AI Act · Conformité

AI Act et PME : le vrai du faux avant le 2 août 2026

Par Emmanuel Le Quec, fondateur de Netaix · publié le 30 juillet 2026

D'ici quelques jours, votre boîte mail va se remplir de messages urgents. Cabinets de conseil, éditeurs de logiciels, organismes de formation : tous vont vous promettre des amendes de 35 millions d'euros si vous n'êtes pas « conforme à l'AI Act » avant le 2 août 2026.

Respirez.

La date est réelle. Le règlement entre bien dans sa phase principale. Mais pour la grande majorité des dirigeants de TPE et de PME françaises qui utilisent ChatGPT, Copilot ou un autre outil d'IA au quotidien, la situation est très différente de ce que ces messages laissent entendre.

Voici ce qui est vrai, ce qui est faux, et surtout ce qui mérite votre attention.

D'abord, c'est quoi l'AI Act ?

L'AI Act (Règlement (UE) 2024/1689) est le premier cadre juridique européen sur l'intelligence artificielle, adopté en 2024. Son principe : il classe les usages de l'IA selon leur niveau de risque (interdit, élevé, limité, minimal) et impose des obligations proportionnées. Plus un usage est sensible (recrutement, crédit, santé), plus les règles sont strictes. Et l'essentiel de ces obligations pèse sur ceux qui conçoivent les modèles, pas sur ceux qui les utilisent. Il s'applique progressivement, de 2025 à 2027.

Ce que le 2 août change (et ce qu'il ne change pas)

Le 2 août 2026 marque l'entrée en vigueur de la phase principale du Règlement européen sur l'intelligence artificielle (UE) 2024/1689, dit « AI Act ». Concrètement, trois choses deviennent effectives à cette date :

  • Les obligations de transparence (article 50) : informer les utilisateurs quand ils interagissent avec un système d'IA, signaler les contenus générés par IA dans certains contextes.
  • La gouvernance nationale : chaque État membre active ses autorités de contrôle. En France, ce rôle incombe à une autorité désignée, dotée de pouvoirs de contrôle et de sanction.
  • Le régime de sanctions (article 99) : les amendes prévues par le texte deviennent légalement applicables.

Ce qui ne change pas le 2 août : le quotidien de la plupart des PME françaises qui utilisent de l'IA.

Vérité 1 : l'essentiel des obligations pèse sur les fournisseurs, pas sur vous

L'AI Act distingue trois catégories d'acteurs.

Les fournisseurs (OpenAI, Google, Anthropic, Mistral, etc.), qui développent et mettent sur le marché les modèles d'IA. Sur eux repose l'essentiel des obligations du texte : documentation technique, évaluation de conformité, marquage, registre, transparence sur les données d'entraînement.

Les déployeurs, c'est-à-dire vous : les entreprises qui utilisent ces outils dans leur activité. Les obligations qui vous concernent directement sont, au 2 août 2026, très limitées.

Les importateurs et distributeurs, dont la situation dépend des produits concernés.

Quand un éditeur de logiciel vous envoie un mail avec « 35 millions d'euros d'amende », il omet de préciser que ce plafond (article 99 du règlement) vise les pratiques strictement interdites (article 5 : manipulation comportementale, notation sociale, surveillance biométrique en temps réel dans l'espace public). Le plafond applicable aux autres manquements est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Et le règlement précise explicitement (article 99, paragraphe 6) que pour les PME et les micro-entreprises, c'est le plafond le plus faible qui s'applique.

Les amendes ne tombent pas non plus automatiquement : les autorités tiennent compte de la nature du manquement, de sa gravité, de son caractère intentionnel ou non, et des mesures prises pour y remédier.

Vérité 2 : les obligations les plus lourdes viennent d'être repoussées à fin 2027

Le texte prévoyait que les obligations dites « à haut risque » (Annexe III du règlement) entrent en vigueur le 2 août 2026. Elles concernent des usages très spécifiques : IA utilisée dans le recrutement, l'évaluation des salariés, l'attribution de crédits, l'accès à des prestations sociales, la formation et l'éducation.

En 2026, le Parlement européen et le Conseil de l'UE se sont accordés sur le « Digital Omnibus » (paquet de simplification numérique). Le Conseil a donné son feu vert définitif le 29 juin 2026.

Résultat : les obligations à haut risque des systèmes autonomes de l'Annexe III sont reportées au 2 décembre 2027. Pour les systèmes d'IA intégrés dans des produits réglementés (Annexe I : dispositifs médicaux, machines, équipements), la date passe au 2 août 2028.

Ce que le Digital Omnibus ne reporte pas : l'article 4 (littératie IA), l'article 5 (pratiques interdites), l'article 50 (transparence), la gouvernance et les sanctions. Ces éléments restent bien en vigueur au 2 août 2026.

La seule chose qui vous concerne vraiment : l'article 4

Il existe une obligation qui s'applique à vous depuis le 2 février 2025, et dont on parle trop peu. C'est l'article 4 du règlement, consacré à la « littératie en matière d'IA ». Son texte exact :

« Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour assurer, dans la mesure du possible, un niveau suffisant de connaissances en matière d'IA à leur personnel et aux autres personnes chargées du fonctionnement et de l'utilisation des systèmes d'IA en leur nom [...]. »

Article 4, Règlement (UE) 2024/1689 (AI Act)

Traduction concrète : si vos collaborateurs utilisent des outils d'IA dans leur travail, vous devez vous assurer qu'ils en comprennent les limites, les risques et les conditions d'utilisation raisonnables. Pas de format imposé, pas de diplôme requis, pas de certificat à obtenir. C'est une obligation de moyens, proportionnelle à la taille et à l'activité de votre organisation.

Concrètement, cela veut dire que ceux qui utilisent l'IA chez vous devraient :

  • Savoir ce que l'outil sait faire, et ses limites.
  • Connaître les risques : une IA peut inventer une réponse fausse avec assurance, reproduire des biais, ou faire fuiter des données.
  • Vérifier toute réponse importante avant de décider ou d'envoyer, et ne jamais y coller de données sensibles.
  • Garder un humain dans la boucle : aucune décision importante fondée sur la seule sortie d'une IA.

Mais ne vous y trompez pas : ce n'est pas une formalité. C'est le socle de toute démarche sérieuse.

Le vrai enjeu, sous la surface

Voici ce dont personne ne parle dans les mails alarmistes : dans la plupart des PME, l'IA est déjà là. Pas celle que vous avez déployée. Celle que vos équipes utilisent seules, sur leurs comptes personnels, sans en avoir parlé à personne.

Selon le baromètre Bpifrance sur l'IA et les PME (2026), 26 % des PME françaises utilisent déjà l'IA au quotidien. Dans les faits, ce chiffre sous-estime probablement la réalité, car il ne mesure que l'usage déclaré.

Le problème n'est pas que vos équipes utilisent l'IA. C'est que, sans cadre, elles le font sans savoir quelles données protéger. Un devis collé dans un chatbot. Un contrat résumé par un outil en ligne. Un échange client utilisé comme exemple dans une requête. Ces données partent quelque part, traitées par des serveurs dont vous ne maîtrisez ni la localisation ni les conditions d'utilisation.

La conformité à l'article 4 vous demande de corriger cela. Pas par peur du gendarme, mais parce que vos données clients, vos données commerciales et vos savoir-faire sont votre actif.

Concrètement, par où commencer

Pas besoin d'une cellule juridique ni d'un grand projet de transformation. Poser un cadre IA dans votre organisation, c'est prendre trois décisions et les écrire.

Décision 1 : quels outils sont autorisés

Listez les outils d'IA que vos équipes peuvent utiliser dans un cadre professionnel. Cela peut être un outil comme Netaix (avec les données stockées en France), ou d'autres solutions dont vous avez vérifié les conditions d'utilisation. L'important : que ce soit clair et explicite.

Décision 2 : quelles données ne doivent jamais y aller

Identifiez ce qui doit rester en dehors de ces outils : données personnelles de clients, informations confidentielles couvertes par un accord de non-divulgation, données financières sensibles, secrets de fabrication. Une liste simple, accessible à tous.

Décision 3 : qui prévenir en cas de doute

Nommez un référent interne. Pas nécessairement un expert technique : la personne vers qui se tourner quand on ne sait pas si l'on peut confier telle information à un outil d'IA.

Et la charte IA ?

On vous en parlera sûrement. Pour être clair : la charte en elle-même n'est pas exigée par la loi (les mesures de littératie de l'article 4, elles, le sont depuis février 2025). C'est une bonne pratique, recommandée par la CNIL, qui formalise vos règles par écrit et constitue une preuve de diligence si votre organisation était un jour contrôlée. Elle peut tenir en une page. Elle ne remplace pas les trois décisions ci-dessus : elle les documente.

Modèle de charte IA, prêt à personnaliser

Pour vous faire gagner du temps, nous avons préparé un modèle de charte IA (les trois décisions, la checklist de littératie, les usages interdits, les bons réflexes). Gratuit, sans inscription.

Télécharger le modèle (PDF)

Et pour aider vos équipes à bien utiliser l'IA au quotidien, partagez-leur notre guide : Bien utiliser l'IA au travail.

Ce qu'il faut retenir

Le 2 août 2026 n'est pas une date de fin du monde pour les PME françaises. C'est une date de maturité pour un texte qui reconnaît que les grandes entreprises technologiques et une PME de 30 personnes n'ont pas les mêmes responsabilités.

Ce qui est vrai le 2 août : les fournisseurs d'IA ont des obligations lourdes ; vous, en tant que déployeur, avez une obligation de littératie IA (article 4, en vigueur depuis février 2025) ; les obligations à haut risque (RH, recrutement, crédit) sont reportées à fin 2027 ; les sanctions existent, mais visent d'abord les manquements graves, pas les PME de bonne foi qui font un premier pas.

Ce qui mérite votre attention, maintenant : vos équipes utilisent déjà l'IA, avec ou sans votre accord. Poser un cadre simple vous protège, elles aussi, et vos données. Ce n'est pas de la paperasse : c'est une décision de direction.

Envie d'être accompagné ?

Je propose des consultations pour aider les dirigeants de TPE et PME à poser ce cadre rapidement : cartographie des usages IA existants, identification des données à protéger, rédaction de vos règles internes. En une séance, vous repartez avec vos règles écrites.

Se faire accompagner

Sources