AI Act pour les PME : ce qui s'applique depuis août 2026

Depuis le 2 août 2026, le règlement européen sur l’intelligence artificielle s’applique dans sa plus grande partie. Si votre entreprise utilise ChatGPT, un chatbot sur son site, un outil de tri de CV ou un scoring client, l’AI Act peut vous imposer des obligations. Plusieurs dispositions s’appliquaient déjà et certaines règles relatives aux systèmes à haut risque suivent un calendrier ultérieur.

La plupart des PME ne sont pas dans le cas le plus contraignant. Les amendes prévues montent néanmoins à 35 millions d’euros ou 7 % du chiffre d’affaires mondial, et même si les PME bénéficient de plafonds proportionnés, leur réputation reste exposée. La bonne première étape n’est pas de produire un dossier juridique exhaustif : c’est d’inventorier les systèmes utilisés, leur finalité, leurs données, votre rôle et leur niveau de risque.

Voici ce que vous devez comprendre et ce que vous pouvez faire, dès maintenant.

L’AI Act en bref

L’AI Act (règlement UE 2024/1689) est le premier cadre juridique au monde dédié à la régulation de l’IA. Adopté en 2024, il s’applique progressivement entre 2025 et 2027.

Son principe central est la classification par niveau de risque. Plus les effets possibles d’un système d’IA sur les droits fondamentaux, la santé ou la sécurité des personnes sont importants, plus les obligations sont strictes. Le règlement distingue quatre niveaux.

Risque inacceptable : interdit

Certaines pratiques sont interdites purement et simplement depuis février 2025 : manipulation subliminale des comportements, scoring social, reconnaissance des émotions sur le lieu de travail, identification biométrique en temps réel dans les espaces publics (sauf exceptions strictes). Pour les PME, le cas le plus courant à surveiller est l’analyse émotionnelle dans les entretiens de recrutement vidéo.

Haut risque : autorisé mais très encadré

Les systèmes qui ont des effets importants sur la vie des personnes. Le règlement définit 8 domaines dans son Annexe III : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion RH, accès aux services essentiels (crédit, assurance, prestations sociales), maintien de l’ordre, gestion de la migration, fonctionnement de la justice.

En pratique, les cas les plus fréquents en PME sont le tri automatisé de CV et la présélection de candidats, l’évaluation automatisée des performances des salariés, et le scoring crédit ou l’évaluation de solvabilité des clients. Un chatbot qui répond aux questions de vos clients, en revanche, relève généralement du risque limité. C’est sur les systèmes à haut risque que les obligations sont les plus lourdes.

Risque limité : transparence obligatoire

Les systèmes qui interagissent avec des personnes. Un chatbot doit informer l’utilisateur qu’il échange avec une IA. Les contenus générés (texte, image, vidéo) doivent être identifiables comme tels. En pratique, une mention visible suffit dans la plupart des cas.

Risque minimal : rien de spécifique

Traduction, correction orthographique, aide à la rédaction, recommandations produits non personnalisées. L’immense majorité des outils IA utilisés au quotidien en entreprise. Pas d’obligation légale particulière, mais le règlement encourage l’adoption volontaire de codes de conduite.

Êtes-vous concerné ? Fournisseur ou déployeur

C’est la question centrale. Le règlement distingue deux rôles principaux : le fournisseur (celui qui développe le système d’IA) et le déployeur (celui qui l’utilise dans un contexte professionnel).

La grande majorité des PME françaises sont des déployeurs. Vous utilisez ChatGPT, Claude, un CRM avec scoring prédictif, un chatbot SaaS : vous n’avez pas développé ces outils, mais vous les déployez auprès de vos équipes ou de vos clients.

Être déployeur ne signifie pas être exempt d’obligations. Le déployeur a des responsabilités opérationnelles réelles, en particulier lorsque le système d’IA concerne ses salariés ou ses clients.

Un point de vigilance : un déployeur peut devenir fournisseur s’il modifie substantiellement l’usage prévu du système. Utiliser un outil de recommandation de produits pour évaluer la solvabilité de vos clients, par exemple, vous fait passer du côté du fournisseur, avec les obligations qui s’y attachent.

Les obligations concrètes des déployeurs

Transparence

Toute personne qui interagit avec un système d’IA doit en être informée. Chatbot sur votre site ? Ajoutez une mention visible. Contenus générés par IA publiés ? Indiquez-le.

Maîtrise de l’IA

Depuis février 2025, toute organisation utilisant de l’IA doit prendre des mesures pour que ses équipes maîtrisent ces outils. Depuis le 27 juillet 2026 (règlement (UE) 2026/1744), c’est une obligation de moyens : il faut favoriser cette maîtrise, sans garantir un niveau précis par personne. L’intention reste claire : les personnes qui utilisent ou supervisent des systèmes d’IA doivent comprendre ce qu’ils font, leurs limites et les risques associés.

Dans les faits, la formation de vos collaborateurs est la mesure la plus directe pour y répondre. Plutôt qu’une présentation de vingt minutes, privilégiez une montée en compétence réelle, adaptée aux usages de chaque équipe. L’obligation s’applique depuis février 2025 ; depuis le 27 juillet 2026 (règlement (UE) 2026/1744), c’est une obligation de moyens, qui ne contraint pas à garantir un niveau précis de maîtrise par chaque personne.

Obligations spécifiques au haut risque

Si vous déployez un système classé à haut risque (tri de CV, scoring, évaluation de performance), les exigences sont plus lourdes :

• Contrôle humain : une personne compétente doit pouvoir intervenir, corriger ou arrêter le système.
• Contrôle des données d’entrée : vous devez vérifier la pertinence et la qualité des données utilisées.
• Conservation des logs : les journaux générés par le système doivent être conservés.
• Information des salariés et représentants du personnel avant tout déploiement d’un système à haut risque.
• Analyse d’impact sur les droits fondamentaux, dans certains cas.

Ce que vous risquez

Le règlement prévoit des amendes administratives proportionnelles : jusqu’à 35 millions d’euros ou 7 % du CA mondial pour l’utilisation d’un système interdit, 15 millions ou 3 % pour la non-conformité d’un système à haut risque, et 7,5 millions ou 1 % pour un manquement aux obligations de transparence. Les PME bénéficient de plafonds proportionnés, mais au-delà de l’amende, la confiance de vos clients et de vos partenaires est en jeu.

Le calendrier

Quatre dates à retenir :

2 février 2025 (échéance passée) : Interdiction des pratiques IA inacceptables. Obligation relative à la maîtrise de l’IA. Dès lors que vous utilisez un système d’IA, quel qu’il soit, vous êtes déjà concerné.

2 août 2025 : Obligations pour les modèles d’IA à usage général (GPAI). Concerne principalement les fournisseurs de modèles de fondation.

2 août 2026 : Application générale du règlement, notamment des obligations de transparence de l’article 50. Début des pouvoirs de contrôle de la Commission sur les obligations des fournisseurs de modèles GPAI.

2 décembre 2027 : Application des règles à haut risque selon le calendrier de mise en œuvre révisé.

2 août 2028 : Systèmes d’IA à haut risque intégrés dans des produits réglementés (dispositifs médicaux, véhicules, jouets, etc.).

Ces échéances ultérieures ne reportent pas les règles déjà applicables. L’interdiction des pratiques inacceptables et l’obligation relative à la maîtrise de l’IA s’appliquent depuis février 2025 ; les obligations de transparence concernées s’appliquent depuis le 2 août 2026. Le délai supplémentaire accordé pour le haut risque doit servir à réunir les preuves, à organiser la gouvernance et à mettre en place le contrôle des fournisseurs.

Plan d’action en 6 étapes

Le règlement peut sembler intimidant, mais la mise en conformité se découpe en étapes concrètes. Voici une démarche à la portée d’une PME, de l’inventaire initial au suivi dans la durée.

1. Cartographier vos systèmes d’IA

C’est la première chose à faire, et c’est souvent la plus révélatrice. Plus de la moitié des organisations ne savent pas quels systèmes d’IA elles utilisent.

Faites l’inventaire : outils SaaS avec abonnement (vérifiez si “IA” ou “machine learning” figure dans la description), plugins et extensions (Copilot dans Office, Gemini dans Workspace, assistants de code), outils métier (CRM, RH, comptabilité, beaucoup intègrent désormais de l’IA), et développements internes.

Pour chaque outil, notez le fournisseur, l’usage, les données traitées, les personnes concernées et votre rôle (fournisseur ou déployeur).

2. Classifier par niveau de risque

Pour chaque système identifié, déterminez s’il relève du risque inacceptable, haut, limité ou minimal en vous référant aux catégories décrites plus haut. En cas de doute, classez au niveau supérieur par précaution.

Concentrez vos efforts sur les systèmes à haut risque : ce sont eux qui portent l’essentiel des obligations. Les systèmes à risque limité nécessitent surtout des mentions de transparence, et les systèmes à risque minimal ne requièrent rien de particulier.

3. Vérifier vos fournisseurs

En tant que déployeur, vous devez vous assurer que vos fournisseurs respectent leurs propres obligations. Demandez-leur leur documentation AI Act (ou leur feuille de route), vérifiez que les systèmes à haut risque sont enregistrés dans la base de données de l’UE, et intégrez des clauses AI Act dans vos contrats.

Ne prenez pas leur conformité pour acquise. Conservez les preuves de vos vérifications.

4. Mettre en place la gouvernance

Désignez un responsable conformité IA. Ce peut être le DPO, le RSSI, un juriste, ou le dirigeant lui-même dans les petites structures. L’essentiel est que cette personne ait une vision transversale, IT, juridique et métiers, et un accès direct à la direction.

Constituez une petite équipe projet qui réunit les fonctions concernées. La conformité de l’IA ne peut pas être l’affaire d’un seul service : elle concerne le numérique, le juridique, les RH et les métiers utilisateurs.

5. Documenter

Pour les systèmes à haut risque : description du système et de son usage, évaluation des risques, mesures de contrôle humain, logs et traçabilité, performances et limites connues. Pour les systèmes à risque limité : mentions de transparence et procédure de marquage des contenus IA.

Le volume de documentation peut sembler important, mais si vous êtes déjà conforme au RGPD, vous avez une base solide (voir section suivante).

6. Suivre et mettre à jour

La conformité n’est pas un exercice ponctuel. Le texte et ses lignes directrices évoluent, de nouveaux outils IA arrivent dans votre organisation régulièrement, et vos usages changent.

Mettez en place une veille réglementaire, un processus d’évaluation des nouveaux outils avant adoption, une revue périodique de votre cartographie (trimestrielle recommandée) et une procédure de notification d’incidents pour les systèmes à haut risque.

AI Act et RGPD : comment ils s’articulent

Le RGPD encadre les données personnelles. L’AI Act encadre les systèmes d’IA. Les deux textes ne se remplacent pas l’un l’autre, ils s’ajoutent. Quand un système d’IA traite des données personnelles, les deux cadres s’appliquent simultanément.

C’est le cas du tri de CV (données personnelles + haut risque), du scoring client (données personnelles + potentiellement haut risque), ou du chatbot qui collecte des informations (données personnelles + transparence).

Si vous êtes déjà conforme au RGPD, vous avez une longueur d’avance. Votre registre des traitements peut être étendu aux systèmes d’IA. Vos analyses d’impact (PIA) se complètent avec l’évaluation des risques IA. Votre DPO peut piloter la conformité AI Act. Vos processus de notification s’étendent aux incidents IA. La documentation existante constitue un socle réutilisable.

Vous ne repartez pas de zéro : vous prolongez un travail déjà engagé, et cette avance vous distingue de vos concurrents : les PME qui ont investi dans leur conformité RGPD ces dernières années sont mieux armées que les autres pour aborder l’AI Act.

Par où commencer

Depuis l’échéance générale du 2 août 2026, la priorité reste claire : cartographiez vos outils IA, identifiez ceux qui sont à haut risque et lancez les vérifications fournisseurs. Cette cartographie détermine les obligations réellement applicables.

Pour avancer rapidement sans rien négliger, notre formation AI Act & Agents autonomes couvre l’ensemble du sujet en deux jours. Le programme est conçu pour les PME : pas de jargon juridique inutile, des exercices pratiques sur vos propres systèmes. À l’issue de la formation, vous disposez de votre registre de conformité, de la classification de vos systèmes par niveau de risque et d’un plan d’action.

Nous proposons aussi des audits de conformité IA et un accompagnement continu pour les organisations qui préfèrent être guidées dans la démarche.

Attendre serait la plus mauvaise décision.

Sources

• Règlement (UE) 2024/1689 : texte officiel
• AI Act : Commission européenne
• Calendrier de mise en œuvre de l’AI Act : Commission européenne
• Orientations sur les obligations de transparence : Commission européenne
• Questions-réponses sur le règlement IA : CNIL

---

Besoin d’un accompagnement conformité ? Premier échange gratuit →