Le report de l'AI Act à 2027 ne change rien à l'urgence de gouverner vos données

Le 16 juin 2026, le Parlement européen a voté le report des obligations les plus lourdes de l'AI Act, celles des systèmes à haut risque de l'annexe III (recrutement, crédit, biométrie, éducation), du 2 août 2026 au 2 décembre 2027. La nouvelle a circulé vite chez les dirigeants que je côtoie, avec la même conclusion hâtive : "on a un an et demi de plus, on peut lever le pied."

C'est l'inverse qu'il faut faire. Lors d'un accompagnement récent, un dirigeant m'a demandé si on pouvait suspendre le chantier de cartographie des données qu'on venait de lancer. Sa lecture du report était compréhensible, mais fausse sur le fond.

Ce qui change avec ce vote : le délai pour la documentation technique complète, les systèmes de gestion des risques formalisés et la supervision humaine structurée des IA à haut risque. Ce qui ne change pas : les interdictions de certains usages, en vigueur depuis février 2025. Les obligations pour les modèles à usage général, en vigueur depuis août 2025. Et surtout, le RGPD, qui n'a jamais eu de moratoire et qui s'applique à tout traitement de données personnelles par un système d'IA, avec ou sans AI Act.

La CNIL le rappelle dans ses recommandations 2026 : toute IA traitant des données personnelles doit avoir une base légale identifiée, et l'analyse d'impact sur la protection des données est obligatoire pour les usages à fort risque en RH, santé ou scoring. Ce point-là n'a jamais bougé et ne bougera pas avec le Digital Omnibus.

Le vrai risque n'est donc pas réglementaire à court terme, il est organisationnel. Une PME qui découvre en 2027, dans l'urgence, qu'elle utilise huit outils d'IA non cartographiés dont trois traitent des données RH sensibles se retrouve dans la même précipitation que si le calendrier initial avait tenu. Le report ne supprime pas le travail, il déplace la date à laquelle son absence devient visible.

C'est précisément ce que couvrent les deux premières étapes de la méthode IMPACT que j'utilise avec mes clients : Inventaire, pour cartographier l'ensemble des usages réels d'IA dans l'entreprise, déclarés ou non, et Mission, pour définir une feuille de route de mise en conformité réaliste plutôt qu'une course de dernière minute. Les PME qui traitent ce délai supplémentaire comme du temps de préparation gagné prendront une avance structurelle sur celles qui le traitent comme un sursis.

Le report de l'AI Act change une date. Il ne change rien à la nécessité de savoir ce que vos équipes font réellement avec l'IA, ni à l'obligation RGPD qui s'applique depuis toujours. Les entreprises qui l'ont compris avancent déjà, celles qui attendent 2027 reprennent le chantier avec deux ans de retard au lieu d'un an d'avance. Un diagnostic de 5 jours permet de savoir où vous en êtes réellement.