Le Digital Omnibus est le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Il modifie le règlement sur l’IA, ainsi que les règlements sécurité aérienne et machines.
Sa mesure la plus commentée : le report des obligations « haut risque », décalées au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. En revanche, il ne reporte ni l’article 50, ni les pratiques interdites, ni les obligations des fournisseurs de modèles d’IA à usage général.
Reporté : haut risque annexe III (décembre 2027), haut risque annexe I (août 2028), bacs à sable réglementaires nationaux (août 2027), cette dernière échéance pesant sur les États membres et non sur les entreprises. Trois dates d’application, et trois seulement.
Non reporté : pratiques interdites (février 2025), maîtrise de l’IA (février 2025), obligations sur les modèles à usage général (août 2025), transparence de l’article 50 (2 août 2026).
Ajouté : plusieurs échéances nouvelles, dont deux au 2 décembre 2026.
Le Digital Omnibus est-il adopté, ou encore à l’état de proposition ?
Adopté, et en vigueur. Le volet IA est le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026. La Commission l’avait présenté en novembre 2025 sous la forme de deux propositions de règlement distinctes, l’une sur les données, la cybersécurité et la vie privée, l’autre sur l’IA ; un accord politique est intervenu en mai 2026, et la page de la Commission consacrée au corpus réglementaire numérique confirme l’entrée en vigueur du volet IA au 27 juillet 2026.
Le point mérite d’être posé d’entrée, parce qu’au 1er septembre 2026 une grande partie des pages francophones sur le sujet décrivent encore la proposition de novembre 2025, au futur, comme un texte à venir. Ce n’en est plus un.
Cette page ne porte que sur le volet IA, c’est-à-dire sur le règlement (UE) 2026/1744. L’autre proposition, celle qui touche aux données et au RGPD, suit son propre chemin et n’est pas traitée ici.
Un seul texte, trois noms
« Digital Omnibus », « AI Omnibus » et « omnibus numérique sur l’IA » désignent le même et unique texte. Son intitulé officiel est long : règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle, avec pour sous-titre « train de mesures omnibus numérique sur l’IA ».
Ce n’est ni une directive, ni une proposition, ni un simple « paquet » : c’est un règlement adopté et en vigueur. Le surnom circule par ailleurs pour un dossier politique de simplification numérique plus large ; tout ce qui suit ne porte que sur le règlement (UE) 2026/1744, c’est-à-dire sur le volet IA.
Qu’est-ce que le Digital Omnibus reporte, exactement ?
Deux échéances de haut risque, et l’obligation faite aux États membres d’ouvrir un bac à sable. Rien d’autre n’est repoussé : les pratiques interdites, la maîtrise de l’IA et la transparence de l’article 50 gardent leurs dates. Le tableau donne, ligne par ligne, la date initiale, la date nouvelle et l’article qui la porte.
| Obligation | Date initiale | Après le règlement (UE) 2026/1744 | Base |
|---|---|---|---|
| Haut risque, annexe III | 2 août 2026 | 2 décembre 2027 | art. 113, 3e al., c) i) |
| Haut risque, annexe I | 2 août 2027 | 2 août 2028 | art. 113, 3e al., c) ii) |
| Bacs à sable réglementaires nationaux, obligation des États membres | 2 août 2026 | 2 août 2027 | art. 57, §1 |
| Transparence, article 50 | 2 août 2026 | inchangé | art. 113, 2e al. |
| Pratiques interdites, maîtrise de l’IA | 2 février 2025 | inchangé | art. 113, 3e al., a) |
| Modèles d’IA à usage général | 2 août 2025 | inchangé | art. 113, 3e al., b) |
La preuve que l’article 50 n’est pas reporté se lit dans la structure du texte. Le règlement (UE) 2026/1744 réécrit le troisième alinéa de l’article 113, qui porte les exceptions, et il n’en modifie que les points a), c) et d). La phrase générale, elle, est inchangée : « Il est applicable à partir du 2 août 2026. » L’article 50 relève du chapitre IV, qui n’apparaît dans aucune exception. Il tombe donc sous cette date générale.
Un effet dérivé, rarement signalé. Le report des deux dates du chapitre III déplace aussi la date de référence de l’antériorité de l’article 111, paragraphe 2, qui renvoie précisément à « la date d’application du chapitre III visée à l’article 113 ». Un système mis sur le marché avant le 2 décembre 2027 est donc désormais un système hérité pour l’annexe III, ce qu’il n’aurait pas été avant. Ce n’est pas une quatrième date d’application reportée, mais c’est bien une échéance qui bouge.
Cette antériorité connaît une limite, portée par la seconde phrase du même paragraphe : les fournisseurs et les déployeurs de systèmes à haut risque destinés à être utilisés par des autorités publiques doivent en tout état de cause s’être conformés au plus tard le 2 août 2030, qu’il y ait eu ou non modification importante. Cette règle est celle du texte en vigueur ; les pièces du dossier ne permettent pas de dire si l’omnibus l’a créée ou seulement reprise.
Quelles échéances le Digital Omnibus ajoute-t-il ?
Un texte de simplification qui n’ajoute rien serait une curiosité. Celui-ci ajoute plusieurs dates, dont deux qui concernent directement des entreprises.
| Échéance | Objet | Base |
|---|---|---|
| 27 juillet 2026 | Les articles 102 à 110 deviennent applicables. L’article 110 ouvre l’action représentative des consommateurs contre une violation du règlement sur l’IA | art. 113, 3e al., d), ajouté |
| 2 décembre 2026 | Deux nouvelles interdictions à l’article 5, points b bis) et b ter), et les paragraphes 1 bis et 1 ter qui en définissent la portée | art. 113, 3e al., a), réécrit |
| 2 décembre 2026 | Les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026 doivent se conformer à l’article 50, paragraphe 2 tout entier : marquage lisible par machine et détectabilité | art. 111, §4, ajouté |
| 1er août 2027 | Lignes directrices de la Commission sur l’articulation avec la législation d’harmonisation | art. 96, §1, g), ajouté |
| 2 septembre 2027 | Orientations de la Commission sur le plan de surveillance après commercialisation | art. 72, §3, modifié |
| 28 janvier 2028 | Date limite de demande de désignation pour les organismes notifiés au titre de l’annexe I, section A | art. 43, §3, 2e al. |
Pourquoi « l’IA Act est reporté » est faux
Lire ce texte comme un report général conduit à une conclusion fausse pour la plupart des organisations : celle d’avoir jusqu’à fin 2027 pour s’occuper du sujet. Le raisonnement se retourne en une phrase. Si vos systèmes ne relèvent pas du haut risque, le report ne vous concerne pas, et les obligations qui vous visent sont déjà exigibles : la maîtrise de l’IA depuis février 2025, la transparence de l’article 50 depuis le 2 août 2026.
Que change le Digital Omnibus sur le fond ?
Deux interdictions nouvelles, un article 4 réécrit, un article 4 bis inséré, et la notion de composant de sécurité resserrée. Les interdictions visent le matériel intime non consenti et le matériel d’abus sexuels sur enfants générés par IA, applicables le 2 décembre 2026. S’y ajoutent des pouvoirs propres pour le Bureau de l’IA, une réorganisation de l’annexe I et une présomption de cybersécurité nouvelle.
Au-delà du calendrier, le règlement (UE) 2026/1744 modifie le règlement sur l’IA sur de nombreux points. Les plus structurants pour une organisation :
Deux pratiques interdites nouvelles, à l’article 5 : le matériel intime non consenti et le matériel ou spectacle d’abus sexuels sur enfants générés ou manipulés par IA. Applicables le 2 décembre 2026.
L’article 4 sur la maîtrise de l’IA est réécrit, et sa nouvelle rédaction borne l’obligation : elle « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». L’obligation existe depuis février 2025 ; cette borne, elle, ne date que du 27 juillet 2026.
Un article 4 bis nouveau autorise, sous six conditions cumulatives, le traitement de catégories particulières de données à caractère personnel aux seules fins de détection et de correction des biais. C’est le point d’articulation le plus direct avec le RGPD que le texte ait créé, étant entendu que le paragraphe « ne crée aucune obligation de procéder à cette détection et à cette correction des biais ».
La notion de composant de sécurité est resserrée, par trois filtres à l’article 6. Ils se lisent l’un après l’autre, et dans cet ordre, parce que le deuxième renverse le premier.
- Un système utilisé uniquement pour des aspects non liés à la sécurité (assistance aux utilisateurs, optimisation des performances, efficacité des services, automatisation, commodité, contrôle de la qualité) n’est pas un composant de sécurité.
- Nonobstant ce qui précède, un système dont la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité en est un. L’exclusion précédente n’est donc jamais absolue.
- Un produit soumis à évaluation par un tiers uniquement pour des risques autres que ceux pour la santé et la sécurité (spectre radioélectrique, interférences électromagnétiques) ne remplit pas la condition de l’article 6, paragraphe 1, point b).
Les PME et les petites entreprises à moyenne capitalisation entrent dans le texte : deux définitions insérées à l’article 3, une documentation technique pouvant être fournie « d’une manière simplifiée », au moyen d’un formulaire que la Commission doit établir (et qui n’était pas publié à la date de vérification), un système de gestion de la qualité proportionné, et l’extension aux petites ETI du plafond d’amende retenu au montant le plus faible. Attention à la portée de cette dernière mesure : pour une PME, l’inversion joue sur les trois niveaux de sanction, article 5 compris ; pour une petite ETI, elle ne joue que sur les deux niveaux inférieurs. Une petite ETI qui enfreint une pratique interdite reste exposée au plafond le plus élevé.
Le Bureau de l’IA reçoit des pouvoirs propres, aux articles 75 et 75 bis à 75 quinquies : compétence exclusive sur les systèmes fondés sur des modèles d’IA à usage général développés par le même fournisseur ou par des fournisseurs faisant partie de la même entreprise (assortie de quatre exceptions), et sur les systèmes d’IA qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche au sens du règlement (UE) 2022/2065, ou qui y sont intégrés. Cette compétence vise les fournisseurs de ces systèmes ; un déployeur n’y est soumis que s’il est aussi le fournisseur, ou s’il fait partie de la même entreprise. Pouvoirs d’enquête, d’inspection sur place avec apposition de scellés, et faculté de rendre contraignants les engagements d’un opérateur.
Amendes et astreintes du Bureau de l’IA : deux régimes qu’il ne faut pas confondre. Les amendes ne connaissent aucun plafond propre : le texte renvoie au barème de l’article 99. Le plafond de 5 % ne vise que les astreintes, et sa base est une alternative : 5 % du revenu journalier moyen ou du chiffre d’affaires annuel mondial de l’exercice précédent, par jour. Écrire « 5 % du chiffre d’affaires journalier » n’abrège pas cette formule : c’est une troisième base, qui n’existe pas dans le texte.
L’annexe I est réorganisée : le règlement machines (UE) 2023/1230 quitte la section A pour la section B, ce qui change le régime applicable aux systèmes qui en relèvent. Un article 60 bis nouveau organise pour eux les essais en conditions réelles hors bac à sable.
Une présomption de cybersécurité apparaît : un système à haut risque relevant du règlement (UE) 2024/2847 et remplissant les conditions de son article 12, paragraphe 1, est réputé conforme aux exigences de cybersécurité de l’article 15 du règlement sur l’IA — et à celles-là seulement, non à l’exactitude ni à la robustesse.
Ce qu’il faut en retenir
Si vos systèmes relèvent de l’annexe III, vous disposez de seize mois supplémentaires (douze pour l’annexe I), et ils seront utiles : documentation technique, gestion des risques et gouvernance des données ne se construisent pas en un trimestre.
S’ils n’en relèvent pas, le cas le plus fréquent, le report ne change rien à votre situation. Vos échéances sont ailleurs : février 2025 pour les pratiques interdites et la maîtrise de l’IA, le 2 août 2026 pour l’article 50, et le 2 décembre 2026 si vous êtes fournisseur d’un système générant des contenus de synthèse mis sur le marché avant le 2 août 2026. Un système mis sur le marché à compter du 2 août 2026 ne bénéficie, lui, d’aucun délai.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. Le calendrier institutionnel du texte, proposition de novembre 2025, accord politique de mai 2026 et entrée en vigueur du volet IA le 27 juillet 2026, est établi d’après la page « Un corpus réglementaire numérique agile pour l’UE » de la Commission européenne, consultée le 1er septembre 2026.
Questions fréquentes
Le Digital Omnibus annule-t-il l’IA Act ?
Non. Le règlement (UE) 2026/1744 modifie le règlement (UE) 2024/1689 : il décale trois dates d’application, en ajoute plusieurs autres, et allège certaines exigences. Le règlement sur l’IA reste en vigueur, et les obligations déjà applicables (pratiques interdites, maîtrise de l’IA, modèles à usage général, transparence de l’article 50) ne sont pas reportées. Toutes ont en revanche été retouchées sur le fond, à des degrés divers : l’article 4 entièrement réécrit, deux interdictions ajoutées à l’article 5 avec le filtre qui les borne, le paragraphe 7 de l’article 50 modifié, et l’article 56, paragraphe 6 réécrit du côté des modèles.
« Digital Omnibus », « AI Omnibus », « omnibus numérique sur l’IA » : est-ce le même texte ?
Oui. Ces trois appellations désignent le règlement (UE) 2026/1744 du 8 juillet 2026. Le sous-titre officiel publié au Journal officiel est « train de mesures omnibus numérique sur l’IA » ; les autres noms sont des noms de dossier politique, sans valeur juridique. Attention en revanche : le surnom « Digital Omnibus » circule aussi pour un dossier politique de simplification numérique plus large. Quand une page parle du règlement (UE) 2026/1744, elle parle du volet IA, et de lui seul.
Pourquoi l’article 50 n’a-t-il pas été reporté ?
Parce que le texte ne l’a pas prévu, tout simplement. Le report tient à la réécriture du troisième alinéa de l’article 113, et celle-ci n’a modifié que les points a), c) et d). L’article 50 relève du chapitre IV, qui n’apparaît dans aucune des exceptions : il tombe donc sous la date générale du 2 août 2026, restée inchangée. Le seul paragraphe de l’article 50 que l’omnibus modifie est le paragraphe 7, qui porte sur les codes de bonne pratique. Le règlement ne donne pas de motif à ce choix, et les commentaires qui en avancent un sortent du texte.
Que dois-je faire de ces seize mois de délai supplémentaires ?
Ils portent uniquement sur l’annexe III. L’annexe I, elle, gagne douze mois. Si vos systèmes relèvent du haut risque, ce délai sert à construire la documentation technique, le système de gestion des risques et la gouvernance des données, des chantiers qui prennent plus d’un an. Notez aussi un effet indirect : le report décale la date de référence du régime d’antériorité de l’article 111, paragraphe 2, si bien qu’un système mis sur le marché en 2027 est désormais un système hérité pour l’annexe III.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.