IA Act après le Digital Omnibus : ce que les rôles TEAF couvrent, et ce qu'ils ne couvrent pas

Le calendrier de l'IA Act a changé : le « Digital Omnibus » sur l'IA, en vigueur depuis l'été 2026, repousse les obligations « haut risque ». Il serait tentant d'y lire un répit. D'après l'analyse de Gibson Dunn, les nouvelles dates sont les suivantes : 2 décembre 2027 pour les systèmes à haut risque autonomes (annexe III : recrutement, scoring de crédit, éducation…), 2 août 2028 pour l'IA intégrée à des produits réglementés (annexe I), alors que la transparence de l'article 50 reste applicable depuis le 2 août 2026, avec un délai de grâce jusqu'au 2 décembre 2026 pour le marquage des contenus générés par des systèmes déjà sur le marché. Cet article est une lecture d'architecte, pas un avis juridique.

Ce que TEAF ne fait pas

Commençons par la limite : TEAF ne rend pas une organisation conforme à l'IA Act. Un cadre de gouvernance d'architecture ne remplace ni la classification juridique des systèmes, ni l'évaluation de conformité, ni les obligations documentaires propres à chaque catégorie. TEAF n'est ni certifié ni reconnu comme référentiel de conformité par une autorité. Ce qu'il peut offrir, c'est une structure dans laquelle ces obligations trouvent un responsable et une trace.

Où les rôles TEAF rencontrent les exigences

Parmi les cinq rôles de TEAF, deux sont directement concernés :

• Le Compliance Liaison tient la cartographie des référentiels applicables et vérifie qu'aucune décision n'engage l'organisation hors de ce cadre. Dans le contexte de l'IA Act, c'est lui qui devrait porter l'inventaire des systèmes d'IA, leur classification par niveau de risque (à valider juridiquement) et le suivi des échéances — dont celles qui viennent de bouger.
• L'AI Control Officer tient la frontière entre ce qu'un agent exécute seul et ce qui exige une validation humaine (voir l'AI Control Plane). Ce point recoupe l'exigence de supervision humaine effective pour les systèmes à haut risque : une case cochée ne suffit pas, il faut un contrôle réel.

Le Decision Steward et l'Architecture Owner interviennent en amont : les choix d'architecture qui déterminent si un système relève ou non d'une catégorie réglementée sont des décisions à tracer (Living ADR).

Trois besoins concrets que la boucle peut structurer

• La traçabilité des décisions : pourquoi un système a été classé à tel niveau, sur quelles données, avec quelle justification. Un Living ADR qui consigne ce raisonnement — et se signale « à réviser » quand la règle change — répond mieux à un audit qu'une note isolée.
• La gouvernance des connaissances : savoir précisément quelles données alimentent un système, avec quelle base légale. C'est le rôle du Knowledge Backbone, à condition d'être réellement alimenté.
• L'observation continue : un report de calendrier ne change pas la nécessité de savoir ce que font les systèmes en production (composant Observation). Pour la transparence de l'article 50, cela inclut de vérifier que l'information « vous interagissez avec une IA » est bien présente aux points de contact.

Ce qu'un report ne doit pas faire oublier

Le report vient du retard des normes harmonisées et des autorités nationales, non d'un allègement des exigences de fond. Les organisations qui attendent 2027 pour s'y mettre découvriront qu'adapter un système existant coûte plus cher que de le concevoir proprement. Elles risquent aussi de découvrir que la traçabilité qu'on leur demande suppose des décisions documentées dès aujourd'hui : on ne reconstruit pas après coup le « pourquoi » d'une classification.

Honnêteté sur le statut de TEAF

Comme le rappelle l'article sur ce que TEAF a prouvé sur le terrain, le retour d'expérience reste partiel et le protocole de validation est en cours. Mettre les rôles TEAF en face des exigences de l'IA Act est une hypothèse de travail (niveau Inferred dans la taxonomie du framework), pas un constat validé. Le modèle de gouvernance décrit les rôles ; la conformité réelle se démontre, au cas par cas, avec un conseil juridique.

• Haut risque : 2 décembre 2027 (annexe III) et 2 août 2028 (annexe I) ; transparence de l'article 50 : 2 août 2026.
• TEAF ne rend pas conforme à l'IA Act : il fournit des rôles et une traçabilité dans lesquels les obligations peuvent s'inscrire.
• Compliance Liaison (cartographie, classification, échéances) et AI Control Officer (supervision humaine effective) sont les rôles les plus directement concernés.
• La correspondance rôles ↔ exigences est une hypothèse de travail à valider avec un conseil juridique.

Sources

• Gibson Dunn — EU AI Act omnibus agreement
• Jones Walker — Yes, August 2 still matters
• Orrick — Digital Omnibus finalizes 8 compliance changes