Vendre de l'IA à des clients européens : combien de temps le Digital Omnibus vous fait-il vraiment gagner ?

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, fixe le calendrier final de l'AI Act. L'application des obligations pour les systèmes d'IA à haut risque listés à l'annexe III de l'AI Act, initialement prévue pour le 2 août 2026, est désormais reportée au 2 décembre 2027, soit une prolongation de 16 mois. Pour les systèmes d'IA haut risque intégrés à des produits régis par d'autres législations européennes d'harmonisation (machinerie, jouets, ascenseurs), la date d'application est fixée au 2 août 2028.

Pour de nombreux dirigeants qui vendent ou s'apprêtent à vendre de l'IA ou des produits data à des clients européens, cela ressemble à un répit réglementaire de 16 mois. C'est une mauvaise lecture du calendrier business.

Le régime des pratiques interdites de l'Article 5 est en vigueur depuis le 2 février 2025 et n'est pas affecté par le Digital Omnibus. Au-delà de ce régime, le cadre européen existant qui encadre l'usage de l'IA continue de produire des décisions à plusieurs millions d'euros chaque trimestre, avec des conséquences réglementaires comme commerciales. Et les équipes procurement européennes dans les industries régulées opèrent sur des cycles contractuels qui ignorent les délais de grâce réglementaires.

Pourquoi les clients européens n'attendent-ils pas l'échéance de décembre 2027 ?

C'est la dynamique la plus sous-estimée par les dirigeants de scale-ups IA qui entrent ou se développent sur le marché européen.

Les acheteurs européens dans les industries régulées (défense, pharmaceutique, banque, assurance, santé, énergie, infrastructures critiques, éducation, secteur public, grandes fonctions RH) et les grands comptes enterprise définissent les attentes du marché en matière de conformité IA. Les fournisseurs et providers IA qui vendent à ces comptes subissent une pression procurement directe, indépendamment du fait que leur système IA soit qualifié de haut risque ou non, et indépendamment du délai de grâce réglementaire.

Une équipe procurement qui négocie un contrat SaaS avec IA embarquée demande typiquement, entre autres, au fournisseur potentiel :

• Une documentation des modèles IA utilisés et leur classification de risque AI Act
• Des preuves de gouvernance des données et de contrôles qualité des données d'entraînement
• Des engagements contractuels sur la transparence, la supervision humaine et les droits d'audit

Dans un marché où les fournisseurs compétitionnent principalement sur l'expérience utilisateur et la vélocité produit, la maturité réglementaire devient un vrai différenciateur commercial. Pour un fournisseur IA non préparé, l'exposition immédiate est commerciale plutôt que réglementaire. Les écarts de conformité qui apparaissent lors de la due diligence mènent à une dépriorisation dans le procurement, à l'exclusion des shortlists ou à des renégociations à des conditions défavorables en cours d'exécution du contrat.

Le report de décembre 2027 ne change pas cette dynamique. Les équipes juridiques et procurement européennes travaillent sur des cycles contractuels de 2 à 4 ans. Un accord SaaS signé en juin 2026 pour une durée de trois ans sera exécuté sous les obligations AI Act. Les RFP 2026 sont rédigés en conséquence.

Les écarts de conformité se révèlent lors de la due diligence procurement.

Que change réellement le Digital Omnibus, et que ne change-t-il pas ?

L'AI Act (Règlement UE 2024/1689) est entré en vigueur le 1er août 2024 et s'applique par vagues. Le Digital Omnibus sur l'IA a été adopté le 8 juillet 2026 et publié au Journal officiel de l'Union européenne le 24 juillet 2026 sous la référence règlement (UE) 2026/1744. Il est en vigueur depuis le 27 juillet 2026. Le report des obligations haut risque de l'annexe III au 2 décembre 2027, et de celles des systèmes intégrés aux produits de l'annexe I au 2 août 2028, est désormais fixé sans condition. Il introduit également des mesures de simplification, notamment l'extension des privilèges PME aux small mid-cap, un accès élargi aux regulatory sandboxes, et un renforcement des pouvoirs d'enforcement de l'AI Office.

Le règlement ajoute une nouvelle interdiction à l'article 5, visant les systèmes d'IA qui génèrent ou manipulent des contenus intimes non consentis ou des contenus pédocriminels, applicable au 2 décembre 2026. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026 comme prévu ; seul le marquage lisible par machine de l'article 50, paragraphe 2, bénéficie d'une transition jusqu'au 2 décembre 2026 pour les systèmes d'IA générative déjà présents sur le marché de l'UE avant le 2 août 2026, lecture confirmée par les lignes directrices de la Commission du 20 juillet 2026. Un code de bonnes pratiques sur la transparence des contenus générés par IA, jugé adéquat en juillet 2026, complète le dispositif : y adhérer constitue une preuve documentée de conformité, exactement ce que demandent les équipes achats. Les amendes de l'article 101 pour les fournisseurs de modèles d'IA à usage général sont applicables depuis le 2 août 2026.

Trois piliers du cadre européen restent inchangés. Le RGPD continue de s'appliquer pleinement, y compris les Articles 22, 9, 6 et 27. Le DSA et le DMA produisent leurs effets sur les plateformes. Les réglementations nationales sur la non-discrimination, le droit du travail et la protection des consommateurs continuent de s'appliquer, et les autorités européennes les utilisent activement pour encadrer l'usage de l'IA.

Le cadre européen existant sanctionne-t-il déjà l'usage de l'IA ?

Oui. Les décisions d'enforcement récentes en France et en Espagne l'illustrent. Aucune ne repose sur l'AI Act. Toutes concernent des systèmes biométriques ou algorithmiques dont les opérateurs auraient pu, en théorie, attendre le 2 décembre 2027 si l'AI Act avait été le seul cadre pertinent.

En Espagne, l'Agence espagnole de protection des données (AEPD) a imposé une amende de 10,04 millions d'euros à AENA, l'opérateur des aéroports espagnols, pour avoir déployé des systèmes de reconnaissance faciale dans plusieurs aéroports sans une analyse d'impact relative à la protection des données (AIPD) valide telle qu'exigée par l'Article 35 du RGPD pour le traitement de données biométriques. D'autres décisions de 2025 en Espagne ont visé la reconnaissance biométrique sans AIPD, le traitement automatisé au-delà de la finalité initiale, et des manquements d'intégrité sur la sécurité des données. Le secteur de la santé a vu une augmentation de 278 pour cent en glissement annuel des sanctions (source : Mémoire d'actuation 2025 de l'AEPD, publié le 6 mai 2026).

En France, la CNIL a prononcé en janvier 2026 des sanctions totalisant 42 millions d'euros contre deux opérateurs télécom majeurs pour des manquements de sécurité aux Articles 5, 32 et 34 du RGPD (délibération SAN-2026-001). Son bilan d'enforcement 2025 fait état de 16 organismes sanctionnés pour vidéosurveillance illicite des salariés, une pratique de plus en plus combinée avec des outils d'analyse comportementale algorithmique.

Les affaires Clearview AI illustrent l'exposition spécifique des fournisseurs non européens. Cette société américaine de reconnaissance faciale a reçu une amende de 20 millions d'euros de la CNIL française en 2022 (décision CNIL) pour traitement illicite au titre des Articles 6 et 31 du RGPD, avec une amende supplémentaire de 5,2 millions d'euros en 2023 pour non-conformité. Le Garante italien a imposé une amende distincte de 20 millions d'euros le 10 février 2022 (communiqué EDPB) couvrant plusieurs manquements RGPD, dont l'absence de désignation d'un représentant UE au titre de l'Article 27.

Le message est direct. Un fournisseur IA qui traite des données personnelles européennes est déjà exposé à plusieurs textes applicables. L'AI Act ajoutera des obligations spécifiques à partir de fin 2027 pour les systèmes haut risque. Il ne remplace pas le cadre existant, qui continue de produire des décisions concrètes.

Combien de temps faut-il vraiment pour construire la conformité IA européenne ?

Avec 16 mois supplémentaires, l'hypothèse naturelle est celle d'une marge confortable. En pratique, construire une gouvernance européenne défendable pour un fournisseur IA qui n'a pas auparavant structuré sa conformité UE exige typiquement trois à six mois de travail effectif.

La contrainte n'est pas l'échéance AI Act. C'est le questionnaire procurement qui atterrit sur le bureau de l'équipe commerciale au prochain trimestre.

Cartographie des données et systèmes IA, désignation des représentants, revue des contrats fournisseurs (y compris les contrats avec les fournisseurs de LLM), analyses d'impact, documentation technique, formation : ces chantiers s'imbriquent et se nourrissent mutuellement.

Démarrer en octobre 2027 pour être prêt au 2 décembre 2027 signifie être en retard sur les RFP de 2026 et 2027, et être en retard sur l'échéance réglementaire elle-même.

Quelles trois obligations les fournisseurs IA doivent-ils prioriser dès maintenant ?

1. Désigner des représentants UE (Article 27 RGPD et Article 22 AI Act)

Deux régimes distincts s'appliquent cumulativement à de nombreux fournisseurs IA vendant à des clients européens.

L'Article 27 RGPD exige que les responsables de traitement et sous-traitants non-UE qui traitent les données de résidents européens désignent par écrit un représentant établi dans l'Union européenne. L'obligation s'applique dès lors que la société offre des biens ou services à des personnes en Europe ou surveille leur comportement. Elle est applicable depuis le 25 mai 2018.

L'Article 22 AI Act introduit une obligation distincte pour les fournisseurs non-UE qui mettent sur le marché européen des systèmes d'IA à haut risque : un mandataire autorisé doit être désigné avant toute mise sur le marché européen d'un système de l'Annexe III à partir du 2 décembre 2027. La désignation formelle est exigée au moment de la mise sur le marché, mais la sélection, la due diligence et la négociation du mandat prennent typiquement 2 à 4 mois et doivent être initiées bien en amont pour être opérationnelles le jour J.

Ces obligations sont indépendantes. Les confondre, ou n'en désigner qu'une, laisse un trou structurel que l'équipe juridique d'un client détectera lors de la due diligence.

2. Préparer une documentation AI Act anticipée

Si le système IA relève de l'Annexe III, les obligations des fournisseurs et déployeurs deviennent contraignantes au 2 décembre 2027. Les catégories de l'Annexe III incluent le recrutement et la sélection du personnel, l'évaluation des employés, l'accès à des services essentiels, l'éducation et la formation professionnelle, et la gestion des infrastructures critiques.

L'exposition immédiate n'est pas la sanction publique en 2028 ou 2029. C'est l'incapacité à répondre aux exigences clients européens lors des phases procurement en 2026 et 2027. Documentation technique, gestion des risques, contrôles qualité des données d'entraînement, journalisation, transparence, supervision humaine, et (pour certains déployeurs publics) l'analyse d'impact sur les droits fondamentaux (AIDF) : ces chantiers exigent 6 à 12 mois de mise en oeuvre.

3. Construire un cadre contractuel B2B défendable

Les accords B2B avec des clients européens doivent intégrer des clauses qui démontrent, en cas d'audit ou de due diligence client, l'alignement avec le cadre européen. Un Data Processing Agreement RGPD robuste, des clauses de transferts internationaux, des engagements de transparence, et des clauses prêtes pour l'AI Act activables au 2 décembre 2027.

Quand les clients européens tiennent la plume sur ces clauses, ils tendent à les rédiger très protectrices pour l'acheteur, parfois jusqu'au point de bloquer le deal pour le fournisseur. Les indemnités sont larges, les droits d'audit sont intrusifs, les motifs de résiliation sont étendus. Initier la conversation avec son propre jeu de clauses propre positionne la société comme un partenaire crédible, fixe le modèle de référence pour la négociation, et préserve le levier commercial. Laisser le client introduire ces exigences unilatéralement, ou ne les aborder qu'à la troisième renégociation, introduit des risques rétroactifs sur le contrat en cours et complique la relation client.

Le report change-t-il quoi que ce soit pour les fournisseurs IA ?

Trois mois d'inaction aujourd'hui équivalent à six mois de retard contractuel en 2027. Les fournisseurs IA qui gagneront les RFP européens dans les industries régulées en 2026 et 2027 ne sont pas ceux qui attendent décembre 2027 pour structurer leur conformité. Ce sont ceux qui peuvent répondre dès aujourd'hui à un questionnaire de due diligence avec des engagements documentés et défendables.

Le Digital Omnibus est une bonne nouvelle pour la sécurité juridique et la qualité des standards techniques européens.

Le traiter comme une autorisation à attendre est un pari risqué.

FAQ