Le 27 juillet 2026 — six jours avant l'échéance d'application à haut risque de la loi européenne sur l'IA — l'Omnibus Numérique sur l'IA est entré en vigueur. Par un seul règlement, l'UE a prolongé l'horizon de conformité pour les systèmes d'IA à haut risque autonomes de 16 mois, du 2 août 2026 au 2 décembre 2027.

Pour les équipes de conformité en services financiers et en vérification d'identité, la réaction a été prévisible : soulagement, suivi d'une recalibration des calendriers de projet. Ces deux réactions sont compréhensibles. Aucune n'est la bonne.

Cet article explique ce que l'Omnibus Numérique a réellement changé, ce qu'il n'a pas changé, et pourquoi la prolongation n'est ni un cadeau ni un répit pour les organisations qui gèrent la vérification biométrique ou l'évaluation des risques par IA dans leurs flux KYC.

Ce que l'Omnibus Numérique a Changé

L'Omnibus Numérique sur l'IA a été publié au Journal officiel de l'UE le 24 juillet 2026 et est entré en vigueur trois jours plus tard. Il modifie la loi IA en trois points spécifiques, avec un impact principal sur le calendrier de déploiement des systèmes d'IA à haut risque de l'Annexe III.

Nouveaux délais de conformité :

Catégorie de système	Délai initial	Nouveau délai
IA à haut risque autonome (Annexe III)	2 août 2026	2 décembre 2027
IA à haut risque dans des produits réglementés	2 août 2026	2 août 2028
IA à haut risque déployée par des autorités publiques	2 août 2026	2 août 2030

La prolongation de 16 mois pour les systèmes autonomes de l'Annexe III est le changement le plus pertinent pour le secteur de la vérification d'identité et du KYC. Les systèmes d'identification biométrique, les modèles de scoring de crédit et les outils de détection de fraude pilotés par IA en services financiers relèvent tous de l'Annexe III.

Ce qui n'a pas changé :

Les obligations de transparence de l'Article 50 sont déjà en vigueur depuis le 2 août 2026. Tout système d'IA interagissant avec des personnes physiques de manière non évidente — y compris les chatbots lors de l'intégration de clients — doit informer l'utilisateur qu'il interagit avec une IA. L'obligation de formation à l'IA de l'Article 4 est également restée dans son calendrier initial et est actuellement applicable.

Quels Systèmes KYC Sont Concernés

Toutes les technologies de vérification d'identité ne relèvent pas de la catégorie à haut risque. Comprendre cette limite est plus important maintenant qu'avant l'Omnibus, car les organisations doivent prioriser soigneusement leurs feuilles de route de conformité.

Exclus de la désignation à haut risque :

La vérification faciale standard lors de l'intégration des clients — où un système confirme que la personne présentant un document est bien celle qui y figure — est explicitement exclue. Il s'agit de vérification biométrique (correspondance 1:1), et la clause d'exclusion de l'Annexe III s'applique directement. La plupart des flux KYC grand public entrent dans cette catégorie.

Nous avons analysé cette distinction en détail dans notre article précédent sur la loi IA de l'UE et votre stack KYC, rédigé avant que l'Omnibus ne modifie le calendrier d'application.

Soumis aux obligations du 2 décembre 2027 :

Modèles de scoring de crédit et de risque : Les systèmes d'IA qui évaluent la solvabilité ou génèrent des scores de risque affectant l'éligibilité aux produits financiers sont listés à l'Annexe III, Point 5(b).
Identification biométrique (correspondance 1:N) : Tout système qui identifie un individu inconnu en le comparant à une base de données d'identités connues relève directement de la désignation à haut risque.
Surveillance AML et des transactions pilotée par IA : Les systèmes automatisés qui génèrent des alertes de risque ou signalent des transactions suspectes de manière à informer les décisions sur les relations clients sont soumis aux obligations complètes à haut risque.
IA agentique dans les flux de conformité : C'est la catégorie qui surprendra le plus les organisations. Les agents d'IA autonomes qui traitent des dossiers KYC, collectent des données complémentaires, évaluent les risques et génèrent des recommandations de conformité sans supervision humaine continue à chaque étape couvrent simultanément plusieurs catégories de l'Annexe III. Les organisations déployant des agents de conformité autonomes doivent intégrer dès le départ l'explicabilité, les pistes d'audit et les mécanismes de supervision humaine — et non les rajouter après coup.

Pourquoi 16 Mois Ne Suffisent Pas si l'On Commence Tard

Voici ce que l'illusion du calendrier de conformité dissimule. Atteindre la conformité avec les obligations à haut risque de l'Annexe III n'est pas une question de cases à cocher dans les semaines précédant une échéance. Les obligations comprennent :

Documentation technique : Un dossier complet sur l'objectif, la logique de conception, les données d'entraînement, les indicateurs de performance et les limites connues de chaque système. Pour les systèmes d'IA déjà en production, cette documentation existe rarement et doit être reconstituée à partir des archives d'ingénierie, des fiches modèle et des contrats fournisseurs.
Évaluations de conformité : Pour certaines catégories de l'Annexe III, une évaluation indépendante par un tiers est requise avant le déploiement. Les organismes d'évaluation accrédités en Europe ont déjà leur agenda rempli jusqu'en 2027.
Enregistrement dans la base de données de la loi IA : Les systèmes d'IA à haut risque doivent être enregistrés dans le registre géré par l'UE avant le déploiement. Cette base de données est opérationnelle depuis le 2 août 2026.
Systèmes de surveillance post-marché : Les obligations continues de journalisation des incidents, de suivi des performances et de notification doivent être établies comme des processus opérationnels actifs.
Mécanismes de supervision humaine : Le règlement exige que les déployeurs de systèmes d'IA à haut risque maintiennent la capacité pour des personnes physiques de superviser, interpréter et contrecarrer les sorties du système. Cela ne peut pas être ajouté à moindre coût à des systèmes de production déjà en service.

Les organisations qui avaient 12 mois de préparation avant l'Omnibus Numérique sont maintenant bien positionnées pour décembre 2027. Celles qui attendaient l'échéance initiale comme déclencheur — et ont mis en suspens leurs préparatifs à l'annonce de la prolongation — n'ont rien gagné.

Le Problème de Classification de l'IA Agentique

L'Omnibus Numérique ne résout pas la question la plus importante pour les organisations construisant une infrastructure KYC moderne : comment les régulateurs classeront-ils les agents d'IA autonomes qui couvrent plusieurs tâches sans approbation humaine décision par décision ?

Comme décrit dans notre analyse de l'automatisation KYC agentique, un agent d'IA qui reçoit un dossier KYC, récupère de manière autonome des données complémentaires, évalue les facteurs de risque, vérifie les listes de PPE et de sanctions, et génère une recommandation de conformité — le tout dans un flux automatisé unique — touche simultanément plusieurs catégories de l'Annexe III.

Le Bureau européen de l'IA a indiqué que des orientations sur les systèmes polyvalents et agentiques sont en cours d'élaboration. Aucune clarification contraignante n'a été incluse dans l'Omnibus Numérique. Cela crée un problème pratique : en l'absence d'orientations officielles, l'approche conservatrice et juridiquement défendable est de traiter l'ensemble du flux agentique comme à haut risque si l'un de ses composants le serait de manière isolée.

Le Chevauchement avec l'AMLA qui Double les Enjeux

Le règlement AMLA introduit une autorité de surveillance directe au niveau de l'UE sur les plus grandes entités assujetties en services financiers et les prestataires de services sur crypto-actifs.

Les lignes directrices de surveillance continue de l'AMLA créent des exigences de documentation technique et de supervision qui se chevauchent substantiellement avec ce qu'exige la loi IA. Les organisations qui traitent ces cadres comme des projets de conformité séparés produiront une documentation redondante et manqueront des occasions de satisfaire les deux cadres avec un processus intégré unique.

Trois Actions Avant la Fin de 2026

L'échéance du 2 décembre 2027 est dans 16 mois. Voici ce que les organisations gérant des opérations KYC et de vérification d'identité devraient prioriser avant la fin de cette année.

1. Réaliser un Inventaire des Systèmes d'IA

Cartographier chaque système d'IA dans la stack de conformité selon les catégories de l'Annexe III. Inclure les systèmes des fournisseurs tiers — la loi IA assigne des obligations aux fournisseurs comme aux déployeurs. Beaucoup d'organisations n'ont pas encore d'inventaire complet de l'IA qu'elles font réellement fonctionner en production.

2. Commencer la Documentation Technique Maintenant

Pour tout système classifié ou potentiellement classifiable à haut risque, commencer immédiatement à constituer le dossier de documentation technique requis par l'Article 11. Les organismes d'évaluation de conformité qui examineront ces dossiers ont déjà des plannings établis pour 2027.

Les standards de liveness biométrique multimodal qui émergent en 2026 seront intégrés dans les attentes des évaluations de conformité. Documentez dès maintenant comment vos systèmes de vérification biométrique satisfont ou dépassent ces standards.

3. Intégrer la Supervision dans les Systèmes Agentiques

Les organisations qui construisent ou acquièrent des outils KYC agentiques doivent exiger — par contrat et par conception technique — que ces systèmes incluent des sorties explicables, des pistes d'audit complètes et des capacités de dérogation humaine significatives aux points de décision définis.

Les organisations qui respecteront confortablement l'échéance de décembre 2027 sont celles qui traitent la prolongation comme une fenêtre de préparation, pas comme un report.

Questions Fréquentes

L'Omnibus Numérique signifie-t-il que je n'ai plus besoin d'agir sur la conformité à la loi IA de l'UE en 2026 ?

Non. Les obligations de transparence de l'Article 50 et l'obligation de formation à l'IA de l'Article 4 sont déjà en vigueur. La prolongation s'applique spécifiquement aux obligations complètes à haut risque pour les systèmes autonomes de l'Annexe III.

La vérification biométrique KYC standard est-elle classifiée à haut risque ?

La vérification biométrique 1:1 standard à l'intégration — confirmer qu'une personne correspond à son document d'identité — est exclue de la désignation à haut risque. Les systèmes effectuant une identification 1:N (correspondance contre une base de données) et l'IA utilisée pour le scoring de crédit ou l'évaluation des risques sont classifiés à haut risque.

Quand l'exigence d'enregistrement s'applique-t-elle aux systèmes à haut risque ?

La base de données d'enregistrement est opérationnelle depuis le 2 août 2026. Les nouveaux systèmes à haut risque doivent s'enregistrer avant le déploiement. L'échéance du 2 décembre 2027 régit quand le cadre de conformité complet s'applique aux systèmes déjà en exploitation au moment de l'Omnibus.

La prolongation s'applique-t-elle aux fournisseurs non européens servant les marchés de l'UE ?

Oui. La loi IA s'applique aux fournisseurs mettant des systèmes d'IA sur le marché de l'UE, quelle que soit leur localisation. Les fournisseurs non-UE de systèmes d'IA à haut risque utilisés dans l'UE sont soumis à la même échéance du 2 décembre 2027.

Comment l'Omnibus Numérique interagit-il avec le règlement AMLA ?

Ce sont des cadres réglementaires parallèles avec des exigences techniques qui se chevauchent. Les organisations relevant des deux doivent construire une architecture de conformité unifiée plutôt que de les traiter comme des projets séparés.

Que requiert réellement l'obligation de formation à l'IA de l'Article 4 ?

Les déployeurs de systèmes d'IA doivent s'assurer que le personnel qui opère ou supervise les outils d'IA possède une compréhension suffisante de leur fonctionnement, de leurs limites et des risques qu'ils présentent. Cela s'applique indépendamment de la classification du système d'IA. En vigueur depuis le 2 août 2026.

Emily Carter