Digital Omnibus entré en vigueur : ce qui change vraiment pour la gouvernance IA des PME

Depuis le 27 juillet 2026, le Digital Omnibus n'est plus une hypothèse. Publié au Journal Officiel de l'Union européenne le 24 juillet, il est entré en vigueur trois jours plus tard. Ce qui était présenté depuis juin comme « sous réserve d'adoption par le Conseil » est désormais acquis. Pour les dirigeants qui suivaient ce dossier avec un scepticisme légitime, la question n'est plus de savoir si le report aura lieu, mais ce qu'il faut en faire maintenant qu'il est confirmé.

Le texte fixe deux échéances. Les systèmes à haut risque autonomes de l'annexe III, recrutement, crédit, biométrie, éducation, basculent du 2 août 2026 au 2 décembre 2027. Pour l'IA intégrée dans des produits déjà régulés, dispositifs médicaux, machines industrielles, le report va jusqu'en août 2028. Ce qui ne change pas mérite autant d'attention : les obligations de transparence de l'article 50, en vigueur depuis le 2 août 2026, les règles pour les modèles à usage général depuis août 2025, les interdictions de l'article 5 depuis février 2025. Le texte introduit aussi une nouveauté qui n'a rien d'un allègement, l'interdiction explicite des outils générant des images intimes non consenties et du contenu pédopornographique.

Dans mes échanges récents avec des dirigeants, je retrouve la même erreur d'interprétation que lors du vote de juin. Beaucoup traitent cette confirmation comme une bonne nouvelle qui justifie d'attendre. C'est l'inverse. Le vrai risque de conformité pour une PME française en 2026 ne vient pas de l'annexe III, il vient de la CNIL. Le recrutement figure parmi ses thématiques de contrôle prioritaires pour 2026, avec un focus assumé sur le tri de CV et le scoring de candidats par IA. Ce contrôle n'a ni moratoire ni délai supplémentaire. Il s'applique dès maintenant à toute entreprise qui traite des données de candidats, quelle que soit sa taille.

C'est un schéma récurrent dans mes accompagnements. Les entreprises suivent l'actualité européenne avec attention, et ignorent que leur risque immédiat est national. Une PME qui utilise un ATS avec scoring automatique, un chatbot RH, ou un outil de présélection IA doit documenter ce traitement dès aujourd'hui, indépendamment du report à 2027 ou 2028. Confondre calendrier européen et priorités CNIL coûte cher.

C'est ce que couvre l'étape Inventaire de la méthode IMPACT, en semaine 1 : cartographier les usages IA réels, RH compris, avant de se demander quel texte s'applique à quelle échéance. Une entreprise qui ignore les outils que ses équipes RH utilisent ne peut ni répondre à un contrôle CNIL ni anticiper 2027. Le Digital Omnibus a clarifié un calendrier européen. Il n'a rien clarifié sur ce qui se passe dans les outils que vos équipes utilisent cette semaine. Un diagnostic de 5 jours ouvrés permet de savoir exactement où vous en êtes.