Digital Omnibus : l'AI Act recule d'un cran
Pendant deux ans, toute la communication autour du règlement européen sur l'IA a tourné autour d'une date : le 2 août 2026. Le Parlement européen vient de la déplacer. Les obligations qui pèsent sur les systèmes classés à haut risque sont repoussées à décembre 2027. Mais une partie du texte, elle, n'a pas bougé d'un jour, et c'est précisément celle qui concerne le plus de PME.
Ce qui s'est passé entre novembre 2025 et juin 2026
Le 19 novembre 2025, la Commission européenne publie une proposition baptisée « Digital Omnibus on AI ». L'objectif affiché est la simplification : alléger la charge administrative sur les entreprises et donner du temps à un écosystème réglementaire qui n'était pas prêt. Derrière l'affichage, une réalité plus prosaïque. Les normes techniques harmonisées qui devaient permettre aux entreprises de prouver leur conformité n'existaient toujours pas. Demander à une PME de se conformer à un standard qui n'est pas encore écrit posait un problème de fond.
La négociation a été tendue. Un deuxième trilogue (la réunion de négociation entre Parlement, Conseil et Commission) échoue le 28 avril 2026. Il faudra attendre le 16 juin 2026 pour que le Parlement européen adopte le texte, puis le 29 juin pour l'approbation du Conseil. La signature et la publication au Journal officiel de l'Union suivent dans la foulée.
Résultat : le calendrier que tout le monde avait en tête depuis 2024 est modifié, à cinq semaines de l'échéance qu'il devait remplacer.
Ce qui est reporté, et jusqu'à quand
Le report ne concerne qu'une catégorie, mais c'est la plus lourde : les systèmes d'IA classés à haut risque. L'AI Act les répartit en deux familles, et chacune obtient son propre délai.
| Catégorie | Date initiale | Nouvelle date |
|---|---|---|
| Systèmes haut risque de l'annexe III (RH, scoring de crédit, éducation, services essentiels) | 2 août 2026 | 2 décembre 2027 |
| Systèmes haut risque de l'annexe I (IA intégrée dans un produit déjà réglementé : machines, dispositifs médicaux, jouets) | 2 août 2027 | 2 août 2028 |
Pour une PME, la ligne qui compte est presque toujours la première. L'annexe III couvre le recrutement automatisé, l'évaluation des salariés, l'accès au crédit, l'attribution de prestations, l'orientation scolaire. C'est le périmètre dans lequel une entreprise de service ou de conseil risque de tomber sans l'avoir cherché, simplement en achetant un logiciel qui fait du tri de candidatures.
Ces entreprises gagnent seize mois. C'est considérable.
Ce qui n'a pas bougé d'un jour
C'est la partie de l'information qui circule le moins, et c'est pourtant celle qui concerne le plus grand nombre d'entreprises. Quatre blocs de l'AI Act ne sont pas touchés par le report.
- Les interdictions sur les pratiques à risque inacceptable (notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions sur le lieu de travail hors cas médicaux ou de sécurité). Elles s'appliquent depuis le 2 février 2025.
- L'obligation de littératie en IA (article 4). Toute organisation qui met des systèmes d'IA entre les mains de ses collaborateurs doit s'assurer d'un niveau suffisant de compréhension. En vigueur depuis février 2025 également.
- Les obligations des fournisseurs de modèles à usage général (documentation technique, information des intégrateurs, politique de respect du droit d'auteur, résumé suffisamment détaillé des données d'entraînement). Applicables depuis le 2 août 2025.
- L'article 50 sur la transparence. Dire aux personnes qu'elles interagissent avec une IA, marquer les contenus générés, signaler les deepfakes. Applicable au 2 août 2026, sans report.
Ce dernier point mérite d'être souligné, parce qu'il inverse complètement la lecture du report. Une PME qui utilise un chatbot sur son site, qui publie des visuels générés par IA ou qui envoie des textes rédigés par une IA sur des sujets d'intérêt public est concernée dès le 2 août 2026. Elle n'a rien gagné au Digital Omnibus. Elle a simplement vu passer une actualité qui parlait de report et qui ne la concernait pas.
Les pouvoirs de sanction, eux, s'activent
Deuxième point contre-intuitif : le 2 août 2026 reste une date charnière, même après le report. C'est à cette date que les autorités nationales de surveillance du marché obtiennent leurs pouvoirs d'enquête et de sanction, et que le Bureau européen de l'IA acquiert ses prérogatives pleines sur les fournisseurs de modèles à usage général.
Autrement dit : le périmètre de ce qui est contrôlable au 2 août 2026 est plus étroit qu'annoncé, mais la capacité à contrôler, elle, arrive bien à la date prévue. Le barème est celui de l'AI Act : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement à l'article 50, jusqu'à 35 millions d'euros ou 7 % pour les infractions les plus graves.
Le report déplace ce qui est contrôlé. Pas la date à laquelle on commence à contrôler.
En France, qui contrôle quoi
La France a fait le choix d'une supervision partagée plutôt que d'une autorité unique. Le schéma retenu répartit la compétence selon la nature de l'usage : la CNIL sur les traitements de données personnelles et la biométrie, l'Arcom sur les contenus d'intérêt public, la DGCCRF sur les interactions directes avec les consommateurs. Les textes d'application ont été préparés à l'été 2025, mais la désignation définitive attend toujours l'aboutissement du projet de loi DDADUE.
Pour une entreprise, la conséquence pratique est simple : votre interlocuteur en cas de contrôle dépendra de ce que fait votre système, pas de votre secteur d'activité. Un même outil de relation client peut relever de la CNIL pour son traitement de données et de la DGCCRF pour la façon dont il se présente à l'utilisateur.
Ce qu'une PME lucide fait de ces seize mois
Le réflexe naturel après un report est de refermer le dossier. C'est une erreur, pour trois raisons.
D'abord parce que le travail préparatoire ne se périme pas. Savoir quels systèmes d'IA sont utilisés dans l'entreprise, par qui, sur quelles données, avec quel fournisseur : cet inventaire a exactement la même valeur en décembre 2027 qu'il aurait eue en août 2026. Il sert aussi la conformité RGPD, qui n'a jamais été reportée.
Ensuite parce que la contrainte de calendrier ne disparaît pas, elle se déplace. Une mise en conformité haut risque demande de documenter le système, d'évaluer les risques, de mettre en place une supervision humaine et une traçabilité. Ce n'est pas un chantier de trois semaines. Les entreprises qui s'y prendront au troisième trimestre 2027 découvriront un marché du conseil saturé et des fournisseurs débordés.
Enfin parce que l'article 50 arrive maintenant. Une entreprise qui aurait tout mis en pause en juillet 2026 se retrouve en infraction sur la transparence dès le mois suivant, alors même qu'elle pensait avoir gagné du temps.
Notre recommandation tient en trois actions, dans cet ordre :
- Traiter l'article 50 avant la rentrée. C'est le seul sujet à échéance immédiate, et c'est aussi le moins coûteux à mettre en œuvre : il s'agit essentiellement d'affichage et de mentions.
- Faire l'inventaire des systèmes d'IA d'ici la fin 2026, pendant que la pression est faible. Un tableau simple suffit : outil, usage, données traitées, fournisseur, classification probable.
- Programmer le chantier haut risque sur 2027, en visant le premier semestre plutôt que la date limite de décembre. Si aucun de vos systèmes n'est classé haut risque, l'inventaire vous l'aura dit et vous n'avez rien à faire.
Ce report est une bonne nouvelle pour les entreprises qui l'utilisent. Il en sera une mauvaise pour celles qui l'entendent comme une dispense.