AI Act pour les PME : ce qui s'applique après le report

Ce que le report a changé, et ce qu'il n'a pas changé

Le texte de base est le règlement (UE) 2024/1689, appelé AI Act. En juillet 2026, l'Union a adopté un texte de simplification, le règlement (UE) 2026/1744 du 8 juillet 2026. Publié au Journal officiel de l'Union le 24 juillet 2026, il est entré en vigueur trois jours plus tard.

Ce texte modifie l'AI Act sur plusieurs points. Il décale l'application des règles des systèmes dits « à haut risque ». Il réécrit l'obligation de maîtrise de l'IA de l'article 4. Il crée aussi la catégorie des « petites entreprises à moyenne capitalisation », qui profitent comme les PME de plafonds d'amende allégés.

Ce qu'il ne change pas compte autant. Les pratiques interdites s'appliquent toujours depuis le 2 février 2025. Le règlement s'applique de façon générale depuis le 2 août 2026. Les obligations de transparence de l'article 50 sont entrées en application à cette même date.

Article 113 de l'AI Act, version consolidée au 27 juillet 2026 : le règlement s'applique depuis le 2 août 2026. Les règles des systèmes à haut risque de l'annexe III s'appliquent au 2 décembre 2027, celles de l'annexe I au 2 août 2028.

AI Act et PME : êtes-vous fournisseur ou déployeur ?

Le texte ne classe pas les entreprises selon leur taille, mais selon leur rôle. Deux rôles concernent une PME.

Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. C'est le cas de la plupart des PME : un cabinet qui rédige ses courriers avec ChatGPT, une agence immobilière qui résume ses visites avec un outil d'IA, une boutique qui installe un assistant de discussion acheté à un éditeur.

Le fournisseur développe un système d'IA, ou le fait développer, puis le met sur le marché ou en service sous son propre nom ou sa propre marque. Une PME peut le devenir sans s'en rendre compte. Prenons, à titre d'exemple, une société de services qui fait concevoir un assistant sur mesure et le propose à ses clients sous sa marque. Pour cet outil, elle porte les obligations du fournisseur.

Une utilisation personnelle, hors activité professionnelle, ne fait pas de vous un déployeur. Dès que l'outil sert votre entreprise, en revanche, vous l'êtes. Ce rôle commande tout le reste : le fournisseur porte la conception et la documentation, le déployeur porte des obligations plus légères, mais bien réelles.

Faites l'exercice outil par outil. Votre logiciel de facturation qui propose une fonction d'IA, votre outil de rédaction, votre assistant de discussion, votre standard : pour chacun, notez qui l'a conçu, sous quel nom il est proposé et à qui il s'adresse. Cette liste suffit souvent à lever la moitié des doutes.

Le calendrier en vigueur depuis le règlement (UE) 2026/1744

Voici les dates utiles à une PME, telles qu'elles résultent de l'article 113 consolidé au 27 juillet 2026.

Le report porte donc sur les deux dernières lignes. Les trois premières sont acquises, ou le seront dans quelques semaines.

Ce qui s'applique déjà à une PME qui utilise ChatGPT

Pour un déployeur d'outils courants, deux règles du texte sont déjà en place, en plus de la transparence vue plus bas.

Écarter les pratiques interdites

L'article 5 interdit depuis le 2 février 2025 une série d'usages. On y trouve les techniques subliminales, l'exploitation des vulnérabilités d'une personne ou la notation sociale, c'est-à-dire l'évaluation des personnes selon leur comportement social ou leur personnalité quand elle conduit à un traitement préjudiciable. Il vise aussi la déduction des émotions d'une personne sur le lieu de travail et dans les établissements d'enseignement, sauf raisons médicales ou de sécurité. Une PME n'y pense pas, mais un outil qui prétend mesurer l'humeur des salariés en visioconférence mérite d'être examiné de près.

Favoriser la maîtrise de l'IA de vos équipes

L'article 4 demande aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel. Il vise aussi les autres personnes qui utilisent ces outils pour leur compte. Depuis sa réécriture, le texte précise qu'aucun niveau de maîtrise précis n'est exigé. La Commission rappelle que les salariés qui utilisent ChatGPT doivent au moins être informés de ses risques propres, comme les hallucinations. Ce que cela demande concrètement, sans surcoût inutile, est détaillé dans notre article Formation IA obligatoire ? Ce que l'AI Act exige vraiment.

Le reste relève du bon sens plus que du règlement : relire les réponses, ne pas confier de données confidentielles à un outil grand public, garder la décision finale. Nous détaillons ces réflexes dans les cinq erreurs IA à éviter en petite entreprise et dans notre guide ChatGPT pour PME.

Chatbot, standard IA, contenus publiés : la transparence depuis le 2 août 2026

L'article 50 s'applique depuis le 2 août 2026. Il touche directement les PME qui placent une IA face à leurs clients ou au public.

Un chatbot ou un standard téléphonique IA : les personnes doivent être informées qu'elles échangent avec un système d'IA, sauf si c'est évident pour une personne raisonnablement attentive. Le texte confie cette obligation au fournisseur, qui doit concevoir l'outil en ce sens. Selon la Commission, l'information doit être donnée dès le début du premier échange. En pratique, vérifiez que l'assistant de votre site ou votre standard se présente comme une IA dès sa première phrase. Pour le téléphone, nous détaillons ce point dans notre article sur le standard téléphonique IA.

Les images, sons ou vidéos truqués : le déployeur qui diffuse un « deep fake », c'est-à-dire un contenu truqué, doit indiquer que ce contenu a été généré ou manipulé artificiellement. La Commission précise que cette information doit être claire et donnée au plus tard lors de la première exposition. Une vidéo où l'on fait parler une personne réelle grâce à l'IA entre dans ce cas.

Les textes publiés pour informer le public : un texte généré par IA et publié pour informer le public sur des questions d'intérêt public doit être signalé. L'obligation tombe si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale. Selon la Commission, cet examen porte sur le fond : une simple correction orthographique ne suffit pas. Un article relu sur le fond, puis publié sous la responsabilité de votre entreprise, peut donc relever de cette exception.

Le marquage technique des contenus générés, prévu au paragraphe 2, pèse sur les fournisseurs d'outils. Pour les systèmes mis sur le marché avant le 2 août 2026, il ne s'impose qu'à partir du 2 décembre 2026. Demandez simplement à vos éditeurs où ils en sont.

Haut risque : ce qui est reporté, et qui est concerné

C'est le cœur du report. Les obligations des systèmes à haut risque de l'annexe III s'appliqueront au 2 décembre 2027. Celles de l'annexe I, liées à l'article 6, paragraphe 1, s'appliqueront au 2 août 2028.

L'annexe III liste huit domaines : la biométrie, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services essentiels, la répression, les migrations et l'administration de la justice.

Deux cas touchent directement des PME. Le premier est un outil qui diffuse des offres d'emploi ciblées, filtre les candidatures ou évalue des candidats. Le second est un outil qui évalue la solvabilité de particuliers ou établit leur score de crédit, hors détection de fraude. Si vous déployez un tel outil, des obligations s'appliqueront à vous à partir du 2 décembre 2027.

Ces obligations du déployeur figurent à l'article 26. Il faudra prendre des mesures techniques et organisationnelles appropriées. Il faudra confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires. Les journaux générés par l'outil, lorsqu'ils sont sous votre contrôle, devront être conservés au moins six mois. Avant la mise en service sur le lieu de travail, l'employeur devra informer les représentants du personnel et les salariés concernés.

Le report donne du temps. Il ne dispense pas de choisir dès maintenant un outil dont l'éditeur prépare sa conformité, plutôt que d'en changer dans un an.

Sanctions : ce que le texte prévoit pour une PME

Les plafonds sont élevés sur le papier. Une pratique interdite expose à une amende pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Un manquement aux obligations du déployeur d'un système à haut risque, ou à la transparence de l'article 50, peut coûter jusqu'à 15 millions d'euros ou 3 % de ce chiffre d'affaires.

Pour une grande entreprise, le plafond retenu est le plus élevé des deux. Pour une PME, la règle s'inverse et c'est le plus bas qui s'applique. Le règlement 2026/1744 étend ce traitement aux petites entreprises à moyenne capitalisation pour une partie des amendes. Les États membres doivent aussi tenir compte des intérêts des PME et de leur viabilité économique.

Article 99, paragraphe 6, de l'AI Act : pour les PME, y compris les jeunes pousses, chaque amende est plafonnée au pourcentage ou au montant prévu, selon celui des deux qui est le plus bas.

Les autorités nationales de surveillance du marché contrôlent l'application des règles depuis le 2 août 2026, date d'application générale du règlement. Pour une PME, le risque le plus probable n'est pas l'amende maximale. C'est un outil mal choisi, un client mal informé ou une décision prise sans contrôle humain.

Conclusion : un calendrier à suivre, pas une urgence à acheter

L'AI Act n'est pas suspendu. Pour une PME qui utilise des outils courants, le socle est déjà en place : aucune pratique interdite, des équipes informées des risques, et de la transparence dès qu'une IA parle à vos clients. Les obligations lourdes du haut risque arrivent fin 2027, et seulement pour des usages précis.

Une méthode simple suffit. Listez vos outils, identifiez votre rôle pour chacun, puis fixez quelques règles écrites dans une charte IA d'entreprise. Chez Keywebin, nous menons ce travail lors d'un audit IA pour PME : inventaire des usages, lecture du texte appliquée à votre cas, plan d'action daté. Nous accompagnons aussi vos équipes avec une formation IA adaptée à vos outils.