AI Act : ce qui s'applique déjà à une PME, et ce qui arrive

L'AI Act, le règlement européen sur l'intelligence artificielle, est entré en vigueur le 1er août 2024 et s'applique par étapes. En juillet 2026, un second règlement dit « omnibus » a repoussé plusieurs échéances. Voici le calendrier à jour au 23 octobre 2026, et ce qu'une PME qui utilise des outils d'IA sans en développer doit déjà faire.

Fournisseur ou déployeur : où vous situez-vous ?

L'AI Act distingue deux rôles. Le fournisseur développe ou fait développer un système d'IA et le met sur le marché ou en service sous son nom ou sa marque. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Une PME qui utilise ChatGPT, Copilot ou un logiciel métier doté d'IA est déployeur : les obligations propres aux grands modèles d'IA visent leurs fournisseurs, pas elle.

Attention au changement de rôle : une entreprise qui met son nom ou sa marque sur un système à haut risque, ou le modifie substantiellement, en devient fournisseur (article 25). Selon la CNIL, celle qui affine un modèle avec ses propres données devient fournisseur pour cet affinage.

Le calendrier, après l'omnibus de juillet 2026

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union le 24 juillet et en vigueur depuis le 27 juillet 2026, a modifié le calendrier initial. Les dates qui comptent pour une entreprise :

Ce qu'une PME doit déjà faire

1. Favoriser la maîtrise de l'IA (article 4)

Depuis le 2 février 2025, les entreprises qui utilisent des systèmes d'IA doivent prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des personnes qui les utilisent pour leur compte. L'omnibus a assoupli la formulation : il ne s'agit plus de garantir un niveau donné, mais de « prendre des mesures pour favoriser » cette maîtrise. Aucun certificat n'est exigé ; selon la Commission européenne, une trace interne des formations et actions menées suffit. Le contrôle s'applique depuis le 2 août 2026.

2. Vérifier qu'aucun usage n'est interdit (article 5)

Certaines pratiques sont interdites depuis le 2 février 2025. Un exemple qui concerne directement les employeurs : il est interdit d'utiliser un système pour déduire les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité.

3. Respecter les obligations de transparence (article 50)

• signaler les hypertrucages (images, sons ou vidéos générés ou manipulés) ;
• signaler les textes générés publiés pour informer le public sur des questions d'intérêt public, sauf s'ils ont été relus et qu'une personne en assume la responsabilité éditoriale ;
• informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique.

4. Préparer les usages à haut risque

Un outil qui trie des candidatures ou évalue des candidats relève de l'annexe III (emploi). À partir du 2 décembre 2027, son utilisation entraînera les obligations des déployeurs de l'article 26, dont l'information préalable des représentants du personnel et des salariés concernés. Mieux vaut le savoir avant de choisir un outil.

Pour les PME, c'est le montant le plus faible des deux qui s'applique (article 99) ; l'omnibus étend cette règle aux petites entreprises à moyenne capitalisation. Les pratiques interdites peuvent valoir jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial.

Qui contrôlera en France ?

Au 23 octobre 2026, aucune loi n'a encore désigné les autorités françaises. Le projet de loi d'adaptation au droit de l'Union, adopté par le Sénat le 18 février 2026 et en cours d'examen à l'Assemblée nationale, prévoit de répartir le contrôle entre la CNIL, la DGCCRF et l'Arcom, la CNIL contrôlant notamment les usages à haut risque liés à l'emploi. Cette répartition peut encore évoluer.

Par où commencer

La première étape est un inventaire : quels outils d'IA sont utilisés, par qui, pour quelles tâches et avec quelles données. Il permet de repérer un éventuel usage à haut risque, de documenter les actions de maîtrise de l'IA et de rédiger une charte d'utilisation. C'est le point de départ de tout audit IA, qui regarde aussi les questions de RGPD et de sécurité des données.

Questions fréquentes

Quand l'AI Act est-il entré en vigueur ?

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s'applique par étapes : pratiques interdites et maîtrise de l'IA depuis le 2 février 2025, application générale depuis le 2 août 2026. L'omnibus du 8 juillet 2026 a repoussé les systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).

Une PME qui utilise ChatGPT est-elle concernée par l'AI Act ?

Oui, comme déployeur. Elle doit prendre des mesures pour favoriser la maîtrise de l'IA par son personnel, vérifier qu'aucun usage n'est interdit et respecter les obligations de transparence. Les obligations des grands modèles d'IA visent leurs fournisseurs.

L'AI Act impose-t-il une formation certifiante ?

Non. Depuis l'omnibus de juillet 2026, l'article 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA, sans niveau à garantir. Selon la Commission européenne, aucun certificat n'est requis et une trace interne des formations et actions suffit.