L’omnibus numérique sur l’IA est le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026. Il modifie l’AI Act : haut risque repoussé au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I), deux interdictions ajoutées, article 4 assoupli, allègements étendus aux petites entreprises de taille intermédiaire.
Les points clés
- C’est un texte adopté, pas une proposition : il fait partie du droit applicable depuis l’été 2026.
- Seul le chapitre haut risque a été décalé. Interdictions, règles sur les modèles d’IA à usage général et transparence de l’article 50 gardent leurs dates.
- Deux interdictions s’ajoutent à l’article 5 à partir du 2 décembre 2026 : images intimes non consenties et contenus pédocriminels générés par IA.
- L’obligation de maîtrise de l’IA devient une obligation de moyens : prendre des mesures pour la favoriser.
- Les entreprises de moins de 750 salariés répondant aux seuils financiers bénéficient désormais de plusieurs allègements réservés jusqu’ici aux PME.
Digital omnibus, omnibus numérique, omnibus IA : de quoi parle-t-on ?
Fin 2025, la Commission européenne a présenté un paquet de simplification du droit numérique baptisé « Digital Omnibus ». Il comportait deux volets : l’un sur les données (RGPD, règles sur les cookies, Data Act), l’autre sur l’intelligence artificielle. Ces volets ont suivi des procédures distinctes. Le volet IA est devenu le règlement (UE) 2026/1744, qui modifie le règlement (UE) 2024/1689 sur l’intelligence artificielle. Quand cet article parle d’« omnibus numérique », il s’agit de ce seul volet IA. Pour le volet données, reportez-vous aux publications de la Commission et de la CNIL.
La raison d’être du texte est pratique. Les obligations du haut risque devaient s’appliquer le 2 août 2026, alors que les normes harmonisées qui permettent de prouver la conformité et plusieurs lignes directrices de la Commission n’étaient pas prêtes. Sans elles, les entreprises auraient dû respecter des exigences sans référentiel commun. Le législateur a donc ajusté le calendrier et quelques règles, sans toucher à l’architecture du texte : approche par les risques, rôles de fournisseur et de déployeur, plafonds de sanctions. Si vous avez besoin de revoir cette architecture, notre présentation du règlement IA la résume.
Pour voir directement l’effet des nouvelles dates sur vos propres usages, le diagnostic gratuit de gouvernance IA intègre déjà l’omnibus.
Besoin d'aide avec cloud ?
Réservez une réunion gratuite de 30 minutes avec l'un de nos spécialistes en cloud. Nous analysons vos besoins et fournissons des recommandations concrètes — sans engagement.
Avant et après l’omnibus : le tableau de comparaison
| Sujet | Texte initial (2024/1689) | Après le règlement 2026/1744 |
|---|---|---|
| Haut risque, annexe III (systèmes autonomes) | 2 août 2026 | 2 décembre 2027 |
| Haut risque, annexe I (IA dans des produits réglementés) | 2 août 2027 | 2 août 2028 |
| Pratiques interdites (article 5) | Huit pratiques, depuis le 2 février 2025 | Inchangées, plus deux interdictions nouvelles à partir du 2 décembre 2026 |
| Transparence (article 50) | 2 août 2026 | Toujours le 2 août 2026 ; délai jusqu’au 2 décembre 2026 pour le marquage lisible par machine des systèmes génératifs déjà sur le marché |
| Maîtrise de l’IA (article 4) | Mesures pour garantir, dans toute la mesure du possible, un niveau suffisant | Mesures pour favoriser la maîtrise de l’IA, sans niveau garanti par personne ; rôle d’appui de la Commission et des États |
| Allègements | PME et jeunes pousses | Étendus aux petites entreprises de taille intermédiaire (moins de 750 salariés, chiffre d’affaires jusqu’à 150 millions d’euros ou bilan jusqu’à 129 millions d’euros) |
| Données sensibles pour détecter les biais | Article 10, paragraphe 5 : base étroite, fournisseurs de systèmes à haut risque | Nouvel article 4 bis : aussi pour les déployeurs et d’autres systèmes, sous stricte nécessité |
| Supervision des systèmes bâtis sur un modèle | Autorités nationales ; Bureau de l’IA pour les modèles | Bureau de l’IA seul compétent pour les systèmes bâtis par le fournisseur du modèle (ou son groupe) et l’IA intégrée aux très grandes plateformes et moteurs de recherche |
| Systèmes publics à haut risque déjà en service | 2 août 2030 | 2 août 2030 (confirmé) |
L’AI Act est-il reporté ? Non, seulement le haut risque
Les titres de presse sur le « report de l’AI Act » ont semé le doute. Voici ce qui n’a pas bougé :
- les interdictions de l’article 5, applicables depuis le 2 février 2025, et même renforcées ;
- l’article 4 sur la maîtrise de l’IA, applicable depuis la même date, dont seule la formulation change ;
- les obligations des fournisseurs de modèles d’IA à usage général, applicables depuis le 2 août 2025 ;
- l’article 50, appliqué comme prévu le 2 août 2026 ;
- la gouvernance et le chapitre des sanctions, applicables depuis le 2 août 2025.
Prenons deux cas. Une mutuelle qui a mis un assistant conversationnel sur son espace adhérent devait l’identifier comme IA dès août 2026, omnibus ou pas. Une ETI industrielle qui utilise un logiciel de présélection de candidats dispose, elle, de seize mois de plus pour se préparer à ses obligations de déployeur d’un système à haut risque. Toutes les échéances sont réunies dans notre calendrier de l’AI Act.
Les changements en détail
Haut risque : plus de temps, mêmes exigences
Le fond du chapitre III reste en place. Le fournisseur d’un système de l’annexe III doit toujours mettre en place une gestion des risques, une gouvernance des données, une documentation technique, une journalisation, un contrôle humain, des garanties d’exactitude et de robustesse, un système de gestion de la qualité, une évaluation de la conformité et l’enregistrement dans la base de données de l’UE. Le déployeur garde ses obligations de l’article 26 et, le cas échéant, l’analyse d’impact sur les droits fondamentaux de l’article 27. Les seize mois gagnés servent à laisser arriver les normes, pas à attendre.
Deux nouvelles interdictions
L’article 5 interdit désormais de mettre sur le marché, de mettre en service ou d’utiliser des systèmes d’IA servant à produire des images intimes réalistes d’une personne identifiable sans son consentement, et des contenus pédocriminels. Sont visés les fournisseurs dont l’outil a cette finalité ou rend ce résultat raisonnablement prévisible faute de garde-fous, et les utilisateurs qui produisent de tels contenus. Pour un éditeur de générateur d’images généraliste, la question devient celle des filtres et de la modération.
Article 4 : de « garantir » à « favoriser »
Le texte initial demandait aux fournisseurs et déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA. Le texte modifié leur demande de prendre des mesures pour la favoriser, et précise qu’il n’impose pas de garantir un niveau donné pour chaque personne. La Commission et les États membres reçoivent un rôle d’accompagnement, notamment envers les PME. En pratique, un programme de formation documenté reste la meilleure preuve que vous avez agi : voyez notre article sur la formation IA en entreprise et l’article 4.
Petites entreprises de taille intermédiaire
Les « small mid-caps » (moins de 750 salariés, chiffre d’affaires jusqu’à 150 millions d’euros ou total de bilan jusqu’à 129 millions d’euros) profitent désormais de plusieurs régimes jusqu’ici réservés aux PME : documentation technique simplifiée, système de gestion de la qualité proportionné, accès prioritaire aux bacs à sable et plafonds de sanctions adaptés. Pour beaucoup d’ETI françaises, c’est une bonne nouvelle concrète.
Article 4 bis : détecter les biais avec des données sensibles
L’ancien article 10, paragraphe 5, permettait aux seuls fournisseurs de systèmes à haut risque de traiter des catégories particulières de données pour détecter et corriger des biais. Le nouvel article 4 bis élargit cette base aux déployeurs et à d’autres systèmes, sous condition de stricte nécessité et de garanties. C’est une faculté, pas une obligation, et le RGPD continue de s’appliquer : l’articulation avec la protection des données est traitée dans notre article IA et RGPD : ce que disent l’AI Act et la CNIL.
Bureau de l’IA : un périmètre élargi
Le Bureau de l’IA de la Commission devient seul compétent pour superviser les systèmes construits sur un modèle d’IA à usage général par le même fournisseur ou groupe, ainsi que l’IA intégrée dans les très grandes plateformes en ligne et les très grands moteurs de recherche. Pour une entreprise française qui se contente d’utiliser ces services, cela ne change rien à ses propres obligations de déployeur.
Ce que l’omnibus ne change pas en France
Le règlement 2026/1744 ne règle pas la question des autorités nationales. En France, la désignation de la CNIL, de la DGCCRF et des autres régulateurs passe par le projet de loi d’adaptation au droit de l’Union adopté par le Sénat en février 2026, encore en navette en octobre 2026. Les plafonds d’amende de l’article 99 (jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites) restent identiques, avec la règle du montant le plus faible pour les PME. Le point sur les autorités françaises est fait dans l’article AI Act en France : autorités de contrôle.
Que faire maintenant ?
- Mettez à jour vos plannings. Toute feuille de route construite sur le 2 août 2026 pour le haut risque doit être recalée, sans relâcher les chantiers en cours.
- Vérifiez l’article 50. Chatbots, contenus générés et hypertrucages sont déjà soumis aux obligations de transparence.
- Relisez vos conditions d’utilisation si vous proposez de la génération d’images, en vue du 2 décembre 2026.
- Revoyez votre plan de maîtrise de l’IA à la lumière de la nouvelle rédaction de l’article 4.
- Vérifiez votre taille. Si vous êtes une petite entreprise de taille intermédiaire, documentez-le : certains allègements en dépendent.
Pour un passage en revue complet, reprenez la checklist AI Act étape par étape.
Questions fréquentes sur l’omnibus numérique
L’omnibus numérique est-il définitivement adopté ?
Oui, pour son volet IA. Le règlement (UE) 2026/1744 a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et il est entré en vigueur le 27 juillet 2026. Ce n’est plus une proposition ni un accord politique : il modifie le texte de l’AI Act, dont il faut désormais lire la version consolidée.
Quelles nouvelles dates l’omnibus fixe-t-il pour le haut risque ?
Le 2 décembre 2027 pour les systèmes autonomes à haut risque de l’annexe III (recrutement, crédit, éducation, biométrie, services essentiels…) et le 2 août 2028 pour l’IA qui est un produit ou un composant de sécurité d’un produit couvert par l’annexe I. Les systèmes publics déjà en service gardent l’échéance du 2 août 2030.
L’obligation de formation à l’IA a-t-elle été supprimée ?
Non. L’article 4 a été réécrit, pas supprimé. Fournisseurs et déployeurs doivent toujours prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel et des personnes qui utilisent l’IA pour leur compte. Ce qui disparaît, c’est l’idée d’un niveau suffisant à garantir pour chaque individu.
L’omnibus change-t-il les sanctions ?
Les plafonds de l’article 99 ne changent pas : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements, 7,5 millions ou 1 % pour les informations inexactes. Les PME, et désormais les petites ETI, bénéficient de plafonds adaptés.
Le « digital omnibus » modifie-t-il aussi le RGPD ?
Le paquet présenté par la Commission fin 2025 contenait un volet données touchant au RGPD, aux cookies et au Data Act, distinct du volet IA. Il suit sa propre procédure. Le règlement 2026/1744 ne porte que sur l’AI Act. Pour le RGPD, suivez les publications officielles de la Commission et de la CNIL.
Recalez votre feuille de route en 40 minutes
L’omnibus a changé les dates, pas la nécessité de savoir quels systèmes vous utilisez et sous quel rôle. En répondant aux questions du diagnostic gratuit de gouvernance et de charte IA d’Opsio (quatorze étapes, environ 40 minutes, questions en français), vous obtenez dès l’envoi quatre documents rédigés à partir de vos réponses : cadre de gouvernance de l’IA, charte d’utilisation de l’IA, checklist d’évaluation des fournisseurs d’IA et modèle d’analyse des risques IA, plus un état des lieux sur dix domaines. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent. Gratuit et sans engagement.
Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.
Rédigé par
Country Manager, Inde
Praveena dirige les opérations d'Opsio en Inde, apportant plus de 17 ans d'expérience inter-sectorielle dans l'IA, la fabrication, le DevOps et les services managés.
Charte éditoriale : Cet article a été rédigé par des praticiens du cloud et relu par notre équipe d'ingénierie. Nous le révisons lorsque la technologie ou la réglementation qu'il traite évolue ; les dates de cette page indiquent la dernière mise à jour. Opsio est éditorialement indépendant.