système, et avec quel résultat ?
C'est de là que vient le délai de constitution. Une désignation assortie d'une base de compétence exige une mesure avant la désignation. Un historique de contournements et d'escalades exige des mois de fonctionnement réel, avec une journalisation du contexte activée. Un dossier de remédiation exige une mesure de référence, une intervention, puis une seconde mesure. Le report n'a rien changé à la nature des preuves attendues. Il a simplement fixé le délai dont nous disposons pour les réunir d'ici décembre 2027.
Le plan trimestre par trimestre
Le tableau ci-dessous part de l'hypothèse d'une organisation qui déploie, ou prévoit de déployer, au moins un système relevant de l'annexe III et qui n'a pas encore désigné ses personnes chargées du contrôle. Chaque trimestre produit un livrable dont dépend le trimestre suivant.
| Trimestre | Repère réglementaire | Preuves à produire | Report au trimestre suivant |
|---|---|---|---|
| T4 2026 | 2 déc. : nouvelles interdictions de l'art. 5 ; échéance de marquage de l'art. 50(2) pour les systèmes génératifs préexistants | Inventaire d'exposition à l'annexe III. Rôles associés aux systèmes. Journalisation du contexte décisionnel activée à chaque étape de revue. Désignations provisoires de contrôle au titre de l'art. 26(2). | Une personne nommée par système et un journal conservant ce que le relecteur a vu. |
| T1 2027 | Aucun repère au calendrier de l'UE | Mesure comportementale de référence de chaque personne désignée à titre provisoire, au regard des capacités de l'art. 14(4). Liste des écarts par rôle, non par nom. | Une base de compétence pour chaque désignation, ou une décision de réaffectation. |
| T2 2027 | Aucun repère au calendrier de l'UE | Remédiation : formation ciblée là où l'écart relève d'un manque de connaissances, changement de rôle sinon. Procédure d'escalade testée au moins une fois par système. | Dossiers de remédiation et historique d'escalade réel. |
| T3 2027 | 2 août : règles de classification de l'art. 6(1) ; bacs à sable nationaux opérationnels | Seconde mesure. Réconciliation des désignations avec les notices d'utilisation fournies par le fournisseur et les mesures du déployeur au titre de l'art. 14(3)(b). Audit de contrôle à blanc. | Preuves d'évolution avant/après et un constat d'audit rédigé en interne. |
| T4 2027 | 2 déc. : les obligations liées aux systèmes à haut risque de l'annexe III s'appliquent | Verrouillage du dossier de preuves : désignations, base de compétence, nombre de contournements et d'escalades, remédiation, résultats de la seconde mesure. | Le dossier qu'une autorité demandera dès le premier jour. |
Trois remarques de planification.
Les repères de décembre 2026 ne relèvent pas du contrôle humain, mais mobiliseront les mêmes équipes de gouvernance. Il convient de séquencer la revue du marquage et le contrôle des interdictions dès octobre, afin que l'inventaire relatif à l'annexe III ne soit pas repoussé à janvier.
Les deux trimestres vides sont ceux où le plan échoue habituellement. Aucune échéance externe ne pèse sur le T1 ou le T2 2027, ce qui en fait les trimestres les plus susceptibles d'être réaffectés à l'urgence du moment. Ce sont aussi les seuls trimestres où une mesure de référence et une remédiation peuvent toutes deux avoir lieu tout en laissant le temps de remesurer.
Un audit à blanc au T3 coûte moins cher que l'audit réel au T4. Un constat défavorable rédigé en interne en septembre 2027 laisse un trimestre entier pour y remédier.
Deux registres impossibles à reconstituer a posteriori
Les politiques, descriptions de rôles, programmes de formation et réconciliations avec les notices d'utilisation peuvent, au besoin, être rédigés au dernier trimestre. Deux registres, en revanche, ne le peuvent pas.
Le premier est l'historique opérationnel : nombre de contournements, nombre de rejets, dossiers d'escalade avec leurs issues, et contexte décisionnel conservé à chaque étape de revue. Un flux de travail qui journalise l'approbation mais efface ce que l'approbateur a vu ne produit qu'un horodatage, et aucun effort déployé au T4 ne permet de récupérer le contexte manquant. Une journalisation activée en octobre 2026 fournit quatorze mois d'historique. Activée en octobre 2027, elle n'en fournit que deux.
Le second est la base de compétence de chaque désignation. Les attestations de suivi de formation démontrent qu'un programme a été dispensé. Elles ne démontrent pas que la personne est capable de détecter une anomalie dans le résultat produit par le système, de repérer son propre biais d'automatisation, ou de choisir de passer outre sous pression temporelle. Cette démonstration repose sur l'observation de la personne face à des contenus sciemment erronés, et une observation unique au T4 ne prouve qu'un point dans le temps. Une mesure de référence au T1, une remédiation au T2 et une remesure au T3 démontrent en revanche une trajectoire — la forme de preuve qu'une autorité jugera crédible.
Les organisations hors UE qui utilisent la liste de l'article 14 comme référence de contrôle sont soumises au même délai de constitution, sans en avoir la date butoir. Le vocabulaire commun permettant de décrire ces obligations de manière homogène d'une juridiction à l'autre est fourni par le schéma Obligation First, qui constitue un format d'enregistrement plutôt qu'un énoncé des exigences légales ; la couche de préparation organisationnelle relève, elle, d'AI Posture.
D'où vient la moitié comportementale
PAICE (People + AI Collaboration Effectiveness) produit la base de compétence figurant dans les lignes T1 et T3 du tableau. La méthode présente un travail réaliste comportant des erreurs volontairement introduites et mesure si la personne les détecte, vérifie l'affirmation sur laquelle repose la décision, rejette ou corrige le résultat, et déclenche une escalade lorsqu'une source ne peut être confirmée. Il s'agit des capacités de l'article 14(4) exprimées en comportements observés — non pas ce que la personne déclare faire, mais ce qu'elle fait réellement.
L'architecture de confidentialité importe pour un déployeur qui planifie ses désignations. Les scores sont rattachés à des identifiants hachés, aucun texte de conversation n'est conservé, et les résultats individuels restent structurellement inaccessibles à l'organisation. Une équipe de gouvernance observe la fiabilité de la cohorte par rôle et décide où concentrer la remédiation et les réaffectations. La personne concernée voit son propre résultat. Le régulateur, à terme, voit un processus de désignation adossé à une véritable mesure.
À compter de septembre 2026, quinze mois suffisent pour construire tout cela. C'est aussi, exactement, le temps qu'il faudrait pour attendre le prochain Omnibus.
Vous souhaitez constituer la base de compétence de vos désignations de contrôle avant décembre 2027 ? En savoir plus sur PAICE pour les organisations ou passez une évaluation individuelle pour en faire l'expérience directement.
Lectures recommandées
- L'article 4 de l'AI Act européen sur la littératie en IA après l'Omnibus numérique - Ce qu'exige réellement l'obligation de littératie assouplie, et ce qu'elle n'a jamais démontré
- Comment auditer le contrôle humain dans les flux de travail assistés par l'IA - La liste de six questions à appliquer une fois les registres constitués
- La préparation réglementaire n'est pas la littératie en IA - Pourquoi les certificats de formation et les preuves réglementaires sont deux choses distinctes
- Le vide probatoire - Pourquoi le risque lié à la collaboration avec l'IA ne dispose pas encore d'un système de preuves
Curieux mais pressé ?
Faites le PAICE Pulse en 3 minutes — une vérification rapide qui cartographie votre perception de votre posture de collaboration IA. Aucune connexion requise.