L’AI Act PME 2026 impose des obligations concrètes à toute entreprise française qui utilise un outil d’intelligence artificielle, même une PME qui se contente d’un abonnement à ChatGPT ou à Le Chat. Le règlement européen entre en application complète le 2 août 2026 : voici qui est concerné, ce qui change vraiment, et une checklist pour vérifier votre conformité sans y consacrer des mois.
Sommaire
- Où en est l’AI Act en août 2026 ?
- Qui est concerné par l’AI Act PME 2026 ?
- Les obligations par niveau de risque
- La checklist pratique en 8 points
- Quelles sanctions en cas de non-conformité ?
- Comment commencer dès maintenant
- Les erreurs les plus fréquentes
- Questions fréquentes
Où en est l’AI Act en août 2026 ?
L’AI Act est entré en vigueur le 1er août 2024 avec une application progressive : interdiction des pratiques d’IA jugées inacceptables depuis février 2025, obligations pour les modèles d’IA à usage général (GPAI) depuis août 2025, et application complète du règlement à partir du 2 août 2026. C’est cette dernière échéance qui concerne directement la majorité des PME et ETI françaises, notamment via les obligations de transparence de l’article 50 (informer un utilisateur qu’il interagit avec une IA ou consulte un contenu généré par IA).
Un accord du « Digital Omnibus » conclu le 7 mai 2026 entre le Parlement européen et le Conseil a ajusté ce calendrier sur deux points : le marquage technique des contenus générés par IA (watermarking) est reporté au 2 décembre 2026, et les obligations spécifiques aux systèmes à haut risque sont décalées au 2 décembre 2027. Les obligations de transparence de l’article 50, elles, restent bien fixées au 2 août 2026 — c’est notre dossier sur l’étiquetage IA obligatoire dans l’UE qui détaille ce volet spécifique.
Qui est concerné par l’AI Act PME 2026 ?
Toute entreprise qui utilise un système d’IA est concernée par l’AI Act, y compris une PME qui se contente d’un abonnement à un assistant généraliste : le règlement distingue le rôle de « fournisseur » (qui conçoit ou commercialise le système) de celui de « déployeur » (qui l’utilise dans son activité). Pour l’immense majorité des PME françaises, c’est le statut de déployeur qui s’applique — un statut moins lourd que celui de fournisseur, mais qui comporte tout de même des obligations réelles, notamment la formation du personnel à un usage correct des outils IA utilisés.
Le Digital Omnibus a par ailleurs étendu certains allègements initialement réservés aux PME (bacs à sable réglementaires, accompagnement national, documentation technique simplifiée) à l’ensemble des entreprises de moins de 750 salariés, ce qui couvre la quasi-totalité des ETI françaises.
Les obligations par niveau de risque
Les obligations de l’AI Act varient fortement selon le niveau de risque du système utilisé, du risque inacceptable (interdit) au risque minimal (aucune obligation spécifique).
| Niveau de risque | Exemples | Obligation principale pour une PME déployeuse |
|---|---|---|
| Inacceptable | Notation sociale, manipulation subliminale | Usage interdit, aucune tolérance |
| Haut risque | Tri de CV, scoring crédit, évaluation scolaire | Supervision humaine, tenue de journaux, contrôle du fournisseur |
| Risque limité (transparence) | Chatbot, contenu généré par IA | Informer clairement l’utilisateur (article 50) |
| Risque minimal | Filtre anti-spam, correcteur orthographique IA | Aucune obligation spécifique |
L’annexe III du règlement liste huit domaines jugés à haut risque, dont l’emploi et la gestion RH (tri automatisé de CV, évaluation de performance), l’accès aux services financiers (scoring de crédit, évaluation de risque assurance) et l’éducation. Une PME qui utilise un outil d’IA dans l’un de ces domaines doit vérifier en priorité si son fournisseur a bien classé son système et lui a transmis la documentation requise.
La checklist pratique en 8 points
- 1. Cartographier tous les outils IA utilisés dans l’entreprise, y compris ceux adoptés sans validation formelle par les équipes elles-mêmes — voir notre dossier sur le shadow AI en entreprise.
- 2. Qualifier le niveau de risque de chaque outil : inacceptable, haut risque, transparence, minimal.
- 3. Identifier votre rôle : déployeur dans la quasi-totalité des cas, fournisseur si vous développez ou revendez un système d’IA.
- 4. Vérifier la documentation fournie par l’éditeur de chaque outil à risque limité ou élevé.
- 5. Former le personnel qui utilise ces outils à un usage conforme et à la reconnaissance des cas à haut risque.
- 6. Informer les utilisateurs finaux lorsqu’ils interagissent avec un chatbot ou un contenu généré par IA (article 50).
- 7. Mettre en place une supervision humaine pour toute décision à fort impact prise avec l’appui d’un système à haut risque (recrutement, crédit).
- 8. Documenter ces étapes dans un registre simple, réutilisable en cas de contrôle.
Quelles sanctions en cas de non-conformité ?
Les sanctions de l’AI Act peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour le non-respect des obligations liées aux systèmes à haut risque. Ces montants maximaux visent avant tout les manquements les plus graves ; pour une PME de bonne foi qui engage une démarche de mise en conformité, l’enjeu immédiat est surtout d’éviter les manquements évitables (absence d’information des utilisateurs, absence de supervision humaine sur une décision RH automatisée).
Comment commencer dès maintenant
Pour commencer sans attendre un contrôle, la méthode la plus efficace reste de traiter les 8 points de la checklist dans l’ordre : cartographier avant de qualifier, qualifier avant de documenter. La Commission européenne a publié en juillet 2025 un modèle simplifié de documentation technique pour les PME, aligné sur les articles 9 à 27 du règlement — un point de départ concret plutôt que de partir d’une page blanche. Comptez une à deux semaines de travail pour une PME de taille moyenne avec un nombre limité d’outils IA en usage.
Les erreurs les plus fréquentes chez les PME françaises
L’erreur la plus fréquente consiste à traiter l’AI Act comme un sujet purement juridique confié au service informatique, alors qu’il s’agit d’abord d’un inventaire opérationnel des usages réels.
- Sous-estimer les outils « invisibles » : un module IA intégré à un logiciel métier existant (CRM, ATS, plateforme comptable) compte au même titre qu’un assistant conversationnel autonome.
- Confondre RGPD et AI Act : les deux règlements se complètent mais ne couvrent pas les mêmes obligations — être conforme au RGPD ne suffit pas à couvrir les exigences de transparence ou de supervision humaine de l’AI Act.
- Attendre la sanction pour agir : les contrôles s’appuient d’abord sur des signalements et des audits sectoriels ; une documentation minimale déjà en place réduit fortement le risque en cas de contrôle.
- Ne former qu’une seule personne : la formation doit couvrir toute personne qui utilise concrètement un outil à risque limité ou élevé, pas seulement le référent IA désigné.
Questions fréquentes
Une PME qui utilise seulement ChatGPT est-elle concernée par l’AI Act ?
Oui. Toute entreprise qui utilise un système d’IA, même un simple abonnement à un assistant généraliste, a le statut de « déployeur » et doit notamment former son personnel et informer les utilisateurs finaux en cas d’interaction avec un chatbot.
Quelle est la différence entre fournisseur et déployeur au sens de l’AI Act ?
Le fournisseur conçoit ou commercialise un système d’IA et porte les obligations techniques (documentation, marquage CE le cas échéant). Le déployeur l’utilise dans son activité et doit surtout garantir un usage conforme, une supervision humaine et l’information des utilisateurs.
L’application de l’AI Act a-t-elle été reportée en 2026 ?
Partiellement. L’accord « Digital Omnibus » du 7 mai 2026 a reporté le marquage technique des contenus IA au 2 décembre 2026 et les règles sur les systèmes à haut risque au 2 décembre 2027, mais les obligations de transparence de l’article 50 restent fixées au 2 août 2026.
Quelles sont les sanctions maximales prévues par l’AI Act ?
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour le non-respect des obligations liées aux systèmes à haut risque.
Par où une PME doit-elle commencer sa mise en conformité ?
Par un inventaire complet des outils IA utilisés, y compris ceux adoptés sans validation formelle, avant de qualifier leur niveau de risque et de vérifier la documentation fournie par chaque éditeur.