AI Act : 18 mois de répit, sauf pour vos équipes en août

Dans la nuit du 6 au 7 mai 2026, Bruxelles vous a offert 18 mois de répit sur l’AI Act high-risk. Mais en parallèle, vous avez 10 semaines pour former vos équipes à l’IA, sous peine d’amende.

Cette double dynamique a été mal restituée par la presse économique française, qui a retenu le report sans pointer la deadline maintenue. Pour un dirigeant de PME, c’est un piège typique : entendre « AI Act reporté à 2027 », lever le pied sur tout le dossier, et tomber en non-conformité sur le seul volet qui n’a pas bougé. Voici ce qui change vraiment, ce qui ne change pas, et comment arbitrer.

Ce qui a basculé dans la nuit du 6 au 7 mai

L’accord politique conclu cette nuit-là entre le Conseil de l’Union européenne et le Parlement européen finalise le volet IA du paquet Digital Omnibus déposé en novembre 2025. Selon le communiqué officiel du Conseil, les obligations les plus lourdes de l’AI Act sont reportées de manière significative. Le tableau des nouvelles dates se lit ainsi :

Obligation	Date initiale	Nouvelle date
Annexe III (systèmes autonomes : RH, scoring, justice, éducation)	2 août 2026	2 décembre 2027
Annexe I (IA intégrée dans des produits régulés)	2 août 2027	2 août 2028
Sandboxes réglementaires nationales	2 août 2026	2 août 2027
Marquage des contenus synthétiques (watermarking)	2 août 2026	2 décembre 2026
Nouvelles interdictions (NCII, CSAM générés par IA)	,	2 décembre 2026

En mars dernier, nous anticipions ce report dans notre analyse politique du Digital Omnibus. Ce qui était alors un signal devient désormais un texte arrêté, en attente du vote final mi-2026. Trois nouveautés, peu commentées, méritent toutefois votre attention.

Small Mid-Cap : le seuil qui change la carte pour les ETI

L’accord crée une catégorie inédite : les Small Mid-Caps. Selon l’analyse du cabinet Orrick, elles regroupent les entreprises de moins de 750 salariés dont le chiffre d’affaires annuel ne dépasse pas 150 millions d’euros ou dont le bilan reste sous 129 millions d’euros.

Concrètement, ces structures, qui jusqu’ici étaient traitées comme de « grandes entreprises », bénéficient désormais des allègements jusqu’alors réservés aux PME : documentation simplifiée via des modèles standardisés, système de gestion qualité proportionné, accès prioritaire aux sandboxes réglementaires nationales et à la future sandbox de l’AI Office. Pour beaucoup d’ETI françaises de 400 à 700 salariés qui déploient déjà de l’IA en interne, ce seuil change la donne budgétaire. La conformité, hier facturée comme un projet grand compte, devient un dossier accessible.

La protection mathématique que personne n’a soulignée

Voici le deuxième angle peu couvert. Sur les amendes, l’AI Act prévoit pour les grandes entreprises une logique classique : la sanction retenue est le maximum entre un pourcentage du chiffre d’affaires mondial (jusqu’à 7 %) et un montant fixe (jusqu’à 35 millions d’euros). L’article 99 §5 inverse cette règle pour les PME, et l’Omnibus étend cette inversion aux Small Mid-Caps. Pour ces deux catégories, c’est le minimum entre les deux montants qui s’applique.

Prenons une PME à 5 millions d’euros de chiffre d’affaires sanctionnée pour une pratique interdite. Au plafond standard, on obtient 7 % de 5 M€ = 350 000 € ou 35 M€. La règle « maximum » donnerait 35 M€. La règle « minimum » donne 350 000 €. L’écart est de cent fois. C’est une protection mathématique structurelle, qui rapproche le régime de sanction de la logique de la procédure simplifiée CNIL : proportionner à la taille de l’entité, pas appliquer un barème dissuasif d’origine américaine sur des entreprises locales. À noter : pour les pratiques interdites élargies au 2 décembre 2026 (contenus intimes non-consentis générés par IA, par exemple), la règle « le plus élevé » reste applicable à toutes les entreprises, sans exception.

Le piège du 2 août 2026 que le report n’a pas effacé

C’est ici que le bât blesse. L’article 4 de l’AI Act, l’obligation de formation à l’IA, qui s’applique à toute organisation déployant ou utilisant des systèmes d’IA, n’a pas été reporté. Sa date d’application reste fixée au 2 août 2026. À partir de cette date, les autorités nationales (en France, la CNIL) peuvent ouvrir des contrôles et prononcer des sanctions financières, plafonnées à 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial, avec la protection « minimum » décrite plus haut pour les PME et les Small Mid-Caps.

À la publication de cet article, vous disposez d’environ dix semaines.

L’article 4 est une obligation de moyens, pas de résultat. Vous n’avez pas à former chaque collaborateur à devenir data scientist. Vous devez démontrer une démarche : recensement des outils d’IA effectivement utilisés dans l’entreprise (ChatGPT, Copilot, Claude, mais aussi modules IA intégrés à votre CRM ou à votre outil de comptabilité), session de sensibilisation collective sur les principes et les risques, plan renforcé pour les profils exposés (RH, juridique, finances, dirigeants), et tenue d’un registre simple des formations suivies. Notre guide opérationnel de mise en conformité Article 4 détaille les quatre étapes concrètes que vous pouvez lancer dès cette semaine.

Le piège est là : un dirigeant qui retient « AI Act reporté à décembre 2027 » baisse la garde sur tout le dossier. Or c’est précisément sur le volet le moins coûteux à exécuter, la formation, que les premières sanctions vont tomber, dès l’automne 2026.

Votre feuille de route pour les 18 mois

Plutôt qu’une checklist générique, voici un séquencement par trimestre, calibré sur le nouveau calendrier.

Q3 2026 (juin-août) : formation IA et cartographie

Lancez votre programme de sensibilisation avant le 2 août. Recensez en parallèle tous les outils d’IA en circulation dans l’entreprise, y compris ceux qu’utilisent vos équipes sans autorisation formelle (le sujet du shadow AI mérite à lui seul un audit). Tenez un registre, même rudimentaire.

Q4 2026 (septembre-décembre), Audit et classification. Identifiez vos cas d’usage potentiellement high-risk : tri de CV, scoring de clients, aide à la décision médicale, surveillance d’employés. L’outil PANAME, développé gratuitement par la CNIL, l’ANSSI et l’Inria, permet un premier diagnostic RGPD de vos modèles IA sans coût. Profitez-en avant que les consultants ne facturent ce travail au prix fort.

S1 2027 (janvier-juin) : documentation et fournisseurs

Constituez votre dossier de documentation technique pour les systèmes potentiellement high-risk. Interrogez vos prestataires IA sur leur propre conformité, les bons éditeurs auront déjà des fiches prêtes.

S2 2027 (juillet-décembre) : revue pré-deadline

Adaptez vos pratiques aux standards harmonisés CEN-CENELEC publiés courant 2027, et formalisez votre supervision humaine pour le 2 décembre.

Trois scénarios pour situer votre PME

Pour rendre ce calendrier tangible, trois exemples sectoriels.

E-commerce avec scoring client IA. Vous utilisez un modèle de scoring prédictif sur vos clients (risque d’impayé, propension à l’achat). Probablement Annexe III. Marge confortable jusqu’à décembre 2027 pour la conformité high-risk, mais formation due au 2 août 2026.

Cabinet médical avec aide au diagnostic

Outil IA d’analyse d’images ou d’aide à la décision : Annexe III certaine, profil sensible. Marge utile pour profiter d’un accès prioritaire à la sandbox CNIL en 2027.

Agence RH avec tri automatisé de CV. Annexe III certaine, et scrutin renforcé : la CNIL a fait du recrutement assisté par IA sa priorité de contrôle 2026. N’attendez pas 2027, l’autorité française agit dans le cadre RGPD, indépendamment du calendrier AI Act européen.

Notre lecture

Bruxelles vous donne 18 mois. Mais 18 mois sans structuration, ce sont 18 mois de retard accumulé. Le scénario RGPD de 2018 se répète : les entreprises qui ont profité du délai de mise en application pour cartographier leurs traitements et former leurs équipes ont traversé l’échéance sans rupture. Celles qui ont attendu mars 2018 pour s’y mettre y ont laissé du temps, de l’argent et de la sérénité.

Vous avez dix semaines pour former, dix-huit mois pour structurer. La fenêtre est une opportunité, pas un permis de procrastiner.