Omnibus IA de l’UE — Mai 2026 : nouveaux délais, allègements PME et le calendrier de conformité révisé

Ce que l’accord du 7 mai a réellement modifié

L’Acte IA de l’UE, entré en vigueur en août 2024, avait fixé un calendrier de conformité autour duquel les entreprises de produits IA avaient construit leurs feuilles de route internes. L’accord Omnibus du 7 mai 2026 — conclu entre le Conseil européen et le Parlement européen — modifie matériellement trois de ces calendriers. Selon le communiqué de presse officiel du Conseil européen, l’accord vise à « simplifier et rationaliser » les règles tout en maintenant l’architecture fondée sur les risques de l’Acte.

Le changement le plus significatif pour les équipes de produits IA d’entreprise est le report des obligations de conformité pour les systèmes IA à haut risque. L’échéance initiale d’août 2026 pour les systèmes de l’Annexe III à haut risque (emploi, éducation, notation de crédit, identification biométrique, application de la loi, migration) a été remplacée par une échéance de décembre 2027. Les systèmes intégrés dans des produits déjà réglementés par la législation sectorielle de l’UE — dispositifs médicaux, équipements d’aviation, véhicules — reçoivent une extension supplémentaire jusqu’à août 2028. L’analyse de White & Case sur l’accord Omnibus décrit cela comme « la recalibration la plus significative de l’Acte depuis son adoption ».

Les obligations GPAI (IA d’usage général) — les exigences qui s’appliquent aux développeurs de modèles de fondation comme OpenAI, Anthropic, Mistral et Google — ne sont pas étendues. Elles restent sur le calendrier d’août 2025 déjà entré en vigueur, ce qui signifie que les fournisseurs opérant dans l’UE doivent déjà être en conformité avec les exigences de transparence et de documentation sur les droits d’auteur.

Trois changements qui nécessitent une révision immédiate de la feuille de route

1. L’extension aux PME+ : qui est désormais éligible aux obligations allégées

L’Acte IA original étendait les protections de niveau PME (exigences documentaires réduites, évaluation de conformité allégée, accès aux bacs à sable réglementaires) aux entreprises de moins de 250 employés et moins de 50 M€ de chiffre d’affaires annuel. L’accord Omnibus étend ces protections aux « petites entreprises de taille intermédiaire » — organisations comptant jusqu’à 500 employés et un chiffre d’affaires inférieur à 150 M€.

L’analyse détaillée de Dastra sur l’accord Omnibus note que cette extension intègre une proportion significative de l’écosystème IA européen dans le niveau d’obligations allégées. Les entreprises qui avaient précédemment planifié leurs programmes de conformité sous le régime enterprise complet — parce qu’elles dépassaient les seuils PME initiaux — doivent immédiatement réévaluer leur statut d’éligibilité.

Le statut PME+ n’est pas autodéclaré — il doit être vérifié par rapport aux définitions standard des tailles d’entreprise de l’UE à partir du dernier exercice financier de l’entreprise. Les entreprises proches du seuil doivent préparer leur documentation dès maintenant, car la détermination du statut PME+ est la première question de conformité que les équipes juridiques internes devront résoudre lors de l’adoption formelle de l’Omnibus en août 2026.

2. L’interdiction de nudification : ce qui est concerné et ce qui est immédiat

L’accord Omnibus introduit une nouvelle catégorie de pratiques interdites : les systèmes IA qui génèrent ou manipulent des images, des sons ou des vidéos de personnes réelles dans des contextes sexuels explicites sans leur consentement — communément appelés nudification ou images intimes synthétiques non consenties. Cette interdiction prend effet immédiatement lors de l’adoption formelle de l’Omnibus, sans la période transitoire applicable aux autres nouvelles exigences.

La mise à jour de l’Acte IA de Latham & Watkins sur l’Omnibus précise que l’interdiction s’étend à tout fournisseur dont le système pourrait être utilisé pour la nudification, même si ce n’est pas l’objectif principal du système — ce qui signifie que les outils de génération d’images généraux doivent mettre en œuvre des contrôles techniques ou des restrictions de cas d’usage. Les entreprises fournissant des outils de génération d’images généraux, de synthèse vidéo ou de face-swapping font face à une décision de conformité immédiate : mettre en œuvre des filtres de contenu, ajouter des flux de vérification du consentement, ou restreindre la capacité pour les utilisateurs de l’UE.

3. Le calendrier de conformité révisé pour les systèmes à haut risque

Les délais étendus créent une fenêtre mais pas un sursis. Selon l’examen de l’Omnibus par Latham & Watkins, l’échéance de décembre 2027 pour les systèmes de l’Annexe III est ferme — et le processus d’évaluation de conformité pour les systèmes IA à haut risque est suffisamment complexe pour que les entreprises commençant leur préparation au T3 2026 achèvent leurs évaluations au T4 2027 avec peu de marge.

L’évaluation de conformité pour un système IA à haut risque implique : la documentation technique (système de gestion des risques, dossiers de gouvernance des données, documentation de transparence, conception de la supervision humaine), les tests par rapport aux normes harmonisées applicables (encore en cours de développement par CEN et CENELEC), et, pour certaines catégories, un examen par un organisme notifié. Aucune de ces étapes ne peut être comprimée en quelques semaines.

Ce que les équipes de produits IA doivent faire avant août 2026

L’adoption formelle de l’Omnibus en août 2026 crée quatre actions immédiates pour les entreprises de produits IA opérant dans ou servant les marchés de l’UE.

Premièrement : déterminer si le système que vous opérez ou intégrez est qualifié de système IA à haut risque en vertu de l’Annexe III. L’Omnibus modifie les délais mais non les critères de classification.

Deuxièmement : déterminer votre statut PME+. Si vous êtes désormais éligible, documentez-le et restructurez votre programme de conformité. Sinon, confirmez vos obligations de niveau enterprise et budgétisez l’évaluation de conformité complète.

Troisièmement : si votre système implique la génération d’images, d’audio ou de vidéo mettant en scène de vraies personnes, effectuez immédiatement une évaluation du risque de nudification. Mettez en œuvre des contrôles, documentez la justification de la mise en œuvre et consultez un conseil juridique.

Quatrièmement : si les obligations GPAI s’appliquent déjà à votre modèle de fondation — parce que vous opériez sous l’échéance d’août 2025 — auditez votre état actuel de conformité. L’Omnibus n’étend pas les délais GPAI.

La question antitrust et de structure de marché

L’extension PME+ de l’Omnibus a une implication non intentionnelle sur la structure du marché. En réduisant les obligations de conformité pour les entreprises de moins de 500 employés et 150 M€ de chiffre d’affaires, la réglementation crée un effet de seuil : les entreprises qui dépassent cette limite font face à un saut discontinu des coûts de conformité. Pour les entreprises approchant actuellement la limite PME+, cela crée une incitation structurelle à gérer le taux de croissance — une réglementation destinée à soutenir les petites entreprises peut par inadvertance créer un plafond d’ambition.

Le Bureau IA européen a reconnu cette dynamique structurelle. Le rapport de février 2026 du Bureau IA notait que la charge réglementaire IA de l’UE, mesurée en pourcentage du chiffre d’affaires, est environ trois fois plus élevée pour les entreprises dans la fourchette de 500 à 2 000 employés que pour les PME+ ou les grandes entreprises. Cette « falaise de conformité » à la limite PME+ est une faille de conception connue dans le cadre actuel, susceptible d’être traitée lors de la première révision formelle de l’Acte IA, attendue en 2028.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Le Conseil et le Parlement s’accordent pour simplifier les règles IA — Conseil européen
• L’UE conclut l’accord Omnibus numérique pour simplifier les règles IA — White & Case
• Plus simple, plus sûr, plus strict là où ça compte : l’accord Omnibus IA de l’UE décrypté — Dastra
• Mise à jour de l’Acte IA : l’UE décide de modifier les règles et d’étendre les délais — Latham & Watkins
• Paquet Omnibus de la Commission — Commission européenne