AI Act : ce qui change pour votre PME après le report d'août 2026

Si vous avez lu, ces derniers mois, qu’une grande échéance de l’AI Act tombait en août 2026, vous avez peut-être soufflé en apprenant qu’elle venait d’être reportée. C’est exact, en partie. Le 7 mai 2026, le Conseil de l’Union européenne, le Parlement et la Commission ont conclu un accord politique provisoire, baptisé Digital Omnibus, qui étale et simplifie une partie du calendrier. L’échéance la plus médiatisée glisse de seize mois environ.

Mais c’est précisément là que se cache le piège pour un dirigeant de PME. Ce report concerne une catégorie d’IA bien spécifique, qui touche en réalité peu d’entreprises. Et pendant qu’on parle de cette échéance lointaine, une obligation beaucoup plus large, elle, est déjà en vigueur et personne n’en parle assez : celle de former vos équipes à l’IA.

L’objet de cet article est simple : démêler ce qui est réellement reporté de ce qui reste obligatoire dès maintenant, sans jargon et sans dramatisation. Précision importante en préambule : l’accord du 7 mai est un accord politique provisoire, qui doit encore être formellement adopté. Et cet article n’est pas un conseil juridique : pour votre situation précise, faites valider par un juriste.

Ce qui a été décidé le 7 mai 2026, en clair

Le Digital Omnibus est un paquet de mesures destiné à simplifier et à étaler dans le temps l’application de l’AI Act, le règlement européen sur l’intelligence artificielle. L’idée des institutions : donner plus d’air aux entreprises et clarifier un calendrier jugé trop serré.

La conséquence la plus visible concerne les systèmes d’IA dits à haut risque (ceux listés à l’Annexe III du règlement). Leur échéance phare, fixée au 2 août 2026, est reportée à décembre 2027, soit environ seize mois de délai supplémentaire.

À retenir : ce report ne supprime aucune obligation. Il décale, pour une catégorie précise d’IA, la date à laquelle ces obligations devront être respectées. Et il reste suspendu à l’adoption définitive du texte.

Tant que l’accord n’est pas formellement adopté par les co-législateurs, ce calendrier doit être lu comme une orientation très probable, pas comme une règle gravée. La prudence reste de mise.

Le haut risque, c’est quoi, et est-ce que ça vous concerne

C’est la question qui compte le plus. Dans la plupart des cas, la réponse est : non.

Le haut risque au sens de l’AI Act ne désigne pas « une IA puissante » ou « une IA importante pour mon activité ». Il vise des usages très précis, où une IA prend ou alimente des décisions lourdes de conséquences pour des personnes. Typiquement :

• le tri automatisé de candidatures et certaines décisions de ressources humaines,
• le scoring de solvabilité ou d’accès à un crédit,
• la biométrie (reconnaissance faciale, identification de personnes),
• des usages dans des secteurs réglementés (santé, sécurité, infrastructures critiques, justice, éducation).

Si votre entreprise utilise l’IA pour rédiger des contenus, synthétiser des réunions, répondre à des questions clients de premier niveau ou analyser des documents internes, vous n’êtes très probablement pas dans le périmètre haut risque. Ce sont d’ailleurs les usages les plus courants : nous en détaillons plusieurs dans notre tour d’horizon des 7 cas d’usage de l’IA en PME, et aucun n’y relève du haut risque.

Autrement dit : le report d’août 2026, présenté comme une grande nouvelle, ne change concrètement pas grand-chose pour la majorité des PME. Ce qui ne veut pas dire qu’il n’y a rien à faire. Au contraire.

Ce qui reste en vigueur, sans changement, dès aujourd’hui

Voici le cœur du sujet, et la partie qu’il faut marteler. Plusieurs pans de l’AI Act sont déjà appliqués et ne sont pas concernés par le report :

• Les interdictions de certaines pratiques d’IA (les usages jugés inacceptables) sont en vigueur depuis février 2025.
• Les obligations sur les modèles à usage général (les grands modèles d’IA générative, dits GPAI) s’appliquent depuis août 2025.
• L’obligation de former vos équipes à l’IA (l’article 4, parfois appelé « AI literacy ») est en application depuis le 2 février 2025.

Ce dernier point mérite qu’on s’y arrête, car c’est le compte à rebours qui compte pour une PME.

L’article 4 : former vos équipes, sans seuil de taille

L’article 4 de l’AI Act demande que les personnes qui utilisent ou déploient des systèmes d’IA dans l’entreprise aient un niveau de compréhension suffisant de ces outils : ce qu’ils savent faire, où sont leurs limites, quels risques ils présentent.

Deux éléments en font une obligation qui vous concerne très probablement :

1. Il n’y a aucun seuil de taille. Une PME de cinq personnes est concernée au même titre qu’un grand groupe. Dès lors que vos collaborateurs utilisent un outil d’IA dans leur travail, l’obligation s’applique.
2. À partir du 3 août 2026, les autorités nationales peuvent contrôler et sanctionner. L’obligation existe depuis février 2025, mais c’est à cette date que le dispositif de surveillance devient pleinement opérationnel.

Le compte à rebours qui compte pour une PME, ce n’est pas le haut risque reporté à 2027. C’est la formation de vos équipes, contrôlable dès août 2026.

Bonne nouvelle : cette obligation n’a rien d’insurmontable. Il ne s’agit pas de transformer vos collaborateurs en experts techniques, mais de leur donner les repères pour utiliser l’IA de façon lucide et responsable. Nous avons consacré un article entier à ce sujet, car la formation IA est déjà obligatoire et c’est l’angle le plus souvent négligé.

Reporté ou obligatoire : le tableau qui clarifie tout

Pour fixer les idées, voici la séparation nette entre ce qui glisse dans le temps et ce qui s’impose dès maintenant.

Ce qui est reporté	Ce qui reste obligatoire maintenant
Échéance des systèmes d’IA à haut risque (Annexe III), repoussée du 2 août 2026 à décembre 2027	Les interdictions de pratiques d’IA, appliquées depuis février 2025
Concerne peu de PME : RH automatisées, scoring, biométrie, secteurs réglementés	Les obligations sur les modèles à usage général (GPAI), depuis août 2025
Sous réserve de l’adoption définitive de l’accord provisoire du 7 mai 2026	La formation des équipes (article 4), sans seuil de taille, contrôlable dès le 3 août 2026

La lecture est simple : la colonne de gauche ne concerne sans doute pas votre entreprise, et reste suspendue à une adoption formelle. La colonne de droite, elle, s’applique déjà.

Et en Suisse ? Pas d’AI Act, mais des règles bien réelles

Pour les dirigeants suisses, le cadre est différent et il faut le poser clairement.

La Suisse n’a pas d’AI Act. Le Conseil fédéral a fait le choix d’une approche par réglementation ciblée, en s’appuyant sur le droit sectoriel existant plutôt que sur une grande loi transversale. En mars 2025, il a signé la Convention sur l’intelligence artificielle du Conseil de l’Europe, et il prépare un projet de loi de ratification, annoncé d’ici fin 2026. Ce calendrier est susceptible d’évoluer : il faut le suivre, sans le considérer comme acquis.

Mais l’absence d’AI Act ne signifie pas l’absence de règles. La nLPD, la loi révisée sur la protection des données, est en vigueur depuis septembre 2023 et s’applique déjà pleinement dès qu’une IA traite des données personnelles. Concrètement, si votre outil d’IA manipule des informations sur vos clients, vos employés ou vos prospects, vous êtes déjà soumis à des obligations précises.

À noter également : une entreprise suisse qui propose ses services ou ses produits sur le marché de l’Union européenne peut, selon les cas, être concernée par l’AI Act. Là encore, l’avis d’un juriste pour votre situation est la bonne démarche.

Le report n’est pas une excuse pour ne rien faire

Voici le message le plus important de cet article. Le report de l’échéance haut risque peut donner le sentiment d’un répit général. Ce serait une erreur de lecture, pour deux raisons.

La première est réglementaire : ce qui s’applique déjà à votre PME (interdictions, modèles à usage général, formation des équipes) n’a pas bougé d’un jour. Et l’article 4 devient contrôlable dès le 3 août 2026.

La seconde raison est plus stratégique, et c’est celle qui nous tient à cœur. Les trois chantiers à poser maintenant ne sont pas seulement des cases de conformité à cocher :

• Former vos équipes à un usage raisonné de l’IA, c’est aussi ce qui fait que vos outils sont réellement utilisés, et bien utilisés.
• Cadrer l’usage de vos données (ce que l’IA a le droit de voir, de traiter, de conserver), c’est ce qui vous protège et installe la confiance en interne.
• Documenter vos usages, c’est ce qui vous permet de piloter, d’améliorer et de prouver votre sérieux le jour où un client, un partenaire ou une autorité vous le demande.

En d’autres termes, les bases de la conformité sont aussi les bases d’une adoption efficace. Une entreprise qui forme, cadre et documente n’est pas seulement en règle : elle tire pleinement parti de l’IA, au lieu de la subir ou de la laisser dormir.

Le calendrier européen a peut-être desserré une contrainte lointaine. Mais le bon réflexe, pour une PME, n’est pas d’attendre 2027. C’est de poser dès maintenant ces fondations simples, qui vous mettent en conformité sur l’essentiel et vous donnent une longueur d’avance sur l’usage. Le report, finalement, n’est utile qu’à ceux qui s’en servent pour bien faire les choses, pas pour les repousser.