AI Act : Bruxelles propose de repousser les règles sur l'IA à haut risque
Le 19 novembre, la Commission a présenté son « omnibus numérique ». Les obligations sur l'IA à haut risque pourraient glisser jusqu'à fin 2027. Ce qui change, et ce qui ne change pas, pour une PME.
Le 19 novembre 2025, la Commission européenne a publié un paquet de simplification appelé « Digital Omnibus ». Un de ses deux volets touche directement le règlement européen sur l'IA, l'AI Act : il propose de décaler les obligations les plus lourdes, celles des systèmes d'IA dits « à haut risque », et d'alléger plusieurs exigences pour les entreprises. Ce n'est qu'une proposition, pas une loi votée. Mais pour un dirigeant de PME qui se demandait s'il devait tout préparer pour août 2026, le calendrier vient de bouger. Voici ce qu'il faut retenir, et ce qu'il ne faut surtout pas en conclure.
Ce que propose la Commission
L'AI Act est entré en vigueur en 2024 avec un calendrier par étapes. Les pratiques interdites (notation sociale, manipulation, certaines reconnaissances biométriques) s'appliquent depuis le 2 février 2025. Les règles sur les modèles d'IA à usage général, comme ceux de Mistral, OpenAI ou Google, s'appliquent depuis le 2 août 2025. Restaient les systèmes à haut risque, prévus pour le 2 août 2026 (ceux de l'annexe III : recrutement, crédit, éducation, accès à des services essentiels…) et le 2 août 2027 (ceux intégrés à des produits réglementés, annexe I).
Le problème, reconnu par la Commission elle-même : les normes techniques harmonisées qui doivent dire concrètement comment se mettre en conformité ne sont pas prêtes. La proposition du 19 novembre lie donc l'entrée en application à la disponibilité de ces outils :
- les obligations « haut risque » s'appliqueraient six mois (annexe III) ou douze mois (annexe I) après que la Commission a constaté que les normes et les guides sont disponibles ;
- avec des dates butoirs si ce constat tarde : 2 décembre 2027 pour l'annexe III et 2 août 2028 pour l'annexe I ;
- l'obligation de « littératie IA » (article 4), qui impose aujourd'hui aux entreprises de s'assurer que leurs équipes savent se servir de l'IA, serait transférée à la Commission et aux États membres, qui devraient la favoriser ;
- les allègements prévus pour les PME seraient étendus aux « small mid-caps », les entreprises de moins de 750 salariés ;
- les systèmes déjà sur le marché auraient un délai supplémentaire, jusqu'en février 2027, pour marquer de façon détectable les contenus générés par IA.
Le texte doit maintenant passer par le Parlement européen et le Conseil, qui peuvent le modifier. Rien n'est acquis.
Ce qui ne bouge pas
Le report ne concerne que le haut risque et quelques formalités. Les interdictions restent en vigueur. Les obligations de transparence de l'article 50, par exemple prévenir une personne qu'elle échange avec une IA et non avec un humain, restent prévues pour le 2 août 2026. Et surtout, le RGPD continue de s'appliquer à toute IA qui traite des données personnelles : un assistant qui lit vos contrats clients ou vos dossiers RH est soumis aux mêmes règles qu'hier.
Autrement dit, la proposition donne du temps à ceux qui développent ou utilisent des systèmes à haut risque. Elle ne change rien pour un usage ordinaire : rédiger, résumer, chercher dans des documents, trier des demandes.
Votre PME est-elle concernée par le haut risque ?
La plupart des PME sont des « déployeurs » : elles utilisent une IA fournie par d'autres. Elles ne tombent dans le haut risque que pour certains usages précis. Trois questions suffisent pour se situer :
- L'IA prend-elle part à une décision sur une personne ? Trier des candidatures, évaluer un salarié, accorder un crédit ou un délai de paiement à un particulier : ce sont des cas de l'annexe III.
- L'IA est-elle intégrée à un produit réglementé que vous fabriquez ? Machine, dispositif médical, jouet, équipement soumis au marquage CE : c'est l'annexe I.
- L'IA parle-t-elle directement à vos clients ? Ce n'est pas du haut risque, mais l'obligation de transparence s'applique.
Si vous répondez non aux deux premières, le report ne vous concerne pas directement. Si vous répondez oui, il vous donne probablement un an et demi de plus, mais pas une raison d'attendre : les exigences (documentation, supervision humaine, journalisation) demandent du temps à mettre en place, et la date butoir de décembre 2027 arrivera vite.
Ce que nous conseillons de faire dès maintenant
Notre lecture est simple : la proposition décale des échéances, elle ne supprime pas le besoin de savoir ce que fait l'IA dans votre entreprise.
- Faites l'inventaire de vos usages. Qui utilise quel outil, sur quelles données, pour quelle décision. Une page suffit pour commencer.
- Ne supprimez pas la formation. Même si l'obligation de littératie passe un jour aux États, une équipe qui ne sait pas vérifier une réponse d'IA prend des risques dès aujourd'hui, pour vos clients et pour vos données. Une demi-journée bien construite change déjà beaucoup de choses ; c'est ce que nous proposons avec notre formation des équipes.
- Gardez un humain dans la boucle. C'est une exigence du haut risque, mais c'est aussi du bon sens pour tout agent IA qui agit dans vos outils. Nos agents préparent, vous validez.
- Regardez où partent vos données. Le RGPD, lui, n'a pas été reporté. Une IA hébergée en France ou installée chez vous simplifie beaucoup cette question.
Ce qu'il faut surveiller
Trois points diront si la proposition tient : la position du Parlement européen, qui peut durcir ou assouplir le texte ; la publication des normes harmonisées par les organismes européens de normalisation, qui conditionne le déclenchement des obligations ; et les lignes directrices de la Commission sur la classification des systèmes à haut risque, attendues pour aider les entreprises à savoir de quel côté elles se trouvent. Nous suivrons ces étapes ici même.
En attendant, si vous ne savez pas si un de vos projets d'IA relève du haut risque, c'est une question qui se règle souvent en une conversation. Le rendez-vous de 30 minutes est gratuit, en visio ou au studio à Nevers.