Omnibus numérique sur l'IA : ce qui change dans l'AI Act

L'« omnibus numérique sur l'IA » est un règlement européen de simplification qui modifie l'AI Act (règlement (UE) 2024/1689). Il est adopté : publié au Journal officiel de l'Union européenne le 24/07/2026, il est entré en vigueur le 27/07/2026. Ses principaux effets pour une entreprise : les règles des systèmes à haut risque sont reportées, l'obligation de maîtrise de l'IA (article 4) est assouplie, deux pratiques sont ajoutées à la liste des interdictions, et certaines mesures réservées aux PME sont étendues aux « petites entreprises de taille intermédiaire ».

D'où vient ce texte

La CNIL (Commission nationale de l'informatique et des libertés) a mis à jour ses questions-réponses le 17/08/2026 pour intégrer ces changements. Le texte officiel est consultable sur EUR-Lex.

Les changements qui concernent une entreprise qui déploie de l'IA

Le haut risque est reporté

Les obligations des systèmes à haut risque listés à l'annexe III (recrutement, crédit, éducation, biométrie…) s'appliquent au 02/12/2027 au lieu du 02/08/2026. Celles des systèmes intégrés à des produits réglementés (annexe I : machines, jouets, ascenseurs…) au 02/08/2028. Voir l'IA à haut risque.

L'article 4 est réécrit

Le texte consolidé publié par le service d'assistance de la Commission marque les trois paragraphes de l'article 4 comme modifiés. Les fournisseurs et les déployeurs doivent désormais « prendre des mesures pour soutenir le développement de la maîtrise de l'IA » de leur personnel, et le texte précise que cette obligation n'exige pas de garantir un niveau donné pour chaque personne. Voir l'article 4.

Deux nouvelles interdictions

L'article 5 gagne deux points, (ba) et (bb), applicables au 02/12/2026 : les systèmes qui génèrent des images, vidéos ou sons réalistes à caractère sexuel d'une personne identifiable sans son consentement, et ceux qui génèrent des contenus pédocriminels. Voir les pratiques interdites.

Un délai pour le marquage des contenus

Les fournisseurs de systèmes génératifs déjà sur le marché avant le 02/08/2026 ont jusqu'au 02/12/2026 pour marquer leurs sorties de façon lisible par machine (article 50, paragraphe 2). Voir le marquage des contenus générés.

Des allègements étendus aux petites entreprises de taille intermédiaire

Selon la Commission, des exigences simplifiées prévues pour les PME (petites et moyennes entreprises) sont étendues aux petites entreprises de taille intermédiaire, notamment une documentation technique simplifiée. Côté sanctions, l'article 99 consolidé ajoute un paragraphe 6a : pour ces entreprises, les amendes des paragraphes 4 et 5 sont plafonnées au plus bas des deux montants (pourcentage ou somme fixe). Voir l'AI Act et les PME et les sanctions.

Une base légale encadrée pour corriger les biais

Un nouvel article 4a permet, à titre exceptionnel et seulement si c'est strictement nécessaire, de traiter des catégories particulières de données personnelles pour détecter et corriger les biais d'un système d'IA, sous six conditions cumulatives (pseudonymisation, accès contrôlé, suppression, etc.). Il s'ajoute au RGPD (règlement général sur la protection des données) sans le remplacer. Voir AI Act et RGPD.

Ce que l'omnibus n'a pas changé

D'après l'analyse du règlement publiée sur nicfab.eu, et en cohérence avec la frise de la Commission :

• la date d'application générale du 02/08/2026 ;
• les interdictions en vigueur depuis le 02/02/2025 ;
• les obligations des fournisseurs de modèles d'IA à usage général ;
• les obligations de transparence de l'article 50, applicables au 02/08/2026 (hors délai de marquage ci-dessus).

Ne pas confondre avec l'omnibus « données »

Le même paquet de simplification comporte un autre volet, qui vise le RGPD, les cookies et les règles sur les données (procédure 2025/0360(COD)). Celui-là n'est pas adopté : le Conseil a arrêté sa position de négociation le 21/10/2026, le Parlement européen n'a pas encore la sienne, et les négociations entre les deux n'ont pas commencé. D'ici là, le RGPD s'applique dans sa version actuelle.

Ce qu'il faut faire de cette information

Le report du haut risque laisse du temps, pas une dispense. Si un de vos projets entre dans l'annexe III, le calendrier de mise en conformité se prépare maintenant : choix du fournisseur, documentation, surveillance humaine, information des personnes. Pour une lecture adaptée à votre cas, rapprochez-vous d'un professionnel du droit ; le service d'assistance de la Commission répond aussi aux questions sur l'application du texte.