Ce qui s'est passé lundi

Le 27 juillet 2026, le règlement (UE) 2026/1744 du 8 juillet 2026 est entré en vigueur dans toute l'Union. Publié au Journal officiel le 24 juillet, surnommé « Digital Omnibus on AI », il modifie l'AI Act — le règlement (UE) 2024/1689 — pour en simplifier la mise en œuvre. Le Parlement européen l'avait approuvé le 16 juin par 423 voix pour, 57 contre et 174 abstentions ; le Conseil a donné son feu vert définitif le 29 juin.

Ce texte fait deux choses en même temps, et c'est là que naît la confusion : il repousse la partie la plus lourde de l'AI Act, et il laisse en place l'échéance du 2 août 2026 pour tout le reste.

Ce qui est repoussé

Les obligations qui pèsent sur les systèmes d'IA classés « à haut risque » changent de date :

Ce report mérite l'attention d'une PME plus qu'on ne le croit, parce que l'annexe III décrit des usages très ordinaires. Elle vise nommément les systèmes destinés au recrutement ou à la sélection de personnes — publication d'offres ciblées, analyse et filtrage des candidatures, évaluation des candidats —, ceux qui servent à décider d'une promotion ou d'une rupture de contrat, à répartir les tâches ou à évaluer le comportement au travail, et ceux qui évaluent la solvabilité d'une personne physique. Autrement dit : le module de tri de CV inclus dans votre logiciel de recrutement est concerné. Il l'est simplement seize mois plus tard.

Un report n'est pas une annulation. La bonne réaction n'est pas d'oublier le sujet, c'est de le déplacer dans le calendrier.

Ce qui n'est pas repoussé : dimanche

L'article 50 de l'AI Act — les obligations de transparence — s'applique bien le 2 août 2026. La Commission européenne le confirme sans ambiguïté dans sa foire aux questions dédiée. Une seule exception de calendrier a été concédée : le marquage lisible par machine des contenus produits par des systèmes mis sur le marché avant le 2 août 2026 bénéficie d'un délai jusqu'au 2 décembre 2026.

Fournisseur ou déployeur : la distinction qui change tout

Le règlement sépare le fournisseur, qui met un système sur le marché, du déployeur, qui l'utilise sous sa propre autorité. Une PME qui se sert d'un assistant de rédaction, d'un générateur d'images ou d'un chatbot acheté sur étagère est déployeur : elle n'est pas responsable de la conception de l'outil, et sa liste d'obligations en est considérablement raccourcie.

La frontière n'est pas étanche pour autant : si vous revendez un outil intégré à votre offre ou en modifiez substantiellement la finalité, votre qualification se rediscute — c'est le seul point de cet article où un conseil juridique se justifie.

Les quatre obligations de transparence, traduites

L'article 50 tient en quatre situations. Trois d'entre elles ne concernent pas la majorité des PME.

Sur ce dernier point, la lecture alarmiste qui circule — « il faudra étiqueter tous vos contenus générés par IA » — est plus large que le texte. L'obligation de signalement des textes vise ceux qui sont publiés dans le but d'informer le public sur des questions d'intérêt public : une fiche produit ou une page de service n'y entrent a priori pas, c'est la lecture que retiennent les analyses publiées depuis les lignes directrices, la Commission n'ayant pas donné d'exemple d'exclusion. Elle rappelle en revanche une exemption décisive : l'obligation tombe lorsque le contenu a fait l'objet d'un contrôle éditorial humain réel — étant entendu qu'un contrôle « superficiel, purement formel ou procédural » ne compte pas.

Le volet deepfake, lui, est plus concret qu'il n'y paraît pour une entreprise : une image photoréaliste d'un atelier, d'une équipe ou d'une réalisation qui n'existent pas relève de la définition. Beaucoup de sites vitrines en publient sans y penser.

La maîtrise de l'IA : assouplie, pas supprimée

L'article 4 imposait depuis février 2025 de « veiller à ce que » le personnel dispose d'un niveau suffisant de maîtrise de l'IA. L'omnibus remplace cette obligation de résultat par une obligation de moyens : prendre des mesures pour soutenir le développement de cette maîtrise, au regard du contexte d'usage. Le texte précise qu'il n'oblige personne à garantir un niveau donné pour un individu donné. Il n'y a en revanche aucune exemption pour les petites structures : l'obligation existe toujours, elle est seulement plus raisonnable.

Et les amendes ?

L'article 99 plafonne les sanctions à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et à 15 millions ou 3 % pour les manquements aux autres dispositions, dont l'article 50. Une précision compte pour nos clients : pour les PME, y compris les jeunes entreprises, c'est le plus faible des deux montants qui s'applique — donc le pourcentage, pas les quinze millions.

Notre lecture : à l'échelle d'une entreprise de vingt personnes, le risque immédiat n'est pas l'amende. C'est la clause de conformité dans un appel d'offres, ou le client grand compte qui demande comment vous documentez votre usage de l'IA. La réglementation descend la chaîne de sous-traitance bien avant que le régulateur ne frappe à la porte.

Ce que l'omnibus apporte de bon aux PME

Le texte ne fait pas que reporter. Il étend aux « small mid-caps » — une catégorie européenne nouvelle, sous 750 salariés — les allègements réservés jusqu'ici aux PME, élargit l'accès aux bacs à sable réglementaires en créant un dispositif au niveau de l'Union, et simplifie l'obligation d'enregistrement dans la base de données européenne pour les systèmes exemptés. Il ajoute par ailleurs une interdiction nouvelle, sans rapport avec la vie d'une PME mais qui explique une partie du calendrier politique : celle des systèmes générant des contenus intimes non consentis ou des contenus pédocriminels.

Ce qui tient en une après-midi

Rien de ce qui suit ne demande de budget. L'ensemble se fait en une demi-journée dans une entreprise de trente personnes.

1. Faire la liste. Quels outils d'IA sont réellement utilisés, par qui, pour quoi. La plupart des dirigeants découvrent à cette occasion trois outils qu'ils n'ont jamais achetés. C'est le préalable à tout le reste, et c'est aussi ce qui vous sera demandé le jour où un client posera la question.

2. Repérer vos cas « annexe III ». Tri de candidatures, évaluation de la performance, scoring de solvabilité. Si vous en avez un, notez décembre 2027 dans votre calendrier et demandez dès maintenant à l'éditeur ce qu'il prévoit. C'est lui qui portera l'essentiel de la charge — encore faut-il savoir s'il compte le faire.

3. Regarder votre chatbot. Annonce-t-il qu'il est une IA, dès la première phrase ? Si non, c'est le correctif le plus rapide de cette liste.

4. Écrire une règle de relecture humaine. Un contenu publié passe par un humain qui le lit, le corrige et l'assume. Cette règle referme le volet « textes » de l'article 50 dans la quasi-totalité des cas de figure d'une PME — et accessoirement, elle sert la qualité. Elle ne couvre en revanche pas les images : un visuel photoréaliste d'un lieu ou d'une équipe qui n'existent pas se signale, relu ou non.

5. Poser trois lignes sur ce qu'on a le droit de saisir dans un outil d'IA. Ni données clients, ni pièces comptables, ni identifiants. Ce point n'est pas dans l'AI Act, il est dans le RGPD et dans le bon sens ; nous en avons vu les conséquences concrètes dans notre article sur l'incident Hugging Face.

Notre lecture

Le report du haut risque a été négocié pour une raison simple : les normes harmonisées et les outils de conformité nécessaires n'étaient pas prêts, et les États membres n'avaient pas fini de désigner leurs autorités. C'est un aveu de calendrier, pas un changement de cap. Décembre 2027 arrivera avec les mêmes exigences, dans un secteur où les outils de recrutement assistés par IA se seront entre-temps généralisés.

Pour la plupart des PME que nous accompagnons, ce qui tombe dimanche est gérable : dire qu'un robot est un robot, faire relire ce qu'on publie, savoir ce qu'on utilise. Ce qui tombe en 2027 demande d'avoir commencé à y penser. L'erreur serait de lire « report » et de ranger le dossier ; c'est exactement l'inverse de ce qu'offre ce délai de seize mois.

Si vous vous demandez par où commencer, nous détaillons les usages qui ont réellement du sens à petite échelle dans notre guide sur l'IA et les applications métiers pour petites entreprises, et nous accompagnons ces projets dans notre offre Intelligence artificielle & data.

Sources : page « AI Omnibus enters into force » de la Commission européenne (27 juillet 2026) et fiche du train législatif du Parlement européen sur le Digital Omnibus on AI, pour l'entrée en vigueur, le vote du 16 juin et les nouvelles échéances ; foire aux questions de la Commission sur l'article 50, pour la date du 2 août 2026, les quatre cas de figure et l'exemption de contrôle éditorial humain ; texte de l'annexe III et de l'article 99 de l'AI Act. Le règlement (UE) 2026/1744 est publié au Journal officiel de l'Union européenne du 24 juillet 2026. La Commission est l'auteure du texte qu'elle commente : ses pages sont une source de première main sur son contenu, pas un avis neutre sur son opportunité. Nous n'avons repris aucune date que nous n'ayons pu confirmer sur deux sources indépendantes. Cet article n'est pas un conseil juridique.