Digital Omnibus : ce qui a changé dans l’AI Act en 2026

L’AI Act 2026 n’est plus tout à fait celui de 2024. Le Digital Omnibus sur l’IA, c’est-à-dire le règlement (UE) 2026/1744, est en vigueur depuis le 27 juillet 2026. Il reporte les obligations haut risque, conserve l’article 4 en l’assouplissant et ajoute une interdiction. Pour le cadre complet, voyez notre guide complet de l’AI Act.

À jour au 18 octobre 2026. Attention : le « Digital Omnibus » sur le RGPD et les cookies est un autre texte, non adopté (voir plus bas).

L’essentiel

• Le Digital Omnibus sur l’IA est une loi : règlement (UE) 2026/1744, publié le 24 juillet 2026, en vigueur le 27 juillet 2026.
• Seules les obligations haut risque sont reportées : au 2 décembre 2027 (cas d’usage de l’annexe III, dont les RH) et au 2 août 2028 (produits de l’annexe I).
• L’article 4 sur la maîtrise de l’IA reste une obligation, au texte assoupli.
• Une nouvelle interdiction s’applique au 2 décembre 2026 : les systèmes d’IA qui génèrent des images intimes non consenties (« nudification ») ou des contenus pédocriminels.
• L’Omnibus sur le RGPD et les cookies reste une proposition.

Le Digital Omnibus sur l’IA : c’est quoi, et est-ce vraiment une loi ?

Oui, c’est une loi européenne. Le règlement (UE) 2026/1744 modifie le règlement (UE) 2024/1689 (l’AI Act) ainsi que deux textes sectoriels, sur l’aviation et sur les machines. Ce sont des modifications ciblées, dues surtout aux retards des normes techniques et des autorités nationales.

Du projet au Journal officiel : huit mois

La date à retenir est le 27 juillet (le 24 est celle de la publication), six jours avant le 2 août 2026, où les règles haut risque de l’annexe III auraient commencé à s’appliquer. Détail dans la fiche de procédure du Parlement.

AI Act 2026 : avant et après l’Omnibus

Le report ne concerne que le haut risque. Voici les dix changements qui comptent, avec l’article modifié ; sauf mention contraire, ils s’appliquent depuis le 27 juillet 2026.

Une « petite entreprise à moyenne capitalisation » n’est pas une PME : moins de 750 personnes et au plus 150 millions d’euros de chiffre d’affaires, ou 129 millions de bilan.

Article 4 : l’obligation de former est conservée, mais assouplie

L’article 4 s’applique toujours à tous les fournisseurs et déployeurs, quelle que soit leur taille, depuis le 2 février 2025. Son texte a été réécrit, non supprimé.

Avant, il fallait prendre des mesures « pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA ». Depuis le 27 juillet 2026, les fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel » et par les autres personnes qui utilisent leurs systèmes d’IA pour leur compte. Le texte ajoute : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

En pratique, ni certificat ni niveau à prouver par personne : il faut agir selon les rôles, et pouvoir le montrer est une bonne pratique. La Commission et les États membres doivent soutenir les entreprises, surtout les PME. L’article 99 ne fixe pas d’amende propre à l’article 4 ; les sanctions nationales, qui peuvent viser toute violation du règlement, ne sont pas encore fixées en France. Voyez qui former et avec quelles preuves, puis comment organiser la formation de vos salariés.

Proposition de la Commission et texte final : ce qui a bougé

La Commission voulait retirer l’obligation de formation aux entreprises ; le Parlement l’a rétablie, assouplie, et c’est sa version qui a été retenue. Beaucoup de pages en ligne décrivent encore la proposition de novembre 2025.

Ce que l’Omnibus n’a pas changé

Ce qui s’appliquait avant s’applique toujours, sauf le haut risque.

• Les huit interdictions d’origine s’appliquent depuis le 2 février 2025, reconnaissance des émotions au travail comprise.
• La transparence de l’article 50 s’applique depuis le 2 août 2026 (information face à un chatbot, étiquetage des deepfakes), hors le délai de marquage vu plus haut.
• Les règles sur les modèles d’IA à usage général (depuis le 2 août 2025) et les plafonds d’amende (35 millions d’euros ou 7 %, 15 millions ou 3 %, 7,5 millions ou 1 %).
• La liste de l’annexe III, les définitions de base (système d’IA, fournisseur, déployeur) et le contenu des obligations des déployeurs (article 26).
• Le RGPD : selon l’article 2(7) modifié, le règlement « n’a pas d’incidence sur le règlement (UE) 2016/679 », sauf pour les articles 4 bis et 59.

Ce que cela change pour votre entreprise

Ce n’est pas un avis juridique ; en cas de doute, voyez votre DPO ou votre juriste. Les mentions en italique distinguent obligation et bonne pratique.

Vous utilisez l’IA (ChatGPT, Copilot, un outil RH…)

Presque rien de nouveau avant le 2 décembre 2026, hormis la lecture de l’article 4.

1. Article 4 : gardez vos mesures de formation et de consignes, et documentez-les. Obligation de prendre des mesures ; preuve recommandée.
2. Avant le 2 décembre 2026 : ajoutez à vos usages interdits la génération d’images intimes non consenties de personnes identifiables et de contenus pédocriminels. Le déployeur est visé quand il utilise le système « dans le but de » les produire. Obligation à partir de cette date ; la charte IA est une bonne pratique.
3. Deepfakes : l’étiquetage s’applique depuis le 2 août 2026. Obligation.
4. Outils RH (tri de CV, évaluation) : l’article 26 s’applique à partir du 2 décembre 2027. Le RGPD et le Code du travail s’appliquent déjà : information des candidats sur les méthodes de recrutement (article L1221-8) et, dès 50 salariés, consultation du CSE sur une nouvelle technologie (article L2312-8). Obligation. Demandez sa feuille de route AI Act à votre fournisseur : l’article 111(2) peut en principe laisser un outil déjà commercialisé hors du haut risque jusqu’à une modification importante, mais ne comptez pas dessus sans réponse écrite.
5. Usages non déclarés : repérer la shadow AI reste la première étape. Bonne pratique.

Le Bureau de l’IA peut superviser certains fournisseurs d’assistants, mais vos obligations de déployeur restent contrôlées par les autorités nationales.

Vous développez ou intégrez de l’IA

Vous gagnez du temps, mais les lignes directrices de classification ne sont encore qu’un projet.

• Système de l’annexe III jugé non haut risque (art. 6(3)) : documentez l’évaluation et enregistrez-le (enregistrement allégé).
• Fonctions génératives commercialisées avant le 2 août 2026 : marquage lisible par machine au 2 décembre 2026.
• Nouvelle interdiction : le fournisseur est visé si c’est la finalité du système, ou si ce résultat est « raisonnablement prévisible et reproductible » faute de garde-fous techniques adéquats.
• Si un client transforme votre système en système haut risque, l’article 25 précise ce que vous lui devez (documentation, limites connues, accès technique), sauf si vous aviez clairement exclu cet usage. Les manquements sont désormais passibles d’une amende jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
• Les PME et les petites entreprises à moyenne capitalisation ont une documentation technique simplifiée, un système de qualité proportionné et un accès prioritaire au bac à sable européen.

Ce qui reste à venir

Au 18 octobre 2026, plusieurs pièces manquent encore.

Et l’autre « Digital Omnibus » (RGPD, cookies, Data Act) ?

C’est un texte distinct, présenté le même jour que l’Omnibus IA, et encore à l’état de proposition : COM(2025) 837.

Parmi ses pistes : notifier une violation de données sous 96 heures, et seulement si le risque est élevé ; intégrer les cookies au RGPD ; admettre l’intérêt légitime pour développer des systèmes d’IA ; modifier la définition des données personnelles. Dans leur avis conjoint du 12 février 2026, les autorités européennes de protection des données (CEPD et EDPS) demandent de renoncer à cette dernière.

Au 18 octobre 2026, le dossier attend encore un vote en commission au Parlement européen. Le Conseil n’a pas de mandat : le texte était à l’ordre du jour des ambassadeurs des États membres les 7 et 11 octobre, mais selon Agence Europe, le vote a été reporté, puis le sujet n’a pas été discuté. Le RGPD et les règles cookies de la CNIL s’appliquent donc sans changement.

Que faire maintenant

1. Vérifiez que vos mesures article 4 existent et laissent une trace.
2. Ajoutez la nouvelle interdiction à votre charte avant le 2 décembre 2026.
3. Interrogez les fournisseurs de vos outils RH.
4. Pour former vos équipes, un cours Tokko de cinq minutes se joue sans inscription.

Cet article est informatif et ne remplace pas un conseil juridique. À jour au 18 octobre 2026.

Questions fréquentes

Le Digital Omnibus est-il entré en vigueur ?

Oui pour la partie IA : le règlement (UE) 2026/1744 est en vigueur depuis le 27 juillet 2026. Non pour la partie RGPD et cookies, encore une proposition au 18 octobre 2026.

L’AI Act est-il reporté ?

Seulement pour le haut risque : 2 décembre 2027 (annexe III) et 2 août 2028 (annexe I). Les interdictions, l’article 4, les règles sur les modèles à usage général et la transparence s’appliquent déjà.

La formation à l’IA est-elle toujours obligatoire ?

Oui. Depuis le 2 février 2025, fournisseurs et utilisateurs de systèmes d’IA doivent prendre des mesures pour la maîtrise de l’IA de leurs équipes. Depuis l’Omnibus, aucun niveau individuel n’est à garantir.

Le Digital Omnibus modifie-t-il le RGPD ou les cookies ?

Non, pas à ce jour. L’Omnibus IA ne modifie pas le RGPD. Les changements évoqués pour le RGPD et les cookies figurent dans un autre texte, la proposition COM(2025) 837, encore en discussion.