AI Act et PME : le vrai du faux avant le 2 août 2026

La date est réelle. Le règlement entre bien dans sa phase principale. Mais pour la grande majorité des dirigeants de TPE et de PME françaises qui utilisent ChatGPT, Copilot ou un autre outil d'IA au quotidien, la situation est très différente de ce que ces messages laissent entendre.

Voici ce qui est vrai, ce qui est faux, et surtout ce qui mérite votre attention.

D'abord, c'est quoi l'AI Act ?

L'AI Act (Règlement (UE) 2024/1689) est le premier cadre juridique européen sur l'intelligence artificielle, adopté en 2024. Son principe tient en une phrase, même si le texte fait plusieurs centaines de pages : il classe les usages de l'IA selon leur niveau de risque (interdit, élevé, limité, minimal) et impose des obligations proportionnées. Plus un usage est sensible (recrutement, crédit, santé), plus les règles sont strictes.

Et la bonne nouvelle arrive tout de suite : l'essentiel de ces obligations pèse sur ceux qui conçoivent les modèles, pas sur ceux qui les utilisent. Le texte s'applique progressivement, de 2025 à 2027.

Ce que le 2 août change (et ce qu'il ne change pas)

Le 2 août 2026 marque l'entrée en application de la phase principale du Règlement européen sur l'intelligence artificielle (UE) 2024/1689, dit « AI Act », lui-même entré en vigueur le 1^er août 2024. Concrètement, trois choses deviennent effectives à cette date :

• Les obligations de transparence (article 50). Pour le fournisseur : concevoir le système pour que la personne sache qu'elle s'adresse à une IA, et marquer les contenus de synthèse de façon lisible par une machine. Pour vous, qui utilisez l'outil : informer les personnes concernées en cas de reconnaissance des émotions ou de catégorisation biométrique, signaler les hypertrucages, et signaler les textes publiés sur un sujet d'intérêt public qui n'ont pas fait l'objet d'une relecture humaine.
• La gouvernance nationale : chaque État membre active ses autorités de contrôle. En France, ce rôle incombe à une autorité désignée, dotée de pouvoirs de contrôle et de sanction.
• Le régime de sanctions (article 99) : les amendes prévues par le texte deviennent légalement applicables.

Ce qui ne change pas le 2 août : le quotidien de la plupart des PME françaises qui utilisent de l'IA.

Vérité 1 : l'essentiel des obligations pèse sur les fournisseurs, pas sur vous

L'AI Act distingue trois catégories d'acteurs.

Les fournisseurs (OpenAI, Google, Anthropic, Mistral, etc.), qui développent et mettent sur le marché les modèles d'IA. Sur eux repose l'essentiel des obligations du texte : documentation technique, évaluation de conformité, marquage, registre, transparence sur les données d'entraînement.

Les déployeurs, c'est-à-dire vous : les entreprises qui utilisent ces outils dans leur activité. Les obligations qui vous concernent directement sont, au 2 août 2026, très limitées.

Les importateurs et distributeurs, dont la situation dépend des produits concernés.

Quand un éditeur de logiciel vous envoie un mail avec « 35 millions d'euros d'amende », il omet de préciser que ce plafond (article 99 du règlement) vise les pratiques strictement interdites (article 5 : manipulation comportementale, notation sociale, surveillance biométrique en temps réel dans l'espace public). Le plafond applicable aux autres manquements est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Et le règlement précise explicitement (article 99, paragraphe 6) que pour les PME et les micro-entreprises, c'est le plafond le plus faible qui s'applique.

Les amendes ne tombent pas non plus automatiquement : les autorités tiennent compte de la nature du manquement, de sa gravité, de son caractère intentionnel ou non, et des mesures prises pour y remédier.

Vérité 2 : les obligations les plus lourdes viennent d'être repoussées à fin 2027

Le texte prévoyait que les obligations dites « à haut risque » (Annexe III du règlement) entrent en vigueur le 2 août 2026. Elles concernent des usages très spécifiques : IA utilisée dans le recrutement, l'évaluation des salariés, l'attribution de crédits, l'accès à des prestations sociales, la formation et l'éducation.

En 2026, le Parlement européen et le Conseil de l'UE se sont accordés sur le « Digital Omnibus » (paquet de simplification numérique). Le Conseil a donné son feu vert définitif le 29 juin 2026.

Résultat : les obligations à haut risque des systèmes autonomes de l'Annexe III sont reportées au 2 décembre 2027. Pour les systèmes d'IA intégrés dans des produits réglementés (Annexe I : dispositifs médicaux, machines, équipements), la date passe au 2 août 2028.

Ce que le règlement (UE) 2026/1744 ne reporte pas : l'article 4 (maîtrise de l'IA), qu'il réécrit sans en décaler la date d'application, l'article 5 (pratiques interdites), l'article 50 (transparence), la gouvernance et les sanctions. Ces éléments s'appliquent bien à compter du 2 août 2026, et l'article 4 depuis le 2 février 2025.

La seule chose qui vous concerne vraiment : l'article 4

Il existe une obligation qui s'applique à vous depuis le 2 février 2025, et dont on parle trop peu. C'est l'article 4 du règlement, consacré à la maîtrise de l'IA. Sa rédaction a changé : le règlement (UE) 2026/1744, dit « Digital Omnibus », publié au Journal officiel de l'Union européenne le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, l'a réécrit en entier. Voici sa nouvelle rédaction.

En clair : les fournisseurs et les entreprises qui utilisent l'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience et de leur formation. Le texte précise qu'il n'impose pas de garantir un niveau spécifique de maîtrise de l'IA pour chaque personne.

Jusqu'au 26 juillet 2026, l'article demandait de « prendre des mesures pour assurer, dans la mesure du possible, un niveau suffisant de connaissances en matière d'IA ». Le mot « suffisant » a disparu. L'obligation n'est pas supprimée pour autant, et sa date d'application n'a pas bougé : elle est recentrée sur les moyens. Ce qui se regarde, c'est ce que vous avez mis en place, pas le niveau atteint par chacun.

Traduction concrète : si vos collaborateurs utilisent des outils d'IA dans leur travail, prenez des mesures pour qu'ils en connaissent les limites, les risques et les conditions d'utilisation raisonnables. Pas de format imposé, pas de diplôme requis, pas de certificat à obtenir, et aucun niveau à garantir personne par personne. C'est une obligation de moyens, proportionnée à la taille et à l'activité de votre organisation.

Concrètement, cela veut dire que ceux qui utilisent l'IA chez vous devraient :

• Savoir ce que l'outil sait faire, et ses limites.
• Connaître les risques : une IA peut inventer une réponse fausse avec assurance, reproduire des biais, ou faire fuiter des données.
• Vérifier toute réponse importante avant de décider ou d'envoyer, et ne jamais y coller de données sensibles.
• Garder un humain dans la boucle : aucune décision importante fondée sur la seule sortie d'une IA.

Mais ne vous y trompez pas : ce n'est pas une formalité. C'est le socle de toute démarche sérieuse.

Le vrai enjeu, sous la surface

Voici ce dont personne ne parle dans les mails alarmistes : dans la plupart des PME, l'IA est déjà là. Pas celle que vous avez déployée. Celle que vos équipes utilisent seules, sur leurs comptes personnels, sans en avoir parlé à personne.

Selon le baromètre France Num 2026 de la Direction générale des Entreprises, publié le 28 septembre 2026 (enquête Crédoc, 9 655 répondants), 40 % des TPE et PME utilisent au moins une solution d'IA, et 53 % des PME. Mais 19 % seulement en paient une. L'écart entre les deux dit l'essentiel : l'IA est entrée dans les entreprises bien avant d'y être décidée. Autrement dit : si vous n'avez encore rien formalisé, vous n'êtes ni en avance ni en retard. Vous êtes, très probablement, dans la majorité silencieuse.

Le problème n'est pas que vos équipes utilisent l'IA. C'est que, sans cadre, elles le font sans savoir quelles données protéger. Un devis collé dans un chatbot. Un contrat résumé par un outil en ligne. Un échange client utilisé comme exemple dans une requête. Ces données partent quelque part, traitées par des serveurs dont vous ne maîtrisez ni la localisation ni les conditions d'utilisation.

Prendre des mesures au titre de l'article 4, c'est d'abord traiter cela. Pas par peur du gendarme, mais parce que vos données clients, vos données commerciales et vos savoir-faire sont votre actif.

Concrètement, par où commencer

Pas besoin d'une cellule juridique ni d'un grand projet de transformation. Poser un cadre IA dans votre organisation, c'est prendre trois décisions et les écrire.

Décision 1 : quels outils sont autorisés

Listez les outils d'IA que vos équipes peuvent utiliser dans un cadre professionnel. Cela peut être un outil comme Netaix (avec les données stockées en France), ou d'autres solutions dont vous avez vérifié les conditions d'utilisation. L'important : que ce soit clair et explicite.

Décision 2 : quelles données ne doivent jamais y aller

Identifiez ce qui doit rester en dehors de ces outils : données personnelles de clients, informations confidentielles couvertes par un accord de non-divulgation, données financières sensibles, secrets de fabrication. Une liste simple, accessible à tous.

Décision 3 : qui prévenir en cas de doute

Nommez un référent interne. Pas nécessairement un expert technique : la personne vers qui se tourner quand on ne sait pas si l'on peut confier telle information à un outil d'IA.

Et la charte IA ?

On vous en parlera sûrement. Pour être clair : la charte en elle-même n'est pas exigée par la loi (les mesures de maîtrise de l'IA de l'article 4, elles, sont demandées depuis février 2025). C'est une bonne pratique, qui formalise vos règles par écrit et donne une trace de ce que vous avez mis en place si votre organisation était un jour contrôlée. Elle peut tenir en une page. Elle ne remplace pas les trois décisions ci-dessus : elle les documente.

Et pour aider vos équipes à bien utiliser l'IA au quotidien, partagez-leur notre guide : Bien utiliser l'IA au travail.

Ce qu'il faut retenir

Le 2 août 2026 n'est pas une date de fin du monde pour les PME françaises. C'est une date de maturité pour un texte qui reconnaît que les grandes entreprises technologiques et une PME de 30 personnes n'ont pas les mêmes responsabilités.

Ce qui mérite votre attention, maintenant : vos équipes utilisent déjà l'IA, avec ou sans votre accord. Poser un cadre simple vous protège, elles aussi, et vos données. Ce n'est pas de la paperasse : c'est une décision de direction.

Sources

• Règlement (UE) 2024/1689, Acte sur l'intelligence artificielle (AI Act), articles 4, 5, 50, 99 et 113 : eur-lex.europa.eu
• Règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus » sur l'IA, modifiant le règlement (UE) 2024/1689 : eur-lex.europa.eu
• Digital Omnibus sur l'IA, accord final du Conseil de l'UE (29 juin 2026) : consilium.europa.eu
• Calendrier officiel de mise en œuvre de l'AI Act, Commission européenne : ai-act-service-desk.ec.europa.eu
• Baromètre France Num 2026, Direction générale des Entreprises, communiqué du 28 septembre 2026 : entreprises.gouv.fr