Le 29 juin, le Conseil de l'UE a donné son feu vert définitif au paquet « Omnibus numérique », et les titres se sont écrits tout seuls : Bruxelles reporte l'AI Act. Entre le résumé et le bouton de partage, beaucoup de dirigeants de petites entreprises européennes ont discrètement classé le dossier dans la catégorie « problème pour 2027 ». C'est vrai pour un tiers, faux pour les deux autres. La plus grosse échéance de conformité a bien bougé — mais les règles qui concernent le plus une petite entreprise ont soit gardé leur date d'origine, soit s'appliquent déjà.
Ce qui a réellement été décidé
L'Omnibus numérique est un paquet qui modifie plusieurs textes numériques européens d'un coup, et son volet IA tient en un changement phare : les obligations relatives aux systèmes d'IA dits « à haut risque », initialement prévues pour le 2 août 2026, s'appliqueront désormais à partir du 2 décembre 2027. La procédure a été étonnamment rapide pour Bruxelles. Les négociateurs du Conseil et du Parlement ont trouvé un accord provisoire le 7 mai 2026, le Parlement européen a adopté le texte le 16 juin par 423 voix contre 57 et 174 abstentions, et l'approbation du Conseil le 29 juin constituait la dernière étape politique. La publication au Journal officiel de l'UE suivra dans les semaines à venir, et les nouvelles dates prendront effet peu après.
Deux échéances ont été déplacées. Les systèmes à haut risque autonomes listés à l'annexe III du Règlement européen sur l'IA — outils de recrutement et de présélection, notation de crédit, identification biométrique, systèmes décidant de l'accès à l'éducation — gagnent seize mois, jusqu'au 2 décembre 2027. L'IA intégrée dans des produits réglementés comme les dispositifs médicaux, les machines ou les jouets, couverte par l'annexe I, glisse de douze mois, d'août 2027 au 2 août 2028.
Pourquoi Bruxelles a cédé
La raison officielle tient à l'infrastructure, pas à la clémence. L'échéance d'août 2026 supposait des normes techniques harmonisées disponibles, des organismes d'évaluation de la conformité accrédités et des autorités nationales de surveillance du marché opérationnelles. Fin 2025, rien de tout cela n'était vrai : les normes du CEN-CENELEC accusaient du retard, des lignes directrices clés de la Commission restaient à l'état de projet, et plusieurs États membres n'avaient même pas désigné leurs autorités de surveillance.
Les analystes de la conformité sont rarement aussi unanimes. L'analyse de Secure Privacy présente les nouvelles dates comme un rattrapage du réglement sur la réalité, et le site néerlandais AI Act Blog résume le report en une formule : du temps de piste, pas une grâce. Un système qualifié de haut risque aujourd'hui le sera presque certainement encore en décembre 2027 — la liste a beaucoup moins changé que le calendrier.
Ce qui entre bien en vigueur le 2 août 2026
L'article 50, le chapitre transparence, a été délibérément laissé intact — et c'est la partie du Règlement européen sur l'IA que la plupart des petites entreprises rencontreront concrètement. Si vos clients interagissent avec votre IA — un chatbot sur votre boutique en ligne, un agent vocal qui répond au téléphone — ils doivent savoir clairement qu'ils ont affaire à une machine. Les contenus générés ou manipulés par IA, deepfakes compris, doivent être signalés comme tels. Et les fournisseurs de systèmes d'IA générative doivent marquer leurs productions dans un format lisible par machine, afin que d'autres logiciels puissent les reconnaître comme synthétiques.
Une seule concession, étroite : les systèmes déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour mettre en place ce marquage lisible par machine. L'Omnibus ajoute par ailleurs une nouvelle interdiction au règlement, visant les systèmes d'IA conçus pour générer des images intimes non consenties ou du matériel pédocriminel.
Les règles qui s'appliquent déjà
L'article 4, l'obligation de maîtrise de l'IA, s'applique depuis le 2 février 2025 et l'Omnibus n'y touche pas. Si votre équipe utilise l'IA au travail — et dans la plupart des entreprises, quelqu'un le fait — vous devez prendre des mesures raisonnables pour qu'elle comprenne ce que ces outils savent faire et ne pas faire. Une courte formation interne et une politique d'usage d'une page suffisent souvent ; l'essentiel est de pouvoir montrer que vous avez agi de manière délibérée.
Les interdictions de pratiques prohibées — notation sociale, systèmes manipulateurs, reconnaissance des émotions au travail — s'appliquent depuis la même date, et les obligations des modèles d'IA à usage général depuis août 2025. Le régime de sanctions n'a pas été adouci non plus : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements, transparence comprise.
Bien utiliser les seize mois
L'Omnibus est nettement plus favorable aux petites structures que le texte d'origine. Il inscrit une définition de la PME dans le règlement lui-même et y attache des allègements concrets : documentation technique simplifiée, exigences de gestion de la qualité proportionnées à la taille de l'entreprise, et accès prioritaire aux bacs à sable réglementaires. Le temps gagné a donc de la valeur — à condition de s'en servir.
Cet été. Recensez chaque système d'IA que votre entreprise développe, vend ou utilise. Pour tout ce qui est en contact avec les clients, vérifiez l'article 50 : le chatbot dit-il qu'il est un chatbot, les contenus générés sont-ils signalés ?
D'ici l'automne. Classez ce que vous avez recensé au regard de l'annexe III, à l'aide des lignes directrices de la Commission sur l'article 6, publiées le 19 mai 2026. La plupart des outils en sortiront ; le constater par écrit est déjà une preuve utile.
Ensuite. Si un système pourrait être à haut risque, commencez la documentation progressivement — registre des risques, description des données, plan de supervision humaine — plutôt que de redécouvrir la panique des échéances mi-2027.
Quand le report compte vraiment — et quand il n'a jamais compté
Réponse honnête : la plupart des petites entreprises européennes n'étaient de toute façon pas concernées par l'échéance d'août. Les lourdes obligations « haut risque » pèsent surtout sur les fournisseurs — les entreprises qui construisent ou vendent ces systèmes — tandis que celles qui se contentent d'utiliser des outils d'IA portent des devoirs de déployeur bien plus légers. Si vous développez ou revendez sous votre marque de l'IA pour le recrutement, le crédit ou les admissions scolaires, ce report est un vrai répit, et le travail de classification ci-dessus devient urgent. Si vous utilisez un assistant généraliste pour rédiger des e-mails et résumer des documents, vos règles n'ont jamais été reportées : l'article 4 s'applique dès maintenant, et l'article 50 arrive comme prévu en août.
Autrement dit, l'AI Act n'est pas annulé — il arrive dans l'ordre qui touche d'abord les petites entreprises. Si l'actualité vous laisse un doute sur la case où tombent vos outils, le Scan de Maturité IA de Cresly cartographie l'usage réel de l'IA dans votre entreprise, les obligations qui s'appliquent et à quelle date, et les endroits où l'IA pourrait déjà vous rendre service — une image plus nette que n'importe quel gros titre.