L’AI Act à l’épreuve de l’Omnibus : ce que les entreprises doivent préparer en cette veille du 2 août 2026

À la veille du deuxième anniversaire de l’entrée en vigueur du Règlement UE 2024/1689, dit « AI Act », le règlement omnibus sur l’IA (Règlement UE 2026/1744), entré en vigueur le 27 juillet 2026, opère une simplification ciblée du corpus normatif tout en préservant les garanties fondamentales attachées à la sécurité et aux droits des personnes.

Cette réforme constitue non un report, en réalité un recalibrage stratégique du dispositif, dont les entreprises utilisatrices d’IA doivent impérativement comprendre les tenants et aboutissants pour ajuster leur trajectoire de conformité.

Tout d’abord une vue synthétique des grandes lignes de l’AI Act tel que modifié par l’Omnibus, avant de concentrer l’analyse sur l’article 99, pierre angulaire du régime de sanctions pécuniaires, dont la portée a été substantiellement enrichie.

1. AI Act : rappel de l’architecture générale

L’AI Act demeure le premier cadre juridique horizontal contraignant applicable à l’intelligence artificielle dans le monde.

Quatre niveaux de risque :

• Risque inacceptable : pratiques interdites (article 5) notation sociale, manipulation subliminale, exploitation des vulnérabilités, biométrie temps réel dans l’espace public
• Haut risque : systèmes énumérés à l’Annexe III (recrutement, éducation, justice, infrastructures critiques) et systèmes intégrés à des produits physiques réglementés (Annexe I)
• Risque limité : obligations de transparence (chatbots, contenus synthétiques, deepfakes)
• Risque minimal : libre utilisation

À cette classification s’ajoute un régime spécifique pour les modèles d’IA à usage général (GPAI), qui vise particulièrement les grands modèles de fondation (LLM et modèles multimodaux) commercialisés par les principales entreprises.

2. Omnibus IA 2026 : ce qui change pour les entreprises

Le règlement omnibus entré en vigueur le 27 juillet 2026 ( on notera l’urgence de la matière : adoption au Parlement européen le 16 juin 2026, passage au Conseil le 29 juin 2026, signature le 8 juillet ) apporte plusieurs modifications structurantes.

2.1 Un report significatif des échéances haut risque

Le calendrier d’application est profondément recalibré :

Il convient toutefois d’insister sur un point de vigilance essentiel : la date du 2 août 2026 n’est pas totalement neutralisée. Les obligations GPAI, la gouvernance et les pouvoirs de contrainte de l’AI Office restent activés à cette date charnière.

2.2 De nouvelles interdictions

L’Omnibus introduit une nouvelle prohibition ciblée : les applications d’augmentation de la nudité ou d’explicitation générant du contenu sexuellement explicite non consenti ou du matériel pédopornographique.

Cette interdiction, ajoutée à l’article 5, deviendra pleinement applicable le 2 décembre 2026.

2.3 Un régime allégé étendu aux small mid-caps

Les obligations simplifiées jusque-là réservées aux PME sont désormais étendues aux petites entreprises à moyenne capitalisation (small mid-caps), catégorie qui recouvre les entreprises de moins de 750 salariés.

Ce rééquilibrage, largement inspiré des travaux des rapports Draghi et Letta sur la compétitivité européenne, constitue un signal politique fort en faveur des scale-ups européennes.

2.4 Une simplification de la littératie IA

L’obligation initiale imposée aux entreprises en matière de formation de leurs personnels à l’IA (article 4) est allégée.

La Commission et les États membres assument désormais un rôle plus actif dans la promotion de la culture IA, ce qui constitue une détente significative pour les directions des systèmes d’information et les directions des ressources humaines.

2.5 Un renforcement des sandboxes réglementaires

L’Omnibus élargit l’accès aux sandboxes nationaux et introduit un nouveau sandbox réglementaire au niveau de l’Union européenne.

Ce dispositif offre aux entreprises innovantes un espace sécurisé pour développer et tester leurs systèmes sous supervision, avec une présomption favorable en cas de commercialisation ultérieure.

2.6 Une dérogation ciblée au RGPD

L’Omnibus autorise le traitement de catégories particulières de données personnelles (article 9 RGPD) aux seules fins de détecter et corriger les biais des systèmes d’IA.

Cette dérogation, longtemps réclamée par les développeurs et déployeurs de systèmes à impact discriminatoire potentiel, résout une contradiction majeure du dispositif initial.

2.7 Des pouvoirs élargis pour l’AI Office

Le Bureau de l’IA voit sa surveillance étendue aux modèles GPAI et aux systèmes intégrés aux grandes plateformes en ligne et moteurs de recherche visés par le Digital Services Act.

Il s’agit d’un rapprochement institutionnel AI Act / DSA qui renforce considérablement l’autorité effective de la Commission.

3. Article 99 AI Act : sanctions, amendes et risques juridiques

L’article 99 constitue le pivot répressif de l’AI Act. Il institue un régime d’amendes administratives calibré selon la gravité des manquements et confié aux États membres pour son application, sous la supervision de la Commission. Comprendre sa géométrie est indispensable pour toute entreprise utilisatrice d’IA.

3.1 Une architecture à quatre strates

Le régime post-Omnibus s’organise autour de quatre niveaux de sanctions :

Dans tous les cas, le montant retenu est le plus élevé entre le plafond forfaitaire et le pourcentage du chiffre d’affaires, mécanisme dissuasif issu sans doute de l’expérience du RGDP.

Chaîne de valeur IA : responsabilité des providers et des déployeurs

3.2 La modification-clef de l’article 99(4) : une extension à la chaîne de valeur

L’apport principal de l’Omnibus à l’article 99 réside dans l’ajout d’une nouvelle catégorie d’infractions sanctionnables à hauteur de 3 % du chiffre d’affaires mondial ou 15 M€ : les manquements aux paragraphes (2) et (4) de l’article 25, relatifs aux responsabilités le long de la chaîne de valeur de l’IA.

Cette modification produit trois effets juridiques majeurs pour les entreprises :

Premier effet : La responsabilisation du fine-tuning.

Toute entreprise procédant à une modification substantielle d’un modèle IA existant risque désormais d’être qualifiée de « nouveau provider » et de basculer sous le régime des 3 % / 15 M€.

Cette question intéresse directement les entreprises qui personnalisent des LLM par prompt engineering avancé, fine-tuning domaine-spécifique, orchestration d’agents ou intégration dans des pipelines complexes.

Deuxième effet : La contractualisation forcée de la chaîne fournisseur.

L’article 25(4) impose au provider amont une obligation de coopération et d’information au bénéfice du déployeur aval.

Le refus de communication des éléments techniques nécessaires à la conformité devient désormais un manquement pécuniairement sanctionnable, ce qui va profondément transformer la négociation contractuelle entre entreprises européennes et fournisseurs de modèles de fondation.

Troisième effet : Un rééquilibrage provider / déployeur.

Historiquement, la charge de la conformité pesait principalement sur les providers via l’article 16.

L’ajout de l’article 25 étend la responsabilité aux intermédiaires transformateurs, catégorie qui inclut nombre d’ESN, éditeurs SaaS et intégrateurs de solutions IA.

3.3 Les critères de modulation de l’amende

L’article 99(7) impose aux autorités de tenir compte, dans la détermination du montant, de dix facteurs cumulatifs, parmi lesquels :

• La nature, la gravité et la durée de l’infraction
• Le nombre de personnes affectées et le niveau de préjudice
• La taille et le chiffre d’affaires de l’opérateur
• Le degré de coopération avec les autorités
• Le degré de responsabilité au regard des mesures techniques et organisationnelles mises en œuvre
• La notification spontanée de l’infraction
• Le caractère intentionnel ou négligent
• Les mesures prises pour atténuer le préjudice

Ces critères constituent autant de leviers défensifs que les entreprises peuvent mobiliser pour obtenir une modulation à la baisse.

Ils justifient pleinement la mise en place, dès aujourd’hui, d’une gouvernance interne documentée susceptible d’être opposée en cas de contentieux.

3.4 Les nouveaux pouvoirs de l’AI Office

L’Omnibus dote l’AI Office d’un arsenal significativement étoffé :

• Pouvoirs d’investigation étendus
• Inspections sur site — sur le modèle des procédures antitrust de la DG Concurrence
• Acceptation d’engagements contraignants (binding commitments) — mécanisme inspiré du règlement 1/2003 en droit de la concurrence
• Compétence exclusive sur les modèles GPAI et les systèmes intégrés aux grandes plateformes en ligne

Cette architecture rapproche le renforcement AI Act du modèle antitrust européen, ce qui constitue un signal doctrinal fort quant à la sévérité prospective du régime.

3.5 Les garanties procédurales

L’article 99(10) impose des garanties procédurales appropriées, incluant les recours juridictionnels effectifs et le respect du contradictoire.

À la lumière de la jurisprudence Engel de la Cour européenne des droits de l’homme sur le caractère quasi-pénal des sanctions administratives lourdes, les entreprises sanctionnées bénéficient de droits de la défense renforcés : accès au dossier, motivation détaillée, présomption d’innocence.

Les voies de recours varient selon l’autorité de sanction :

• Sanctions de l’AI Office : recours en annulation devant le Tribunal de l’UE, puis pourvoi devant la CJUE
• Sanctions des autorités nationales : recours devant les juridictions administratives ou judiciaires nationales, avec renvoi préjudiciel possible à la CJUE

4. Conformité IA : trois priorités pour les entreprises

Trois enseignements stratégiques doivent guider l’action des directions générales et juridiques :

Premier enseignement : L’Omnibus n’est pas une désescalade réglementaire.

Le report des échéances haut risque au 2 décembre 2027 pourrait donner l’illusion d’un desserrement.

En réalité, le régime de sanction est élargi et l’AI Office renforcé dans ses moyens procéduraux.

La respiration temporelle offre une fenêtre de préparation, non un signal de désengagement.

Deuxième enseignement : Le risque contractuel devient central.

L’inscription de l’article 25(4) dans le régime de sanction transforme les obligations de coopération inter-entreprises en obligations à sanction pécuniaire.

Les négociations contractuelles entre déployeurs européens et fournisseurs de modèles de fondation vont nécessairement se tendre dans les mois à venir.

Il importe de renégocier les clauses de garantie, d’indemnisation, de communication de documentation technique et de préservation du statut juridique.

Troisième enseignement : La jurisprudence de la CJUE sera déterminante.

Le seuil de « modification substantielle » (article 25(2)), l’articulation ne bis in idem avec le RGPD et le DSA, et la proportionnalité des sanctions constitueront le triangle jurisprudentiel structurant dans les vingt-quatre à trente-six mois.

Les entreprises averties doivent dès maintenant constituer les preuves internes documentation, gouvernance, coopération avec les autorités, qui feront la différence en défense.

Conclusion : anticiper plutôt que subir

L’AI Act recalibré par l’Omnibus offre aux entreprises européennes une fenêtre respiratoire de seize mois avant l’entrée en vigueur des obligations haut risque les plus lourdes.

Cette fenêtre ne doit pas être perçue comme un répit, mais comme une opportunité stratégique pour :

• Cartographier précisément l’exposition de son portefeuille de systèmes d’IA
• Recalibrer les contrats fournisseurs à la lumière du nouvel article 99(4)
• Structurer une gouvernance interne documentée susceptible d’être opposée en défense
• Explorer les opportunités du nouveau sandbox UE pour les projets innovants
• Vérifier l’éligibilité au régime allégé small mid-caps

FAQ AI Act et conformité IA des entreprises

Quelles entreprises sont concernées par l’AI Act ?

Les entreprises concernées sont notamment les fournisseurs, déployeurs, importateurs, distributeurs et intégrateurs de systèmes d’IA, ainsi que les sociétés utilisant des modèles d’IA générative dans leurs activités.

Que change l’Omnibus IA en 2026 ?

L’Omnibus décale certaines échéances applicables aux systèmes d’IA à haut risque, étend certains allégements aux small mid-caps, renforce les sandboxes et modifie le régime de sanctions, notamment via l’article 99.

Quel est le risque de sanction au titre de l’article 99 AI Act ?

Selon la nature du manquement, les sanctions peuvent atteindre plusieurs millions d’euros ou un pourcentage du chiffre d’affaires mondial, avec un régime renforcé pour certaines violations.

Pourquoi les contrats fournisseurs IA deviennent-ils stratégiques ?

Parce que la coopération, l’accès à la documentation technique, la qualification juridique des acteurs et la répartition des responsabilités deviennent centraux dans la conformité et la défense en cas de contrôle.

Références principales et lectures complémentaires

• Texte officiel du règlement (UE) 2024/1689 – AI Act
• Texte officiel du règlement (UE) 2026/1744 – AI Omnibus
• Annonce de la Commission européenne sur l’entrée en vigueur de l’AI Omnibus
• Frise officielle de mise en œuvre de l’AI Act
• Texte consolidé de l’article 99 AI Act

Frise des obligations de l’AI Act après le 2 août 2025

TDM et droit d’auteur à l’ère de l’IA générative

Impact de l’IA sur les droits de propriété industrielle