Le 7 mai 2026, le Conseil et le Parlement sont provisoirement convenus, dans le cadre du Digital Omnibus, de reporter les obligations applicables aux systèmes à haut risque prévues par le règlement sur l’IA (règlement (UE) 2024/1689). Ce qui devait s’appliquer à compter du 2 août 2026 en vertu de l’art. 113 ne sera exigible qu’au 2 décembre 2027. Sont concernés l’annexe III et, avec elle, les systèmes d’identification biométrique déployés depuis le 10 avril 2026 à toutes les frontières extérieures de l’espace Schengen. Pour le fournisseur suisse qui place de tels systèmes sur le marché de l’Union, c’est seize mois de gagnés. Les obligations elles-mêmes demeurent inchangées.

L’annexe III recense deux cas d’usage à haut risque directement pertinents : l’identification biométrique à distance au titre du point 1, et la reconnaissance de personnes par les autorités dans le cadre de la gestion des frontières et de la migration au titre du point 7. Le système entrée/sortie de l’UE enregistre depuis le 10 avril les empreintes digitales et les données faciales des ressortissants de pays tiers à chaque frontière extérieure. Un système de cette nature relève clairement des deux points.

Pour le fournisseur suisse, le lieu d’établissement est sans incidence. L’art. 2, paragraphe 1, point a), vise toute personne qui met un système d’IA sur le marché de l’Union, qu’elle y soit établie ou non ; le point c) s’applique dès que le résultat du système est utilisé dans l’Union. L’obligation suit le produit, pas l’adresse postale. Qui plus est, quiconque est établi hors de l’Union doit, avant toute mise sur le marché, désigner par écrit un mandataire établi dans l’Union, conformément à l’art. 22.

Le fournisseur d’un système à haut risque est tenu de suivre la procédure d’évaluation de la conformité prévue à l’art. 43, d’assurer la journalisation automatique conformément à l’art. 12 et de démontrer la supervision humaine au sens de l’art. 14. Lorsqu’un produit relève exclusivement du point 7 de l’annexe III, le contrôle interne prévu à l’art. 43, paragraphe 2, suffit ; si le point 1 s’applique également, l’art. 43, paragraphe 1, exige l’intervention de l’autorité de surveillance du marché en qualité d’organisme notifié. Les manquements à ces obligations peuvent, aux termes de l’art. 99, paragraphe 4, donner lieu à des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les normes harmonisées pour l’évaluation de la conformité ne sont pas encore disponibles.

La date de transition du 31 décembre 2030 prévue à l’art. 111, paragraphe 1, s’applique exclusivement aux composantes des grands systèmes d’information de l’UE recensées à l’annexe X du règlement sur l’IA — dont le système entrée/sortie, le VIS et Eurodac — pour autant qu’elles aient été mises en service avant le 2 août 2027. Le produit biométrique autonome qu’un fournisseur suisse met nouvellement sur le marché n’en fait pas partie. Pour ce produit, le délai ordinaire s’applique.

L’accord du 7 mai est un accord politique, pas encore du droit en vigueur. Tant que le Parlement et le Conseil n’ont pas formellement adopté le texte, le règlement indique le 2 août 2026. Il convient donc de désigner sans attendre le mandataire prévu à l’art. 22 et d’engager l’évaluation de la conformité : l’une et l’autre exigent un délai de préparation qu’aucune prorogation ne dispense d’anticiper. La date à inscrire dans votre agenda est celle de l’adoption formelle du Digital Omnibus par le Parlement et le Conseil. D’ici là, c’est le mois d’août qui prévaut.