AI Act : ce qui devient obligatoire le 2 août 2026 pour votre PME

Ce qu'il faut retenir

Le paquet de simplification est adopté et en vigueur : publié au Journal officiel de l'UE le 24 juillet 2026, entré en vigueur le 27 juillet. Ce n'est plus une proposition — c'est du droit applicable.
Les systèmes à haut risque sont reportés : les obligations de l'annexe III passent du 2 août 2026 au 2 décembre 2027 (et au 2 août 2028 pour l'IA embarquée dans les produits réglementés de l'annexe I).
Mais le 2 août 2026 reste une vraie échéance : les obligations de transparence de l'article 50 s'appliquent comme prévu. Si votre site a un chatbot, ou si vous publiez des contenus générés par IA, vous êtes concerné ce week-end — quelle que soit votre taille.
Un sursis existe pour le marquage technique : les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour le marquage lisible par machine des contenus générés. Le reste s'applique sans délai.
La France n'a toujours pas désigné ses autorités de contrôle — mais ne vous y fiez pas : le règlement s'applique directement, et le régime de sanctions est en place au niveau européen depuis août 2025.

Que s'est-il passé depuis notre article de mai ?

Quand nous avons publié la première version de cet article, le paquet de simplification de l'AI Act — le « Digital Omnibus » — venait d'être pré-validé en trilogue, le 7 mai 2026. Le vote formel était attendu « dans les mois qui viennent ».

C'est fait, et plus vite qu'annoncé : le texte a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il s'agit de la première modification formelle de l'AI Act depuis son adoption en 2024.

Le calendrier qui en résulte change la donne pour les entreprises — dans les deux sens. Une partie des obligations recule de seize mois. Une autre tombe dans quatre jours, et c'est celle qui concerne le plus grand nombre de PME.

Le report à décembre 2027 : qui est réellement concerné ?

La mesure la plus commentée de l'omnibus est le report des obligations sur les systèmes d'IA à haut risque :

Catégorie	Ancienne échéance	Nouvelle échéance
Systèmes à haut risque autonomes (annexe III : RH, crédit, éducation, infrastructures critiques…)	2 août 2026	2 décembre 2027
IA embarquée dans des produits réglementés (annexe I : machines, dispositifs médicaux, jouets…)	2 août 2027	2 août 2028
Bacs à sable réglementaires nationaux (obligation pour les États membres)	2 août 2026	2 août 2027

Concrètement, si votre entreprise utilise un logiciel de tri de candidatures, un scoring crédit fournisseur ou un système de maintenance sur équipement de sécurité, les obligations lourdes — gestion des risques documentée, qualité des données, supervision humaine formalisée, journalisation — s'appliqueront en décembre 2027, pas cette semaine.

Seize mois de plus, ce n'est pas un cadeau sans contrepartie : c'est du temps pour faire les choses dans l'ordre. L'inventaire des usages IA — quel outil, pour quelle décision, avec quelles données — reste le point de départ, et il prend des semaines, pas des jours.

Ce qui tombe bien le 2 août 2026 : la transparence de l'article 50

Le report ne touche pas l'article 50. Les obligations de transparence s'appliquent à partir du 2 août 2026, à toute entreprise, sans seuil de taille. Trois cas concrets couvrent l'essentiel des PME.

Cas 1 — Vous avez un chatbot ou un assistant sur votre site

Toute personne qui interagit avec un système d'IA doit savoir qu'elle parle à une machine, sauf si c'est évident compte tenu du contexte. L'obligation de conception pèse sur le fournisseur du chatbot, mais c'est votre site, votre client, votre image : vérifiez que la mention existe, qu'elle est visible dès le début de l'échange, et qu'elle est dans la langue de vos visiteurs.

À faire cette semaine : ouvrez votre chatbot comme le ferait un client, et regardez si la nature artificielle de l'échange est annoncée. Si votre prestataire ne l'a pas prévu, c'est une demande à lui adresser par écrit, maintenant.

Cas 2 — Vous publiez des contenus générés par IA

Deux obligations distinctes, qu'il ne faut pas confondre :

Le marquage technique (article 50, paragraphe 2) : les contenus générés ou manipulés par IA doivent être marqués dans un format lisible par machine, détectable comme artificiel. Cette obligation pèse sur le fournisseur de l'outil de génération. Sursis notable : pour les systèmes mis sur le marché avant le 2 août 2026, la conformité du marquage est exigée au 2 décembre 2026.
L'information du public : les hypertrucages (deepfakes) — images, sons ou vidéos d'apparence réaliste — doivent être déclarés comme générés par IA par celui qui les diffuse. Pour du texte publié pour informer le public sur des sujets d'intérêt général, la divulgation s'impose aussi, sauf revue éditoriale humaine avec responsabilité assumée.

Pour une PME qui utilise l'IA pour ses visuels marketing ou ses fiches produits : une illustration manifestement stylisée n'est pas un hypertrucage ; une photo réaliste truquée d'une personne ou d'un événement, si. Le bon réflexe est une politique interne d'une page : qu'est-ce qu'on génère, qu'est-ce qu'on retouche, qu'est-ce qu'on déclare.

Cas 3 — Vos équipes utilisent ChatGPT, Copilot ou Claude en interne

L'usage interne d'outils génératifs ne déclenche pas l'article 50 vis-à-vis de vos salariés dans la plupart des configurations bureautiques. En revanche, l'article 4 — la maîtrise de l'IA par le personnel — s'applique depuis février 2025 : votre entreprise doit s'assurer que les personnes qui utilisent l'IA en son nom ont un niveau de compréhension adapté à l'usage. L'omnibus a d'ailleurs clarifié la formulation : il s'agit de favoriser cette maîtrise, pas de garantir un niveau uniforme.

Une demi-journée de sensibilisation structurée — ce que l'outil sait faire, ce qu'il ne sait pas faire, ce qu'on ne lui confie jamais — répond à l'esprit du texte et, accessoirement, évite les vrais accidents : données clients collées dans un outil grand public, chiffres inventés repris dans un devis.

Ce que l'omnibus change d'autre pour les PME

Au-delà du calendrier, le texte final apporte des ajustements directement utiles aux structures de taille intermédiaire :

Extension des mesures PME aux petites entreprises de taille intermédiaire (« small mid-caps ») : documentation simplifiée et accès facilité aux dispositifs d'accompagnement ne sont plus réservés aux seules PME au sens strict.
Enregistrement simplifié pour les systèmes auto-évalués comme non à haut risque (article 6, paragraphe 3) : les informations exigées à l'annexe VIII sont réduites.
Deux interdictions nouvelles : les systèmes conçus pour générer des images intimes non consenties et des contenus pédocriminels rejoignent la liste des pratiques prohibées — en vigueur immédiatement.
Bacs à sable réglementaires : chaque État membre doit en établir au moins un d'ici le 2 août 2027. La France n'en a pas encore au sens de l'article 57 — le « bac à sable » de la CNIL est un programme d'accompagnement données personnelles, pas le dispositif prévu par le règlement.

Et la France, dans tout ça ?

C'est le paradoxe du moment : à quelques jours de l'échéance, la France n'a toujours pas formellement désigné ses autorités de surveillance. Le schéma publié en septembre 2025 — DGCCRF coordinatrice, CNIL cheffe de file sur les données personnelles et la biométrie, avec Arcom, ACPR et ANSSI sur leurs secteurs — n'a pas été adopté par le Parlement, et le gouvernement a annoncé début 2026 son intention de confier le rôle pivot à la CNIL après les réserves du Conseil d'État.

Ce flou institutionnel ne doit tromper personne. Le règlement européen s'applique directement, sans transposition. Le régime de sanctions est en vigueur depuis août 2025 : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour les manquements aux obligations — dont celles de transparence. L'absence de gendarme désigné retarde les contrôles, pas l'existence des obligations. Et le premier risque pour une PME n'est de toute façon pas l'amende : c'est le client grand compte qui exige la conformité dans ses appels d'offres, ou le concurrent qui signale.

Par où commencer, concrètement

Pour une PME ou une ETI industrielle, la feuille de route tient en quatre points, dans cet ordre :

Cette semaine : vérifier le chatbot (mention visible) et recenser les contenus publiés générés par IA.
Ce trimestre : formaliser la politique interne d'usage des outils génératifs et la sensibilisation des équipes (article 4) — c'est finançable dans le cadre des dispositifs de formation existants.
D'ici fin 2026 : inventorier tous les usages IA — internes, fournis par des éditeurs, embarqués dans des SaaS — et classer chacun dans la pyramide des risques. C'est le socle de tout le reste, et le livrable type d'un diagnostic structuré.
2027 : pour les usages qui relèvent du haut risque, dérouler la mise en conformité vers l'échéance de décembre 2027, sans précipitation mais sans pari sur un nouveau report.

Pour les PME industrielles du périmètre OPCO2i, ce travail d'inventaire et de cadrage s'inscrit dans les dispositifs de financement Clic&Tech, qui couvrent une part significative des coûts de diagnostic et de prototypage.

Les limites à garder en tête

Les actes d'application (lignes directrices de la Commission, standards harmonisés ISO/IEC) continuent d'arriver par vagues : une partie des modalités concrètes du haut risque en dépend encore.
La désignation française peut rebattre les cartes des interlocuteurs (CNIL ou DGCCRF selon les cas d'usage) — à suivre au second semestre 2026.
Cet article est une synthèse d'orientation, pas un avis juridique : les cas limites (biométrie, secteurs réglementés, produits sous annexe I) justifient un conseil spécialisé.

Conclusion : le report est une chance, pas une pause

L'omnibus du 24 juillet 2026 a fait ce que les PME demandaient : desserrer le calendrier du haut risque et simplifier la paperasse. Il n'a pas touché à l'essentiel : dire quand une machine parle, dire quand un contenu est artificiel. Ces obligations-là tombent le 2 août — elles coûtent peu à respecter, et cher à ignorer.

Les seize mois gagnés sur le haut risque sont exactement le temps qu'il faut pour faire un inventaire sérieux, classer ses usages et traiter le sujet en projet d'entreprise plutôt qu'en urgence réglementaire. Les entreprises qui s'y mettent maintenant aborderont décembre 2027 sans frais de dernière minute.

Sources

Votre entreprise utilise un chatbot, publie des contenus générés, ou déploie des outils IA sans cartographie claire de ses obligations ? Parlons-en — nous vous aidons à prioriser votre mise en conformité et à prototyper vos cas d'usage dans le cadre du règlement européen, avec les financements adaptés.