Digital Omnibus entré en vigueur : ce qui change vraiment pour la gouvernance IA des PME
Le Digital Omnibus est officiellement en vigueur depuis fin juillet 2026. Ce qui était conditionnel devient acquis, et une nouvelle interdiction apparaît. Le point pour les PME et ETI.
Depuis le 27 juillet 2026, le Digital Omnibus n'est plus une hypothèse. Publié au Journal Officiel de l'Union européenne le 24 juillet, il est entré en vigueur trois jours plus tard. Ce qui était présenté depuis juin comme « sous réserve d'adoption par le Conseil » est désormais acquis. Pour les dirigeants qui suivaient ce dossier avec un scepticisme légitime, la question n'est plus de savoir si le report aura lieu, mais ce qu'il faut en faire maintenant qu'il est confirmé.
Le texte fixe deux échéances. Les systèmes à haut risque autonomes de l'annexe III, recrutement, crédit, biométrie, éducation, basculent du 2 août 2026 au 2 décembre 2027. Pour l'IA intégrée dans des produits déjà régulés, dispositifs médicaux, machines industrielles, le report va jusqu'en août 2028. Ce qui ne change pas mérite autant d'attention : les obligations de transparence de l'article 50, en vigueur depuis le 2 août 2026, les règles pour les modèles à usage général depuis août 2025, les interdictions de l'article 5 depuis février 2025. Le texte introduit aussi une nouveauté qui n'a rien d'un allègement, l'interdiction explicite des outils générant des images intimes non consenties et du contenu pédopornographique.
Dans mes échanges récents avec des dirigeants, je retrouve la même erreur d'interprétation que lors du vote de juin. Beaucoup traitent cette confirmation comme une bonne nouvelle qui justifie d'attendre. C'est l'inverse. Le vrai risque de conformité pour une PME française en 2026 ne vient pas de l'annexe III, il vient de la CNIL. Le recrutement figure parmi ses thématiques de contrôle prioritaires pour 2026, avec un focus assumé sur le tri de CV et le scoring de candidats par IA. Ce contrôle n'a ni moratoire ni délai supplémentaire. Il s'applique dès maintenant à toute entreprise qui traite des données de candidats, quelle que soit sa taille.
C'est un schéma récurrent dans mes accompagnements. Les entreprises suivent l'actualité européenne avec attention, et ignorent que leur risque immédiat est national. Une PME qui utilise un ATS avec scoring automatique, un chatbot RH, ou un outil de présélection IA doit documenter ce traitement dès aujourd'hui, indépendamment du report à 2027 ou 2028. Confondre calendrier européen et priorités CNIL coûte cher.
Par l'inventaire des usages, dès la première semaine : cartographier les usages IA réels, RH compris, avant de se demander quel texte s'applique à quelle échéance. Une entreprise qui ignore les outils que ses équipes RH utilisent ne peut ni répondre à un contrôle CNIL ni anticiper 2027. Le Digital Omnibus a clarifié un calendrier européen. Il n'a rien clarifié sur ce qui se passe dans les outils que vos équipes utilisent cette semaine. Si vous souhaitez en parler, contactez-moi.
Questions fréquentes
Le Digital Omnibus est-il définitivement entré en vigueur ?
Oui. Le texte a été publié au Journal Officiel de l'UE le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Ce qui était conditionné à l'adoption du Conseil (vote du Parlement du 16 juin 2026) est désormais acquis.
Quelles échéances changent concrètement ?
Les obligations pour les systèmes à haut risque autonomes de l'annexe III (recrutement, crédit, biométrie) sont reportées au 2 décembre 2027. Pour l'IA intégrée dans des produits déjà régulés (dispositifs médicaux, machines), le report va jusqu'au 2 août 2028.
Qu'est-ce qui ne bouge pas malgré ce report ?
Les obligations de transparence de l'article 50 (marquage des contenus IA, signalement des chatbots), les obligations des modèles à usage général en vigueur depuis août 2025, et les interdictions de l'article 5 en vigueur depuis février 2025. Le RGPD s'applique sans interruption depuis toujours.
Quelle est la nouveauté introduite par ce texte ?
Une interdiction explicite des IA generant des images intimes non consenties (« nudifiers ») et du contenu pédopornographique, ajoutée à l'article 5 de l'AI Act. Ce n'est pas un allègement, c'est un renforcement sur ce point précis.
Pourquoi la CNIL reste-t-elle le risque le plus concret pour une PME en 2026 ?
Parce que le recrutement figure parmi les thématiques de contrôle prioritaires de la CNIL pour 2026, avec un focus explicite sur le tri de CV et le scoring de candidats par IA. Ce contrôle s'applique dès maintenant, indépendamment du calendrier de l'AI Act.
Une PME qui n'a pas de système à haut risque est-elle concernée par tout ça ?
Oui, si elle utilise un chatbot client, génère des visuels marketing par IA, ou trie des candidatures avec un outil automatisé. Ces usages courants restent soumis aux obligations de transparence et au RGPD, quel que soit le report des systèmes à haut risque.
Le report profite-t-il aux petites entreprises de façon spécifique ?
Le Digital Omnibus étend certaines facilités (bacs à sable réglementaires, documentation allégée, accompagnement national) aux entreprises de moins de 750 salariés. Mais ces facilités portent sur la forme de la conformité, pas sur son existence.
Par quelle étape commencer pour clarifier ce cadre réglementaire ?
L'étape Inventaire, en semaine 1, reste le point de départ : sans cartographie des usages IA réels, aucune entreprise ne peut savoir si elle est concernée par les obligations de transparence, par un contrôle CNIL, ou par le futur régime à haut risque.