AI Act et PME : ce qui s'applique vraiment depuis le 2 août 2026 (et les 6 précautions à prendre)

Si vous dirigez une PME et que vous utilisez ChatGPT, Copilot, un chatbot sur votre site ou un outil de tri de CV, vous êtes concerné par le règlement européen sur l’intelligence artificielle. Pas au sens « vous risquez 35 millions d’euros d’amende demain matin », mais au sens « vous avez trois ou quatre choses à mettre en ordre, et elles prennent une demi-journée ».

Le sujet est brouillé par deux choses. D’abord le vocabulaire : on écrit indifféremment AI Act, IA Act ou règlement (UE) 2024/1689, c’est le même texte. Ensuite le calendrier : une réforme adoptée en juin 2026, le « digital omnibus IA », a repoussé une partie importante des obligations. Beaucoup d’articles publiés avant l’été sont donc faux aujourd’hui.

Voici le tri, avec les sources officielles.

La réponse courte

Le calendrier réel, après le digital omnibus

Le 29 juin 2026, le Conseil de l’Union européenne a définitivement validé le règlement de simplification dit « digital omnibus sur l’IA », entré en vigueur le 27 juillet 2026. Il ne supprime pas l’AI Act : il en décale l’application et en allège la paperasse, notamment pour les petites structures.

Les 4 niveaux de risque, et où vous vous situez

L’AI Act ne réglemente pas « l’IA ». Il réglemente des usages, classés par niveau de risque. C’est la clé pour comprendre pourquoi une PME de 15 personnes qui rédige ses devis avec ChatGPT n’a presque rien à faire, alors que la même PME qui trie ses candidatures avec un outil IA bascule dans une autre catégorie.

Les sanctions : ce que risque vraiment une PME

Les « 35 millions d’euros » qui circulent partout ne concernent que les pratiques interdites, c’est-à-dire le niveau 4. Deux nuances comptent énormément pour une PME.

Seconde nuance : personne ne vous contrôlera au hasard sur l’AI Act. Le déclencheur, dans 90 % des cas, sera autre chose — une plainte de salarié, un litige client, un contrôle RGPD, un incident. L’AI Act sera le second sujet de la visite, pas le premier.

Les 6 précautions à prendre maintenant

Rien de tout cela ne demande un cabinet d’avocats. Une demi-journée de travail sérieux vous met dans une position défendable.

1. Faites l’inventaire de vos outils IA

Vous ne pouvez pas être conforme sur ce que vous ne connaissez pas. Listez tout : les abonnements officiels, mais surtout les outils que vos équipes utilisent sans vous l’avoir dit. Le « shadow AI » est la norme, pas l’exception. Pour chaque outil : qui l’utilise, pour quoi, avec quelles données.

2. Vérifiez qu’aucun usage ne bascule en haut risque

Trois questions suffisent. Est-ce que l’IA intervient dans une décision RH (tri de candidatures, évaluation, promotion, affectation) ? Est-ce qu’elle note ou classe des personnes (solvabilité, éligibilité, priorisation client) ? Est-ce qu’elle traite de la biométrie ? Si oui à l’une des trois, vous avez jusqu’à décembre 2027 pour vous mettre en ordre, et il faut le savoir dès maintenant.

Attention au piège : ce n’est pas parce que c’est une fonctionnalité de votre logiciel RH ou de votre CRM que la responsabilité est celle de l’éditeur. En tant que déployeur, vous avez vos propres obligations.

3. Réglez la transparence, c’est la plus rapide

Un chatbot sur votre site ? Une phrase visible dès le premier message : « Vous échangez avec un assistant automatisé. » Des visuels ou des textes générés par IA publiés au nom de l’entreprise ? Prévoyez une mention. C’est l’obligation la plus simple à satisfaire et la plus facile à constater de l’extérieur, donc la plus bête à rater.

4. Formalisez la montée en compétence de vos équipes

L’article 4 a été réécrit par l’omnibus : il ne s’agit plus de garantir un niveau de littératie IA, mais de prendre des mesures pour le soutenir, proportionnées au rôle de chacun et au risque des outils utilisés. C’est une obligation de moyens, mais elle reste opposable à toute organisation, sans seuil d’effectif.

Concrètement, ce qui vous protège : une charte d’usage écrite, une session de sensibilisation par an, et la trace de qui y a participé. Deux heures bien faites valent mieux qu’un module e-learning que personne ne finit. C’est le sujet que je traite dans former ses équipes à l’IA en PME.

5. Traitez le vrai risque : les données

C’est là que se joue votre exposition réelle, et elle relève du RGPD, pas de l’AI Act. Si vos collaborateurs collent des données clients, des CV, des contrats ou des données de santé dans un outil grand public, vous avez un problème aujourd’hui, indépendamment de tout calendrier européen.

Trois règles simples : pas de données personnelles dans un outil non contractualisé, désactivation de la réutilisation des données pour l’entraînement dans les paramètres des offres professionnelles, et mise à jour de votre registre de traitements. Le détail est dans RGPD et IA Act : ce que chaque dirigeant de PME doit savoir.

6. Gardez une trace écrite

En cas de contrôle, la question ne sera pas « êtes-vous parfait ? », mais « avez-vous réfléchi ? ». Un document de deux pages daté, listant vos outils, leur classement en niveau de risque, vos mesures et votre charte d’usage, vous place immédiatement du bon côté. Il n’existe aucune obligation de forme pour un usage à risque minimal : c’est justement pour ça qu’un document simple suffit.

Ce que je constate sur le terrain

Sur les diagnostics que je mène chez des PME des Hauts-de-France, la conformité n’est presque jamais le problème principal. Le problème, c’est que personne ne sait quels outils tournent vraiment dans l’entreprise. L’inventaire de la précaution n°1 révèle en général trois ou quatre outils que le dirigeant ne connaissait pas, et c’est ce qui déclenche la vraie discussion.

L’AI Act est, de ce point de vue, un prétexte utile. Il force à faire l’inventaire que personne ne fait spontanément. Et un inventaire est aussi le point de départ d’un cadrage de projet IA : on ne priorise bien que ce qu’on a d’abord recensé.

Questions fréquentes

Mon entreprise de 10 salariés est-elle concernée par l’AI Act ?

Oui, mais faiblement. Il n’existe aucun seuil d’effectif : l’interdiction des pratiques inacceptables, l’obligation de soutenir la littératie IA (article 4) et les obligations de transparence (article 50) s’appliquent à toute organisation qui utilise l’IA à titre professionnel. En revanche, si vos usages relèvent du risque minimal, vous n’avez pas de documentation technique, d’audit ni de déclaration à produire.

Que s’est-il passé exactement le 2 août 2026 ?

C’était la date d’application du gros du règlement. Le digital omnibus, entré en vigueur le 27 juillet 2026, en a retiré l’essentiel : les obligations des systèmes à haut risque de l’annexe III passent au 2 décembre 2027, celles de l’annexe I au 2 août 2028. Ce qui est bien entré en application au 2 août 2026 : les obligations de transparence de l’article 50 et la surveillance par les autorités nationales.

Dois-je signaler que mes contenus marketing sont générés par IA ?

L’article 50 vise l’information des personnes lorsqu’elles interagissent avec une IA et l’identification des contenus synthétiques, en particulier les deepfakes et les contenus susceptibles de tromper sur des sujets d’intérêt public. Un visuel d’illustration retouché n’est pas un deepfake. Dans le doute, la mention coûte moins cher que la controverse.

Qui contrôle l’AI Act en France ?

La surveillance est répartie entre plusieurs autorités selon le domaine d’usage, et la désignation formelle relève d’une loi d’adaptation nationale. En pratique, pour une PME, le point d’entrée le plus probable reste la CNIL, par le biais du RGPD, complétée par la DGCCRF et l’Arcom selon les cas.

Utiliser ChatGPT en entreprise est-il légal ?

Oui. Aucun texte n’interdit l’usage professionnel d’un assistant IA généraliste. Ce qui est encadré, c’est ce que vous lui donnez comme données (RGPD) et ce que vous faites de sa sortie (transparence, et haut risque si la décision concerne des personnes).

Sources officielles

• Règlement (UE) 2024/1689 sur l’intelligence artificielle (AI Act) — texte consolidé, EUR-Lex
• Commission européenne — cadre réglementaire sur l’IA
• Commission européenne — AI Omnibus enters into force (27 juillet 2026)
• Conseil de l’UE — feu vert final à la simplification des règles sur l’IA (29 juin 2026)
• Parlement européen — dossier législatif Digital Omnibus on AI
• CNIL — intelligence artificielle : recommandations et fiches pratiques
• CNIL — premières questions-réponses sur le règlement européen sur l’IA

---

Cet article a une visée d’information générale et ne constitue pas un conseil juridique. Pour un usage classé haut risque, faites valider votre analyse par un professionnel du droit.

Vous voulez savoir où vous en êtes concrètement ? L’inventaire de vos outils IA et leur classement par niveau de risque font partie du diagnostic IA que je mène chez les PME des Hauts-de-France. Comptez une demi-journée.

David Gacquer — Magnetic-IA, diagnostic IA pour dirigeants de PME. Hauts-de-France.