Les règles haut risque reculent à 2027 ou 2028, la transparence tient bon

Le règlement (UE) 2026/1744 a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il repousse à décembre 2027 ou août 2028 les obligations qui devaient peser sur les systèmes d’IA à haut risque au 2 août 2026, et resserre au passage une définition qui vous concerne directement : une IA qui se borne à optimiser la marche d’une installation n’est plus, de ce seul fait, un composant de sécurité.

Ce que le texte fait au calendrier

Les sections 1, 2 et 3 du chapitre III devaient entrer en application le 2 août 2026 : ce sont elles qui portent les exigences applicables aux systèmes à haut risque et les obligations de leurs fournisseurs et déployeurs. Le report s’arrête là, et le reste du chapitre, qui organise les organismes notifiés et l’évaluation de la conformité, garde son propre calendrier. Le législateur européen invoque le retard pris sur les normes harmonisées et sur les cadres nationaux d’évaluation de la conformité, et fixe deux nouvelles dates : le 2 décembre 2027 pour les systèmes classés à haut risque au titre de l’annexe III, ceux qui ne sont pas embarqués dans un produit, et le 2 août 2028 pour ceux intégrés dans un produit déjà réglementé au titre de l’annexe I.

La ligne du 2 août 2026 est la seule déjà échue : les quatre autres se préparent, celle-là se vérifie.

La phrase qui sort l’optimisation du régime haut risque

C’est la modification la plus utile à retenir pour qui pilote des installations techniques, et elle se lit à deux endroits du texte qu’il ne faut pas confondre.

Dans le corps du règlement, l’article 3, point 14), est réécrit. Un composant de sécurité y devient un composant « qui remplit une fonction de sécurité pour ce produit ou ce système d’IA, ou dont la défaillance ou le dysfonctionnement met en danger la santé et la sécurité des personnes ou des biens », un composant remplissant une fonction de sécurité « lorsque sa destination est de prévenir ou d’atténuer les risques pour la santé et la sécurité ». Le mot qui porte tout le poids est « destination », et le considérant 7 précise qu’elle est déterminée par le fournisseur du système.

C’est dans ce même considérant, et non dans la définition elle-même, que figure la liste des fonctions écartées : assistance aux utilisateurs, optimisation des performances, efficacité des services, automatisation, commodité, et les aspects non liés à la sécurité dans les opérations de contrôle de la qualité. Un mot y compte autant que la liste : l’exclusion ne vaut que pour les systèmes destinés à remplir uniquement ces fonctions. Une régulation qui optimise et qui coupe l’installation en cas de défaut reste à examiner. Un considérant éclaire l’interprétation d’un texte sans avoir la force de l’article qu’il commente : c’est la notion de destination qui tranchera, la liste montre ce que le législateur avait en tête.

Le même considérant ajoute la phrase que vous opposerez à un fournisseur : « Le simple fait qu’un système d’IA soit intégré à un produit soumis à la législation d’harmonisation de l’Union ou qu’il fonctionne à l’intérieur de celui-ci ne signifie pas, en soi, qu’il remplit une fonction de sécurité. »

Dans un local technique, cela donne ceci : une régulation qui ajuste en continu la marche d’une centrale de traitement d’air, d’un groupe froid ou d’une pompe à chaleur ne bascule pas dans le régime lourd du seul fait d’être embarquée dans un équipement réglementé. Restent les deux prises de la définition : la destination annoncée par le fournisseur, et le danger créé par une défaillance.

La qualification se déduit de ce que la défaillance de la fonction provoque, et ces trois questions se posent telles quelles au fournisseur.

Le sort réservé aux machines illustre le même mouvement. Les produits relevant du règlement (UE) 2023/1230 quittent la section A de l’annexe I pour la section B. Des actes délégués doivent inscrire des exigences équivalentes dans le règlement machines lui-même, au plus tard le 2 août 2028. L’obligation change d’adresse et reste due à la même date.

L’article 50 s’applique depuis le 2 août, et c’est lui qui vous concerne

L’omnibus n’a pas reporté les obligations de transparence de l’article 50, applicables au 2 août 2026 comme prévu : informer les personnes qu’elles interagissent avec un système d’IA, marquer les contenus de synthèse dans un format lisible par machine, signaler les hypertrucages. Une seule souplesse, étroite : les systèmes générant des contenus de synthèse déjà sur le marché avant cette date ont quatre mois de plus pour se conformer au marquage, jusqu’au 2 décembre 2026. La conclusion de notre lecture de l’article 50 pour un mémoire technique reste donc valable telle quelle.

Ce qui change côté BE fluides, et ce qui change côté dirigeant

La première conséquence touche la conversation commerciale. Un bureau d’études fluides ou un exploitant qui consultait un éditeur de gestion technique du bâtiment posait, au mieux, une question binaire : votre produit est-il conforme au régime haut risque. La question utile devient plus précise, et beaucoup plus embarrassante pour un vendeur : qu’est-ce qui, dans votre produit, peut mettre en jeu la santé ou la sécurité en cas de défaillance ? Un éditeur sérieux sait répondre. Celui qui s’abrite derrière une conformité générale n’a probablement pas fait le travail de classement.

Ces machines sont pilotées par la gestion technique dont il vient d’être question. C’est l’échéance de l’annexe I qui les concerne : le 2 août 2028. Illustration générée par IA.

La seconde touche le dirigeant lui-même. L’obligation de maîtrise de l’IA de l’article 4, applicable depuis le 2 février 2025, n’est pas supprimée mais devient une obligation de moyens : il faut prendre des mesures pour favoriser le développement de cette maîtrise chez son personnel, sans avoir à garantir un niveau individuel. Pour une entreprise de vingt personnes qui a déployé un assistant de rédaction ou un outil de tri de documents, c’est la différence entre une obligation de résultat impossible à démontrer et une trace à constituer.

Une limite ne bouge pas. Ce texte règle des questions de mise sur le marché et de classement de produits, il ne déplace pas la responsabilité de l’homme de l’art : quel que soit le régime applicable à l’outil, c’est l’ingénieur qui signe la note de calcul et l’entreprise qui répond de l’installation.

Ce qui reste ouvert après lecture du texte

Le cabinet Arnaud Dimeglio a publié le 27 juillet 2026 une analyse solide sur le calendrier, citée en source de cet article. Elle écrit que la définition du composant de sécurité exclut les systèmes remplissant uniquement des fonctions d’assistance, d’optimisation ou de commodité. Ces fonctions sont au considérant 7, pas dans la définition de l’article 3, et un considérant éclaire sans avoir la force de l’article. Sur un texte que personne n’appliquera avant 2027, l’écart est sans conséquence. Le jour d’un contrôle, c’est la destination annoncée par le fournisseur qui sera opposée, et elle seule.

L’omnibus ne touche pas au contenu de l’annexe III, seulement à sa date d’application. Savoir si un réseau de chaleur relève des infrastructures critiques au sens de cette annexe se joue donc sur le règlement (UE) 2024/1689, pas sur celui-ci, et c’est pourtant ce qui déciderait du sort d’un pilotage prédictif de réseau. La question se pose à un juriste, avec les trois questions du schéma ci-dessus comme point de départ.

Deux heures de tri, et rien à acheter

Le calendrier vous laisse le temps, et deux heures suffisent pour prendre l’avance qui compte. Faites la liste des outils d’IA réellement en service chez vous, et notez pour chacun une seule ligne : ce qu’il fait, et ce qui se passerait s’il se trompait. Un assistant qui rédige une trame de mémoire technique et une régulation qui pilote un groupe froid ne se rangent pas au même endroit, et c’est ce classement, pas la lecture du règlement, qui vous dira lesquels méritent une question au fournisseur.

Gardez ensuite une trace écrite de ce que vous faites en matière de maîtrise de l’IA : une demi-journée de sensibilisation, une note interne sur ce qu’on ne met pas dans un outil en ligne, la liste des personnes concernées. L’obligation étant devenue une obligation de moyens, ce sont ces traces qui la remplissent, et elles se constituent en interne avec ce que vous avez déjà.

Lire aussi

• Votre mémoire technique rédigé avec l’IA n’a pas à porter d’étiquette
• L’Ordre des architectes exclut tout transfert de responsabilité vers l’IA
• Cataloguer les points d’une GTB tombe de plusieurs mois à quelques jours