L’Europe assouplit son AI Act : 16 mois de répit pour l’industrie, garde-fous sur les deepfakes sexuels

Il aura fallu une deuxième tentative. Le 7 mai 2026 ^[1], le Parlement européen et le Conseil de l’Union européenne ont conclu un accord politique sur l’« AI Omnibus » ^[2], un texte qui réécrit plusieurs pans du règlement européen sur l’intelligence artificielle entré en application en février 2025 ^[3]. Quelques jours plus tôt, le 1er mai 2026 ^[4], douze heures ^[5] de discussions s’étaient soldées par un échec.

LES ENJEUX

Report de 16 mois des obligations à haut risque

Les obligations applicables aux systèmes d'IA à haut risque autonomes basculent du 2 août 2026 au 2 décembre 2027, et au 2 août 2028 pour les produits intégrés.

Fin de la double régulation industrielle

Le secteur des machines et les produits déjà couverts par une législation sectorielle (dispositifs médicaux, jouets) sortent du champ direct de l'AI Act.

Interdiction inédite des nudifiers

Les systèmes générant des images sexuelles non consenties et du matériel pédopornographique sont désormais explicitement prohibés, à la demande de Renew Europe.

Pression industrielle décisive et traçable

Les demandes des sept signataires de la tribune du 4 mai (exclusion des machines, extension aux small mid-caps) se retrouvent quasi mot pour mot dans l'accord trois jours plus tard.

Ce que les consommateurs perdent

Scoring de crédit, tri de CV: des systèmes peuvent désormais échapper au haut risque, avec moins de transparence et des recours plus étroits.

Le compromis trouvé à Bruxelles repose sur une équation simple: alléger la charge réglementaire pour les entreprises européennes, tout en ajoutant un nouveau verrou éthique sur les usages les plus toxiques de l’IA générative. Le texte doit encore être formellement adopté par le Conseil et le Parlement ^[6] avant le 2 août 2026 ^[7], date à laquelle les anciennes règles s’appliqueraient automatiquement ^[8] en l’absence de texte révisé.

Seize mois de répit pour les systèmes à haut risque

Le cœur de l’accord est un report de calendrier. Les obligations applicables aux systèmes d’IA classés à haut risque, qui devaient entrer en vigueur le 2 août 2026 ^[9], ne seront contraignantes qu’à compter du 2 décembre 2027 ^[10] pour les systèmes autonomes, et du 2 août 2028 ^[11] pour ceux intégrés dans des produits comme les jouets ou les ascenseurs ^[12]. Soit seize mois ^[13] de délai supplémentaire pour l’application des règles sur les systèmes d’IA à haut risque ^[14].

La Commission européenne assume ce calendrier progressif. « Ce calendrier progressif doit permettre de s’assurer que les normes techniques et les autres outils d’accompagnement seront en place avant l’entrée en application des règles » ^[15], explique-t-elle. De fait, la Commission doit encore produire de nombreux standards et guides techniques ^[16] indispensables à la mise en conformité. Les bacs à sable réglementaires destinés aux tests sont également repoussés au 2 août 2027 ^[17].

L’industrie mécanique sort du périmètre

Deuxième concession majeure: le secteur des machines et leurs applications industrielles de l’IA sortent du champ de l’AI Act ^[18]. Les produits déjà couverts par des législations sectorielles devront uniquement respecter les règles de sécurité sectorielles ^[19], mettant fin à la double régulation qui inquiétait les industriels. Cette demande émanait notamment du gouvernement allemand ^[20], qui réclamait un régime moins lourd pour son industrie.

Le compromis étend les mesures de simplification réservées aux PME aux « small mid-caps » ^[21], ces entreprises de taille intermédiaire plus petites que les grands groupes mais plus importantes qu’une PME classique. Les produits dotés de fonctions d’IA qui n’aident que les utilisateurs ou optimisent les performances ^[22] échappent désormais automatiquement à la qualification de haut risque, à condition que leur défaillance ne crée pas de risques pour la santé ou la sécurité ^[23].

Pourquoi maintenant: la pression des sept géants

Le calendrier de l’accord ne doit rien au hasard. Le 4 mai ^[24], peu avant le compromis final, les patrons d’ASML, Airbus, Ericsson, Mistral AI, Nokia, Bosch et Siemens ^[25] publiaient une tribune adressée directement à Ursula von der Leyen ^[26]. Ces sept entreprises pèsent 417 milliards d’euros ^[27] de chiffre d’affaires cumulé, près de 1 100 milliards ^[28] de capitalisation boursière, 957 000 emplois ^[29] et 40 milliards ^[30] de R&D annuelle.

Leur message: la réglementation européenne est « étouffante, inutilement complexe et souvent redondante » ^[31]. « L’Europe perd chaque jour de sa compétitivité mondiale » ^[32], écrivent les dirigeants, qui réclament de « façonner les normes de demain en les concevant et en les déployant, plutôt que de réglementer avant d’innover » ^[33].

La traçabilité du lien entre la tribune et le texte final est lisible ligne à ligne. Les industriels dénonçaient la « redondance » des règles avec les législations sectorielles existantes ^[31]: l’accord exclut précisément le secteur des machines du champ de l’AI Act ^[18] et exonère les produits déjà couverts par une réglementation sectorielle ^[19]. La tribune demandait un traitement plus favorable aux acteurs en croissance: le compromis étend explicitement aux small mid-caps ^[21] les allègements jusqu’ici réservés aux PME. À Bruxelles, plus de 700 lobbies du numérique ^[34] enregistrés ont dépensé 150 millions d’euros ^[35] en 2025, contre 113 millions ^[36] deux ans plus tôt.

Le garde-fou: interdiction des nudifiers et du CSAM généré

En contrepartie de ces allègements, les colégislateurs ont inscrit dans la loi une interdiction explicite des « nudifiers » ^[37], ces systèmes d’IA qui créent des images sexuelles explicites de personnes identifiables sans leur consentement, ainsi que du matériel pédopornographique généré par IA ^[38]. La disposition ne figurait pas dans la proposition initiale de la Commission ^[39]: c’est un amendement déposé par Renew Europe ^[40] qui a été intégré dans la version finale.

Le périmètre de cette interdiction mérite cependant d’être précisé: il couvre les deepfakes à caractère sexuel non consenti et les contenus pédopornographiques générés par IA, mais ne s’étend pas explicitement aux autres usages malveillants des deepfakes - usurpation d’identité politique, manipulation audio, fraude vocale. Sur ces volets, le règlement s’en remet aux obligations générales de marquage des contenus générés artificiellement, dont la mise en œuvre est elle aussi repoussée au 2 décembre 2026 ^[41].

« Je suis soulagé que nous soyons parvenus à un accord tôt ce matin, qui simplifie certains aspects clés de la réglementation sur l’IA en Europe tout en maintenant un haut niveau de protection pour les consommateurs » ^[42], a déclaré Michael McNamara ^[43], rapporteur de la commission des libertés civiles. Les entreprises ont jusqu’au 2 décembre 2026 ^[41] pour se mettre en conformité, avec une période de grâce ramenée de six à trois mois ^[44].

Ce que les consommateurs perdent concrètement

La voix contradictoire est venue dès la veille. Le 6 mai 2026 ^[45], le BEUC ^[46], organisation européenne des consommateurs, et trois autres associations ^[47] de défense de la société civile écrivaient à la Commission, à la présidence chypriote du Conseil et aux députés européens ^[48] pour dénoncer des propositions qui « pourraient affaiblir la portée et l’efficacité de l’AI Act » ^[49].

Au-delà du report calendaire, plusieurs effets concrets sont à attendre. Premier exemple: un logiciel de scoring de crédit ou un outil de tri de CV intégré à un produit existant pourrait, grâce à l’exemption nouvelle des fonctions d’IA qui « n’aident que les utilisateurs ou optimisent les performances » ^[22], échapper à la qualification de système à haut risque - dès lors que sa défaillance ne menace pas la santé ou la sécurité physique ^[23]. Conséquence pratique: moins d’obligations de transparence, pas d’enregistrement automatique dans la base de données européenne des systèmes à haut risque, et une voie de recours plus étroite pour un candidat évincé ou un client refusé. Deuxième effet: le texte autorise désormais le traitement de données personnelles pour détecter et corriger les biais algorithmiques ^[50], avec des garanties ^[51] que le BEUC juge insuffisantes - une donnée auparavant protégée peut être réutilisée à cette fin sans consentement spécifique.

Selon le BEUC ^[52], l’accord crée au total « un environnement numérique moins sûr pour les consommateurs, car il reporte l’application de dispositions clés du règlement européen sur l’IA et introduit des lacunes dangereuses dans le champ d’application de la loi » ^[53].

Auditionnées à l’Assemblée nationale le 25 mars ^[54] dernier, quatre ONG - déjà mobilisées sur d’autres dossiers européens - dont la Quadrature du Net, Amnesty International, la Ligue des droits de l’Homme et l’Observatoire des libertés et du numérique ^[55] tiraient à boulets rouges sur l’Omnibus numérique. Pour Pierrick Clément ^[56], avocat de la Ligue des droits de l’Homme, il ne s’agit pas d’une simplification mais d’« une dérégulation »: « redéfinir des concepts juridiques, étendre des dérogations à des garanties fondamentales, ce n’est pas une simplification, c’est une dérégulation. Et ça, c’est un choix politique » ^[57].

L’angle mort: un texte voté avant les normes techniques

Le paradoxe que personne ne souligne tient en une phrase. L’Europe vient de réécrire son règlement sur l’IA après son entrée en application en février 2025 ^[3], et avant même que les normes techniques nécessaires à son exécution ne soient finalisées ^[16]. Le Cen Cenelec ^[58], comité européen de normalisation, devait initialement livrer ces normes pour début août ^[59] 2026.

On se souvient pourtant que le RGPD avait, lui aussi, fait l’objet d’intenses pressions industrielles pour un report de son entrée en vigueur en mai 2018, sans que Bruxelles ne cède sur le calendrier. La singularité de l’AI Omnibus tient à ceci: la révision intervient avant même que les obligations centrales n’aient été pleinement opposables aux entreprises - une séquence inédite dans la mécanique européenne de la régulation numérique.

Pour l’European Digital Rights ^[60], cela constitue « un précédent inquiétant pour la remise en cause des protections des droits numériques durement acquises, avant même qu’elles aient eu la chance d’être appliquées » ^[61]. Le lobby de la tech américaine, la CCIA ^[62], estime à l’inverse que « l’occasion évidente d’apporter une véritable simplification dans des domaines clés a bien été manquée » ^[63]. Personne n’est satisfait, ce qui est peut-être le seul signe rassurant.

Reste enfin une zone d’ombre du récit. La présidence chypriote du Conseil, destinataire de la lettre ouverte du BEUC ^[48], a piloté la dernière ligne droite des négociations interinstitutionnelles. Aucune des sources consultées ne détaille toutefois sa position propre dans le compromis du 7 mai, ni les arbitrages qu’elle aurait éventuellement portés entre les capitales. Reste l’amende maximale prévue par l’AI Act, fixée à 35 millions d’euros ^[64]. Encore faut-il que les autorités disposent des normes pour la prononcer.