AI Act : ce qu’une PME doit faire en 2026 (charte, transparence, outils GPAI)

En bref

Les interdictions de certaines pratiques et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, et l’application générale du règlement intervient le 2 août 2026.

Le règlement de simplification, entré en vigueur le 27 juillet 2026, a reporté les règles sur les systèmes à haut risque au 2 décembre 2027 pour certains domaines et au 2 août 2028 pour les produits réglementés.

Une PME qui utilise des outils d’IA agit le plus souvent comme déployeur : elle doit former son personnel à un usage maîtrisé, sans devoir garantir un niveau précis pour chaque salarié.

Pour une PME, chaque amende est plafonnée au plus faible des deux montants prévus, ce qui réduit le plafond sans supprimer le risque.

Votre équipe commerciale rédige ses relances avec un assistant conversationnel, votre comptable teste un outil qui lit les factures et votre service RH reçoit des candidatures triées par un logiciel qui annonce « propulsé par l’IA ». Personne n’a décidé formellement de ces usages, et vous ne savez pas lesquels relèvent du règlement européen sur l’intelligence artificielle, appelé AI Act.

Cette situation est courante dans les PME. Le règlement ne vise pas seulement les grands éditeurs de modèles : il s’adresse aussi aux entreprises qui utilisent des systèmes d’IA dans leur activité professionnelle. Il le fait cependant avec des obligations proportionnées au rôle de chacun et au niveau de risque de l’usage.

Les lignes qui suivent décrivent le calendrier, les obligations qui touchent une PME utilisatrice et un plan d’action réaliste. Elles ne constituent pas un conseil juridique. Avant toute décision engageante, vérifiez le texte consolidé publié au Journal officiel de l’Union européenne et sollicitez un juriste si votre usage touche un domaine sensible.

Quel calendrier l’AI Act impose-t-il entre 2025 et 2028 ?

Quelles échéances s’appliquent déjà ?

Le règlement entre en application par étapes, et la Commission européenne publie le calendrier officiel. Deux échéances sont déjà passées.

• Depuis le 2 février 2025, certaines pratiques d’IA sont interdites et les obligations de maîtrise de l’IA s’appliquent.
• Depuis le 2 août 2025, les règles de gouvernance et celles qui visent les modèles d’IA à usage général s’appliquent.

La première échéance concerne directement les PME, car l’obligation de maîtrise de l’IA pèse aussi sur les entreprises qui déploient des outils. La seconde concerne surtout les fournisseurs de modèles, mais elle influence les informations que vous recevez de vos éditeurs.

Que change l’application générale du 2 août 2026 ?

Le 2 août 2026 marque l’application générale du règlement. À partir de cette date, les obligations qui ne relèvent pas d’une échéance spécifique deviennent applicables, et les autorités disposent du cadre complet pour contrôler.

Pour une PME, cette date sert de repère de mise en conformité. Les usages qui n’étaient pas encore recensés doivent l’être, et la documentation interne doit pouvoir montrer ce que l’entreprise a fait. Vérifiez dans le texte consolidé la date exacte qui s’applique à chaque obligation qui vous concerne, car certaines dispositions suivent leur propre calendrier.

Comment le règlement de simplification a-t-il modifié les dates ?

Le règlement de simplification, que la Commission appelle AI Omnibus, est entré en vigueur le 27 juillet 2026. Il a reporté les règles sur les systèmes à haut risque, qui devaient initialement suivre un calendrier plus proche. Le calendrier officiel retient désormais deux dates modifiées.

• Les règles sur les systèmes à haut risque de certains domaines s’appliqueront au 2 décembre 2027.
• Les règles sur les systèmes intégrés à des produits réglementés s’appliqueront au 2 août 2028.

Le même texte étend certaines simplifications réservées aux PME aux petites entreprises à moyenne capitalisation. Si votre entreprise a grandi récemment et dépasse les seuils de la PME, vérifiez si elle entre dans cette nouvelle catégorie avant de renoncer à ces allégements.

Ce report ne vous dispense pas des obligations déjà en vigueur. Il vous laisse du temps pour préparer les usages à haut risque, mais l’obligation de maîtrise et les interdictions s’appliquent sans délai supplémentaire.

Qu’est-ce qui concerne une PME qui utilise des outils d’IA ?

Êtes-vous fournisseur ou déployeur ?

Le règlement distingue principalement le fournisseur, qui développe un système ou un modèle et le met sur le marché, et le déployeur, qui l’utilise sous sa propre autorité dans un cadre professionnel. Une PME qui souscrit un abonnement à un assistant conversationnel, à un outil de transcription ou à un logiciel de tri de documents agit en général comme déployeur.

La situation change si vous développez vous-même un outil d’IA et le proposez à des clients, ou si vous modifiez profondément un système existant pour le commercialiser sous votre nom. Dans ce cas, vous pouvez endosser une partie des obligations du fournisseur. Faites qualifier ce point par un juriste avant de lancer un produit, car les obligations du fournisseur sont nettement plus lourdes.

Quels usages méritent une attention particulière ?

La plupart des usages bureautiques d’une PME, comme la rédaction assistée, la synthèse de réunions ou la classification de courriels, présentent un risque limité. Ils restent soumis à l’obligation de maîtrise et, selon les cas, à des obligations de transparence.

D’autres usages touchent des décisions qui affectent les personnes. Le recrutement en fait partie, car un outil qui trie des candidatures ou évalue des profils influence l’accès à l’emploi. Si vous utilisez ou envisagez un tel logiciel, consultez notre analyse sur l’AI Act appliqué au recrutement, qui détaille les points de conformité à vérifier en France.

Comment recenser vos usages réels ?

Le recensement constitue la première étape concrète. Il s’agit de lister chaque outil qui intègre de l’IA, le service qui l’utilise, les données qu’il traite et les décisions qu’il prépare.

• Interrogez chaque responsable d’équipe sur les outils réellement utilisés, y compris les comptes gratuits ouverts à titre personnel.
• Relevez pour chaque outil l’éditeur, le type de données saisies et l’existence ou non d’une validation humaine.
• Repérez les usages qui touchent des personnes : candidats, clients, salariés ou fournisseurs.

Ce tableau vous sert ensuite à prioriser. Il montre aussi aux autorités, en cas de contrôle, que l’entreprise connaît ses usages.

Comment répondre à l’obligation de maîtrise de l’IA ?

Que dit l’article 4 dans sa version modifiée ?

L’article 4, dans sa version modifiée, impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l’IA de leur personnel. Il ne les oblige pas à garantir un niveau précis à chaque individu. Le même article charge la Commission et les États membres de soutenir les PME dans cette démarche.

Cette formulation pèse sur les moyens plutôt que sur un résultat chiffré. Une PME doit donc pouvoir montrer qu’elle a agi de manière proportionnée, en tenant compte des outils utilisés et du rôle de chaque personne.

Quelles mesures sont proportionnées pour une PME ?

Une formation utile part des usages recensés. Un commercial qui rédige des courriels avec un assistant n’a pas les mêmes besoins qu’une assistante RH qui manipule un outil de présélection.

• Organisez une session commune sur le fonctionnement général des outils, leurs erreurs typiques et les données qu’il ne faut jamais saisir.
• Complétez par des consignes propres à chaque métier, avec des exemples tirés de votre activité.
• Désignez une personne référente qui répond aux questions et suit l’apparition de nouveaux outils.
• Conservez une trace des sessions, des supports et des participants.

Ces mesures restent légères, mais elles répondent à l’esprit du texte. Elles réduisent aussi des risques que le règlement ne couvre pas directement, comme la fuite d’informations confidentielles.

Comment documenter l’effort de formation ?

La documentation n’a pas besoin d’être lourde. Un dossier partagé qui contient le recensement des outils, les supports de formation, la liste des participants et la date de chaque session suffit souvent à montrer une démarche sérieuse.

Prévoyez une révision régulière de ce dossier. Les outils changent vite, et une formation qui décrivait un assistant il y a un an peut ne plus correspondre à ses fonctions actuelles.

Que changent la transparence et les modèles d’IA à usage général ?

Que recouvrent les obligations de transparence ?

Le règlement prévoit des obligations de transparence pour certains usages, notamment lorsque des personnes interagissent avec un système d’IA ou reçoivent un contenu généré. Leur portée exacte dépend du rôle de l’entreprise et du type de contenu. Vérifiez dans le texte consolidé quelles dispositions s’appliquent à votre cas et à quelle date.

En pratique, une PME se pose surtout trois questions. Un client sait-il qu’il échange avec un agent conversationnel plutôt qu’avec un salarié ? Les images ou textes générés que vous publiez sont-ils signalés lorsque c’est requis ? Vos éditeurs fournissent-ils les moyens techniques de marquer leurs productions ?

Sur ce dernier point, les techniques de marquage et de détection restent imparfaites. Notre article sur les marqueurs HTML et la détection du contenu IA explique ce que ces signaux permettent réellement de prouver et ce qu’ils laissent incertain.

Que vous imposent les modèles d’IA à usage général ?

Les modèles d’IA à usage général, souvent désignés par le sigle GPAI, alimentent la plupart des assistants que vous utilisez. Leurs règles s’appliquent depuis le 2 août 2025 et visent d’abord les fournisseurs de ces modèles.

Une PME qui utilise un tel modèle par l’intermédiaire d’un logiciel n’hérite pas de ces obligations. Elle a cependant intérêt à demander à ses éditeurs les informations qu’ils doivent produire, car elles éclairent les limites de l’outil et ses conditions d’usage. Notre guide sur l’AI Act et les modèles GPAI détaille ce que les entreprises utilisatrices peuvent attendre de leurs fournisseurs.

Quelles questions poser à vos éditeurs ?

Le contrat et la documentation de l’éditeur vous renseignent sur votre propre conformité. Posez des questions précises plutôt que de vous fier à une mention commerciale.

• Le fournisseur indique-t-il le modèle utilisé et la documentation qu’il publie à son sujet ?
• L’outil propose-t-il un marquage des contenus générés ?
• Les données que vous saisissez servent-elles à entraîner le modèle, et pouvez-vous refuser cet usage ?
• Le contrat précise-t-il qui assume quelles obligations au titre du règlement ?

Les réponses alimentent votre recensement. Elles vous aident aussi à choisir entre deux outils comparables.

Quel plan d’action une PME peut-elle suivre en 2026 ?

Commencez par un état des lieux

Un état des lieux rassemble le recensement des outils, les usages sensibles, les mesures de formation déjà prises et les écarts à combler. Il permet de concentrer l’effort sur ce qui compte au lieu de produire une documentation générique.

Si vous manquez de temps ou de recul pour cartographier vos usages, un audit d’automatisation et d’IA pour PME peut établir cette photographie et prioriser les actions. L’audit ne remplace pas l’avis d’un juriste sur les points de droit, mais il clarifie les faits sur lesquels ce juriste travaillera.

Rédigez une charte d’usage de l’IA

La charte d’usage traduit vos décisions en règles compréhensibles par chaque salarié. Elle précise les outils autorisés, les données interdites, la validation humaine attendue et la personne à contacter en cas de doute.

Une charte courte et concrète est mieux appliquée qu’un long document juridique. Pour construire la vôtre, appuyez-vous sur notre guide consacré à la charte d’utilisation de l’IA, qui propose une structure et des exemples de règles adaptées aux PME.

La charte ne crée pas à elle seule la conformité. Elle formalise cependant l’effort de maîtrise demandé par l’article 4 et sert de support aux formations.

Fixez un calendrier interne

Un calendrier interne relie chaque action aux échéances officielles. Il évite de tout reporter à la veille d’une date.

1. Terminez le recensement des outils et des usages.
2. Organisez les premières formations et rédigez la charte.
3. Interrogez vos éditeurs sur la transparence et le marquage.
4. Identifiez les usages qui pourraient relever du haut risque et préparez-les en vue des échéances de 2027 et 2028.
5. Planifiez une révision périodique du dossier.

Ce calendrier reste indicatif. Adaptez-le à la taille de votre entreprise et à la sensibilité de vos usages.

Ce qu’il faut retenir

• L’obligation de maîtrise de l’IA et les interdictions s’appliquent depuis le 2 février 2025, et l’application générale du règlement intervient le 2 août 2026.
• Le règlement de simplification, en vigueur depuis le 27 juillet 2026, a reporté les règles sur le haut risque au 2 décembre 2027 et au 2 août 2028, sans toucher aux obligations déjà applicables.
• Une PME qui utilise des outils d’IA agit en général comme déployeur, et ses premières actions consistent à recenser ses usages, former son personnel et rédiger une charte.
• Les règles sur les modèles d’IA à usage général visent surtout les fournisseurs, mais leurs informations vous aident à évaluer vos propres outils.
• Vérifiez toujours le texte consolidé au Journal officiel de l’Union européenne, car ce résumé ne remplace pas un avis juridique.

FAQ

Quelles amendes une PME risque-t-elle ?

L’article 99 plafonne les amendes à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, à 15 millions d’euros ou 3 % pour les autres obligations et à 7,5 millions d’euros ou 1 % pour les informations inexactes. En principe, le montant le plus élevé s’applique. Pour une PME, y compris une jeune entreprise, chaque amende est plafonnée au plus faible des deux montants. Ces chiffres restent des plafonds, et l’autorité fixe le montant selon les circonstances.

Quelle différence existe-t-il entre fournisseur et utilisateur ?

Le fournisseur développe un système ou un modèle d’IA et le met sur le marché. L’utilisateur, que le règlement appelle déployeur, l’emploie sous sa propre autorité dans un cadre professionnel. Une PME qui achète un abonnement à un outil agit en général comme déployeur, et ses obligations sont plus légères. Elle peut toutefois devenir fournisseur si elle commercialise un outil qu’elle a développé ou fortement modifié.

Un logiciel de tri de candidatures est-il concerné ?

Un outil qui trie ou évalue des candidats influence l’accès à l’emploi, ce qui justifie une vigilance particulière. Les règles sur les systèmes à haut risque ont été reportées par le règlement de simplification, mais les obligations de maîtrise de l’IA s’appliquent déjà. Faites analyser votre outil précis par un juriste, car la qualification dépend de ses fonctions réelles.

La charte d’usage de l’IA est-elle obligatoire ?

Le règlement n’impose pas un document intitulé « charte ». Il impose en revanche des mesures pour développer la maîtrise de l’IA du personnel, et une charte constitue un moyen simple de formaliser ces mesures. Elle facilite aussi la formation et montre la démarche de l’entreprise en cas de contrôle.

Où trouver le texte qui fait foi ?

Le texte qui fait foi est publié au Journal officiel de l’Union européenne, et une version consolidée intègre les modifications successives, dont celles du règlement de simplification. La Commission européenne publie aussi un calendrier et un service d’assistance qui reproduit les articles. Consultez ces sources officielles plutôt qu’un résumé, y compris celui-ci, avant toute décision engageante.