Digital Omnibus : ce que le règlement 2026/1744 change pour les PME

En bref

Le règlement (UE) 2026/1744, dit « Digital Omnibus on AI », modifie l'AI Act. Il est entré en vigueur le 27 juillet 2026.
Il ne supprime aucune catégorie d'obligation. Il reporte plusieurs échéances, réécrit l'article 4 sur la maîtrise de l'IA et précise certaines règles.
Les exigences sur les systèmes d'IA à haut risque liés à l'emploi, au crédit ou à l'éducation passent du 2 août 2026 au 2 décembre 2027.
Ce qui s'applique déjà reste en vigueur : les pratiques interdites, la maîtrise de l'IA et, depuis le 2 août 2026, les obligations de transparence.

Un texte qui modifie l'AI Act sans l'alléger sur le fond

Adopté le 8 juillet 2026 et entré en vigueur le 27 juillet 2026, le règlement (UE) 2026/1744 est issu du paquet de simplification « Digital Omnibus » proposé par la Commission européenne. Il modifie le règlement (UE) 2024/1689, l'AI Act, sur plusieurs points précis.

Il ne supprime aucune catégorie d'obligation. Il décale surtout le calendrier des obligations les plus lourdes, celles qui portent sur les systèmes d'IA à haut risque.

Les échéances reportées

2 décembre 2026 : marquage lisible par machine des contenus produits par les systèmes d'IA générative mis sur le marché avant le 2 août 2026. Les nouveaux systèmes y sont soumis depuis le 2 août 2026.
2 août 2027 : obligations des modèles d'IA à usage général mis sur le marché avant le 2 août 2025, et mise en place des bacs à sable réglementaires nationaux (initialement le 2 août 2026).
2 décembre 2027 : exigences applicables aux systèmes d'IA à haut risque de l'annexe III, qui couvre notamment l'emploi, le crédit et l'éducation. Elles étaient prévues pour le 2 août 2026.
2 août 2028 : exigences pour les systèmes à haut risque intégrés aux produits réglementés de l'annexe I, initialement prévues au 2 août 2027.
2 août 2030 : systèmes à haut risque utilisés par les autorités publiques.

Ce qui reste en vigueur

Depuis le 2 février 2025 : les pratiques interdites de l'article 5 (manipulation, notation sociale, certaines utilisations de la reconnaissance biométrique…) et l'obligation de maîtrise de l'IA de l'article 4.
Depuis le 2 août 2025 : les obligations des fournisseurs de modèles d'IA à usage général, la gouvernance européenne et le régime national de sanctions.
Depuis le 2 août 2026 : les obligations de transparence de l'article 50 : informer les utilisateurs qu'ils échangent avec une IA, marquer les contenus générés, signaler les hypertrucages.

Ce qui change pour les PME

L'article 4 est réécrit

Les entreprises ne sont plus tenues de garantir un niveau suffisant de maîtrise de l'IA à leur personnel. Elles doivent prendre des mesures pour soutenir le développement de cette maîtrise, en tenant compte des connaissances et du contexte d'utilisation, sans obligation de résultat individuel. La Commission et les États membres reçoivent un rôle d'appui, en particulier envers les PME.

Des sanctions plafonnées au plus faible des deux montants

L'AI Act fixe ses amendes sous forme de plafonds, à la fois en euros et en pourcentage du chiffre d'affaires mondial. Par exemple, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour un manquement aux obligations de transparence, et jusqu'à 35 millions d'euros ou 7 % pour une pratique interdite. Pour les grandes entreprises, c'est le montant le plus élevé qui s'applique. Pour les PME et les start-up, c'est le plus faible. Le Digital Omnibus étend cette règle favorable aux petites entreprises de taille intermédiaire, pour les deux derniers paliers de sanction.

Une documentation simplifiée

Les PME qui développent ou mettent sur le marché des systèmes à haut risque peuvent recourir à un formulaire simplifié de documentation technique.

Notre lecture : du temps, pas une exemption

Le report de seize mois sur les systèmes à haut risque de l'annexe III donne de l'air aux entreprises concernées. Mais la plupart des PME ne sont pas d'abord concernées par le haut risque. Elles le sont par ce qui s'applique déjà : former leurs équipes, informer leurs clients quand une IA intervient, et ne pas recourir aux pratiques interdites.

C'est donc le bon moment pour faire, sans urgence, ce qui sera de toute façon nécessaire :

Inventorier les usages d'IA de l'entreprise, y compris ceux qui n'ont pas été déclarés.
Tenir un registre de ces usages : outil, finalité, données traitées, responsable.
Repérer les usages qui pourraient relever du haut risque, comme le tri de candidatures ou l'évaluation de salariés.
Former les équipes et documenter les actions menées.

Questions fréquentes

Le Digital Omnibus supprime-t-il des obligations ?

Non. Il reporte des échéances et ajuste certaines règles, mais aucune catégorie d'obligation n'est supprimée.

Mon entreprise utilise ChatGPT ou Copilot : relève-t-elle du haut risque ?

Pas en soi. C'est l'usage qui détermine le niveau de risque, pas l'outil. Utiliser un assistant pour rédiger ou résumer ne relève pas du haut risque. L'utiliser pour trier des candidatures peut en relever.