Exemptions PME et petites capitalisations dans l’Omnibus IA de l’UE : le délai 2027 expliqué

Ce que l’accord du 7 mai a introduit au-delà du report du délai

La couverture de l’accord Omnibus IA de l’UE s’est concentrée sur le titre : le délai de conformité pour l’IA à haut risque relevant de l’Annexe III autonome est repoussé du 2 août 2026 au 2 décembre 2027. C’est exact et significatif. Mais le changement le plus analytiquement important pour l’écosystème européen de startups et de scale-ups IA est le cadre d’exemption pour les petites capitalisations moyennes (SMC) — une disposition qui a reçu considérablement moins d’attention.

Selon le communiqué du Conseil confirmant l’accord politique du 7 mai 2026, le package Omnibus introduit explicitement la catégorie SMC comme un échelon distinct dans l’architecture réglementaire de l’IA Act. La définition SMC — entreprises de 750 salariés maximum et chiffre d’affaires annuel jusqu’à 150 millions d’euros ou bilan jusqu’à 129 millions d’euros — se situe entre la définition existante des PME (jusqu’à 249 salariés, 50 millions d’euros de chiffre d’affaires) et les grandes entreprises. Ce n’est pas une distinction anodine : il existe des milliers d’entreprises d’IA européennes qui dépassent le seuil PME mais restent en deçà de l’échelle des grandes entreprises, et l’IA Act d’origine les traitait de manière identique aux entreprises de dizaines de milliers de salariés.

L’analyse de Tech Policy Press sur l’accord Omnibus note que l’exemption SMC répond à une plainte spécifique de l’industrie IA européenne : les exigences d’évaluation de conformité pour les systèmes d’IA à haut risque (documentation technique, systèmes de gestion des risques, systèmes de management de la qualité, enregistrement dans la base de données UE) avaient été conçues avec les équipes de conformité des grandes entreprises en tête. La charge documentaire seule — qui peut prendre à une équipe de conformité de 3 à 5 spécialistes de 6 à 12 mois — était jugée disproportionnée pour des entreprises dont le total est inférieur à 100 ingénieurs.

L’exemption SMC : ce qu’elle couvre réellement

Le cadre d’exemption SMC fonctionne sur un principe de proportionnalité plutôt qu’une exemption catégorielle. Les SMC déployant des systèmes d’IA à haut risque ne sont pas exemptées des obligations de l’IA Act — elles sont soumises à une version simplifiée de ces obligations qui réduit la charge documentaire sans éliminer les exigences substantielles de sécurité.

Évaluation de conformité simplifiée. Les SMC sous le seuil peuvent effectuer une auto-évaluation pour la plupart des catégories d’IA à haut risque de l’Annexe III, plutôt que de faire appel à un organisme notifié pour une évaluation de conformité tierce. L’auto-évaluation doit toujours documenter l’objectif, l’utilisation prévue, les mesures de gestion des risques et les caractéristiques de performance du système. Les catégories où l’évaluation par tierce partie reste obligatoire quelle que soit la taille de l’entreprise sont explicitement exclues de la voie simplifiée SMC.

Exigences réduites de documentation technique. La voie SMC réduit la documentation technique à un ensemble de base : une déclaration claire de l’objectif et de l’utilisation prévue du système, une description des mesures d’atténuation des risques appliquées, des données de performance pour le cas d’usage prévu, et le plan de surveillance post-commercialisation. L’ensemble complet de documentation reste disponible comme option, et les SMC cherchant à contracter avec de grandes entreprises ou des clients du secteur public pourraient constater que ces clients exigent la documentation complète indépendamment de ce que la réglementation impose.

Calendrier d’enregistrement différé. La base de données UE pour les systèmes d’IA à haut risque exige un enregistrement avant le déploiement. Pour les SMC, l’Omnibus introduit une voie d’enregistrement différée : les SMC peuvent déployer leur système d’IA à haut risque avant l’enregistrement complet, sous réserve de soumettre un enregistrement préliminaire dans les 30 jours suivant le déploiement et de compléter l’enregistrement complet dans les 6 mois. Cela résout un blocage pratique qui affectait les entreprises en phase de démarrage : le processus d’enregistrement dans la base de données était un bloqueur de déploiement même pour les entreprises dont les systèmes étaient par ailleurs prêts.

Ce que les acheteurs d’IA d’entreprise et les opérateurs de plateformes doivent comprendre

L’exemption SMC crée un paysage de conformité à deux vitesses que les acheteurs d’IA d’entreprise et les opérateurs de plateformes doivent intégrer dans leur gestion des risques fournisseurs.

1. Cartographier vos fournisseurs par rapport au seuil SMC/grande entreprise

Les clients entreprises déployant de l’IA à haut risque recevront de plus en plus des systèmes d’IA de fournisseurs SMC opérant via la voie simplifiée d’auto-évaluation plutôt que l’évaluation de conformité complète. Le risque pour les clients entreprises est qu’une auto-évaluation simplifiée d’un fournisseur pourrait ne pas identifier des risques qu’une évaluation de conformité par tierce partie aurait détectés. La gestion des risques des entreprises doit inclure une étape de classification des fournisseurs : ce fournisseur d’IA est-il une PME, une SMC ou une grande entreprise ? Quelle voie d’évaluation a-t-il suivie ?

2. Vérifier si votre catégorie d’IA à haut risque est dans la voie SMC ou dans l’exception d’évaluation tierce obligatoire

L’Omnibus ne crée pas d’allègement SMC universel pour toutes les catégories de l’Annexe III. Les catégories où l’évaluation de conformité par tierce partie reste obligatoire quelle que soit la taille de l’entreprise sont : l’IA utilisée par les autorités publiques dans l’application de la loi ; l’IA utilisée pour l’identification et la catégorisation biométrique dans les espaces publics ; l’IA utilisée dans les infrastructures critiques pour les fonctions critiques pour la sécurité ; et l’IA utilisée dans l’administration de la justice. Si votre système d’IA relève de l’une de ces catégories, le seuil SMC ne s’applique pas — vous avez besoin d’une évaluation par un organisme notifié quelle que soit votre effectif ou votre chiffre d’affaires.

3. Utiliser la fenêtre décembre 2027 pour construire l’infrastructure de conformité, pas pour reporter la conformité

La prorogation de 16 mois (août 2026 à décembre 2027) comporte un risque prévisible : les entreprises qui traitent la prorogation comme une permission de reporter les travaux de conformité jusqu’en fin 2027 feront face au même goulot d’étranglement qu’avant la prorogation, compressé en une fenêtre plus courte. Selon l’analyse de la stratégie numérique de l’UE sur la proposition Omnibus, les entreprises d’IA européennes généreront collectivement environ 8 000 enregistrements de systèmes d’IA à haut risque sous l’Annexe III. La capacité des organismes notifiés — les experts techniques autorisés à mener des évaluations de conformité par tierce partie — est déjà limitée à travers l’Europe, avec un carnet de commandes estimé à 18 mois à la demande actuelle.

La question concurrentielle que l’Omnibus soulève

Il existe une tension structurelle dans le cadre d’exemption SMC que les responsables de conformité et les juristes en droit de la concurrence doivent surveiller : la voie simplifiée crée une asymétrie concurrentielle entre les fournisseurs d’IA de tailles différentes. Les grandes entreprises fournisseurs d’IA — qui doivent compléter l’évaluation de conformité complète, maintenir une documentation technique exhaustive et utiliser des organismes notifiés pour les catégories obligatoires — font face à des coûts de conformité significativement plus élevés que leurs concurrents SMC.

La Commission européenne est consciente de cette dynamique, et le texte de l’Omnibus inclut des dispositions anti-abus : les entreprises qui structurent leurs opérations spécifiquement pour rester sous le seuil SMC ou PME aux fins de l’IA Act — tout en fonctionnant économiquement comme une entité plus grande — ne sont pas éligibles à la voie simplifiée. Les orientations d’application sur les règles anti-abus sont attendues au quatrième trimestre 2026. Les entreprises dans la tranche 700-800 salariés ou 130-160 millions d’euros de chiffre d’affaires doivent rechercher des clarifications sur leur classification avant que celle-ci ne soit contestée.

Questions Fréquemment Posées

Sources et lectures complémentaires

• EU Council Confirms AI Omnibus Political Agreement — Council of the EU
• What the EU AI Omnibus Deal Changes for the AI Act — Tech Policy Press
• Digital Omnibus AI Regulation Proposal — European Commission
• EC Press Release on AI Omnibus Deal — European Commission