Le calendrier a changé, c'est acquis. Mais dans les coulisses du vote du Parlement européen du 16 juin et de l'approbation du Conseil du 29 juin, deux dispositions ont été discrètement renforcées, avec des conséquences très pratiques pour des dizaines de milliers d'entreprises européennes.
Une définition PME revue à la hausse
L'accord politique acté en juin modifie les seuils qui définissent une PME au sens de l'AI Act. Jusqu'ici calqués sur les critères européens traditionnels (250 employés, 50 millions d'euros de chiffre d'affaires), ils passent désormais à 750 employés et 150 millions d'euros de revenus. En pratique, cela sort du régime général une large frange d'entreprises de taille intermédiaire qui se retrouvaient coincées entre les obligations simplifiées et les exigences complètes imposées aux grands groupes.
Ce n'est pas un détail administratif. Bénéficier du statut PME élargi ouvre droit à des guides simplifiés publiés par la Commission, des formulaires allégés et, surtout, des délais de mise en conformité adaptés. Pour une ETI française de 500 personnes qui développe un outil de scoring de crédit ou un logiciel de maintenance prédictive classé à risque élevé, la différence entre les deux régimes peut représenter plusieurs mois de travail juridique et technique — et des coûts non négligeables.
Les bacs à sable réglementaires deviennent obligatoires
L'autre nouveauté structurante, c'est l'obligation faite à chaque État membre de mettre en place des regulatory sandboxes — des environnements contrôlés permettant de tester des systèmes d'IA sous la supervision des autorités compétentes, sans être soumis à l'intégralité du cadre réglementaire. Ces espaces existaient déjà à titre facultatif dans la version initiale du texte ; ils deviennent désormais une obligation nationale.
Concrètement, une startup qui développe un système d'IA appliqué à la santé ou à l'éducation pourra solliciter son accès à ce bac à sable auprès de l'autorité nationale désignée, tester son produit dans des conditions réelles encadrées et affiner sa conformité avant un déploiement commercial. L'objectif affiché par Bruxelles est double : ne pas étouffer l'innovation dans les secteurs à risque élevé, et éviter que l'incertitude réglementaire ne pousse les développeurs européens à s'établir hors UE.
Ce qui ne bouge pas : l'IA dans les ressources humaines
Le grand report accordé aux systèmes à risque élevé — du 2 août 2026 au 2 décembre 2027 — ne s'applique pas à toutes les applications. Les obligations concernant les systèmes d'IA utilisés dans le domaine de l'emploi restent fixées au 2 août 2026 sans dérogation. Recrutement automatisé, évaluation de performance, aide à la décision en matière de licenciement : tous ces usages entrent dans la catégorie haute priorité que le législateur européen a refusé de repousser.
Ce maintien n'est pas anodin. Il signale que la protection des travailleurs face aux systèmes algorithmiques constitue une ligne rouge politique que ni le Parlement ni le Conseil n'ont voulu franchir, même sous la pression des lobbies industriels qui réclamaient un report global. Les entreprises qui utilisent ou envisagent d'utiliser ce type d'outils — et elles sont nombreuses, des plateformes de recrutement aux DRH des grands groupes industriels — doivent donc traiter leur mise en conformité comme une priorité immédiate.
La publication au Journal officiel de l'UE est attendue avant le 2 août 2026, ce qui laisse peu de marge. Les États membres devront parallèlement désigner leurs autorités nationales compétentes et ouvrir leurs dispositifs de bac à sable dans des délais que Bruxelles n'a pas encore entièrement précisés. La France, qui a anticipé en partie ces obligations via son cadre national sur l'IA, sera observée de près comme possible modèle pour les autres membres.
