Le calendrier de l’AI Act, mis à jour après l’omnibus
L’AI Act est le règlement (UE) 2024/1689. Il est entré en vigueur le 1er août 2024 et s’applique par étapes. En novembre 2025, la Commission européenne a proposé un « omnibus numérique » pour simplifier et décaler certaines obligations. Ce texte a été adopté : c’est le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026. Voici le calendrier qui en résulte, tel que le présente la Commission européenne.
| Date | Ce qui s’applique | Concerne une PME utilisatrice ? |
|---|---|---|
| 2 février 2025 | Pratiques interdites et obligation de maîtrise de l’IA (article 4) | Oui, pour la maîtrise de l’IA |
| 2 août 2025 | Gouvernance et obligations des modèles d’IA à usage général | Non, elles visent les éditeurs de modèles |
| 2 août 2026 | Application générale, dont les règles de transparence (article 50) | Oui, dès qu’un client échange avec une IA |
| 2 décembre 2026 | Nouvelle interdiction ajoutée par l’omnibus (images intimes générées sans consentement) ; fin du délai accordé aux systèmes déjà sur le marché pour marquer les contenus qu’ils génèrent | Rarement |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (emploi, éducation et formation professionnelle, crédit, services essentiels…) | Seulement si votre usage entre dans ces domaines |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) | Rarement |
À retenir
Le report ne vise que le haut risque. La maîtrise de l’IA et la transparence ne sont pas reportées : ce sont elles qui concernent la plupart des PME dès aujourd’hui.
Votre agent IA est-il « à haut risque » ?
Dans la très grande majorité des cas, non. Le haut risque vise des usages listés à l’annexe III du règlement. Un agent qui prépare vos devis, saisit vos factures fournisseurs, relance vos impayés ou trie vos demandes entrantes n’entre pas, en règle générale, dans ces catégories.
La vigilance commence quand un agent participe à une décision sur une personne. Deux situations concrètes : un cabinet ou une PME qui utilise l’IA pour trier des candidatures, ce qui relève du domaine de l’emploi ; un organisme de formation qui l’utilise pour décider d’une admission ou évaluer les acquis des apprenants, ce qui relève de l’éducation et de la formation professionnelle. Le règlement prévoit des exceptions, par exemple quand le système n’accomplit qu’une tâche procédurale étroite : c’est précisément ce qu’un juriste doit qualifier, avant le 2 décembre 2027. Le régime du haut risque n’est pas une formalité (gestion des risques, documentation, contrôle humain).
Ce qui s’applique déjà : la maîtrise de l’IA de vos équipes
L’article 4 s’applique depuis le 2 février 2025 à tous ceux qui déploient un système d’IA, y compris une entreprise de trois personnes qui utilise un agent. L’omnibus a assoupli sa rédaction : il ne s’agit plus de garantir un « niveau suffisant » de maîtrise, mais de prendre des mesures pour soutenir le développement de la maîtrise de l’IA des salariés et des autres personnes qui utilisent l’IA pour votre compte, en tenant compte de leurs connaissances et du contexte d’usage. La Commission et les États membres doivent, de leur côté, soutenir ces efforts, en particulier ceux des PME.
Concrètement : expliquer à chaque personne qui travaille avec un agent ce qu’il fait, ce qu’il ne fait pas, quand il peut se tromper et à qui signaler un problème. C’est proportionné, et c’est utile bien au-delà de la conformité.
À quoi peut ressembler la trace
Une page suffit souvent : la date, les personnes présentes, les outils concernés et ce qui a été expliqué (ce que fait l’agent, ses limites, les données à ne jamais copier dans un outil en ligne, à qui signaler un problème). Le texte n’impose pas de format ; garder une trace simple permet de montrer qu’une mesure a été prise.
Ce qui s’applique déjà : dire au client qu’il parle à une IA
Depuis le 2 août 2026, les règles de transparence de l’article 50 s’appliquent. La plus utile pour une PME : un système d’IA destiné à échanger directement avec des personnes doit être conçu pour qu’elles sachent qu’elles s’adressent à une IA, sauf si c’est évident. Cette obligation pèse d’abord sur celui qui fournit le système, mais c’est vous que le client voit.
- Un assistant sur votre site ou par messagerie se présente comme tel dès le premier message.
- Un mail rédigé et envoyé seul par un agent le dit, sobrement, dans sa signature.
- Un mail préparé par l’agent puis relu et envoyé par un salarié : c’est un salarié qui écrit au client, l’IA n’échange pas directement avec lui. En cas de doute sur votre cas, demandez conseil.
- Les textes générés par IA et publiés pour informer le public sur des sujets d’intérêt général ont leurs propres règles de signalement : demandez conseil si vous en publiez.
Le RGPD reste la vraie contrainte au quotidien
Un agent qui lit vos mails, vos factures ou vos fiches clients traite des données personnelles. Le RGPD s’applique donc pleinement, AI Act ou pas. Les questions sont classiques : quelles données l’agent voit-il, où sont-elles traitées et hébergées, combien de temps sont-elles gardées, qui y a accès, le prestataire et l’éditeur du modèle sont-ils encadrés par un contrat de sous-traitance, les données servent-elles à entraîner un modèle ?
La CNIL publie des fiches pratiques sur l’IA et le RGPD qui sont un bon point de départ. Quand les données sont sensibles (santé, secret professionnel, clauses de confidentialité), la question de l’hébergement devient centrale, et un modèle installé chez vous ou chez un hébergeur européen peut être la bonne réponse.
La liste à cocher pour une PME qui fait construire un agent
- Écrire, en une phrase par agent, ce qu’il fait et dans quel logiciel il agit.
- Vérifier qu’aucun agent ne participe à une décision sur une personne (recrutement, évaluation, crédit, accès à un service). Si c’est le cas, consulter un juriste.
- Former les personnes qui travaillent avec l’agent, et garder une trace de cette formation.
- Prévoir l’information des clients quand ils échangent directement avec une IA.
- Mettre à jour votre registre des traitements RGPD et vérifier les contrats avec le prestataire et l’éditeur du modèle.
- Garder un journal des actions de l’agent et une validation humaine sur ce qui part chez un client.
Cet article donne des repères, pas un avis juridique. Pour un cas particulier, un juriste spécialisé reste la bonne personne. Pour la partie technique (ce que fait l’agent, où vont les données, comment c’est tracé), nous pouvons en parler en 30 minutes avec Théo.
Sources