Le Digital Omnibus est le règlement (UE) 2026/1744 du 8 juillet 2026. Il a été publié au Journal officiel le 24 juillet 2026 et il est en vigueur depuis le 27 juillet 2026. Il modifie le règlement sur l’IA, ainsi que les règlements sécurité aérienne et machines.
Sa mesure la plus commentée : le report des obligations « haut risque », au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. En revanche, il ne reporte ni l’article 50, ni les pratiques interdites, ni les obligations des fournisseurs de modèles d’IA à usage général.
Un second texte porte le même nom et touche au RGPD. Lui n’est pas adopté.
Reporté : haut risque annexe III (décembre 2027), haut risque annexe I (août 2028), bacs à sable réglementaires nationaux (août 2027), cette dernière échéance pesant sur les États membres et non sur les entreprises. Trois dates d’application, et trois seulement.
Non reporté : pratiques interdites (février 2025), maîtrise de l’IA (février 2025), obligations sur les modèles à usage général (août 2025), transparence de l’article 50 (2 août 2026).
Ajouté : plusieurs échéances nouvelles, dont deux au 2 décembre 2026.
Le Digital Omnibus est-il adopté ?
Oui, pour le volet IA. Non, pour le volet données. Les deux textes sont nés le même jour, le 19 novembre 2025, dans un même paquet de la Commission. Ils ont suivi des chemins différents.
Un seul texte IA, trois noms
« Digital Omnibus », « AI Omnibus » et « omnibus numérique sur l’IA » désignent le même texte. Son intitulé officiel : règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle, sous-titré « train de mesures omnibus numérique sur l’IA ».
Ce n’est ni une directive, ni une proposition, ni un « paquet ». C’est un règlement adopté et en vigueur. Un accord politique est intervenu en mai 2026 ; la page de la Commission consacrée au corpus réglementaire numérique confirme l’entrée en vigueur du volet IA au 27 juillet 2026.
Au 3 novembre 2026, une bonne partie des pages francophones sur le sujet décrivent encore la proposition de novembre 2025, au futur. Ce n’en est plus une.
Deux volets dans le paquet, un seul adopté
Le paquet du 19 novembre 2025 comprenait un second texte : la proposition COM(2025) 837, qui modifie le RGPD, la directive ePrivacy et plusieurs règles sur les données et la notification des incidents.
Ce texte n’est pas adopté. Le Conseil a arrêté sa position de négociation le 21 octobre 2026. Le Parlement européen n’a pas encore la sienne : le dossier est en commission conjointe ITRE-LIBE, procédure 2025/0360(COD). Aucune négociation entre les deux institutions n’a commencé.
Rien de ce qui concerne le RGPD n’est donc en vigueur. Une page qui annonce la fin des bannières cookies ou une nouvelle définition des données personnelles parle d’une proposition en cours de discussion. Cette page ne traite que du volet IA.
→ RGPD et AI Act : ce qui se cumule
Qu’est-ce qui est reporté, et à quand ?
Deux échéances de haut risque, et l’obligation faite aux États membres d’ouvrir un bac à sable. Rien d’autre n’est repoussé.
| Obligation | Date initiale | Après le règlement (UE) 2026/1744 | Base |
|---|---|---|---|
| Haut risque, annexe III | 2 août 2026 | 2 décembre 2027 | art. 113, 3e al., c) i) |
| Haut risque, annexe I | 2 août 2027 | 2 août 2028 | art. 113, 3e al., c) ii) |
| Bacs à sable réglementaires nationaux, obligation des États membres | 2 août 2026 | 2 août 2027 | art. 57, §1 |
| Transparence, article 50 | 2 août 2026 | inchangé | art. 113, 2e al. |
| Pratiques interdites, maîtrise de l’IA | 2 février 2025 | inchangé | art. 113, 3e al., a) |
| Modèles d’IA à usage général | 2 août 2025 | inchangé | art. 113, 3e al., b) |
Pourquoi l’article 50 n’est pas reporté
La preuve se lit dans la structure du texte. Le règlement (UE) 2026/1744 réécrit le troisième alinéa de l’article 113, qui porte les exceptions. Il n’en modifie que les points a), c) et d). La phrase générale, elle, est inchangée : « Il est applicable à partir du 2 août 2026. »
L’article 50 relève du chapitre IV. Ce chapitre n’apparaît dans aucune exception. Il tombe donc sous la date générale.
→ Les obligations de transparence de l’article 50
L’effet sur l’antériorité des systèmes à haut risque
Le report des deux dates du chapitre III déplace aussi la date de référence de l’antériorité de l’article 111, paragraphe 2. Ce paragraphe renvoie à « la date d’application du chapitre III visée à l’article 113 ». Un système mis sur le marché avant le 2 décembre 2027 est donc désormais un système hérité pour l’annexe III. Il ne l’aurait pas été avant. Ce n’est pas une quatrième date reportée, mais c’est une échéance qui bouge.
Cette antériorité connaît une limite, portée par la seconde phrase du même paragraphe. Les fournisseurs et les déployeurs de systèmes à haut risque destinés à être utilisés par des autorités publiques doivent s’être conformés au plus tard le 2 août 2030, qu’il y ait eu ou non modification importante. Cette règle est celle du texte en vigueur ; les pièces du dossier ne permettent pas de dire si l’omnibus l’a créée ou seulement reprise.
Quelles échéances le Digital Omnibus ajoute-t-il ?
Le règlement ne fait pas que reporter : il crée aussi des échéances. Deux concernent directement des entreprises, et elles tombent dans un mois.
| Échéance | Objet | Base |
|---|---|---|
| 27 juillet 2026 | Les articles 102 à 110 deviennent applicables. L’article 110 ouvre l’action représentative des consommateurs contre une violation du règlement sur l’IA | art. 113, 3e al., d), ajouté |
| 2 décembre 2026 | Deux nouvelles interdictions à l’article 5, points b bis) et b ter), et les paragraphes 1 bis et 1 ter qui en définissent la portée | art. 113, 3e al., a), réécrit |
| 2 décembre 2026 | Les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026 doivent se conformer à l’article 50, paragraphe 2 tout entier : marquage lisible par machine et détectabilité | art. 111, §4, ajouté |
| 1er août 2027 | Lignes directrices de la Commission sur l’articulation avec la législation d’harmonisation | art. 96, §1, g), ajouté |
| 2 septembre 2027 | Orientations de la Commission sur le plan de surveillance après commercialisation | art. 72, §3, modifié |
| 28 janvier 2028 | Date limite de demande de désignation pour les organismes notifiés au titre de l’annexe I, section A | art. 43, §3, 2e al. |
Le 2 décembre 2026, pour qui ?
Pour deux catégories d’acteurs.
Les fournisseurs et déployeurs de tout système d’IA, pour les deux interdictions nouvelles : le matériel intime non consenti et le matériel d’abus sexuels sur enfants, générés ou manipulés par IA. Ces interdictions s’ajoutent aux huit de l’article 5, exigibles depuis le 2 février 2025.
Les fournisseurs de systèmes générant du texte, des images, de l’audio ou de la vidéo de synthèse, mis sur le marché avant le 2 août 2026. Ils ont jusqu’au 2 décembre 2026 pour appliquer tout le paragraphe 2 de l’article 50. Un système mis sur le marché à compter du 2 août 2026 ne bénéficie d’aucun délai.
Êtes-vous concerné par le report ?
Trois cas, et la réponse change à chaque fois.
Vos systèmes relèvent de l’annexe III (biométrie, infrastructures critiques, éducation, emploi, services essentiels, répression, migration, justice et processus démocratiques). Vous gagnez seize mois, jusqu’au 2 décembre 2027. Les autres obligations ne bougent pas.
Vos systèmes sont des composants de sécurité de produits réglementés, annexe I (machines, dispositifs médicaux, jouets, ascenseurs). Vous gagnez douze mois, jusqu’au 2 août 2028.
Vos systèmes ne relèvent d’aucune des deux annexes. C’est le cas le plus fréquent. Le report ne vous concerne pas. Les obligations qui vous visent sont déjà exigibles : la maîtrise de l’IA depuis février 2025, la transparence de l’article 50 depuis le 2 août 2026. Lire ce texte comme un report général conduit à croire qu’on a jusqu’à fin 2027. C’est faux pour la plupart des organisations.
→ Les systèmes à haut risque, annexe par annexe
Que change le Digital Omnibus sur le fond ?
Deux interdictions nouvelles, un article 4 réécrit, un article 4 bis inséré, la notion de composant de sécurité resserrée. S’y ajoutent des pouvoirs propres pour le Bureau de l’IA, une réorganisation de l’annexe I et une présomption de cybersécurité.
Deux pratiques interdites nouvelles
À l’article 5 : le matériel intime non consenti et le matériel ou spectacle d’abus sexuels sur enfants, générés ou manipulés par IA. Applicables le 2 décembre 2026.
→ Les pratiques interdites, point par point
L’article 4 sur la maîtrise de l’IA, réécrit
Sa nouvelle rédaction borne l’obligation : elle « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». L’obligation existe depuis février 2025. Cette borne, elle, ne date que du 27 juillet 2026.
→ La maîtrise de l’IA, article 4
Un article 4 bis nouveau, sur les biais
Il autorise, sous six conditions cumulatives, le traitement de catégories particulières de données à caractère personnel aux seules fins de détection et de correction des biais. C’est le point d’articulation le plus direct avec le RGPD que le texte ait créé. Le paragraphe « ne crée aucune obligation de procéder à cette détection et à cette correction des biais ».
La notion de composant de sécurité, resserrée
Trois filtres à l’article 6. Ils se lisent dans cet ordre, parce que le deuxième renverse le premier.
- Un système utilisé uniquement pour des aspects non liés à la sécurité (assistance aux utilisateurs, optimisation des performances, efficacité des services, automatisation, commodité, contrôle de la qualité) n’est pas un composant de sécurité.
- Nonobstant ce qui précède, un système dont la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité en est un. L’exclusion précédente n’est donc jamais absolue.
- Un produit soumis à évaluation par un tiers uniquement pour des risques autres que ceux pour la santé et la sécurité (spectre radioélectrique, interférences électromagnétiques) ne remplit pas la condition de l’article 6, paragraphe 1, point b).
Les PME et les petites ETI entrent dans le texte
Deux définitions sont insérées à l’article 3. La documentation technique peut être fournie « d’une manière simplifiée », au moyen d’un formulaire que la Commission doit établir. Ce formulaire n’était pas publié au 3 novembre 2026. Le système de gestion de la qualité devient proportionné. Le plafond d’amende retenu au montant le plus faible est étendu aux petites entreprises à moyenne capitalisation.
Attention à la portée de cette dernière mesure. Pour une PME, l’inversion joue sur les trois niveaux de sanction, article 5 compris. Pour une petite ETI, elle ne joue que sur les deux niveaux inférieurs. Une petite ETI qui enfreint une pratique interdite reste exposée au plafond le plus élevé.
Le Bureau de l’IA reçoit des pouvoirs propres
Aux articles 75 et 75 bis à 75 quinquies. Compétence exclusive sur les systèmes fondés sur des modèles d’IA à usage général développés par le même fournisseur ou par des fournisseurs de la même entreprise, assortie de quatre exceptions. Compétence aussi sur les systèmes qui constituent une très grande plateforme en ligne ou un très grand moteur de recherche au sens du règlement (UE) 2022/2065, ou qui y sont intégrés.
Cette compétence vise les fournisseurs. Un déployeur n’y est soumis que s’il est aussi le fournisseur, ou s’il fait partie de la même entreprise. Pouvoirs d’enquête, d’inspection sur place avec apposition de scellés, et faculté de rendre contraignants les engagements d’un opérateur.
Amendes et astreintes relèvent de deux régimes distincts. Les amendes ne connaissent aucun plafond propre : le texte renvoie au barème de l’article 99. Le plafond de 5 % ne vise que les astreintes, et sa base est une alternative : 5 % du revenu journalier moyen ou du chiffre d’affaires annuel mondial de l’exercice précédent, par jour. Écrire « 5 % du chiffre d’affaires journalier » n’abrège pas cette formule : c’est une troisième base, qui n’existe pas dans le texte.
→ Qui contrôle l’AI Act, en Europe et en France
L’annexe I réorganisée
Le règlement machines (UE) 2023/1230 quitte la section A pour la section B. Le régime applicable aux systèmes qui en relèvent change. Un article 60 bis nouveau organise pour eux les essais en conditions réelles hors bac à sable.
Une présomption de cybersécurité
Un système à haut risque relevant du règlement (UE) 2024/2847 et remplissant les conditions de son article 12, paragraphe 1, est réputé conforme aux exigences de cybersécurité de l’article 15 du règlement sur l’IA. À celles-là seulement, non à l’exactitude ni à la robustesse.
Ce qu’il faut en retenir
Si vos systèmes sont à haut risque, le report vous donne du temps : seize mois pour l’annexe III, douze pour l’annexe I. Ce temps sera nécessaire. La documentation technique, le système de gestion des risques et la gouvernance des données demandent plus d’un trimestre de travail.
S’ils n’en relèvent pas, le report ne change rien à votre situation. Vos échéances sont ailleurs : février 2025 pour les pratiques interdites et la maîtrise de l’IA, le 2 août 2026 pour l’article 50, et le 2 décembre 2026 si vous êtes fournisseur d’un système générant des contenus de synthèse mis sur le marché avant le 2 août 2026.
Le volet RGPD du même paquet, lui, reste une proposition. Rien n’a changé pour vos traitements de données.
→ Le calendrier d’application, date par date
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. Le calendrier institutionnel du volet IA, proposition de novembre 2025, accord politique de mai 2026 et entrée en vigueur le 27 juillet 2026, est établi d’après la page « Un corpus réglementaire numérique agile pour l’UE » de la Commission européenne. L’état du volet données est établi d’après le communiqué du Conseil du 21 octobre 2026 et la fiche de procédure 2025/0360(COD) du Parlement européen, consultés le 3 novembre 2026. L’absence de formulaire PME a été vérifiée le 3 novembre 2026 sur la page AI Act de la Commission, mise à jour le 19 octobre 2026.
Questions fréquentes
Le Digital Omnibus annule-t-il l'AI Act ?
Non. Le règlement (UE) 2026/1744 modifie le règlement (UE) 2024/1689 : il décale trois dates d'application, en ajoute plusieurs autres, et allège certaines exigences. Les obligations déjà applicables ne sont pas reportées : pratiques interdites, maîtrise de l'IA, modèles à usage général, transparence de l'article 50. Toutes ont en revanche été retouchées sur le fond : l'article 4 réécrit, deux interdictions ajoutées à l'article 5, le paragraphe 7 de l'article 50 modifié, l'article 56, paragraphe 6 réécrit.
« Digital Omnibus », « AI Omnibus », « omnibus numérique sur l'IA » : est-ce le même texte ?
Oui, pour le volet IA. Ces trois noms désignent le règlement (UE) 2026/1744 du 8 juillet 2026, dont le sous-titre officiel est « train de mesures omnibus numérique sur l'IA ». Attention : « Digital Omnibus » désigne aussi le paquet entier présenté par la Commission le 19 novembre 2025, qui comprend un second texte sur le RGPD et les données. Celui-là n'est pas adopté.
Pourquoi l'article 50 n'a-t-il pas été reporté ?
Parce que le texte ne l'a pas prévu. Le report tient à la réécriture du troisième alinéa de l'article 113, qui n'a modifié que les points a), c) et d). L'article 50 relève du chapitre IV, qui n'apparaît dans aucune exception : il tombe sous la date générale du 2 août 2026, inchangée. Le seul paragraphe de l'article 50 que l'omnibus modifie est le paragraphe 7, sur les codes de bonne pratique.
Que faire des seize mois de délai supplémentaires ?
Ils ne portent que sur l'annexe III ; l'annexe I gagne douze mois. Si vos systèmes relèvent du haut risque, ce délai sert à construire la documentation technique, le système de gestion des risques et la gouvernance des données. Ces chantiers prennent plus d'un an. Effet indirect : le report décale la date de référence de l'antériorité de l'article 111, paragraphe 2. Un système mis sur le marché en 2027 est désormais un système hérité pour l'annexe III.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.