15 juillet 2026

L'AI Act pour les PME : ce qu'il exige vraiment en 2026

Mis à jour le 10 septembre 2026, après l'entrée en vigueur de l'Omnibus numérique sur l'IA (règlement (UE) 2026/1744, applicable depuis le 27 juillet 2026), qui a modifié le calendrier de l'AI Act. Si vous avez lu un guide rédigé avant l'été, les dates qu'il donnait ne sont plus exactes.

D'abord : presque aucune PME n'est fournisseur d'IA

Le règlement répartit les obligations selon le rôle que l'on joue, pas selon la taille. Et la distinction la plus utile à comprendre est celle-ci :

• Fournisseur : celui qui développe un système d'IA et le met sur le marché sous son propre nom. Ce sont OpenAI, Google, Microsoft, ou un éditeur qui vend sa propre IA.
• Déployeur (c'est le terme du règlement, aussi étrange soit-il) : celui qui utilise un système d'IA sous sa propre autorité. C'est le cas de pratiquement toutes les PME et de tous les indépendants.

Cela compte parce que 90 % des obligations de l'AI Act — celles qui font peur dans les titres — pèsent sur le fournisseur. Si votre entreprise utilise ChatGPT pour rédiger des courriels, ou un assistant qui lit vos factures, vous êtes déployeur et la liste des devoirs est courte.

Attention à une exception : si vous prenez l'outil d'un autre, y apposez votre marque et le vendez comme le vôtre, ou si vous le modifiez substantiellement, vous devenez fournisseur. C'est rare dans une PME, mais cela arrive.

Ce qui s'applique aujourd'hui et ce qui a été reporté

L'AI Act n'est pas entré en vigueur d'un seul coup : il s'applique par étapes. Voici le calendrier réel après l'Omnibus numérique :

La nouvelle importante de l'été 2026, c'est le report : les obligations haut risque de l'annexe III, prévues pour le 2 août 2026, ont été déplacées au 2 décembre 2027. Beaucoup de guides encore en ligne ne l'indiquent pas.

Les quatre niveaux de risque, en clair

Le règlement classe les usages, pas les outils. La même technologie peut relever du risque minimal ou du haut risque selon l'usage que vous en faites.

Notez une chose qui échappe souvent aux PME : si vous utilisez l'IA pour trier des candidatures, c'est du haut risque. Non pas parce que c'est dangereux dans l'absolu, mais parce que cela décide de l'accès d'une personne à l'emploi. C'est le cas où une petite entreprise se retrouve avec des obligations sérieuses sans les avoir cherchées.

Les trois obligations qui concernent vraiment une PME ordinaire

1. Littératie en IA (article 4)

C'est celle que presque personne n'a mise en place. L'article 4 oblige fournisseurs et déployeurs à faire en sorte que leurs équipes sachent ce qu'elles manipulent. L'Omnibus numérique l'a assoupli sur un point qu'il faut connaître : la loi dit désormais qu'il faut adopter des mesures favorisant le développement de la littératie en IA, et précise expressément qu'elle n'impose pas de garantir un niveau donné pour chaque personne.

Traduction : c'est une obligation de moyens, pas de résultat. Personne ne viendra examiner vos salariés. Ce que l'on peut en revanche vous demander, c'est de démontrer que vous avez fait quelque chose, et ce quelque chose doit être proportionné à votre taille et à vos usages. Pour une entreprise de dix personnes qui utilise ChatGPT, une formation courte et des règles internes écrites suffisent. C'est exactement ce que couvre le matériel de littératie en IA que j'ai élaboré, et je l'explique en détail dans l'article sur la formation obligatoire de l'article 4.

2. Transparence (article 50), applicable depuis août 2026

Si vous avez un chatbot, la personne doit savoir qu'elle parle à une machine. Si vous publiez des textes, images, sons ou vidéos générés par IA, ils doivent pouvoir être identifiés comme tels. Et si vous utilisez l'IA pour produire du contenu informatif destiné au public, il faut le dire.

C'est l'obligation la moins coûteuse à respecter et celle que l'on enfreint le plus par simple distraction : une phrase suffit. C'est aussi le versant aimable d'un problème bien réel, celui de ne pas savoir si ce que l'on voit est authentique ; j'en ai parlé dans l'article sur les fausses visioconférences.

3. Ne pas recourir aux pratiques interdites

Elles sont interdites depuis février 2025 et certaines sont moins exotiques qu'il n'y paraît. La plus pertinente pour une entreprise : la reconnaissance des émotions des salariés sur le lieu de travail. Si on vous propose un logiciel qui analyse le ton de voix ou le visage de votre équipe pour en mesurer l'implication, c'est interdit, à de rares exceptions près liées à la sécurité ou à la santé.

Un exemple concret : un cabinet comptable de douze personnes

Imaginez un cabinet fiscal et comptable de douze salariés. Il utilise ChatGPT pour rédiger des brouillons, un lecteur automatique de factures et un chatbot sur le site pour la prise de rendez-vous.

• Rôle : déployeur dans les trois cas.
• Niveau de risque : minimal pour le premier, limité pour le chatbot, minimal pour le lecteur de factures.
• Ce qu'il doit faire : former l'équipe et le documenter (art. 4), signaler sur le chatbot qu'il s'agit d'un robot (art. 50), et disposer de règles internes sur les données que l'on peut ou non coller dans un outil d'IA.
• Ce qu'il n'a PAS à faire : évaluations de conformité, marquage CE, enregistrement dans la base européenne ni audits externes. Rien de tout cela ne s'applique.

Au total : une après-midi de travail bien fait, pas un projet de conseil de six mois. Cet écart entre la peur et l'obligation réelle est d'ailleurs l'une des erreurs les plus fréquentes au démarrage avec l'IA.

Et si je ne m'y conforme pas ? Les sanctions

• Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel.
• Manquement aux autres obligations : jusqu'à 15 millions ou 3 %.
• Informations inexactes fournies aux autorités : jusqu'à 7,5 millions ou 1 %.

Avant que le cœur ne vous manque : le règlement prévoit expressément que, pour les PME et les start-up, l'amende correspond au montant le plus faible des deux, et non au plus élevé. Et depuis le 2 août 2026, la supervision relève des autorités nationales de surveillance du marché. En Catalogne et en Espagne, ce dispositif se met encore en place : aujourd'hui, le risque réaliste pour une PME n'est pas une amende de plusieurs millions, c'est d'être prise de court le jour où un grand client lui demandera par contrat de prouver sa conformité.

Check-list : six étapes pour une PME

1. Faites l'inventaire. Listez tous les outils d'IA utilisés dans l'entreprise, y compris ceux que quelqu'un a introduits de son propre chef. On en trouve généralement le double de ce qu'on imaginait.
2. Attribuez le rôle. Pour chaque outil, êtes-vous fournisseur ou déployeur ? Presque toujours le second.
3. Classez l'usage. Risque minimal, limité ou élevé ? Soyez particulièrement attentif à tout usage touchant des personnes : recrutement, promotion, évaluation.
4. Formez l'équipe et consignez-le. Qui, quand, quels contenus, et conservez-en la preuve. Sans registre, en pratique, vous ne l'avez pas fait.
5. Rédigez les règles internes. Ce que l'on peut coller dans une IA et ce que l'on ne peut pas, ce qu'il faut toujours relire avant d'envoyer, et qui prévenir si quelque chose tourne mal. Deux pages suffisent.
6. Ajoutez les mentions de transparence. Sur le chatbot et sur les contenus générés par IA que vous publiez.

Cet article est une information de vulgarisation, pas un conseil juridique. Pour une décision précise ayant des conséquences légales, consultez un professionnel du droit.