AI Act européen et décret américain sur l'IA : calendrier pour les acheteurs

Les responsables informatiques, les MSP et les équipes conformité qui suivent la régulation de l'IA des deux côtés de l'Atlantique doivent composer avec deux systèmes qui ne partagent ni calendrier, ni périmètre, ni logique de base. Les confondre peut conduire à geler un projet pourtant licite, ou à accepter l'affirmation de conformité d'un fournisseur qui ne tient pas la route. Ce guide fait le point, en date de septembre 2026, sur l'état réel de l'AI Act européen et du décret présidentiel américain sur l'IA, ce qui a changé, et ce qu'il faut vérifier avant de signer.

Ce qui s'applique déjà dans l'UE

Les obligations de transparence de l'article 50 de l'AI Act — information des utilisateurs de chatbots et marquage des contenus générés par IA — s'appliquent depuis le 2 août 2026, et le Bureau de l'IA de la Commission européenne dispose déjà de pouvoirs de contrôle sur les obligations des modèles d'IA à usage général, entrées en vigueur un an plus tôt. Les pratiques interdites de l'article 5 et les obligations de culture de l'IA de l'article 4 s'appliquent depuis encore plus longtemps, depuis février 2025. Rien de tout cela n'a changé avec le Digital Omnibus de 2026.

Ce qui a changé en 2026

Ce qui a changé, c'est le calendrier pour le risque élevé. Le Digital Omnibus sur l'IA de l'UE, approuvé par le Parlement européen le 16 juin 2026 puis par le Conseil le 29 juin 2026, a reporté les obligations substantielles liées au risque élevé. Les systèmes autonomes de l'annexe III — qui couvrent des usages comme l'emploi, l'éducation et la biométrie — s'appliquent à partir du 2 décembre 2027 au lieu d'août 2026, et les systèmes intégrés à des produits de l'annexe I sont repoussés à août 2028.

La raison invoquée est que les normes techniques harmonisées censées donner aux systèmes à haut risque une présomption de conformité n'étaient pas prêtes. Le contenu des règles n'a pas changé, seule la date à laquelle elles s'appliquent a bougé.

Ce que fait réellement le décret présidentiel américain

Les États-Unis ont pris une autre voie. Le président Trump a signé le décret Executive Order 14409, « Promoting Advanced Artificial Intelligence Innovation and Security », le 2 juin 2026. Il s'applique aux agences fédérales et non directement aux entreprises privées, et présente l'IA avant tout comme un enjeu de cybersécurité et d'innovation plutôt que comme un régime de conformité fondé sur le risque.

Le décret demande aux agences de prioriser, dans les 30 jours suivant sa signature, la cyberdéfense des systèmes fédéraux civils, la CISA devant publier des lignes directrices pour accélérer ce travail, et il crée un centre d'échange sur la cybersécurité de l'IA — coordonné par le Trésor, la NSA et la CISA — pour partager des informations sur les vulnérabilités et les mesures correctives liées aux systèmes d'IA. Par ailleurs, il instaure un cadre volontaire permettant aux développeurs de partager des « modèles de pointe couverts » avec le gouvernement pour évaluation avant leur publication.

Le décret exclut explicitement toute licence obligatoire : la section 3(c) précise que rien dans le texte n'autorise à instaurer une obligation gouvernementale de licence, d'autorisation préalable ou de permis pour développer, publier ou distribuer de nouveaux modèles d'IA. Il s'agit d'un engagement politique inscrit dans ce décret, pas d'une interdiction légale permanente, car un futur décret ou une loi pourrait encore l'imposer. Le texte ne prévoit par ailleurs aucun système de classification comparable à l'annexe III, ni d'équivalent aux obligations européennes pesant sur les déployeurs de systèmes à haut risque.

Ce que cela signifie pour les acheteurs

La position d'un fournisseur américain au regard de l'EO 14409 ne dit rien de sa préparation à l'AI Act européen, et inversement : les deux régimes couvrent des sujets différents, pour des acteurs différents, selon des calendriers différents. Pour les responsables informatiques européens, le décret n'a pas de force juridique directe, mais il indique l'environnement dans lequel évoluent les fournisseurs d'IA américains — un contrôle volontaire avant publication plutôt qu'obligatoire, les obligations de cybersécurité incombant aux agences fédérales et non aux produits commerciaux des fournisseurs.

Vérifiez si un fournisseur participe au cadre volontaire sur les modèles de pointe, plutôt que de supposer que cela équivaut à un contrôle conforme à l'AI Act européen. Si vous réunissez déjà des preuves pour NIS2 et DORA, vous pouvez appliquer la même rigueur aux échéances de l'AI Act : Auris Comply propose un accompagnement pour la conformité NIS2/DORA et la traçabilité des audits sur ce type de documentation.

Que faire

Avant de considérer comme acquise la déclaration de conformité IA d'un fournisseur, passez en revue cette liste :

• Demandez quel article ou quelle annexe précis le fournisseur affirme respecter, et vérifiez à quelle date cette disposition est réellement entrée en vigueur — certaines échéances de l'UE ont bougé, d'autres non.
• Considérez le report de l'annexe III à décembre 2027 comme un délai supplémentaire, pas comme une exemption : les obligations de transparence de l'article 50 s'appliquent déjà, indépendamment de la date d'entrée en vigueur de l'annexe III.
• Auprès des fournisseurs américains, demandez s'ils ont partagé des modèles via le cadre volontaire de l'EO 14409, plutôt que de présumer qu'un contrôle gouvernemental formel a eu lieu.
• Ne lisez pas l'absence de licence obligatoire dans le décret américain comme une preuve de conformité à l'AI Act européen : les deux textes traitent de questions réglementaires totalement différentes.
• Suivez séparément les calendriers européen et américain dans les contrats et les dossiers d'audit, car un report d'un côté ne modifie pas les échéances de l'autre.

Sources : artificialintelligenceact.eu, La Maison-Blanche, Congressional Research Service.