Sommaire6
Le 24 juillet 2026, le Journal officiel de l’Union européenne a publié le règlement (UE) 2026/1744, signé le 8 juillet, qui modifie l’AI Act. Ce texte, issu du paquet de simplification appelé « Omnibus numérique », est en vigueur depuis le 27 juillet 2026. Il ne réécrit pas le règlement : il en décale certaines dates, en assouplit quelques obligations et en ajoute d’autres.
Cet article de notre rubrique IA d’entreprise compare le texte avant et après, à partir de la version consolidée publiée par le service d’assistance de la Commission. Ce n’est pas un conseil juridique : pour un usage sensible, votre DPO ou un avocat a le dernier mot. Ce que tout cela demande concrètement à une entreprise qui utilise l’IA est rassemblé dans notre guide de l’AI Act et du RGPD pour les PME.
En bref
Les règles des systèmes à haut risque sont repoussées : 2 décembre 2027 pour le recrutement, le personnel ou le crédit, 2 août 2028 pour l’IA intégrée à des produits réglementés.
L’obligation de maîtrise de l’IA devient une obligation de moyens, sans niveau individuel à garantir.
Deux interdictions s’ajoutent au 2 décembre 2026, et les outils génératifs déjà sur le marché ont jusqu’à cette date pour marquer leurs contenus.
Les entreprises de taille intermédiaire, jusqu’à 750 personnes, profitent désormais d’allègements réservés jusque-là aux PME.
Le volet RGPD et cookies du même paquet est un autre texte, toujours en négociation.
Quand le règlement 2026/1744 s’applique-t-il ?
Les dates de la procédure sont celles des données officielles du texte sur EUR-Lex : signature le 8 juillet 2026, publication au Journal officiel le 24 juillet, entrée en vigueur le 27 juillet. Le service d’assistance de la Commission a aussitôt mis à jour son calendrier officiel :
Le calendrier de la Commission précise qu’il « prend en compte les modifications de l’AI Act introduites par l’Omnibus numérique sur l’IA ». Capturé le 19 octobre 2026.
Qu’est-ce qui a changé, article par article ?
Six changements comptent pour une entreprise qui utilise ou fait développer de l’IA. Pour chacun, le texte avant et après la révision :
- Haut risque, annexe III (article 113) : avant, le 2 août 2026 ; après, le 2 décembre 2027. Sont visés le recrutement, la gestion du personnel, la note de crédit et la tarification de certaines assurances.
- Haut risque, annexe I (article 113) : avant, le 2 août 2027 ; après, le 2 août 2028, pour l’IA intégrée à des produits déjà réglementés (dispositifs médicaux, jouets ou ascenseurs, par exemple).
- Maîtrise de l’IA (article 4) : avant, garantir « dans toute la mesure du possible » un niveau suffisant de maîtrise ; après, prendre « des mesures pour favoriser » cette maîtrise, sans obligation de garantir un niveau individuel. La Commission doit publier des exemples pratiques.
- Pratiques interdites (article 5) : deux interdictions s’ajoutent au 2 décembre 2026, sur les images intimes d’une personne identifiable générées sans son consentement et sur les contenus pédocriminels.
- Marquage des contenus générés (article 111) : les outils mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour appliquer le marquage de l’article 50.
- Entreprises de taille intermédiaire (articles 3 et 99) : une nouvelle catégorie, la « petite entreprise à moyenne capitalisation », reçoit des allègements jusque-là réservés aux PME, dont une amende plafonnée au plus faible des deux montants prévus.
Selon l’analyse du cabinet Orrick, cette catégorie couvre les entreprises qui ne sont pas des PME, comptent moins de 750 personnes et réalisent au plus 150 millions d’euros de chiffre d’affaires ou 129 millions d’euros de bilan. Beaucoup d’entreprises de 250 à 500 personnes y entrent. Le même texte confie au Bureau de l’IA la surveillance des systèmes construits sur un modèle généraliste par le même fournisseur, ouvre une base légale pour traiter des données sensibles afin de détecter les biais, et resserre la définition du composant de sécurité.
À retenir
Ce qui ne change pas
Les interdictions de février 2025, les règles des modèles généralistes et les obligations de transparence du 2 août 2026 restent en place : un chatbot doit toujours se présenter comme tel, sauf évidence, et un hypertrucage se signale.
Le calendrier de l’AI Act après la révision
- 2 février 2025
Pratiques interdites et maîtrise de l’IA.
- 2 août 2025
Règles des modèles d’IA à usage général et sanctions.
- 2 août 2026
Application générale, dont la transparence de l’article 50 et les pouvoirs de contrôle sur les modèles généralistes.
- 2 décembre 2026
Deux nouvelles interdictions, fin du délai de marquage pour les outils génératifs déjà sur le marché.
- 2 août 2027
Au moins un bac à sable réglementaire par État ; mise en conformité des modèles généralistes sortis avant le 2 août 2025.
- 2 décembre 2027
Règles du haut risque de l’annexe III.
- 2 août 2028
Règles du haut risque de l’annexe I.
Ces dates sont celles du calendrier de la Commission et de l’article 113 consolidé. L’échéance la plus proche, celle du 2 décembre 2026, a son propre article : le marquage des contenus générés par IA.
Le RGPD et les cookies ont-ils changé eux aussi ?
Pas encore. L’Omnibus numérique proposé par la Commission contenait aussi un volet sur le RGPD et les cookies (définition des données personnelles, intérêt légitime pour l’IA, bandeaux de consentement). Il a été séparé du volet IA. Au 24 septembre 2026, il restait en première lecture, avec plus de 1 750 amendements déposés au Parlement européen et sans mandat de négociation du Conseil, selon Acompli. Le Conseil n’avait toujours pas annoncé de mandat à la mi-octobre, note la lettre NicFab du 13 octobre. D’ici là, le RGPD et les règles nationales sur les cookies s’appliquent tels quels.
Ce que ça change pour une équipe de 20 à 500 personnes
Le report du haut risque donne du temps, pas une dispense. L’article 22 du RGPD encadre déjà les décisions entièrement automatisées, et le choix d’un outil de recrutement ou de notation se fait souvent plus d’un an avant sa mise en service : c’est maintenant qu’on demande à l’éditeur comment il compte se conformer. Les enjeux sont détaillés dans l’IA qui décide d’un licenciement ou d’un crédit et le rôle de l’humain face au jugement de l’IA.
L’assouplissement de la maîtrise de l’IA ne supprime pas la formation : il en fait une démarche à montrer plutôt qu’un niveau à certifier. Une charte et une trace des formations suffisent pour commencer, comme le propose notre guide de la gouvernance de l’IA ; la démarche d’ensemble est dans notre guide pour intégrer l’IA en entreprise.
Sur le terrain
Notre guide de l’AI Act pour les PME, publié le 11 octobre 2026, a été rédigé sur le texte consolidé après la révision, et c’est la même source, le service d’assistance de la Commission, qui sert de référence à chaque article réglementaire de ce blog. Chacun naît en brouillon et n’est publié qu’après une relecture humaine qui revérifie les dates sur le texte officiel.
Le reste de l’actualité réglementaire et technique du mois est dans notre actu IA d’octobre pour les dirigeants, des conditions de Meta sur l’exploration des sites au report de la loi NIS2. Pour savoir quels usages de votre entreprise approchent du haut risque et lesquels peuvent rester chez un fournisseur, voyez notre offre IA au juste coût.
Questions fréquentes
Qu’a changé l’Omnibus numérique dans l’AI Act ?
Le règlement (UE) 2026/1744 repousse les règles du haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I, transforme la maîtrise de l’IA en obligation de moyens, ajoute deux interdictions au 2 décembre 2026, donne aux outils génératifs existants jusqu’à cette date pour marquer leurs contenus et étend des allègements aux entreprises de taille intermédiaire.
Les obligations de transparence du 2 août 2026 sont-elles repoussées ?
Non. L’article 50 s’applique depuis le 2 août 2026 : un chatbot doit se présenter comme tel sauf évidence, et un hypertrucage se signale. Seul le marquage technique des contenus par les outils déjà sur le marché avant cette date bénéficie d’un délai, jusqu’au 2 décembre 2026. Les sanctions de l’article 99 restent applicables.
Mon entreprise de 400 personnes est-elle une « petite entreprise à moyenne capitalisation » ?
C’est probable : à 400 personnes, elle n’est plus une PME au sens européen, et elle entre dans la catégorie si elle réalise au plus 150 millions d’euros de chiffre d’affaires ou 129 millions d’euros de bilan. Elle bénéficie alors de documentation simplifiée et d’amendes plafonnées au plus faible des deux montants. Vérifiez les critères exacts de la recommandation (UE) 2025/1099 avec votre expert-comptable.
Faut-il encore former ses équipes à l’IA ?
Oui. L’article 4 révisé demande toujours aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, mais sans garantir un niveau individuel. Une démarche écrite, une charte et une trace de qui a été formé et quand restent la meilleure preuve. La Commission doit publier des exemples pratiques.
Sources
- Des données officielles du texte sur EUR-Lex (nouvel onglet)eur-lex.europa.eu
- Prendre « des mesures pour favoriser » (nouvel onglet)ai-act-service-desk.ec.europa.eu
- L’analyse du cabinet Orrick (nouvel onglet)orrick.com
- Calendrier de la Commission (nouvel onglet)ai-act-service-desk.ec.europa.eu
- L’article 113 consolidé (nouvel onglet)ai-act-service-desk.ec.europa.eu
- Acompli (nouvel onglet)acompli.ie
- La lettre NicFab du 13 octobre (nouvel onglet)nicfab.eu
Prendre « des mesures pour favoriser »
Lire sur ai-act-service-desk.ec.europa.eu(nouvel onglet)Jim · fondateur de Brain Plus AI
À lire aussi en ia d'entreprise
Guide pratique10 min
AI Act et RGPD : ce qu'une PME qui utilise l'IA doit faire
Une PME qui utilise ChatGPT ou un CRM doté d'IA a déjà des obligations. Ce guide fait le point en octobre 2026 : votre rôle au sens de l'AI Act, le calendrier révisé en juillet 2026, ce que demande le RGPD et les étapes pour vous mettre en règle.
Guide pratique8 min
Contenus générés par IA : marquage obligatoire au 2 décembre
Depuis le 2 août 2026, l'AI Act impose de marquer les images, vidéos, sons et textes générés par IA, et les outils déjà sur le marché ont jusqu'au 2 décembre 2026 pour s'y mettre. Qui marque, qui signale, ce que recommande le code de pratique européen et ce qu'un détecteur prouve vraiment.
Prendre du recul10 min
Le rôle de l'humain face à l'IA : savoir juger
L'IA excelle sur certaines tâches et se trompe avec aplomb sur des tâches voisines. La valeur de l'humain se déplace : savoir où passe la frontière, garder son jugement, répondre du résultat.