AI Act : ce qu’une PME doit vérifier depuis le 2 août 2026

Le 2 août 2026 marque une étape importante dans l’application de l’AI Act. Les autorités nationales et l’AI Office européen disposent désormais de pouvoirs de contrôle, tandis que les obligations de transparence de l’article 50 sont devenues applicables.

Pour autant, toutes les entreprises n’ont pas soudainement le même dossier de conformité à produire. Une PME qui utilise ChatGPT pour préparer des comptes rendus n’est pas dans la même situation qu’un éditeur qui commercialise un outil de recrutement fondé sur l’IA. Le premier travail consiste donc à identifier les usages réels et le rôle de l’entreprise pour chacun d’eux.

Ce qui a réellement changé le 2 août 2026

Depuis cette date, une entreprise peut être contrôlée sur les règles déjà applicables et sur les nouvelles obligations de transparence. Cela concerne notamment l’information donnée aux personnes lorsqu’elles interagissent avec certains systèmes d’IA, le marquage technique de contenus générés par IA côté fournisseur, l’étiquetage des deepfakes et la publication de certains textes générés par IA sur des sujets d’intérêt général.

D’autres règles étaient déjà en vigueur. Les pratiques interdites et l’obligation de développer la maîtrise de l’IA dans les équipes s’appliquent depuis le 2 février 2025. Les obligations visant les fournisseurs de modèles d’IA à usage général sont applicables depuis août 2025.

À l’inverse, l’AI Omnibus entré en vigueur le 27 juillet 2026 a repoussé les principales obligations visant les systèmes à haut risque. Les usages sensibles de l’annexe III, notamment dans l’emploi, l’éducation, la biométrie ou l’accès à certains services essentiels, relèveront de ce régime à partir du 2 décembre 2027. Pour les systèmes intégrés dans certains produits réglementés, l’échéance est fixée au 2 août 2028.

Pourquoi une PME est concernée même si elle ne développe pas d’IA

Dans la plupart des cas, une PME est un déployeur : elle utilise un système fourni par Microsoft, OpenAI, Google, Anthropic ou un éditeur métier sous sa propre autorité. Elle peut toutefois devenir fournisseur si elle développe un système, le fait développer puis le commercialise sous son nom, ou modifie de façon importante un produit existant.

Cette distinction compte, car les obligations ne sont pas les mêmes. Le fournisseur doit notamment concevoir certains systèmes interactifs pour que les personnes sachent qu’elles parlent à une IA. Le déployeur doit, de son côté, respecter les obligations qui concernent son usage, par exemple l’information autour de certains systèmes biométriques, des deepfakes ou de textes publiés sans véritable contrôle éditorial.

Un usage banal reste concerné par la maîtrise de l’IA. La Commission cite explicitement l’exemple d’une entreprise dont les salariés utilisent ChatGPT pour traduire un texte ou rédiger une publicité : les utilisateurs doivent connaître les risques adaptés à cet usage, notamment les erreurs et les informations inventées.

Les cinq vérifications à mener maintenant

1. Savez-vous où l’IA est réellement utilisée ?

On commencerait par un inventaire simple. Il doit couvrir les abonnements officiels, les fonctions d’IA ajoutées aux logiciels déjà en place et les outils utilisés directement par les salariés. Un tableau partagé suffit.

• Nom de l’outil et fournisseur
• Service et personnes qui l’utilisent
• Finalité de l’usage
• Données consultées, envoyées ou produites
• Personnes concernées par le résultat
• Décision ou action pouvant être déclenchée
• Validation humaine et traces disponibles

L’objectif n’est pas de recenser chaque correction automatique d’orthographe. Il faut repérer les usages qui traitent des données internes, communiquent avec des clients, évaluent des personnes ou peuvent agir dans le système d’information.

2. Avez-vous écarté les pratiques interdites ?

Certaines interdictions s’appliquent depuis février 2025. Pour une PME, le cas le plus concret est souvent l’analyse des émotions au travail. Un outil qui prétend déduire l’état émotionnel d’un candidat pendant un entretien vidéo ou d’un salarié pendant son activité est en principe interdit, sauf usage médical ou de sécurité précisément encadré.

Le règlement interdit également certaines techniques de manipulation causant un préjudice important, la notation sociale, la constitution de bases de reconnaissance faciale par collecte massive d’images et certaines catégorisations biométriques sensibles.

Un fournisseur peut présenter sa fonction comme une aide à l’évaluation ou à l’engagement. Il faut demander ce que le système infère réellement et comment cette information influence la décision finale.

3. Les équipes ont-elles reçu des règles adaptées à leurs usages ?

L’obligation de développer la maîtrise de l’IA reste applicable après l’AI Omnibus, mais aucun niveau unique, aucune certification et aucune formation standard ne sont imposés. Il n’est pas non plus obligatoire de nommer un AI Officer ou de créer un comité dédié.

Une PME peut commencer avec une règle interne courte : données à ne pas transmettre, résultats à vérifier, usages interdits, personne à contacter en cas de doute et niveau de validation attendu. Les utilisateurs plus exposés ont besoin d’un contenu adapté à leur métier. Un recruteur, une équipe marketing et un développeur qui connecte un agent au CRM ne rencontrent pas les mêmes risques.

On conserverait une trace raisonnable des actions menées : date, personnes concernées, sujets couverts et document diffusé. La Commission précise qu’aucun certificat particulier n’est nécessaire.

4. Les obligations de transparence sont-elles respectées ?

Depuis le 2 août 2026, une personne qui interagit directement avec certains systèmes d’IA doit en être informée dès le début de l’échange, sauf lorsque cela est évident. Pour un chatbot installé sur un site, la PME doit donc vérifier qui porte juridiquement l’obligation, comment le fournisseur l’a mise en œuvre et si l’information reste visible dans l’intégration finale.

Les deepfakes, c’est-à-dire certaines images, vidéos ou bandes audio générées ou manipulées par IA, doivent être signalés. L’utilisation autorisée d’un système de reconnaissance des émotions ou de catégorisation biométrique impose aussi d’informer les personnes exposées.

Pour les textes publiés afin d’informer le public sur un sujet d’intérêt général, une mention est normalement requise lorsque le texte a été généré ou manipulé par IA. Une exception existe lorsqu’il a fait l’objet d’une véritable relecture ou d’un contrôle éditorial humain et qu’une personne physique ou morale assume la responsabilité de la publication.

Autrement dit, utiliser un assistant pour préparer un brouillon ne déclenche pas automatiquement une étiquette si le texte est réellement vérifié, corrigé et assumé par l’entreprise. Copier une sortie sans contrôle est une autre situation.

Une période transitoire limitée existe jusqu’au 2 décembre 2026 pour le marquage technique des contenus générés par des systèmes déjà commercialisés avant le 2 août. Elle concerne les fournisseurs et ne reporte pas toutes les obligations de transparence.

5. Un outil influence-t-il une décision sensible ?

Le report des règles à haut risque ne doit pas devenir une raison d’ignorer le sujet jusqu’en 2027. Une PME doit regarder de près les outils utilisés pour recruter, classer des candidatures, évaluer des salariés, orienter des apprenants, apprécier une solvabilité, catégoriser des personnes ou contrôler l’accès à un service essentiel.

Tous les logiciels présents dans ces domaines ne sont pas automatiquement à haut risque. La finalité exacte, la manière dont le résultat est utilisé et les exceptions prévues par le règlement comptent. En attendant l’échéance, on demanderait au fournisseur sa classification, son calendrier de conformité, les journaux disponibles, les possibilités de supervision humaine et les changements prévus dans le produit.

Il faut aussi vérifier les contrats. Une promesse générale de conformité ne dit rien sur les données utilisées, les sous-traitants, les mises à jour, la conservation des traces ou la répartition des responsabilités. Une nouvelle fonction activée automatiquement dans un logiciel existant peut changer le périmètre sans que l’entreprise s’en rende compte.

Combien cela coûte ?

L’AI Act n’impose pas à chaque PME d’acheter une certification, une plateforme de gouvernance ou un audit complet. Pour une entreprise qui utilise surtout des assistants bureautiques, le premier travail peut rester interne : inventaire, règles d’usage, sensibilisation ciblée, contrôle des paramètres et questions envoyées aux fournisseurs.

Le besoin d’accompagnement augmente lorsqu’un système intervient dans l’emploi, le crédit, l’éducation, la biométrie ou une décision ayant un effet important sur une personne. Dans ce cas, une analyse juridique et technique plus poussée devient raisonnable. Il n’existe pas de budget réglementaire standard à citer sans connaître les usages.

Les plafonds de sanction restent élevés : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour certaines pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % pour plusieurs autres obligations, dont celles de l’article 50. Pour une PME, le règlement retient le plus faible entre le montant fixe et le pourcentage. La sanction doit aussi rester proportionnée à la gravité, à la durée, au caractère intentionnel et aux mesures prises pour corriger le problème.

Ces plafonds ne sont pas le prix probable d’un oubli mineur. Ils ne justifient pas de vendre le même audit lourd à toutes les entreprises.

Que faut-il faire lundi matin ?

On réunirait pendant une heure les personnes qui connaissent les outils, les usages métier et les données : direction, informatique, RH, marketing ou support selon l’entreprise. L’objectif serait de sortir avec quatre résultats concrets.

1. Un inventaire des principaux usages de l’IA, avec un responsable pour chacun
2. Une liste rouge des usages interdits ou potentiellement sensibles
3. Les corrections immédiates de transparence sur les chatbots et contenus concernés
4. Une liste de questions à envoyer aux fournisseurs et un programme court de sensibilisation

La Commission propose également un outil officiel de vérification, l’AI Act Compliance Checker. Il peut aider à déterminer le rôle de l’entreprise et les obligations correspondant à un système précis. Il ne remplace pas une analyse spécialisée lorsqu’un usage touche directement aux droits d’une personne.

Dans quel cas faut-il ne rien faire de plus ?

Une PME qui utilise uniquement des assistants standards pour rédiger, traduire, résumer ou rechercher des informations n’a probablement pas besoin d’un grand projet de conformité si les résultats sont relus, qu’aucune donnée sensible n’est envoyée sans cadre, que l’IA ne décide rien sur une personne et qu’aucun système public ne se fait passer pour un humain.

Elle doit tout de même connaître ses outils, sensibiliser les utilisateurs concernés et fixer quelques règles. Une fois ce socle posé, il est raisonnable de s’arrêter là jusqu’à ce que l’usage, le produit ou le niveau d’autonomie change.