L’AI Act, le règlement européen sur l’intelligence artificielle, s’applique déjà aux PME et aux ETI, mais rarement de la manière redoutée. La grande majorité des usages en entreprise (rédaction, synthèse, recherche documentaire, aide au code) relèvent du risque minimal et n’imposent que deux choses : former les équipes et être transparent quand une IA dialogue avec un public ou produit des contenus diffusés. Les obligations lourdes visent les systèmes à haut risque, notamment en RH et en crédit, et le Digital Omnibus les a reportées au 2 décembre 2027. Ce guide fait le point sur le calendrier en vigueur en octobre 2026 et sur ce que chaque entreprise doit vérifier.
Qu’est-ce que l’AI Act, en une phrase ?
L’AI Act est le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, qui encadre la mise sur le marché et l’utilisation des systèmes d’IA dans l’Union selon une logique de sécurité des produits. Il ne remplace pas le RGPD : il le complète. La CNIL résume son principe en quatre niveaux de risque :
| Niveau | Exemples | Conséquence |
|---|---|---|
| Risque inacceptable | Notation sociale, reconnaissance des émotions au travail et à l’école | Interdit |
| Haut risque | Recrutement, évaluation des salariés, solvabilité, biométrie | Obligations renforcées (documentation, gestion des risques, contrôle humain) |
| Risque spécifique de transparence | Chatbots, contenus générés (textes, images, vidéos) | Obligation d’information |
| Risque minimal | Aide à la rédaction, traduction, filtrage de spam, recherche interne | Pas d’obligation spécifique |
Les modèles à usage général, comme les grands modèles de langage, forment une catégorie à part : leurs obligations pèsent sur les éditeurs de ces modèles, pas sur les entreprises qui les utilisent.
Le calendrier en vigueur après le Digital Omnibus
Le Digital Omnibus sur l’IA est le texte de simplification proposé par la Commission le 19 novembre 2025, ayant fait l’objet d’un accord politique le 7 mai 2026 et entré en vigueur le 27 juillet 2026, selon la page officielle de la Commission européenne. Publié comme règlement (UE) 2026/1744, il modifie surtout les dates du haut risque. Voici le calendrier consolidé :
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Pratiques interdites (huit premières interdictions) et obligation de maîtrise de l’IA (article 4) |
| 2 août 2025 | Gouvernance et obligations des modèles d’IA à usage général |
| 2 août 2026 | Application générale du règlement, dont les obligations de transparence de l’article 50 et les pouvoirs de contrôle de la Commission |
| Décembre 2026 | Nouvelle interdiction ajoutée par l’Omnibus : IA générant des contenus sexuels non consentis ou pédocriminels |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (RH, crédit, éducation, biométrie…) |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I : machines, jouets, ascenseurs…) |
Une nuance utile pour les éditeurs : selon l’analyse publiée par Usercentrics, le marquage technique des contenus générés (article 50, paragraphe 2) bénéficie d’un délai jusqu’au 2 décembre 2026, mais uniquement pour les systèmes d’IA générative mis sur le marché avant le 2 août 2026. Un système lancé après cette date doit marquer ses contenus dès le premier jour.
Ce qu’il faut retenir : le report concerne le haut risque, pas l’AI Act dans son ensemble. Les interdictions, la formation des équipes et la transparence sont déjà exigibles.
Votre entreprise est-elle fournisseur ou déployeur ?
Toute la logique du règlement repose sur le rôle que vous jouez vis-à-vis du système d’IA.
- Le déployeur est l’organisation qui utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Une PME qui équipe ses commerciaux d’un assistant conversationnel, ou qui utilise un outil de tri automatique des e-mails, est déployeur.
- Le fournisseur est celui qui développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Une ETI qui commercialise une plateforme SaaS intégrant une fonction d’IA est fournisseur de cette fonction, même si elle s’appuie sur un modèle tiers.
La frontière compte, car les obligations du fournisseur sont nettement plus lourdes. Prenons une entreprise de services B2B qui fait développer un module d’analyse automatique des contrats pour ses propres juristes : elle en est l’utilisatrice. Si elle décide ensuite de vendre ce module à ses clients dans son offre SaaS, elle en devient fournisseur et doit documenter le système, informer ses clients et, le cas échéant, assurer le marquage des contenus générés.
Quelles obligations s’appliquent déjà à une PME ou une ETI ?
La maîtrise de l’IA (article 4)
Depuis le 2 février 2025, fournisseurs et déployeurs doivent prendre des mesures pour que les personnes qui utilisent des systèmes d’IA en leur nom en aient une compréhension suffisante. L’Omnibus a assoupli la rédaction de cet article en obligation de moyens, sans niveau de compétence à garantir, d’après les premières analyses du texte final. Concrètement : une charte d’usage, une formation courte adaptée aux métiers, et une trace de ces actions.
La transparence (article 50)
L’article 50 répartit les obligations entre fournisseurs et déployeurs :
- Le fournisseur d’un système qui dialogue avec des personnes doit le concevoir pour qu’elles sachent qu’elles parlent à une IA, sauf si c’est évident.
- Le fournisseur d’un système qui génère du texte, des images, du son ou de la vidéo doit marquer ces contenus de façon lisible par une machine.
- Le déployeur d’un système de reconnaissance des émotions ou de catégorisation biométrique doit informer les personnes exposées.
- Le déployeur qui diffuse un hypertrucage (deepfake) doit signaler son caractère artificiel. Pour un texte publié afin d’informer le public sur des sujets d’intérêt général, l’obligation tombe si le texte a fait l’objet d’une relecture humaine sous responsabilité éditoriale.
L’information doit être claire et donnée au plus tard lors de la première interaction. Pour un assistant intégré à un portail client, cela se traduit par une mention visible dans l’interface, pas par une ligne enfouie dans les conditions générales.
Les pratiques interdites
Rares en PME, elles méritent tout de même une vérification : notation sociale, techniques manipulatrices, reconnaissance des émotions sur le lieu de travail (hors raisons médicales ou de sécurité). Un outil de « mesure de l’engagement » des salariés par analyse de la voix ou du visage, par exemple, tombe dans ce champ.
Comment savoir si un usage relève du haut risque ?
Un système d’IA est à haut risque s’il est un composant de sécurité d’un produit réglementé (annexe I) ou s’il relève d’un des huit domaines de l’annexe III. Pour une entreprise, quatre cas reviennent le plus souvent :
| Cas d’usage | Haut risque ? | Pourquoi |
|---|---|---|
| Tri ou classement automatique de candidatures | Oui | Annexe III, point 4 : recrutement |
| Évaluation de la performance ou du comportement des salariés | Oui | Annexe III, point 4 : gestion des travailleurs |
| Score de solvabilité d’un client particulier | Oui | Annexe III, point 5 (sauf détection de fraude) |
| Tarification d’une assurance vie ou santé | Oui | Annexe III, point 5 |
| Assistant de rédaction des offres commerciales | Non | Risque minimal |
| Chatbot de support client | Non (transparence) | Article 50 |
| Détection de fraude sur les paiements | Non | Exclusion explicite de l’annexe III |
| Prévision de la demande ou des stocks | Non | Aucun domaine de l’annexe III |
Pour un fournisseur, un système à haut risque implique notamment un système de gestion des risques, une gouvernance des données d’entraînement, une documentation technique, la journalisation des événements, des instructions d’utilisation, un contrôle humain effectif et une évaluation de conformité. Pour le déployeur, les obligations portent sur l’usage conforme aux instructions, la surveillance humaine par des personnes compétentes et la conservation des journaux.
Ces exigences se conçoivent dès l’architecture : un journal des décisions, un écran de validation humaine, une traçabilité des données utilisées. Les ajouter après coup à une application existante coûte bien plus cher. C’est la même logique que la protection des données dès la conception.
Que risque une entreprise qui ne s’y conforme pas ?
L’article 99 fixe trois plafonds d’amende :
- jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite ;
- jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations, dont la transparence et le haut risque ;
- jusqu’à 7,5 millions d’euros ou 1 % pour des informations inexactes ou incomplètes transmises aux autorités.
Pour les grandes entreprises, c’est le montant le plus élevé qui sert de plafond. Pour les PME et les start-up, c’est le plus faible. Le risque le plus concret reste toutefois commercial : un client grand compte peut exiger, dans ses questionnaires d’achat, que ses fournisseurs documentent les fonctions d’IA de leurs produits, et une réponse approximative suffit à disqualifier une offre.
Le plan d’action en six étapes
- Inventorier tous les usages d’IA : outils achetés, fonctions d’IA intégrées aux solutions du marché, développements internes, usages individuels non déclarés.
- Qualifier votre rôle pour chaque usage : déployeur ou fournisseur.
- Classer chaque usage selon les quatre niveaux, en vérifiant d’abord l’annexe III.
- Traiter les obligations déjà applicables : charte et formation (article 4), mentions de transparence dans les interfaces (article 50).
- Planifier le haut risque si vous en avez : documentation, contrôle humain, journalisation, à livrer avant le 2 décembre 2027.
- Articuler avec le RGPD : un système qui traite des données personnelles appelle souvent une analyse d’impact, qui peut s’appuyer sur la documentation exigée par l’AI Act.
Si vous intégrez de l’IA dans une application métier, ces étapes se traduisent en exigences concrètes dès le cadrage : où l’IA intervient, qui valide, ce qui est tracé. Nos articles sur les cas d’usage de l’IA générative et sur ce que les agents IA ne doivent pas faire seuls détaillent ces choix de conception.
Vous avez un projet qui intègre de l’IA et vous voulez savoir dans quelle catégorie il tombe ? Décrivez-le dans notre diagnostic de projet : nous revenons vers vous avec une première lecture, fonctionnelle et réglementaire.
