AI Act : ce qui s'applique à une PME qui utilise l'IA en 2026
Le règlement européen sur l'intelligence artificielle, connu sous le nom d'AI Act (règlement (UE) 2024/1689), s'applique par étapes. Beaucoup de dirigeants de PME n'en retiennent que deux idées contradictoires : « cela ne nous concerne pas » et « il va tout bloquer ». Ni l'une ni l'autre n'est juste. Pour une entreprise qui utilise des outils d'IA sans les concevoir, l'essentiel tient en quatre points : ne rien faire d'interdit, informer les personnes qui parlent à une IA, former ses équipes, et être très prudent sur quelques usages à enjeu comme le recrutement ou le crédit. Voici ce qui s'applique, à quelle date, et comment s'y préparer, selon le calendrier publié par la Commission européenne à la date de rédaction (octobre 2026).
Le calendrier, tel que la Commission le présente
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques d'IA interdites ; obligation de maîtrise de l'IA (formation des équipes) |
| 2 août 2025 | Règles de gouvernance et obligations pour les modèles d'IA à usage général |
| 2 août 2026 | Application générale du règlement, dont les règles de transparence ; l'autorité européenne (Bureau de l'IA) exerce ses pouvoirs de contrôle |
| Décembre 2026 | Nouvelle interdiction ajoutée par l'« omnibus » (générateurs de contenus sexuels non consentis) |
| 2 décembre 2027 | Systèmes à haut risque des domaines sensibles de l'annexe III (emploi, éducation, crédit…), après report |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I), après report |
Ce calendrier a bougé : un texte dit « omnibus », adopté puis entré en vigueur le 27 juillet 2026, a repoussé les échéances des systèmes à haut risque. Il peut encore évoluer ; la page de la Commission européenne consacrée au cadre réglementaire de l'IA fait référence, et le texte du règlement est publié sur EUR-Lex.
Êtes-vous « fournisseur » ou « déployeur » ?
Le règlement distingue deux rôles. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom. Le déployeur utilise un système dans le cadre de son activité professionnelle. Une PME qui s'abonne à un outil d'IA, ou qui fait installer par une agence un assistant sur ses documents, est en principe déployeur. Les obligations les plus lourdes pèsent sur les fournisseurs.
Attention toutefois : vous pouvez devenir fournisseur sans l'avoir cherché si vous apposez votre marque sur un système d'IA que vous proposez à vos propres clients, ou si vous en modifiez substantiellement la finalité. Demandez à votre prestataire de vous dire par écrit quel est votre rôle et le sien : c'est une question de contrat autant que de conformité.
Les quatre niveaux de risque
Risque inacceptable : interdit
Certains usages sont interdits en tant que tels : techniques manipulatrices ou trompeuses, exploitation des vulnérabilités de personnes, notation sociale, collecte non ciblée d'images de visages pour constituer des bases de reconnaissance faciale, et, avec des exceptions étroites, reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement. Une PME classique n'a aucune raison d'y toucher, mais vérifiez qu'un outil acheté ne le fait pas : un logiciel d'« analyse des émotions des candidats » ou de « suivi de l'humeur des équipes » doit vous alerter.
Haut risque : obligations renforcées
Les domaines listés à l'annexe III incluent notamment l'emploi et la gestion des travailleurs (tri de candidatures, évaluation, promotion), l'éducation et la formation, l'accès à des services essentiels comme le crédit ou l'assurance, ou encore certaines infrastructures critiques. Si vous utilisez un tel système, vos obligations de déployeur portent notamment sur l'usage conforme aux instructions, la supervision humaine confiée à des personnes compétentes, la pertinence des données d'entrée que vous fournissez, la conservation des journaux et l'information des salariés concernés avant une mise en service sur le lieu de travail.
Transparence : informer
Quand une personne interagit avec un système d'IA, elle doit en être informée, sauf si c'est évident. Un agent conversationnel sur votre site doit donc se présenter comme tel. Des règles encadrent aussi le marquage des contenus générés ou manipulés par l'IA et l'information du public lorsque des images, sons ou vidéos artificiels pourraient passer pour réels. Ces règles de transparence s'appliquent depuis le 2 août 2026 ; certaines modalités de marquage ont fait l'objet d'aménagements, d'où l'intérêt de vérifier la version à jour.
Risque minimal : liberté
La grande majorité des usages courants en entreprise (résumer, rédiger, classer, rechercher dans des documents, aider à programmer) relèvent de cette catégorie sans obligation spécifique de conformité, mais avec l'obligation générale de maîtrise de l'IA et le respect du RGPD, traité dans notre guide sur le RGPD et l'IA générative.
L'obligation que toutes les entreprises ont déjà
Depuis le 2 février 2025, les fournisseurs et les déployeurs doivent prendre des mesures pour assurer, dans la mesure du possible, un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent. Il ne s'agit pas d'un diplôme, mais d'une formation proportionnée aux usages, au niveau des équipes et au contexte. Concrètement, une demi-journée de sensibilisation, une politique d'usage d'une page et des consignes par métier suffisent pour une petite structure à démontrer une démarche sérieuse. Gardez une trace : date, contenu, participants.
Un plan d'action en six étapes pour une PME
- Inventorier les usages d'IA. Outils achetés, abonnements pris par des équipes, fonctions d'IA ajoutées à des logiciels existants, projets en cours. Vous serez surpris par la longueur de la liste.
- Écarter les usages interdits. Vérifiez qu'aucun outil n'analyse les émotions, ne note des personnes de façon opaque ou ne collecte des visages.
- Repérer les usages à haut risque. Recrutement, évaluation de salariés, accès à un crédit ou à un service essentiel : ces usages demandent une vigilance particulière et un avis juridique. L'automatisation de la décision elle-même est à éviter, comme l'explique notre grille de sélection des processus.
- Appliquer la transparence. Signalez les assistants conversationnels, étiquetez les contenus artificiels qui pourraient tromper, prévoyez la mention dans vos parcours clients.
- Former et documenter. Sensibilisation des équipes, politique d'usage, trace écrite.
- Cadrer les fournisseurs. Pour chaque outil, demandez la classification du système, la documentation de conformité disponible et la répartition des rôles dans le contrat.
Ce qu'il faut demander à un prestataire d'IA
- Dans quelle catégorie de risque classez-vous ce système, et pourquoi ?
- Qui est fournisseur et qui est déployeur, dans ce projet ?
- Quelle documentation technique pouvez-vous me remettre (fonctionnement, limites, données d'entraînement quand c'est pertinent) ?
- Comment les utilisateurs sont-ils informés qu'ils interagissent avec une IA ?
- Comment les journaux sont-ils conservés, et pendant combien de temps ?
- Que se passe-t-il si le cadre réglementaire change pendant la durée du contrat ?
Ces questions entrent naturellement dans la rubrique « contraintes » d'un cahier des charges, et leurs réponses se comparent dans les devis.
Trois cas pratiques, situés sur les quatre niveaux
Un assistant conversationnel sur votre site. Il relève de l'obligation de transparence : indiquez clairement qu'il s'agit d'un système automatisé, par exemple dès le premier message. Il n'est pas à haut risque tant qu'il se limite à informer sur vos produits ; il le deviendrait s'il servait à décider de l'accès à un service essentiel.
Un outil de tri de candidatures. C'est un usage du domaine de l'emploi, donc de la catégorie à haut risque. Les obligations de déployeur s'y appliquent (supervision humaine réelle, pertinence des données, information des candidats et des représentants du personnel selon le cas, conservation des journaux), avec l'échéance reportée au 2 décembre 2027 selon le calendrier de la Commission. Dans l'intervalle, le RGPD et le droit du travail s'appliquent déjà, et le bon réflexe est de ne confier à l'IA aucune décision d'écarter un candidat.
Un générateur d'images pour vos visuels marketing. Risque minimal pour l'essentiel, avec une vigilance sur la transparence : si une image artificielle peut passer pour la photographie d'un événement réel ou d'une personne réelle, son caractère artificiel doit être signalé selon les règles applicables aux contenus de ce type. Pour de l'illustration manifestement graphique, la question ne se pose pas de la même façon.
Trois idées reçues à écarter
« Les petites entreprises sont exemptées. » Non : le règlement prévoit des allègements et un accompagnement pour les PME, notamment pour les fournisseurs, mais l'obligation de maîtrise de l'IA et l'interdiction des pratiques proscrites s'appliquent à tous.
« Si le système vient d'un grand éditeur, nous sommes couverts. » Pas entièrement : le fournisseur porte ses obligations, mais le déployeur garde les siennes (usage conforme, supervision, information, formation).
« Le report des obligations à haut risque nous laisse du temps. » Pour ces systèmes oui, mais les interdictions, la maîtrise de l'IA et la transparence ne sont pas concernées, et le RGPD s'applique déjà pleinement.
Pour aller plus loin
Gardez l'esprit pratique : l'inventaire de vos usages d'IA et une politique d'une page vous placent déjà mieux que la plupart des entreprises. Pour structurer un projet avec un prestataire qui connaît ces sujets, vous pouvez parcourir le classement des agences IA par ville ou décrire votre projet en y mentionnant vos contraintes de conformité.
Cet article est une vulgarisation à date et ne constitue pas un conseil juridique. Le calendrier et les modalités peuvent évoluer ; vérifiez-les sur les sources officielles citées et faites valider votre situation par un juriste.