AI Act : l'omnibus repousse les grandes échéances, mais le marquage des contenus IA reste dû le 2 décembre 2026

Si vous avez lu « l'AI Act est reporté » et refermé l'onglet en vous disant que vous aviez deux ans devant vous, prenez cinq minutes. Le 13 octobre 2026, le calendrier d'application de l'AI Act, remanié par le règlement omnibus IA (règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026), a été confirmé avec des dates désormais fixes. Oui, les grandes échéances glissent vers 2027 et 2028. Non, tout n'est pas reporté : deux obligations tombent le 2 décembre 2026, dans à peine six semaines.

Pour une PME qui utilise l'IA au quotidien (contenus générés, chatbot, automatisations), la vraie question n'est pas juridique, elle est pratique : qu'est-ce qui me concerne, à quelle date, et qu'est-ce que je fais lundi matin ? Cet article fait le tri entre ce qui est vraiment reporté, ce qui reste obligatoire dès décembre 2026, et le régime allégé dont les petites structures peuvent profiter.

Ce que l'omnibus reporte vraiment

Le règlement omnibus IA repousse les deux échéances les plus lourdes de l'AI Act :

• Les systèmes d'IA à haut risque de l'annexe III (recrutement, scoring de crédit, accès aux services essentiels, etc.) : initialement prévus pour le 2 août 2026, ils passent au 2 décembre 2027.
• L'IA intégrée aux produits réglementés de l'annexe I (machines, dispositifs médicaux, jouets, etc.) : l'échéance glisse au 2 août 2028.

Détail qui compte : ces nouvelles dates sont fixes. Dans les versions précédentes du texte, certains reports étaient liés à la disponibilité des normes techniques européennes, ce qui créait un calendrier à géométrie variable. C'est terminé : le 2 décembre 2027 et le 2 août 2028 sont des dates fermes, que les normes soient prêtes ou non. Vous pouvez donc les inscrire dans votre planning sans attendre un énième communiqué.

Concrètement, si votre entreprise utilise ou envisage un outil d'IA pour trier des CV, évaluer des dossiers clients ou piloter un équipement, les obligations lourdes (documentation technique, gestion des risques, supervision humaine formalisée) ne s'imposeront qu'à partir de décembre 2027. C'est un vrai répit, à condition de l'utiliser pour se préparer plutôt que pour tout oublier.

Ce qui reste obligatoire le 2 décembre 2026

Deux obligations ne bougent pas et arrivent le 2 décembre 2026 :

• Le marquage lisible par machine des contenus générés par IA (article 50, paragraphe 2) : les systèmes d'IA générative mis sur le marché avant août 2026 doivent, à cette date, marquer leurs productions (textes, images, sons, vidéos) dans un format détectable par une machine.
• Deux nouvelles interdictions à l'article 5 : la génération de contenus pédopornographiques et la création d'images intimes non consenties (les applications dites « nudifiers »).

Rappel utile : les obligations de transparence de l'article 50 s'appliquent déjà depuis le 2 août 2026. Le 2 décembre 2026 marque la fin du délai accordé aux systèmes d'IA générative plus anciens pour se mettre au niveau sur le marquage technique.

Qu'est-ce que cela change pour vous ? Si vous êtes simple utilisateur d'outils du marché (ChatGPT, Midjourney, un générateur de visuels intégré à votre CRM), le marquage technique incombe d'abord au fournisseur de l'outil. Mais vous avez deux choses à vérifier. D'une part, que vos outils sont bien à jour après le 2 décembre : un fournisseur qui ne marque pas ses contenus devient un risque pour vous. D'autre part, vos propres obligations de transparence : si vous publiez un contenu généré par IA qui pourrait tromper votre audience (une fausse photo de chantier, une voix clonée dans une vidéo), vous devez l'indiquer. Sur ce point, les bons réflexes rejoignent ceux que nous détaillons dans notre article sur les chatbots IA et les données personnelles : cadrer l'usage avant que l'outil ne vous mette en faute.

Le régime allégé : une bonne nouvelle pour les PME

L'omnibus ne fait pas que décaler des dates, il allège aussi la charge pour les petites structures. Le texte crée une nouvelle catégorie d'entreprises, les « small mid-caps » : les sociétés de moins de 750 salariés. Elles bénéficient d'allègements jusqu'ici réservés aux PME au sens strict.

Autre assouplissement notable : le devoir de maîtrise de l'IA (article 4), qui impose de former les équipes qui utilisent des systèmes d'IA, est allégé. Attention à ne pas sur-interpréter : allégé ne veut pas dire supprimé. Former vos collaborateurs aux limites des outils d'IA reste la meilleure protection contre les erreurs coûteuses (fuite de données dans un prompt, contenu faux publié sans relecture). Une demi-journée de sensibilisation et une charte d'usage d'une page couvrent déjà l'essentiel pour une PME.

Le message du législateur est clair : la conformité ne doit pas coûter plus cher à une entreprise de 20 personnes qu'à un groupe de 20 000. Profitez-en pour faire les choses simplement, par écrit, sans usine à gaz.

Sanctions et enquêtes : ce qui se joue en coulisses

Les reports ne touchent pas au régime de sanctions, qui reste dissuasif : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 5), et jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour les autres manquements.

En parallèle, la Commission européenne précise sa mécanique d'enquête. Un projet de règlement d'exécution, mis en consultation le 12 octobre 2026 (contributions acceptées jusqu'au 9 novembre 2026), détaille comment les enquêtes du Bureau de l'IA jouent sur les délais de sanction : chaque acte d'enquête (demande de documents, inspection) fait repartir le délai de prescription de cinq ans, avec un plafond de dix ans qui peut lui-même être prolongé en cas de recours. Point rassurant : cette procédure vise les fournisseurs de grands modèles d'IA à usage général et les très grandes plateformes désignées sous le DSA, pas la PME qui utilise ces outils. Mais elle dit quelque chose d'important : le régulateur s'équipe pour durer, et les fournisseurs que vous utilisez seront surveillés de près.

Votre plan d'action pour lundi matin

Pas besoin d'un avocat à temps plein. Voici une checklist réaliste :

1. Listez vos usages d'IA. Un tableau à trois colonnes suffit : l'outil, ce qu'il produit (texte, image, voix, décision), qui s'en sert. Sans cette carte, impossible de savoir quelle obligation vous concerne.
2. Classez chaque usage. Génération de contenu : concerné par la transparence et le marquage dès maintenant et au 2 décembre 2026. Tri de candidatures, scoring ou évaluation de personnes : haut risque, échéance décembre 2027, mais commencez à documenter.
3. Interrogez vos fournisseurs. Une question simple par e-mail : « comment vos contenus générés seront-ils marqués au 2 décembre 2026 ? ». La réponse (ou son absence) vous dira si l'outil est fiable.
4. Affichez la couleur sur vos contenus sensibles. Une mention « image générée par IA » sur les visuels qui pourraient tromper coûte zéro euro et vous met du bon côté de l'article 50.
5. Formez l'équipe, version légère. Régime allégé ou pas, une charte d'usage d'une page et une sensibilisation courte restent votre meilleur investissement, comme pour la conformité RGPD de vos automatisations.

FAQ

L'AI Act est-il reporté pour tout le monde ?

Non. Seules les obligations des systèmes à haut risque sont décalées : au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'IA intégrée aux produits de l'annexe I. Les interdictions de l'article 5, les obligations de transparence (applicables depuis le 2 août 2026) et le marquage des contenus IA au 2 décembre 2026 restent en place.

Ma PME utilise ChatGPT pour écrire des contenus : que dois-je faire au 2 décembre 2026 ?

Le marquage lisible par machine incombe au fournisseur du système d'IA générative. De votre côté, vérifiez que vos outils sont à jour, et indiquez clairement quand un contenu publié est généré par IA s'il peut tromper votre audience. Un inventaire de vos usages et une mention de transparence suffisent dans la plupart des cas.

Qu'est-ce que le régime « small mid-cap » ?

C'est une nouvelle catégorie créée par l'omnibus IA : les entreprises de moins de 750 salariés. Elles bénéficient d'allègements jusque-là réservés aux PME, et le devoir de maîtrise de l'IA (article 4, la formation des équipes) est assoupli. Les interdictions et les obligations de transparence s'appliquent en revanche à tous.

Les amendes sont-elles reportées aussi ?

Non. Le régime de sanctions est inchangé : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3 % pour les autres manquements. Chaque obligation devient sanctionnable à sa date d'application.

À retenir

• Le calendrier confirmé le 13 octobre 2026 reporte les systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), avec des dates désormais fixes.
• Le 2 décembre 2026 reste ferme : marquage lisible par machine des contenus générés par IA (article 50(2)) et deux nouvelles interdictions à l'article 5.
• Les entreprises de moins de 750 salariés (« small mid-caps ») bénéficient d'un régime allégé, notamment sur le devoir de maîtrise de l'IA.
• Les sanctions ne bougent pas : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires pour les pratiques interdites.
• Lundi matin : inventaire de vos usages d'IA, question écrite à vos fournisseurs sur le marquage, mention de transparence sur les contenus sensibles.

Vous voulez savoir où votre entreprise se situe face à ces échéances, sans y passer vos soirées ? ELYD passe en revue vos usages d'IA et vos automatisations, et vous dit ce qui est conforme, ce qui doit évoluer et dans quel ordre. Demandez votre diagnostic automatisation et IA.

Sources

• Actualité AI Act 2026 : calendrier, amendes 35M, guidelines (Donnees Personnelles)
• AI Act : les enquêtes pourraient prolonger le délai de sanction (ActuIA)
• AI Act pour PME : le calendrier à jour, octobre 2026 (Waimia)