AI Act Omnibus : quand l'Europe modifie ses propres règles avant même de les appliquer (Allan Malheiro)

À 4h30 du matin le 7 mai 2026, après une négociation marathon, les législateurs européens sont parvenus à un accord sur l'AI Omnibus, un texte qui modifie l'AI Act (le règlement européen sur l'intelligence artificielle) à peine deux ans après son adoption et moins de trois mois avant son entrée en application complète. Ce texte, qui reporte les délais de conformité pour les systèmes d'IA à haut risque et simplifie certaines obligations, illustre une tension de plus en plus visible dans la stratégie numérique européenne : comment concilier une régulation pionnière avec un retard technologique croissant face aux États-Unis et à la Chine ?

L'AI Act : une ambition régulatrice qui se heurte à la réalité
Pour bien comprendre l'AI Omnibus, il faut revenir à l'AI Act lui-même. Adopté le 21 mai 2024, le règlement européen sur l'intelligence artificielle est le premier cadre juridique complet au monde sur l'IA : classant les systèmes d'intelligence artificielle par niveaux de risque (de minimal à inacceptable), il impose des obligations croissantes aux fournisseurs et aux utilisateurs, avec des amendes pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial.
L'entrée en vigueur de l'AI Act est progressive : les pratiques d'IA prohibées (comme la notation sociale ou la manipulation subliminale) sont interdites depuis février 2025, les règles de gouvernance et les obligations pour les modèles d'IA à usage général (comme GPT ou Claude) s'appliquent depuis août 2025 et les obligations les plus lourdes, celles concernant les systèmes d'IA à haut risque (utilisés dans les domaines de la biométrie, des infrastructures critiques, de l'éducation, de l'emploi ou des forces de l'ordre), devaient entrer en vigueur le 2 août 2026.
C'est précisément cette dernière échéance qui posait problème. Les entreprises, les autorités nationales et même certains experts au sein des institutions européennes constataient un décalage entre l'ambition du texte et les moyens disponibles pour le mettre en œuvre : les normes harmonisées n'étaient pas prêtes, les infrastructures d'évaluation de la conformité étaient insuffisantes et les lignes directrices de la Commission européenne sur les obligations de transparence n'étaient encore qu'à l'état de brouillon. Face à cette situation, la Commission a proposé en novembre 2025 un paquet de simplification, l'AI Omnibus, intégré dans une démarche plus large de réduction des charges réglementaires, inspirée par le rapport Draghi sur la compétitivité européenne et la Déclaration de Budapest de novembre 2024 qui appelait à une "révolution de la simplification".

Ce que change l'AI Omnibus
L'accord du 7 mai 2026 modifie l'AI Act sur plusieurs points. Le plus visible est le report des échéances de conformité : les systèmes d'IA à haut risque autonomes (classés à l'annexe III, comme ceux utilisés en biométrie, en éducation ou dans les forces de l'ordre) disposent désormais d'un délai supplémentaire jusqu'au 2 décembre 2026, soit quatre mois de plus que prévu. Pour les systèmes d'IA intégrés dans des produits déjà régulés (machines industrielles, dispositifs médicaux, jouets), le délai est repoussé jusqu'au 2 août 2028, ce qui représente un report de deux ans.
Au-delà des délais, l'AI Omnibus introduit plusieurs modifications de fond. Premièrement, il élargit les exemptions réglementaires dont bénéficiaient les PME aux entreprises de taille intermédiaire (jusqu'à 750 employés et 150 millions d'euros de chiffre d'affaires) : celles-ci auront accès à des lignes directrices simplifiées, des amendes réduites, des bacs à sable réglementaires et des modèles standardisés de documentation. Deuxièmement, le texte facilite l'utilisation de données personnelles sensibles (données de santé, données biométriques, origine ethnique) pour détecter et corriger les biais dans les modèles d'IA, un point de friction majeur entre le RGPD et l'AI Act. Troisièmement, l'accord exempte largement l'IA industrielle déjà couverte par le règlement Machines, évitant ainsi la double réglementation.
L'AI Omnibus introduit également une nouvelle interdiction : celle des applications d'IA permettant de créer des images ou vidéos sexuellement explicites de personnes identifiables sans leur consentement (les "nudification apps"), une mesure qui fait écho à l'enquête ouverte par le régulateur britannique Ofcom contre la plateforme X en janvier 2026 pour des faits similaires impliquant son IA Grok.

Le dilemme européen : réguler d'abord, innover ensuite ?
L'AI Omnibus s'inscrit dans un contexte plus large de remise en question de l'approche régulatrice européenne. Depuis 2024, un constat s'est imposé dans le débat politique européen : l'Union européenne est le premier continent à avoir régulé l'IA de manière globale mais elle est aussi celui qui accuse le plus grand retard dans son adoption. Selon un rapport de la Commission européenne publié en avril 2026, l'adoption de l'IA dans l'industrie et les administrations européennes reste "inégale", en particulier parmi les petites entreprises et les services publics.
Ce constat n'est pas nouveau. Il rappelle le paradoxe que l'on observait déjà avec le RGPD : l'Europe fixe les règles du jeu mondial en matière de protection des données mais ses propres entreprises peinent à rivaliser avec les géants américains et chinois qui, eux, opèrent sur des marchés moins contraignants et bénéficient d'investissements publics et privés considérablement plus élevés. Le rapport Draghi, publié en septembre 2024, avait chiffré le risque : l'Europe pourrait perdre jusqu'à 4000 milliards de dollars d'ici 2040 en raison de son retard dans les technologies d'avenir. En matière d'IA, le constat est accablant : sur les 50 plus grandes entreprises d'IA au monde par valorisation, 34 sont américaines, 12 sont chinoises et seulement 3 sont européennes (Mistral AI en France, Aleph Alpha en Allemagne et DeepL, également en Allemagne).
Pour tenter de corriger ce déséquilibre, la Commission européenne a présenté en avril 2025 l'AI Continent Action Plan, une stratégie articulée autour de cinq axes : renforcer les infrastructures de calcul, améliorer l'accès aux données, accélérer l'adoption de l'IA dans les secteurs stratégiques, développer les compétences et assurer la mise en œuvre de la régulation existante. Un an plus tard, les résultats commencent à apparaître : 19 "AI factories" (des centres combinant supercalculateurs, données et expertise) sont désormais opérationnelles à travers l'UE, 13 antennes régionales ont été déployées et l'initiative InvestAI vise à mobiliser 200 milliards d'euros d'investissements dans l'IA.

Une simplification suffisante ?
La question qui se pose est de savoir si l'AI Omnibus et l'AI Continent Action Plan suffisent à combler le retard européen. Les réactions à l'accord du 7 mai sont révélatrices de la difficulté de l'exercice : aucune des parties prenantes n'est véritablement satisfaite. Du côté de l'industrie, la CCIA Europe (qui représente des entreprises comme Google, Amazon ou Meta) juge les améliorations "minimales" et déplore un fossé entre la rhétorique politique de simplification et les résultats concrets. Du côté de la société civile, le BEUC (Bureau Européen des Unions de Consommateurs) estime au contraire que les assouplissements fragilisent la protection des citoyens.
Kai Zenner, conseiller du député européen allemand Axel Voss, résume le problème : l'AI Omnibus offre un peu plus de temps aux entreprises pour se conformer et retire certains produits industriels du champ d'application de la loi mais il ne résout pas les problèmes structurels. L'acquis numérique européen (l'ensemble des règles numériques de l'UE) nécessite selon lui une refonte majeure, notamment en matière de cohérence juridique et de mise en œuvre. En effet, les entreprises opérant dans l'UE doivent aujourd'hui naviguer entre l'AI Act, le RGPD, le Digital Services Act, le Digital Markets Act, le Data Act, le règlement Machines et bientôt les obligations de transparence sur le contenu généré par IA (prévues pour août 2026) : une complexité réglementaire qui, paradoxalement, peut décourager l'innovation qu'elle prétend encadrer.

L'Europe face à un choix stratégique
Le véritable enjeu dépasse la question des délais de conformité. Ce que révèle l'AI Omnibus, c'est un tiraillement fondamental dans la stratégie européenne : faut-il réguler d'abord et innover ensuite ou prendre le risque de laisser davantage de marge aux entreprises pour rattraper le retard technologique ?
L'Union européenne a fait le choix, avec l'AI Act, de fixer les normes mondiales en matière d'IA responsable, comme elle l'avait fait avec le RGPD pour la protection des données. Ce choix n'est pas dénué de logique : en établissant des standards de confiance, l'Europe espère attirer les entreprises qui souhaitent opérer dans un cadre prévisible et sûr. La conformité à l'AI Act commence d'ailleurs à être perçue par certains acteurs comme un avantage compétitif, une sorte de label de crédibilité sur le marché européen.
Cependant, les États-Unis et la Chine ne jouent pas selon les mêmes règles. Washington, sous l'administration Trump, a privilégié une approche de dérégulation favorisant l'investissement privé massif (l'initiative Stargate, par exemple, prévoit 500 milliards de dollars d'investissements privés dans les infrastructures d'IA aux États-Unis). Pékin, de son côté, combine un soutien étatique considérable avec une régulation ciblée mais pragmatique, permettant à ses champions nationaux (comme Baidu, Alibaba ou ByteDance) de se développer rapidement sur un marché de 1,4 milliard d'utilisateurs.
Face à ces deux géants, l'Europe tente de tracer une troisième voie : celle d'une IA "de confiance", ancrée dans les valeurs démocratiques et les droits fondamentaux, mais qui doit également être compétitive. L'AI Omnibus est un premier ajustement, reconnaissant implicitement que l'ambition régulatrice initiale devait être tempérée par le pragmatisme. Mais comme le souligne Isabelle Roccia, directrice de l'IAPP Europe, on peut se demander à quoi l'AI Act aurait ressemblé si, en 2024, les législateurs s'étaient accordé un peu plus de temps pour aboutir à un texte fini. Deux ans après son adoption, l'Europe modifie déjà ses propres règles : un signe de maturité régulatrice ou l'aveu que, dans la course à l'IA, légiférer vite ne signifie pas légiférer bien ?