AI Act Omnibus : ce qui change pour les PME

En bref.

• Le règlement (UE) 2026/1744, « train de mesures omnibus numérique sur l’IA », signé le 8 juillet 2026 et publié au JOUE le 24 juillet 2026, est entré en vigueur le 27 juillet 2026.
• Les règles haut risque de l’annexe III (article 6, paragraphe 2) s’appliquent à partir du 2 décembre 2027. Celles de l’annexe I (article 6, paragraphe 1) s’appliquent à partir du 2 août 2028.
• Les pratiques interdites de l’article 5 s’appliquent depuis le 2 février 2025. Les nouvelles interdictions sur les contenus intimes non consentis et le matériel d’abus sexuel sur enfants s’appliquent le 2 décembre 2026.
• Les obligations des fournisseurs de modèles d’IA à usage général s’appliquent depuis le 2 août 2025.
• Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Les fournisseurs de systèmes génératifs déjà mis sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour le marquage de l’article 50, paragraphe 2.
• L’article 4, réécrit, demande aux fournisseurs et aux déployeurs de favoriser la maîtrise de l’IA, sans garantir un niveau précis par personne. La Commission et les États membres ont un rôle de soutien, en particulier envers les PME.

Mise à jour du 18 octobre 2026. La version publiée le 26 mai 2026 décrivait un accord provisoire et indiquait que le 2 août 2026 restait la date légale des obligations haut risque. Ce texte est caduc. Le règlement (UE) 2026/1744 est adopté, publié et en vigueur. Les développements Bpifrance, catalogue public et alliance EY x Microsoft restent plus bas, datés et limités à ce qui a pu être revérifié.

Le règlement omnibus sur l’IA est en vigueur. Pour une PME qui déploie des outils, le calendrier utile tient en trois blocs déjà applicables (interdictions, modèles à usage général, transparence) et deux blocs haut risque reportés au 2 décembre 2027 et au 2 août 2028.

Ceci n’est pas un conseil juridique. Le résumé suit le règlement (UE) 2026/1744 (ELI : http://data.europa.eu/eli/reg/2026/1744/oj), qui modifie le règlement (UE) 2024/1689. La note de la Commission du 27 juillet 2026 et la page « Quand l’application de la loi commence-t-elle ? » de l’AI Act Service Desk vont dans le même sens. Une autre rubrique du Service Desk décrit encore les échéances de la proposition de novembre 2025. Le calendrier retenu est celui du règlement publié.

Calendrier vérifié au 18 octobre 2026

Obligation	Date	Qui est concerné	Pour une PME déployeuse
Pratiques interdites de l’article 5, hors points b bis et b ter	2 février 2025	Fournisseurs et déployeurs	Interdiction déjà en vigueur : manipulation ou tromperie causant un préjudice important, exploitation de vulnérabilités, notation sociale, catégorisation biométrique déduisant des données sensibles, évaluation du risque pénal d’une personne fondée sur le seul profilage, constitution de bases de reconnaissance faciale par moissonnage non ciblé, inférence des émotions au travail et dans l’enseignement (hors motif médical ou de sécurité), identification biométrique à distance en temps réel dans l’espace public à des fins répressives, sauf les cas étroits prévus par le texte.
Maîtrise de l’IA, article 4 dans sa rédaction issue de l’Omnibus	Chapitre I applicable depuis le 2 février 2025 ; rédaction actuelle depuis le 27 juillet 2026	Fournisseurs et déployeurs, avec un soutien particulier aux PME	Prendre des mesures pour favoriser la maîtrise de l’IA des personnes qui utilisent les outils. Le texte ne demande pas de garantir un niveau précis pour chaque personne.
Obligations des modèles à usage général, chapitre V	2 août 2025	Fournisseurs de ces modèles	La PME qui utilise ChatGPT, Copilot, Claude ou Le Chat n’est pas le fournisseur du modèle. La documentation du modèle et les obligations du chapitre V pèsent sur ce fournisseur.
Transparence de l’article 50 (information lors d’une interaction, deepfake, texte d’intérêt public)	2 août 2026	Fournisseur pour la conception de l’information ; déployeur pour le signalement d’un deepfake ou d’un texte publié	Chatbot face à un client : information claire, au plus tard à la première interaction. Deepfake, ou texte généré publié pour informer le public sur un sujet d’intérêt public, sauf s’il a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne en assume la responsabilité éditoriale : signalement. Le détail opérationnel est dans l’article transparence d’août 2026.
Marquage de l’article 50, paragraphe 2, pour les systèmes déjà mis sur le marché avant le 2 août 2026	2 décembre 2026	Fournisseurs de systèmes, y compris à usage général, qui génèrent de l’audio, de l’image, de la vidéo ou du texte de synthèse	Délai de quatre mois pour le fournisseur (article 111, paragraphe 4). Les autres obligations de l’article 50 restent dues depuis le 2 août 2026.
Nouvelles interdictions : contenus intimes non consentis et matériel visé par la directive 2011/93/UE (article 5, paragraphe 1, points b bis et b ter)	2 décembre 2026	Mise sur le marché, mise en service ou usage, dans les limites des paragraphes 1 bis et 1 ter	Le déploiement est interdit lorsque la PME utilise le système dans le but de générer ou de manipuler ces contenus. La mise sur le marché est, elle, encadrée par la finalité du système ou par l’absence de garde-fous lorsque ce résultat est raisonnablement prévisible.
Haut risque, chapitre III, sections 1, 2 et 3, sauf l’article 6, paragraphe 5	2 décembre 2027	Systèmes classés à haut risque par l’article 6, paragraphe 2, et l’annexe III	Recrutement et sélection, décisions sur la relation de travail, évaluation du comportement des salariés, solvabilité ou score de crédit de personnes physiques, tarification vie et santé : gestion des risques, documentation, surveillance humaine. Un système déjà sur le marché avant cette date n’entre dans ces obligations que s’il subit ensuite d’importantes modifications de conception (article 111, paragraphe 2). Les systèmes destinés aux autorités publiques doivent, en tout état de cause, être mis en conformité au plus tard le 2 août 2030.
Haut risque intégré à un produit couvert par l’annexe I	2 août 2028	Systèmes classés à haut risque par l’article 6, paragraphe 1, et l’annexe I	Même logique pour une IA qui est le produit, ou un composant de sécurité d’un produit, soumis à une évaluation de conformité tierce au titre de la législation listée (jouets, ascenseurs, dispositifs médicaux, etc., selon l’annexe I, section A ; pour les machines, les exigences passent par le règlement (UE) 2023/1230, au plus tard le 2 août 2028).
Bac à sable réglementaire national	Opérationnel au plus tard le 2 août 2027	Autorités des États membres. Accès prioritaire des PME, y compris les jeunes pousses, qui remplissent les conditions (article 62)	Utile à une PME qui développe ou fait développer un système et veut le tester sous supervision. Le Bureau de l’IA peut, en plus, créer un bac à sable au niveau de l’Union pour les systèmes relevant de l’article 75, paragraphe 1, avec accès prioritaire des PME et des petites entreprises à moyenne capitalisation. Le règlement autorise cette création, sans en fixer la date d’ouverture.

Source unique du tableau : règlement (UE) 2026/1744, articles modificatifs de l’AI Act, et texte consolidé du règlement (UE) 2024/1689 au 27 juillet 2026.

L’article 6, paragraphe 3, maintient une dérogation : un système listé à l’annexe III n’est pas haut risque s’il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux, dans les cas prévus (tâche procédurale étroite, amélioration d’une activité humaine déjà faite, détection d’écarts sans remplacer l’évaluation humaine, tâche préparatoire). Le profilage de personnes physiques reste toujours haut risque. Documenter cette analyse incombe au fournisseur, avant la mise sur le marché (article 6, paragraphe 4).

Article 4 : ce que dit le texte

L’article 4 est remplacé par le règlement (UE) 2026/1744. Les trois paragraphes en vigueur disent ceci.

Les fournisseurs et les déployeurs prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et par les autres personnes qui utilisent les systèmes pour leur compte. Ils tiennent compte des connaissances techniques, de l’expérience, de l’éducation, de la formation, du contexte d’usage, et des personnes concernées. Cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise de l’IA par un individu.

La Commission et les États membres soutiennent et facilitent ces efforts, en particulier ceux des PME. La Commission publie des exemples pratiques de conformité sur la plateforme d’information unique de l’article 62, paragraphe 3, point b).

Le comité européen de l’IA adopte des recommandations, en tenant compte des cadres européens de compétences, pour aider la Commission et les États membres à promouvoir cette maîtrise, y compris en fixant des objectifs communs.

L’article 4 maintient une obligation de moyens : des mesures, adaptées aux personnes et à l’usage. Pour les organiser sur le travail réel, le cadre former ses équipes à l’IA en PME décrit des rôles, un rythme et des usages métier. Ce cadre est une méthode d’entreprise, à lire à côté du texte de l’article 4.

Une obligation distincte reste à l’article 26, paragraphe 2, pour le déployeur d’un système à haut risque : confier la surveillance humaine à des personnes physiques qui ont la compétence, la formation et l’autorité nécessaires, ainsi que le soutien nécessaire. Elle suit la date du chapitre III, donc le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I.

Ce qui est étendu aux petites entreprises à moyenne capitalisation

Le règlement définit la petite entreprise à moyenne capitalisation par renvoi au point 2 de l’annexe de la recommandation (UE) 2025/1099. Les mesures vérifiées dans le texte adopté, et qui dépassent le seul cercle des PME, sont les suivantes.

La documentation technique de l’annexe IV peut être fournie de manière simplifiée par les PME, y compris les jeunes pousses, et par les petites entreprises à moyenne capitalisation. La Commission établit un formulaire à cet effet. L’organisme notifié accepte ce formulaire (article 11).

La mise en œuvre du système de gestion de la qualité est proportionnée à la taille du fournisseur, en particulier s’il s’agit d’une PME, y compris une jeune pousse, ou d’une petite entreprise à moyenne capitalisation (article 17, paragraphe 2). Le niveau de protection exigé pour le système à haut risque reste le même.

L’article 63 permet aux PME, y compris les jeunes pousses, de respecter certains éléments de ce système de gestion de la qualité de façon simplifiée, à condition de ne pas avoir d’entreprises partenaires ou liées au sens de la recommandation 2003/361/CE. Le considérant 28 du règlement (UE) 2026/1744 indique que cette possibilité, auparavant ouverte aux microentreprises, est étendue à l’ensemble des PME. Le paragraphe opératoire de l’article 63 vise les PME, y compris les jeunes pousses, sous la condition des entreprises partenaires ou liées.

Les États membres tiennent compte des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique, lorsqu’ils infligent des sanctions (article 99, paragraphe 1). Pour une PME, chaque amende visée à l’article 99 est plafonnée au plus bas du pourcentage ou du montant forfaitaire (paragraphe 6). Pour une petite entreprise à moyenne capitalisation, ce plafond « le plus bas des deux » couvre les amendes des paragraphes 4 et 5 (3 % ou 15 millions d’euros, et 1 % ou 7,5 millions d’euros). L’amende du paragraphe 3, pour les pratiques interdites, reste de 7 % ou 35 millions d’euros, le plus élevé des deux.

Cartographier les usages, sans attendre décembre 2027

La cartographie sert à savoir quelle ligne du tableau concerne chaque outil. Elle se fait sur une liste écrite.

1. Recenser les outils utilisés, y compris ceux ouverts par les équipes sans validation interne : assistant généraliste, copilote bureautique, chatbot du site, ATS, CRM, outil métier.
2. Pour chaque outil, noter qui l’utilise, quelles données y entrent, et si le résultat pèse sur une personne physique : candidat, salarié, client particulier, assuré.
3. Ranger l’usage dans une case du tableau : interdit déjà, transparence depuis le 2 août 2026, haut risque annexe III au 2 décembre 2027, produit annexe I au 2 août 2028, ou aide interne hors de ces cas.
4. Écrire, pour les personnes qui utilisent l’outil, la mesure de maîtrise de l’IA prévue à l’article 4 : contexte d’usage, relecture, et ce qui ne doit pas être collé dans un prompt.

Un tri de CV, une évaluation de salariés ou un score de solvabilité de personnes physiques se lit à l’annexe III, point 4 ou point 5. Un score de prospects entre entreprises relève de l’annexe III lorsque sa finalité réelle correspond à un de ces cas, par exemple une décision sur une personne physique. La case se tranche sur cette finalité, avec le fournisseur du logiciel lorsque le classement reste ambigu.

Ce que mai 2026 a aussi apporté, revu au 18 octobre

Trois annonces de mai restent utiles, une fois datées. Le calendrier juridique reste celui du règlement.

Bpifrance et Mistral, 18 mai 2026

Le 18 mai 2026, Bpifrance a annoncé un partenariat avec Mistral AI pour déployer l’assistant « Le Chat » auprès de l’ensemble de ses collaborateurs, avec un enrichissement progressif des capacités d’agents. Le communiqué met en avant un modèle européen, la sécurité des données et le respect des règles européennes. Source : communiqué Bpifrance.

Pour une PME, le fait utile est le signal d’usage : un financeur public déploie un assistant européen dans ses métiers. Le choix d’outil, lui, se fait selon la tâche, le système d’information et la règle sur les données. Le cadre de comparaison est dans Claude, ChatGPT, Copilot ou Dust en PME.

Catalogue DGE et Hub France IA

Le 13 mai 2026, la Direction générale des entreprises et le secrétariat général pour l’investissement, avec l’appui de Hub France IA, ont lancé un appel à manifestation d’intérêt pour identifier des solutions d’IA à ancrage européen, adaptées aux PME et ETI. L’objectif affiché du plan Osez l’IA est un taux d’adoption de 80 % des PME et ETI d’ici 2030. Source : communiqué DGE du 13 mai 2026.

Le catalogue est publié depuis le 30 juillet 2026. La DGE et Hub France IA y référencent 88 entreprises. La DGE indique que la majorité de ces solutions est déployable sans expertise interne, en mode clé en main, no-code ou SaaS, et que la liste a vocation à être mobilisée notamment dans le Diag Data IA de Bpifrance. Source : actualité DGE du 30 juillet 2026.

EY et Microsoft, 21 mai 2026

Le 21 mai 2026, EY et Microsoft ont annoncé un investissement conjoint de plus d’un milliard de dollars sur cinq ans pour aider leurs clients à passer des pilotes à un déploiement à l’échelle. Dans le même communiqué, EY indique avoir d’abord déployé Copilot auprès de 150 000 utilisateurs, avec un gain de productivité de 15 % réinvesti dans la livraison client et l’apprentissage, et étendre ensuite Copilot à plus de 400 000 personnes. Source : communiqué EY du 21 mai 2026.

Ce 15 % est le chiffre publié par EY sur son propre déploiement, auprès de ses équipes.

Que faire à partir du 18 octobre 2026

Le 2 août 2026 est passé pour la transparence. Décembre 2027 est la date légale du haut risque annexe III. Les trois gestes tiennent sur la cartographie.

Mettre à jour les mentions déjà dues. Chatbot, agent qui écrit aux clients, deepfake, texte généré publié pour informer le public : suivre la méthode de l’article sur la transparence d’août 2026. Le marquage technique des sorties reste l’obligation du fournisseur, avec le délai du 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026.

Classer les usages qui visent des personnes. Recrutement, évaluation des salariés, score de crédit de personnes physiques : ouvrir le dossier annexe III maintenant, pour être prêt au 2 décembre 2027, et demander au fournisseur s’il documente la dérogation de l’article 6, paragraphe 3. Un outil déjà en service avant cette date n’entre dans le chapitre III que s’il est ensuite modifié de façon importante dans sa conception.

Poser la mesure de l’article 4. Nommer qui utilise quel outil, sur quelle tâche, avec quelle relecture. Le rythme concret est celui de former ses équipes à l’IA : peu d’usages, sur le travail réel, avec un relais nommé.

Le catalogue du 30 juillet 2026 et le Diag Data IA de Bpifrance servent à comparer des offreurs. Ils ne remplacent pas la ligne du tableau qui correspond à l’usage.

---

Questions fréquentes

Le report des obligations haut risque au 2 décembre 2027 est-il certain ?

Oui. Le règlement (UE) 2026/1744 du 8 juillet 2026 est publié au Journal officiel de l’Union européenne le 24 juillet 2026 (JO L, 2026/1744) et entré en vigueur le 27 juillet 2026. L’article 113 du règlement (UE) 2024/1689, tel que modifié, fixe l’application du chapitre III, sections 1, 2 et 3 (sauf l’article 6, paragraphe 5) au 2 décembre 2027 pour les systèmes classés à haut risque au titre de l’article 6, paragraphe 2, et de l’annexe III, et au 2 août 2028 pour ceux classés au titre de l’article 6, paragraphe 1, et de l’annexe I. Ceci n’est pas un conseil juridique. Source : http://data.europa.eu/eli/reg/2026/1744/oj

Que dit l’article 4 sur la maîtrise de l’IA après l’Omnibus ?

L’article 4, remplacé par le règlement (UE) 2026/1744, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte, selon leurs connaissances, le contexte d’usage et les personnes concernées. Cette obligation ne contraint pas à garantir un niveau spécifique de maîtrise pour un individu. La Commission et les États membres soutiennent ces efforts, en particulier ceux des PME, et la Commission publie des exemples pratiques sur la plateforme d’information unique visée à l’article 62, paragraphe 3, point b). Le comité européen de l’IA adopte des recommandations, y compris des objectifs communs. Pour les systèmes à haut risque, l’article 26, paragraphe 2, maintient l’obligation du déployeur de confier la surveillance humaine à des personnes qui ont la compétence, la formation et l’autorité nécessaires. Cette obligation suit le calendrier du chapitre III : 2 décembre 2027 pour l’annexe III, 2 août 2028 pour l’annexe I. Ceci n’est pas un conseil juridique.

Qu’est-ce que l’Omnibus IA change pour une PME qui utilise seulement ChatGPT ou Copilot ?

L’usage d’un assistant généraliste pour rédiger ou synthétiser en interne ne classe pas, à lui seul, la PME dans les obligations haut risque de l’annexe III. Les obligations des modèles à usage général pèsent sur le fournisseur du modèle depuis le 2 août 2025. La PME, en tant que déployeur, reste tenue par l’article 4 : prendre des mesures pour favoriser la maîtrise de l’IA de ses équipes, sans devoir garantir un niveau précis pour chaque personne. Si elle publie un deepfake, ou un texte généré destiné à informer le public sur un sujet d’intérêt public, qui n’a pas fait l’objet d’une relecture humaine ou d’un contrôle éditorial sous la responsabilité éditoriale d’une personne, l’article 50, paragraphe 4, s’applique depuis le 2 août 2026. Le marquage machine de l’article 50, paragraphe 2, incombe au fournisseur. Pour les systèmes déjà mis sur le marché avant le 2 août 2026, ce fournisseur a jusqu’au 2 décembre 2026. Si l’outil sert à filtrer des candidatures, à évaluer des salariés ou à noter la solvabilité de personnes physiques, les obligations haut risque du déployeur suivent l’annexe III au 2 décembre 2027. Ceci n’est pas un conseil juridique.

Le délai du 2 décembre 2026 dispense-t-il une PME d’informer qu’un chatbot est une IA ?

Non. Le délai du 2 décembre 2026 vise les fournisseurs de systèmes qui génèrent des contenus de synthèse audio, image, vidéo ou texte, déjà mis sur le marché avant le 2 août 2026, et seulement l’obligation de marquage de l’article 50, paragraphe 2. L’information des personnes qui interagissent avec un système d’IA (article 50, paragraphes 1 et 5) et le signalement des deepfakes par le déployeur (article 50, paragraphe 4) suivent la date générale du 2 août 2026. Une PME qui met un chatbot face à ses clients prévoit donc déjà cette information. Le mode d’emploi est dans l’article sur les obligations de transparence d’août 2026. Ceci n’est pas un conseil juridique.

Où trouver un référentiel public de prestataires IA pour une PME ?

La Direction générale des entreprises et Hub France IA ont publié le 30 juillet 2026 une liste de 88 entreprises dans le catalogue des offreurs de solutions souveraines d’IA pour PME et ETI. L’appel à manifestation d’intérêt avait été lancé le 13 mai 2026, dans le cadre du plan Osez l’IA, dont l’objectif affiché est un taux d’adoption de 80 % des PME et ETI d’ici 2030. Ce catalogue a vocation à être mobilisé par les acteurs de l’accompagnement, notamment le Diag Data IA de Bpifrance. Source : page DGE du 30 juillet 2026, https://www.entreprises.gouv.fr/la-dge/actualites/la-dge-et-hub-france-ia-publient-une-liste-de-solutions-dia-adaptees-aux-pme-et

---

Vous voulez classer vos usages IA sur le calendrier en vigueur ?

Booker un RDV