L'échéance clé de la Loi sur l'IA de l'UE a été repoussée. Pas le travail.
Quelques jours avant l'entrée en vigueur de ses obligations les plus exigeantes, l'UE les a repoussées à 2027. Y voir un répit serait une erreur.
Ce qui s'est réellement passé ce mois-ci.
Pendant deux ans, la Loi sur l'IA de l'UE avait une date marquante à l'agenda : le 2 août 2026, où les obligations visant les systèmes d'IA à haut risque, embauche, évaluation du crédit, éducation, application de la loi, contrôle des frontières, arrivaient enfin à échéance. Six jours avant, l'UE a changé l'agenda. L'Omnibus numérique sur l'IA, en vigueur depuis le 27 juillet, a repoussé les obligations relatives aux systèmes autonomes à haut risque au 2 décembre 2027, et celles visant l'IA intégrée à des produits réglementés à août 2028. Ainsi, le titre voulant que la Loi sur l'IA soit désormais pleinement en vigueur n'est pas tout à fait exact. Sa vague la plus exigeante vient de glisser de plus d'un an.
Pourquoi l'échéance a été repoussée.
Ce report n'est pas un revirement. Il s'explique par le fait que le travail de conformité s'est révélé véritablement ardu : les normes techniques dont les organisations ont besoin pour démontrer leur conformité n'étaient pas prêtes, et la plupart des entreprises ne disposaient même pas d'un inventaire de base des systèmes d'IA qu'elles exploitent. L'UE a choisi de donner du temps à l'industrie plutôt que d'appliquer une norme qui n'existait pas encore pleinement. L'attente, exprimée clairement, est que la préparation soit déjà en cours.
Ce qui mord toujours.
Le report vise les systèmes à haut risque, non l'ensemble de la Loi. Les interdictions de pratiques prohibées demeurent en vigueur, assorties de sanctions pouvant atteindre trente-cinq millions d'euros ou sept pour cent du chiffre d'affaires mondial. Les obligations visant les fournisseurs d'IA à usage général sont actives. Les règles de transparence sur les contenus générés par l'IA, dont le filigranage, arrivent à échéance en décembre. La Loi a aussi ajouté de nouvelles interdictions ce cycle, sur les images intimes non consenties générées par l'IA et le matériel d'abus. Et le Bureau de l'IA de l'UE est ressorti de la même réforme avec plus de pouvoirs, non moins : des droits d'inspection sur place et la capacité d'obtenir des engagements contraignants. Les échéances se sont assouplies; la surveillance s'est intensifiée.
Pourquoi cela compte au Canada.
Vous n'avez pas besoin d'être en Europe pour que la Loi sur l'IA façonne vos obligations. Comme le RGPD avant elle, elle devient la norme de référence autour de laquelle le reste du monde se construit. Si vous vendez dans l'UE ou y exercez, elle s'applique directement. Et même dans le cas contraire, elle converge avec ce qui figure déjà à votre programme : la norme de gestion ISO/IEC 42001 que les acheteurs réclament de plus en plus, la Directive canadienne sur la prise de décisions automatisée, et les attentes en matière de risque de modèle de la ligne directrice E-23 du BSIF. Elles diffèrent dans le détail, mais exigent les mêmes fondations.
À quoi sert vraiment ce délai.
Les organisations qui verront dans le report la permission d'attendre aborderont décembre 2027 comme la plupart des entreprises ont abordé août 2026 : sans préparation, contre un échéancier comprimé. Celles qui l'utilisent bien feront le travail de fond ingrat que tous les cadres présument désormais. Dressez un inventaire des systèmes d'IA que vous exploitez réellement. Classez-les selon le risque et selon les obligations qui s'y rattachent. Mettez en place la gouvernance, la supervision et la documentation pour que, lorsqu'un organisme de réglementation, un client ou votre propre conseil demande des preuves, vous les ayez. Rien de tout cela ne dépend de la date exacte qui fait foi. Tout cela prend plus de temps que le délai ne le laisse croire.
Le fil conducteur.
La réglementation a tendance à arriver après la technologie, et à avancer par à-coups : des échéances fixées, reportées, puis redéfinies. Courir après chaque date est un jeu perdu d'avance. La réponse durable consiste à bâtir une gouvernance défendable quelle que soit la date à l'agenda, car les attentes de fond, savoir quelle IA vous exploitez, en gérer les risques et pouvoir montrer votre travail, ne disparaîtront pas. L'UE vient de vous donner plus de temps pour y répondre. Elle n'a pas supprimé la nécessité de le faire.