AI Act reporté à 2027 ? Ce qui reste applicable pour une TPE

Le calendrier de l'AI Act a changé six jours avant l'échéance du 2 août, en plein été, et peu de monde l'a vu passer. Le règlement (UE) 2026/1744, dit omnibus numérique IA, publié au Journal officiel de l'Union européenne le 24 juillet 2026, est en vigueur depuis le 27 juillet.

La conclusion à ne pas en tirer : « c'est reporté, je n'ai plus rien à faire. » Ce qui est décalé, ce sont les obligations pesant sur les systèmes dits à haut risque. Ce qui vous concernait avant vous concerne toujours.

Voici le périmètre exact du report, ce qui reste exigible, et le point que presque aucun commentaire ne relève : l'obligation de formation sur laquelle nous avons bâti deux articles a été réécrite, et allégée.

Ce qui a été reporté, et rien d'autre

Le règlement omnibus réécrit l'article 113 de l'AI Act, celui qui fixe les dates. Deux blocs bougent.

Les obligations applicables aux systèmes à haut risque de l'annexe III, attendues au 2 août 2026, passent au 2 décembre 2027. Celles des systèmes intégrés à des produits déjà couverts par la réglementation de sécurité, à l'annexe I, attendues au 2 août 2027, passent au 2 août 2028.

C'est tout pour le haut risque. La date générale d'application du 2 août 2026 figure toujours dans le texte et n'a pas bougé. Écrire que « l'AI Act est reporté » est donc faux.

Le règlement installe en revanche une troisième date, le 2 décembre 2026. Elle porte deux effets : l'entrée en application de deux nouvelles pratiques interdites, et le délai laissé aux systèmes générateurs déjà sur le marché pour marquer leurs contenus.

Le motif est dans le règlement : normes, orientations et autorités nationales n'étaient pas prêtes. Un constat d'impréparation, pas un recul politique.

Un système à haut risque, en langage d'atelier

L'annexe III liste huit domaines : biométrie, infrastructures critiques, éducation, emploi et gestion des salariés, accès au crédit et à l'assurance, police, frontières, justice.

Un artisan qui dicte ses comptes rendus, fait rédiger un devis ou laisse un message automatique accuser réception d'une demande n'est dans aucun de ces domaines. Le report ne lui rend rien, parce qu'il ne lui demandait rien.

Deux cas de bascule sont fréquents dans de petites entreprises, et la liste n'est pas close : un organisme de formation dont l'outil évalue ou oriente des apprenants entre également dans l'annexe III. Un outil qui classe ou note automatiquement des candidatures. Un logiciel de planning qui attribue les tâches selon le comportement ou des traits personnels d'un salarié, ou qui note ses performances. Les deux relèvent du point 4 de l'annexe III.

La ligne de partage n'est pas l'usage de l'IA, c'est le classement automatique. Résumer un CV ou reformuler une annonce relève en principe de la tâche préparatoire, que l'article 6, paragraphe 3, écarte du haut risque. Cette sortie n'est pas automatique : elle suppose que l'outil ne présente pas de risque important pour les droits des personnes. Trier et noter, en revanche, reste dedans. Réserve à connaître : dès qu'un outil profile des personnes physiques, cette dérogation tombe.

Dans ces deux cas, vous êtes déployeur, et ce sont précisément les obligations du déployeur qui passent au 2 décembre 2027. Le report vous concerne, en votre faveur.

Ce qui reste exigible aujourd'hui

Rien de ce qui suit n'a été reporté. Les pratiques interdites de l'article 5 s'appliquent depuis février 2025, et l'omnibus en a ajouté deux, applicables au 2 décembre 2026 : la génération de contenus intimes réalistes sans consentement, et certains usages de reconnaissance des émotions. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Un agent conversationnel doit être conçu pour indiquer qu'il n'est pas humain, sauf si c'est évident. Une image, un son ou une vidéo générés ou manipulés, qui ressemblent à des personnes, des lieux ou des événements existants, doivent être signalés ; le marquage lui-même bénéficie d'un délai de mise en place jusqu'au 2 décembre 2026. Pour un texte, l'obligation ne vise que ce qui est publié dans le but d'informer le public sur des questions d'intérêt public, et elle tombe dès lors que le texte a été relu et qu'une personne en assume la responsabilité éditoriale.

Le régime de sanctions, lui, ne date pas du 2 août 2026 : le chapitre XII de l'AI Act s'applique depuis le 2 août 2025, à l'exception de son article 101. Ce sont les pouvoirs de surveillance du marché, au chapitre IX, qui arrivent bien au 2 août 2026. Confondre les deux est facile, et c'est ce que notre article du 21 juillet faisait. Nous y revenons plus bas.

Le règlement qui reporte durcit d'ailleurs le contrôle au même moment, mais pas de votre côté : il crée des pouvoirs d'enquête et d'inspection au bénéfice du Bureau de l'IA, qui supervise les fournisseurs de modèles à usage général, pas l'artisan qui déploie un assistant de rédaction. Le présenter comme un relâchement général serait néanmoins inexact.

Reste une inconnue française. Le texte qui doit désigner les autorités de contrôle et fixer les sanctions nationales, adopté par le Sénat le 18 février 2026, n'était au 15 août ni voté définitivement ni promulgué. Un règlement européen s'applique directement, sans attendre la loi française : les obligations valent déjà, seule la désignation du gendarme est en retard. Nous n'avons trouvé trace d'aucune amende prononcée à ce jour au titre de l'AI Act en Europe, et c'est un constat de recherche, pas une certitude.

Le report a décalé des obligations que vous n'aviez pas. Il n'a rien décalé de ce que vous avez.

L'article 4 a été réécrit, et allégé

C'est le passage que nous avons le moins envie d'écrire, et c'est pour cela que nous l'écrivons.

Nous avons consacré un article entier à l'article 4, l'obligation de maîtrise de l'IA, et notre offre de formation s'y adosse. L'omnibus l'a réécrit. Les deux rédactions, mot pour mot.

Avant : prendre des mesures pour « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ».

Depuis le 27 juillet : prendre des mesures pour « favoriser le développement de la maîtrise de l'IA ». Avec une phrase ajoutée : l'obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Une précision, parce que la formule circule partout : non, l'article 4 n'est pas « passé d'une obligation de résultat à une obligation de moyens ». Les deux versions commencent par « prennent des mesures pour », et l'ancienne comportait déjà « dans toute la mesure du possible ». C'était déjà une obligation de moyens. Son objet baisse, pas sa nature.

Le législateur s'en explique : exiger un niveau garanti créait une charge mal adaptée aux petites entreprises.

Second point que peu de contenus relèvent : l'article 4 ne figure pas dans la liste de l'article 99, paragraphe 4, celle des manquements assortis d'une amende chiffrée par le règlement, ni avant ni après l'omnibus. L'article 50, sur la transparence, y figure. Cela ne veut pas dire que l'article 4 est sans portée : le paragraphe 1 du même article 99 charge les États membres de fixer leurs propres règles de sanction, et la loi française n'est pas encore adoptée.

La conséquence est franche sans être un blanc-seing : former votre équipe relève aujourd'hui d'une raison d'exploitation autant que de conformité. Notre demi-journée répondait mal à « garantir un niveau » ; elle répond à « favoriser le développement ». La barre a baissé au moment où beaucoup croient l'obligation disparue. Elle ne l'est pas, et elle n'a toujours aucun seuil de taille.

Ce que nous avons corrigé, et pourquoi nous le disons

Le 21 juillet, nous avons écrit que « l'essentiel de l'AI Act » devenait applicable le 2 août 2026. C'était inexact : le régime de sanctions s'appliquait déjà depuis un an. L'article porte une note de mise à jour datée du 15 août 2026.

Nous aurions pu corriger en silence. Nous préférons dater, parce que c'est votre seul moyen de savoir ce que vaut ce que vous lisez ici.

Un exemple, sans nommer personne : plusieurs pages annoncent que le délai pour marquer les contenus générés par IA passe « de six à trois mois ». Le six venait de la proposition de la Commission ; le texte adopté retient quatre mois, du 2 août au 2 décembre 2026.

Sur un sujet dont le calendrier a changé deux fois en un été, la question n'est pas de savoir qui ne s'est jamais trompé. C'est de savoir qui se relit, et qui date ses corrections.

Le même réflexe s'applique aux chiffres. Nous l'avons appliqué à la grande enquête nationale sur l'IA dans comment lire les résultats qui sortiront fin septembre.

Ce qu'il est raisonnable de faire cette semaine

Reprenez l'inventaire de vos outils d'IA, vérifiez les deux cas de bascule, tri de candidatures et notation de salariés, et regardez si l'un de vos usages relève de la transparence de l'article 50.

Si le sujet est neuf chez vous, par où commencer avec l'IA dans une PME prend les choses dans l'ordre. Et si vous voulez que l'équipe sache ce qu'elle manipule, c'est l'objet de notre formation IA.

Appelez-nous : vingt minutes avec Jennifer, cofondatrice, sans engagement. Nous vous dirons ce qui mérite une action chez vous. Et si le dossier ne le justifie pas, nous le dirons aussi.