01Ce qui s'est réellement passé le 27 juillet 2026
Le règlement (UE) 2026/1744, dit Digital Omnibus on AI, a été adopté le 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Il modifie le règlement 2024/1689, c'est à dire l'IA Act lui même.
Il reporte les échéances les plus lourdes.
| Obligation | Date annoncée partout | Date réelle |
|---|---|---|
| Systèmes à haut risque, annexe III : recrutement, crédit, éducation, biométrie | 2 août 2026 | 2 décembre 2027 |
| Systèmes à haut risque, annexe I : produits déjà réglementés, dispositifs médicaux, machines, véhicules | 2 août 2027 | 2 août 2028 |
| Bacs à sable réglementaires | 2 août 2026 | 2 août 2027 |
Ce sont des dates fixes, et non des dates conditionnées à la publication de normes techniques, option qui avait été envisagée pendant la négociation puis écartée.
Ce que ça change pour vous. Si vous avez lu ces derniers mois qu'il fallait être conforme au régime haut risque pour le 2 août 2026, vous avez lu un article devenu faux. Vous disposez de seize mois de plus. Ce n'est pas une raison pour ne rien faire, c'est une raison pour le faire calmement.
02La logique du risque, en une minute
Plus votre IA a de pouvoir sur la vie des gens, plus la loi vous surveille. Si elle vous aide juste à écrire plus vite, elle vous laisse tranquille. Tout le reste découle de ça.
L'IA Act ne réglemente donc pas « l'intelligence artificielle » comme un bloc. Il réglemente des usages, classés par niveau de risque. C'est l'astuce du texte, et c'est ce qui fait qu'une PME et un fournisseur de modèle ne jouent pas dans la même cour.
Risque inacceptable. Purement interdit. Notation sociale des citoyens, manipulation comportementale, certaines reconnaissances biométriques, et depuis le Digital Omnibus les contenus intimes non consentis et le matériel pédocriminel générés par IA (applicable au 2 décembre 2026, palier à 35 M€ ou 7 %), et un point qui concerne directement les employeurs : la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. Interdiction applicable depuis le 2 février 2025, sanctions depuis le 2 août 2025.
Haut risque. Autorisé mais très encadré. Ce sont les IA qui décident du sort des gens : tri automatisé de candidatures, évaluation de solvabilité, biométrie, sécurité de produits. Documentation, contrôle humain, traçabilité. Reporté à décembre 2027.
Risque en matière de transparence. C'est l'appellation de la Commission, et non « risque limité » comme on le lit souvent. La CNIL, elle, parle de « risque spécifique en matière de transparence ». Vous devez dire à la personne qu'elle parle à une machine, ou que le contenu est artificiel. Applicable depuis le 2 août 2026.
Risque minimal. Aucune obligation spécifique au titre du règlement. Selon la Commission européenne, « la grande majorité des systèmes d'IA actuellement utilisés dans l'UE » relèvent de cette catégorie : rédiger un mail, résumer un compte rendu, générer un visuel, préparer une offre.
03Ce qui s'applique vraiment depuis le 2 août 2026
Trois choses, et une seule vous concerne directement.
1. Les obligations de transparence de l'article 50. C'est le vrai sujet de cette échéance, et le seul qui touche une PME. Détail en section 05.
2. Le pouvoir de sanction de la Commission sur les fournisseurs de grands modèles. Attention à une erreur très répandue : les obligations pesant sur les fournisseurs de modèles à usage général ne démarrent pas le 2 août 2026, elles s'appliquent depuis le 2 août 2025. Ce qui s'ajoute cette année, c'est l'article 101, qui permet à la Commission de leur infliger des amendes plafonnées à 3 % du chiffre d'affaires annuel mondial ou 15 millions d'euros, le montant le plus élevé étant retenu. Notez bien le sens : ici c'est le plus élevé, à l'inverse de la règle applicable aux PME que nous voyons en section 07, qui retient le plus faible. Une année d'obligations sans sanction, puis activation du volet répressif. Cette charge pèse sur eux, pas sur vous, et vous en profitez indirectement : les outils que vous payez deviennent plus carrés.
3. La surveillance du marché devient effective. Les autorités nationales se mettent en place. Autrement dit, le texte a désormais des dents. En France, la désignation définitive des autorités compétentes n'était toujours pas promulguée à la date de rédaction : le projet de loi qui confie à la CNIL la mise en œuvre du règlement a été adopté par le Sénat en première lecture en février 2026 et transmis à l'Assemblée nationale, où il était toujours en première lecture au 8 août 2026. C'est un point à surveiller, pas une raison d'attendre.
Et une chose qui s'applique depuis bien plus longtemps. L'obligation de soutenir la montée en compétence de vos équipes, l'article 4, est en vigueur depuis le 2 février 2025. Ce n'est pas une nouveauté du 2 août 2026. Ce qui est nouveau, c'est qu'elle devient supervisable. Détail en section 06.
04Ce qui a été reporté, et ce que vous devriez quand même regarder
Le régime haut risque bascule à décembre 2027 pour l'annexe III. Concrètement, si votre entreprise utilise un outil d'IA pour l'une de ces finalités, vous êtes dans le périmètre, mais vous avez le temps.
Le tri de candidatures. L'annexe III vise explicitement les systèmes destinés au recrutement ou à la sélection de personnes, notamment pour publier des offres d'emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats. C'est le cas d'usage haut risque le plus fréquent en PME.
L'évaluation de solvabilité. Elle est visée, avec deux nuances que peu d'articles mentionnent : la détection de fraude financière en est explicitement exclue, et le texte ne vise que les personnes physiques. Le scoring d'entreprises n'entre pas dans ce point.
Une porte de sortie existe, mais elle est étroite. Elle suppose d'abord que le système ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux : cette condition commande les quatre cas ci-dessous, qui ne jouent jamais automatiquement. Sous cette réserve, un système listé en annexe III n'est pas à haut risque s'il n'accomplit qu'une tâche procédurale étroite, s'il se contente d'améliorer le résultat d'un travail humain déjà réalisé, s'il détecte des écarts sans se substituer à l'évaluation humaine, ou s'il exécute une tâche purement préparatoire. Mais si le système effectue un profilage de personnes physiques, la dérogation ne joue plus, jamais. Un outil qui note et classe des candidats reste à haut risque en toute hypothèse. Et celui qui invoque la dérogation doit documenter son évaluation avant la mise sur le marché, puis s'enregistrer.
Ce que vous devriez faire dès maintenant, même avec seize mois devant vous : savoir si vous avez un usage de ce type. Pas vous mettre en conformité, juste le savoir. Beaucoup de dirigeants découvrent qu'un module de leur logiciel de recrutement fait du scoring de candidats sans qu'ils l'aient jamais décidé.
05La transparence : qui doit signaler quoi
C'est le point qui concerne le plus de monde, y compris des entreprises qui ne se croient pas concernées. Et c'est celui où l'on voit le plus d'articles se tromper, parce qu'ils confondent deux rôles.
Le règlement distingue le fournisseur, celui qui met le système sur le marché, et le déployeur, celui qui l'utilise dans son activité. Votre PME est déployeur. La répartition est nette.
| Obligation | Qui la porte | Ce que ça veut dire pour vous |
|---|---|---|
| Informer qu'on interagit avec une IA | Le fournisseur, par conception du système | Vérifiez que votre agent conversationnel le fait, ne le construisez pas vous même |
| Marquer les contenus dans un format lisible par machine | Le fournisseur | Ce n'est pas à vous de tatouer vos images, c'est à l'outil |
| Informer en cas de reconnaissance d'émotions ou de catégorisation biométrique | Vous | Rare en PME, mais impératif si vous y touchez |
| Déclarer les hypertrucages que vous diffusez | Vous | Une mention visible suffit |
| Indiquer qu'un texte est généré par IA lorsqu'il est publié pour informer le public sur une question d'intérêt public | Vous | Avec une exception majeure, voir ci dessous |
Deux exceptions à connaître. Les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles bénéficient d'une obligation allégée. Et surtout, les textes ayant fait l'objet d'un contrôle éditorial humain, avec une responsabilité éditoriale assumée, sont exemptés. Autrement dit, un article relu, corrigé et assumé par une personne identifiée dans votre entreprise ne tombe pas sous l'obligation de déclaration.
Deux périodes transitoires, presque jamais mentionnées. Les contenus générés avant le 2 août 2026 n'ont pas à être marqués rétroactivement. Et les fournisseurs de systèmes génératifs déjà sur le marché disposent de quatre mois, soit jusqu'au 2 décembre 2026, pour se conformer aux obligations de marquage. Attention à ne pas vous croire concerné par ce délai : il ne couvre que le marquage lisible par machine, qui incombe au fournisseur. Vos obligations de déployeur, notamment la déclaration des hypertrucages que vous diffusez, s'appliquent depuis le 2 août 2026 sans aucun délai.
Être transparent sur vos usages d'IA, c'est aussi une décision commerciale : ça rassure vos clients plus que ça ne les inquiète.
06La formation : l'obligation que tout le monde a mal comprise
Le sujet est pollué par des prestataires qui vendent des formations certifiantes en agitant le risque d'amende. Pour cet article du règlement, l'amende n'existe pas.
L'obligation existe, et depuis longtemps. L'article 4 s'applique depuis le 2 février 2025. Elle vise les fournisseurs comme les déployeurs, sans seuil d'effectif. Toute PME qui utilise l'IA est concernée.
Elle a été assouplie le 27 juillet 2026. L'ancienne rédaction imposait de « garantir un niveau suffisant » de maîtrise de l'IA. La nouvelle impose de « soutenir le développement » de cette maîtrise. On passe d'une obligation de résultat à une obligation de moyens, et le texte précise même qu'il ne s'agit pas de garantir un niveau spécifique chez un individu donné.
Aucune amende n'y est attachée. Le régime des amendes administratives du règlement vise des articles nommément désignés, et l'article 4 n'en fait pas partie. Autrement dit, à ce jour, aucune sanction financière n'est prévue par l'IA Act pour un défaut de formation. Cela ne veut pas dire qu'il n'existe aucune responsabilité par ailleurs : le RGPD, le droit du travail et la responsabilité civile continuent de s'appliquer. Si on vous annonce une amende IA Act parce que vos salariés ne sont pas formés, la personne se trompe ou vous trompe.
Alors quelle preuve devez vous présenter ? La Commission européenne répond mot pour mot dans son questions réponses officiel : il n'y a pas besoin de certificat, les organisations peuvent tenir un registre interne des formations et des autres initiatives d'accompagnement. Ateliers, e-learning, guide interne, charte : tout compte, à condition d'être tracé.
Elle ajoute une précision utile : s'appuyer seulement sur les notices d'utilisation « pourrait être inefficace ». Elle ajoute, pour les déployeurs de systèmes à haut risque, que s'en remettre aux notices « n'est pas suffisant, des mesures supplémentaires sont nécessaires ».
Le vrai argument n'est donc pas juridique, il est opérationnel. En France, 43 % des utilisateurs d'IA générative s'en servent dans un cadre professionnel, alors que 9 % seulement des salariés disposent d'outils fournis par leur employeur (baromètre Ifop pour Talan, 1 100 personnes, mars 2025). Parmi ces utilisateurs professionnels, 15 % ont reçu une formation formelle. Et 73 % des Français, tous publics confondus, se sentent en déficit de connaissances sur le sujet.
Le vrai risque n'est pas l'amende. C'est qu'une partie de vos salariés utilise déjà l'IA, sans cadre, sans outil fourni, sans savoir ce qu'ils ont le droit d'y coller.
Et il existe un fondement bien plus contraignant que l'IA Act. Depuis juillet 2024, la CNIL recommande explicitement la formation des utilisateurs aux limites des systèmes d'IA, aux hallucinations et aux exigences de vérification, au titre du RGPD. Là, le régime de sanctions français est opérationnel depuis 2019, et considérablement accéléré depuis 2022 avec la procédure simplifiée : 83 sanctions et 486,8 M€ prononcés en 2025, contre environ 165 M€ en 2024. Précision utile : aucune sanction de la CNIL n'est à ce jour fondée sur un défaut de formation en tant que tel, la formation n'apparaît qu'en accessoire des mesures organisationnelles.
Et si vous vous demandez si vous êtes en retard : 18 % des entreprises françaises de 10 salariés et plus utilisaient l'IA en 2025, contre 10 % un an plus tôt (INSEE Première n° 2120, juillet 2026, environ 11 000 entreprises). Chez les TPE et PME, le baromètre France Num du CREDOC pour la DGE en mesure 26 % sur 11 021 entreprises. Vous n'êtes pas en retard, vous êtes dans la vague.
07Les amendes : la règle qui joue en votre faveur
Les montants qui circulent sont exacts, mais ils sont presque toujours présentés d'une façon qui vous dessert.
| Manquement | Plafond |
|---|---|
| Pratiques interdites | 35 M€ ou 7 % du chiffre d'affaires mondial |
| Autres manquements, dont la transparence et les obligations du déployeur | 15 M€ ou 3 % |
| Informations trompeuses fournies aux autorités | 7,5 M€ ou 1 % |
Pour une grande entreprise, c'est le montant le plus élevé des deux termes qui s'applique.
Pour une PME, y compris une jeune pousse, le règlement prévoit l'inverse : c'est le montant le plus faible des deux qui s'applique. Le règlement 2026/1744 a d'ailleurs étendu ce bénéfice aux petites entreprises de taille intermédiaire. C'est la principale mesure d'atténuation prévue en faveur des petites structures, et elle est rarement rapportée correctement. Vérifiez la rédaction exacte de l'article 99 du règlement avant de vous en prévaloir dans un échange contractuel.
Ce qui veut dire, très concrètement, que le chiffre de 35 millions d'euros brandi dans les articles alarmistes ne décrit pas votre situation. Ce qui vous concerne réellement, c'est un plafond calculé sur un pourcentage de votre chiffre d'affaires, pour des manquements graves, dans un cadre où l'autorité de contrôle française n'est même pas encore formellement désignée.
Le risque réel à court terme pour une PME au comportement normal n'est pas l'amende IA Act. C'est le RGPD, le contentieux prud'homal, et le client grand compte qui vous envoie un questionnaire fournisseur sur vos usages d'IA.
08Le piège de l'article 25 : quand vous devenez fournisseur sans le savoir
Ce point devient très concret dès qu'on fait développer quelque chose, et presque personne ne le voit venir.
Une PME déployeuse bascule au statut de fournisseur, avec toutes les obligations correspondantes, dans trois cas :
- elle appose son nom ou sa marque sur un système à haut risque ;
- elle modifie substantiellement un tel système ;
- elle en change la destination de sorte qu'il devienne à haut risque.
La notion de modification substantielle n'est pas tranchée à ce jour : elle sera précisée par les autorités nationales et par la pratique.
Traduction. Vous faites construire un assistant, vous le mettez à votre marque, vous le proposez à vos clients : vous n'êtes plus simple utilisateur. Vous prenez sur vous la documentation technique, l'évaluation de conformité, la gestion des risques, le marquage. Ce n'est pas hors de portée. Mais ça ne se découvre pas après coup.
Si vous avez un projet de ce type, c'est la seule question de l'article qui mérite un avis avant de lancer le développement, pas après.
09La checklist en six points, faisable cette semaine
Voici ce qu'une PME doit avoir mis en place, compte tenu du calendrier réel.
1. La cartographie des usages. Listez qui utilise quel outil d'IA, pour quoi faire. Une page suffit. C'est aussi ce qui vous permettra de repérer un éventuel usage haut risque avant décembre 2027.
2. Un registre simple. Pour chaque usage : l'outil, la finalité, les données concernées, qui l'utilise, et le niveau de risque. Deux colonnes de plus dans votre cartographie et c'est réglé. Il n'existe aujourd'hui aucun modèle officiel français, ni du côté de la CNIL, ni de l'administration : tout ce qui circule est édité par des acteurs privés. Six colonnes suffisent, dans un tableur : outil, qui l'utilise, pour quoi faire, données saisies, niveau de risque, date de revue.
3. Des licences professionnelles, pas des comptes personnels. Basculez vos équipes sur des versions professionnelles, où les données ne sont pas réutilisées pour l'entraînement. C'est le geste unique qui règle la plus grande partie du risque réel, et il relève du RGPD autant que de l'IA Act.
4. Une charte d'usage interne. Une page qui dit ce qu'on a le droit de faire, ce qu'on ne colle jamais dans une IA, et vers qui se tourner en cas de doute. Attention, pour servir de fondement disciplinaire, elle doit suivre la procédure du règlement intérieur. Une charte simplement affichée sur l'intranet n'est pas opposable à ce titre. Cela ne veut pas dire qu'un salarié est intouchable : l'employeur garde les fondements habituels, obligation de loyauté, confidentialité, contrat de travail.
5. Les mentions de transparence. Vérifiez que votre agent conversationnel se présente comme automatisé, et signalez les hypertrucages que vous diffusez. Cinq minutes de travail, et relisez la section 05 pour ne pas en faire plus que nécessaire.
6. Une session de formation, et sa trace. Deux heures avec vos équipes pour expliquer les règles et les bons réflexes, et un compte rendu daté avec la liste des présents. C'est exactement la preuve que la Commission décrit. C'est aussi ce qui transforme une conformité de papier en conformité réelle.
10Les trois erreurs à ne pas commettre
La paralysie. « L'IA Act est trop compliqué, on attend d'y voir plus clair. » Résultat : vous prenez du retard pendant que vos concurrents avancent, et vos salariés utilisent l'IA en douce quand même, sans aucun cadre. Le pire des deux mondes. Et le report de décembre 2027 ne change rien à ce raisonnement, il vous donne juste le temps de bien faire.
L'excès inverse. Se ruiner en audit juridique pour un usage qui relève du risque minimal. Un prestataire qui vous vend une usine à gaz pour rédiger des mails vous vend surtout de la peur, et souvent sur la base d'un calendrier qui n'est plus le bon. Le niveau d'effort doit être proportionné au niveau de risque réel.
Confondre conformité et paperasse. Un beau classeur que vos équipes n'ont jamais ouvert ne vous protège de rien. Ce qui compte, c'est le réflexe qu'a votre assistante quand elle hésite à coller un contrat client dans un assistant.
Ce que cet article n'est pas
Digitalchimist déploie l'IA dans des PME, ce n'est pas un cabinet d'avocats. Cet article décrit l'état des textes à la date indiquée et vous aide à situer votre entreprise. Il ne remplace pas un avis juridique, et sur les deux points qui engagent vraiment, un usage relevant de l'annexe III et un développement qui vous ferait basculer au statut de fournisseur, faites vous conseiller avant de décider.
Sources et références
- Règlement (UE) 2024/1689 du 13 juin 2024, dit IA Act, texte consolidé sur EUR-Lex.
- Règlement (UE) 2026/1744 du 8 juillet 2026, dit Digital Omnibus on AI, publié au JOUE le 24 juillet 2026, entré en vigueur le 27 juillet 2026.
- Commission européenne, cadre réglementaire sur l'IA — lignes directrices sur la transparence des contenus générés par IA, mises à jour le 29 juillet 2026.
- Commission européenne, questions réponses officielles sur la littératie en IA, mises à jour le 27 juillet 2026.
- CNIL, questions réponses sur l'utilisation d'un système d'IA générative, juillet 2024, et fiches pratiques IA.
- Baromètre Ifop pour Talan 2025, les Français et les IA génératives.
- INSEE Première n° 2120, juillet 2026, les technologies de l'information et de la communication dans les entreprises en 2025, environ 11 000 entreprises interrogées.
- Baromètre France Num 2025, réalisé par le CREDOC pour la Direction générale des entreprises, 11 021 entreprises interrogées.
- Bpifrance Le Lab, « une révolution tranquille », juin 2025, 1 209 dirigeants interrogés.
Faire le point sur vos usages d'IA
Le report de décembre 2027 vous donne seize mois. C'est assez pour le faire bien, ce n'est pas une raison de remettre à plus tard.
Si vous voulez savoir où vous en êtes réellement, ce qui vous concerne et ce qui ne vous concerne pas, on regarde ensemble votre situation.
Prendre 30 minutes pour en parler →
Savoir où vous en êtes, vraiment. Le report vous donne seize mois. Assez pour cartographier vos usages, tracer ce qui doit l'être et former vos équipes sans précipitation. On regarde ensemble ce qui vous concerne et ce qui ne vous concerne pas.
Prendre 30 minutes pour en parler →