L’AI Act pour une PME : ce qui s’applique vraiment

Un dirigeant d’une PME de services de 60 salariés m’assurait, il y a peu, ne pas utiliser l’IA dans son entreprise. Une demi-journée d’entretiens avec ses équipes plus tard, on comptait 11 usages différents, dont 4 qu’il ignorait : un tri de CV côté RH, deux assistants de rédaction, un outil de résumé de comptes rendus. Cas illustratif, sans nom de client, mais il dit l’essentiel : l’AI Act ne s’applique pas au projet IA que vous préparez. Il s’applique à ce qui tourne déjà chez vous, sans que vous l’ayez décidé.

Ce règlement européen, vous en avez sans doute entendu la version anxiogène : amendes à huit chiffres, dossiers de conformité, audits. La réalité du 2 août 2026 est plus étroite. Trois vérifications concrètes suffisent à une PME qui ne fait ni IA médicale ni recrutement automatisé. La partie qui fait la une, elle, attendra 2027.

Ce qui a changé le 2 août 2026, et ce qui n’a pas bougé

L’AI Act, le glossaire le détaille, est le règlement européen (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s’applique par étapes depuis. Le 2 août 2026 est la plus large de ces étapes : l’essentiel du texte devient applicable, en particulier l’article 50 sur la transparence et la capacité des autorités nationales à contrôler et sanctionner.

Ce qui n’a pas bougé, c’est tout ce qui s’appliquait déjà. Les pratiques interdites et l’obligation de maîtrise de l’IA depuis le 2 février 2025. Les obligations des fournisseurs de modèles à usage général et le régime de gouvernance depuis le 2 août 2025. Le 2 août 2026 ajoute une couche aux précédentes.

La question qui décide de tout : fournisseur ou déployeur ?

L’AI Act distingue deux rôles. Le fournisseur développe ou met sur le marché un système d’IA sous son nom. Le déployeur l’utilise dans un cadre professionnel. La quasi-totalité des PME sont des déployeurs : elles achètent un outil, elles ne le construisent pas pour le vendre. Les obligations les plus lourdes du règlement visent d’abord les fournisseurs.

Une nuance compte, et elle échappe souvent : une PME qui met un système d’IA en marque blanche sous son propre nom, ou qui le modifie substantiellement, peut basculer côté fournisseur. Si vous revendez un assistant conçu ailleurs en l’habillant de votre marque, posez-vous la question avant de la balayer.

Dire que c’est une IA : l’obligation qui vous concerne vraiment

L’article 50 tient en deux règles. Signaler clairement à une personne qu’elle échange avec un système d’IA, agent conversationnel ou avatar. Rendre identifiables les contenus générés ou fortement modifiés par une IA, marquage technique ou mention visible. C’est l’obligation qui touche le plus de PME au 2 août 2026, bien avant le haut risque.

Un assistant qui répond aux clients sur votre site en est l’exemple le plus direct. Dans ceux que je mets en production, ça tient en une phrase d’ouverture et un bouton pour passer à un humain. Ce n’est pas une contrainte de conception : je le mettrais de toute façon.

La question suivante arrive presque toujours dans le même souffle, et elle porte sur les données : où elles sont hébergées, qui peut les lire. Le règlement ne la tranche pas à votre place, votre architecture si. Le glossaire sur l’IA souveraine donne les termes du choix.

L’obligation que presque tout le monde a ratée

L’article 4 est en vigueur depuis le 2 février 2025, dix-huit mois avant l’échéance dont tout le monde parle. Il impose à tout fournisseur et tout déployeur de veiller à ce que son personnel dispose d’un niveau suffisant de maîtrise de l’IA. Aucun seuil de taille, aucun chiffre d’affaires minimum : une entreprise de 5 salariés est concernée autant qu’une ETI.

Aucune certification n’est exigée. Le format est libre : un atelier d’une heure, une note interne, une session avec les équipes qui utilisent l’outil au quotidien. La formation doit être proportionnée aux rôles, et vous devez pouvoir en apporter la preuve si on vous la demande. C’est l’obligation la plus simple à remplir, et la plus souvent oubliée.

Le haut risque : repoussé à 2027

Le 16 juin 2026, le Parlement européen a adopté le règlement dit « Digital Omnibus ». Le Conseil l’a validé le 29 juin, il a été publié le 24 juillet. Il reporte les obligations des systèmes à haut risque : au 2 décembre 2027 pour les systèmes autonomes de l’annexe III (recrutement, évaluation de solvabilité, éducation, biométrie), au 2 août 2028 pour ceux intégrés à des produits déjà réglementés, comme les dispositifs médicaux ou les jouets connectés.

Deux dates restent proches. Le 2 décembre 2026, deux interdictions nouvelles entrent en vigueur, sur les contenus intimes non consentis et les contenus pédocriminels. La même date sert de délai pour marquer les contenus générés par IA que vous aviez déjà diffusés avant. Si vous travaillez dans la santé et le médico-social, c’est là que le report change vraiment votre calendrier : le sursis est réel, et il a une date de fin.

Les sanctions, et la règle qui vous protège

L’article 99 fixe trois étages. Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites. Jusqu’à 15 millions ou 3 % pour la plupart des autres manquements, dont l’article 50. Jusqu’à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités.

Ce que je ferais chez vous cette semaine

Retour à la PME de services et à ses 11 usages. Le registre n’a pas demandé un mois de cabinet, ni un consultant en cravate. Il a demandé une demi-journée d’entretiens et une liste. C’est l’ordre de grandeur du travail à faire avant tout chiffrage plus large : chiffrer un projet IA avant de l’engager commence exactement pareil, en mesurant ce qui existe déjà.

Trois choses, dans l’ordre, si vous n’avez encore rien fait.

1. Recensez, en une demi-journée d’entretiens, les usages de l’IA déjà en place dans vos équipes, y compris ceux dont la direction n’a jamais entendu parler.
2. Vérifiez, pour chacun, s’il parle à un client ou produit un contenu diffusé : c’est là que l’article 50 s’applique, et c’est là qu’il faut le signaler.
3. Organisez une session de maîtrise de l’IA proportionnée aux rôles concernés, et gardez-en une trace écrite : c’est l’article 4, il est déjà en vigueur.

Pas de dossier de conformité à monter cette semaine. Trois vérifications, un registre à écrire, et une grille en trois questions si vous ne savez pas par où commencer. Le haut risque attendra 2027, et vous aurez le temps de vous y préparer sans le faire dans l’urgence.

Une fois le registre écrit, le document qui le prolonge est la charte d’usage de l’IA : elle dit à vos équipes quels outils sont approuvés, quelles données ne sortent jamais et ce qui doit être relu avant d’être envoyé. J’en donne le modèle, et la procédure qui la rend opposable.