AI Act : ce que les PME doivent faire, calendrier à jour et cas concrets

Qu'est-ce que l'AI Act et qui est concerné ?

L'AI Act est le règlement (UE) 2024/1689 du 13 juin 2024, ou règlement sur l'intelligence artificielle (RIA) : il fixe des règles communes à l'Union pour développer, commercialiser et utiliser des systèmes d'IA, avec des obligations graduées selon le risque. Publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024 et s'applique par étapes.

Le texte ne vise pas que les éditeurs d'IA : il couvre aussi les entreprises qui utilisent l'IA dans l'Union (article 2), selon deux rôles définis à l'article 3 :

• Fournisseur : l'entreprise qui développe ou fait développer un système d'IA et le met sur le marché ou en service sous son propre nom ou sa propre marque, y compris pour son usage propre.
• Déployeur : l'entreprise qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel.

Une PME qui abonne ses commerciaux à un assistant du marché est déployeur. Une PME qui fait développer un assistant à son nom, branché sur un modèle d'OpenAI, d'Anthropic ou de Mistral AI, peut aussi être fournisseur de ce système, l'éditeur restant fournisseur du modèle.

Quel est le calendrier de l'AI Act en octobre 2026 ?

Au 8 octobre 2026, l'AI Act s'applique pour l'essentiel : restent à venir les nouvelles interdictions et la fin d'un délai de marquage au 2 décembre 2026, puis les règles du haut risque.

Sources : version consolidée du règlement sur EUR-Lex et frise de la Commission européenne, vérifiées le 8 octobre 2026. Les dates initiales du haut risque (2 août 2026 et 2 août 2027) ne sont plus valables. Un système à haut risque mis sur le marché ou en service avant la nouvelle date qui le concerne n'y est soumis qu'en cas de modification importante de sa conception (article 111, paragraphe 2), sauf usage par des autorités publiques.

Omnibus numérique : qu'est-ce qui est adopté, qu'est-ce qui est seulement proposé ?

Le paquet « omnibus numérique » présenté par la Commission européenne le 19 novembre 2025 contenait deux propositions de règlement : celle qui modifie l'AI Act est en vigueur, celle qui touche aux données et à la vie privée reste une proposition au 8 octobre 2026.

En octobre 2026, le RGPD s'applique donc dans sa version actuelle, y compris aux données personnelles envoyées à un modèle de langage.

Quels sont les quatre niveaux de risque ?

Le règlement classe les systèmes d'IA en quatre niveaux, tels que les présentent la Commission européenne et la CNIL : inacceptable, haut risque, risque de transparence et risque minimal.

Selon la Commission européenne, la très grande majorité des systèmes d'IA utilisés dans l'Union relève du risque minimal. Résumer un contrat ou lire une facture n'entre dans aucune catégorie de l'annexe III. Un système cité à l'annexe III peut échapper au haut risque s'il ne présente pas de risque important, par exemple pour une tâche procédurale étroite ou préparatoire (article 6, paragraphe 3), sauf s'il effectue un profilage de personnes.

Chatbots et contenus générés : que faut-il afficher depuis le 2 août 2026 ?

Depuis le 2 août 2026, l'article 50 impose qu'une personne qui dialogue avec une IA le sache, sauf si c'est évident, et qu'un hypertrucage publié par une entreprise soit signalé comme tel.

• Assistant conversationnel : le fournisseur conçoit le système pour que la personne sache qu'elle échange avec une IA. Le premier message du chatbot de votre site le dit, par exemple « Je suis un assistant automatique (IA) ; un conseiller peut prendre le relais ».
• Hypertrucage : une image, un son ou une vidéo générés ou modifiés par une IA qui ressemblent à des personnes ou des lieux réels, au point de passer pour authentiques, portent une mention. Une vidéo publicitaire qui fait parler de façon réaliste le gérant est concernée.
• Texte d'intérêt public : un texte généré publié pour informer le public sur des questions d'intérêt public est signalé, sauf relecture humaine sous responsabilité éditoriale.
• Marquage technique : les fournisseurs de systèmes qui génèrent des contenus de synthèse marquent leurs sorties dans un format lisible par machine, sauf exceptions ; les systèmes déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026.

L'information doit être claire, reconnaissable et accessible, donnée au plus tard lors de la première interaction ou exposition (paragraphe 5). Les lignes directrices de la Commission européenne du 20 juillet 2026 détaillent ces obligations.

Que demande l'article 4 sur la maîtrise de l'IA depuis l'omnibus ?

Depuis le 27 juillet 2026, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans les obliger à garantir un niveau précis pour chaque individu. La version de 2024 exigeait de garantir, dans toute la mesure du possible, un niveau suffisant ; le règlement 2026/1744 justifie l'assouplissement par la charge imposée aux petites entreprises.

La Commission et les États membres doivent soutenir ces efforts, surtout ceux des PME ; la Commission doit aussi publier des exemples pratiques. Quelques mesures simples :

• une note d'usage d'une page : outils autorisés, données à ne jamais saisir, relecture avant tout envoi ;
• une courte formation par métier sur les limites des outils, comme les erreurs plausibles et les biais ;
• un référent qui tient la liste des outils utilisés, et une trace datée de ces actions.

Pour le haut risque de l'annexe III, l'exigence se durcit le 2 décembre 2027 : l'article 26 impose de confier le contrôle humain à des personnes ayant la compétence, la formation et l'autorité nécessaires. Les erreurs typiques des modèles sont expliquées dans la fiche hallucination d'une IA.

Une PME qui intègre un modèle de langage : quatre situations types

Les obligations d'une PME dépendent de l'usage qu'elle fait d'un modèle de langage, pas du modèle lui-même.

Le tri de candidatures demande le plus de prudence (voir le logiciel pour l'intérim et le recrutement). En général, le fournisseur du modèle qui traite des données personnelles pour votre compte agit comme sous-traitant, encadré par le contrat de l'article 28 du RGPD : voir RGPD et logiciel métier et, pour les choix techniques, intégrer l'IA dans un logiciel métier.

Pour un assistant ou un module d'IA conçu sur mesure, ce classement a sa place dans le périmètre écrit dès le cadrage : rôle du client, niveau de risque, message de transparence, étapes validées par un humain, journaux conservés. Une qualification ferme au regard de l'annexe III relève d'un avocat. Voir la méthode de YMHB Web et l'offre chatbots et agents IA.

Quelles sanctions prévoit l'AI Act ?

L'article 99 fixe trois plafonds d'amende administrative, chacun exprimé en montant fixe ou en pourcentage du chiffre d'affaires annuel mondial : en principe, le plus élevé des deux est retenu, mais pour une PME ou une jeune pousse, c'est le plus faible.

L'article 99 prévoit aussi des avertissements et des mesures non monétaires, et demande de tenir compte de la viabilité économique des PME ; l'omnibus étend cette règle aux petites entreprises à moyenne capitalisation. Chaque État membre désigne ses autorités de surveillance du marché, et la CNIL reste compétente pour le RGPD : selon elle, un tri automatique de CV relève des deux règlements.

Checklist : huit vérifications pour chaque usage de l'IA

Ces huit vérifications s'appliquent à chaque outil d'IA utilisé dans l'entreprise.

1. Lister les usages, y compris les outils grand public utilisés par des salariés avec un compte personnel.
2. Qualifier votre rôle : déployeur seulement, ou aussi fournisseur.
3. Écarter les pratiques interdites, en particulier toute inférence des émotions des salariés.
4. Confronter l'usage à l'annexe III : recrutement, évaluation des salariés, formation, solvabilité d'un particulier, assurance vie ou maladie. En cas de doute, consultez un avocat.
5. Afficher la transparence : assistant qui s'annonce, mention sur les hypertrucages.
6. Organiser la maîtrise de l'IA : règles écrites, formation par métier, référent.
7. Traiter le RGPD : base légale, information, contrat avec chaque fournisseur de modèle, analyse d'impact si le risque est élevé.
8. Dater ces éléments et revérifier les textes : l'AI Act a déjà été modifié une fois, et la proposition qui touche au RGPD est en discussion.