AI Act : ce qui concerne (vraiment) les PME en 2026

Le règlement européen sur l’intelligence artificielle traîne une réputation de monstre bureaucratique. Pour une PME qui utilise ChatGPT, Copilot ou un logiciel métier dopé à l’IA, la réalité est nettement plus simple, à condition de savoir deux choses : ce qui s’applique à votre situation, et à partir de quand. Le calendrier vient d’ailleurs de bouger. En juin 2026, l’Union européenne a acté le report des obligations les plus lourdes.

Voici ce que l’AI Act change vraiment pour les PME en 2026, sur la base du texte officiel et des dernières décisions européennes, vérifiées à la rédaction.

L’AI Act en cinq minutes : une logique de risques

Le règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, ne réglemente pas « l’IA » en bloc. Il classe les systèmes selon quatre niveaux de risque.

Risque inacceptable : huit pratiques interdites. On y trouve la notation sociale, la manipulation préjudiciable, ou encore la reconnaissance des émotions sur le lieu de travail.
Haut risque : IA de recrutement, d’accès à l’éducation, de gestion d’infrastructures critiques, biométrie… Obligations lourdes à la clé (gestion des risques, supervision humaine, exigences sur la qualité des données), qui pèsent d’abord sur les fournisseurs de ces systèmes.
Risque de transparence : chatbots et contenus générés par IA, deepfakes compris. Il faut informer les personnes et rendre ces contenus identifiables.
Risque minimal : l’immense majorité des usages actuels en PME. Aucune obligation spécifique.

La page officielle de la Commission européenne résume cette pyramide et son calendrier.

Le calendrier de l’AI Act en vigueur (et ce qui a changé pour les PME en 2026)

C’est ici que tout s’est joué récemment. Le paquet de simplification européen (l’« omnibus numérique » proposé par la Commission en novembre 2025) a été adopté par le Parlement européen mi-juin 2026, puis définitivement validé par le Conseil fin juin 2026. Au moment où nous écrivons, sa publication au Journal officiel est imminente. Conséquence : les obligations « haut risque » sont reportées, mais le reste du calendrier tient.

Échéance	Ce qui s’applique
2 février 2025	Pratiques interdites ; obligation de maîtrise de l’IA pour le personnel (article 4)
2 août 2025	Règles sur les modèles d’IA à usage général ; gouvernance ; régime de sanctions
2 août 2026	Application générale du règlement, dont les obligations de transparence de l’article 50 (chatbots, contenus générés, deepfakes)
2 décembre 2027	Systèmes à haut risque « autonomes » (annexe III : recrutement, éducation, biométrie…). Échéance reportée, initialement fixée au 2 août 2026
2 août 2028	Systèmes à haut risque intégrés à des produits réglementés (annexe I). Échéance reportée

Retenez la double idée : le 2 août 2026 reste une échéance active (c’est la date d’application générale, transparence comprise), mais les obligations propres aux systèmes à haut risque ne s’appliqueront qu’à partir de décembre 2027. Le report ne concerne qu’elles.

Ce qui concerne (vraiment) une PME utilisatrice

Le gros du règlement vise les fournisseurs de systèmes d’IA. Une PME qui se contente d’utiliser des outils du marché est un « déployeur », avec des obligations ciblées :

Maîtrise de l’IA (article 4) : veiller à ce que le personnel qui utilise l’IA en ait une maîtrise suffisante, par la sensibilisation et des règles d’usage écrites, en insistant sur les limites des outils. Applicable depuis février 2025.
Aucune pratique interdite : pas de reconnaissance des émotions au travail, pas de notation sociale des clients ou des salariés. Le texte prévoit pour ces pratiques des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial.
Transparence (article 50), depuis le 2 août 2026 : si votre chatbot client repose sur l’IA, l’utilisateur doit pouvoir le savoir. Les contenus générés par IA, a fortiori les deepfakes, doivent être identifiables comme tels.
Vigilance haut risque : si vous utilisez l’IA pour trier des candidatures ou évaluer des collaborateurs, vous entrez dans le périmètre de l’annexe III. L’échéance est désormais décembre 2027, mais les exigences se préparent dès maintenant : supervision humaine, qualité des données, documentation. Le RGPD, lui, s’applique déjà.

Vous utilisez ChatGPT ou Copilot en interne : que faut-il faire ?

Dans les faits, pas grand-chose de plus que du bon sens organisé pour un usage bureautique interne : des équipes au fait des limites des outils, et de la transparence dès qu’un contenu généré sort de l’entreprise ou qu’un chatbot parle à vos clients. Les cas d’usage interdits, eux, ne devraient tout simplement pas exister chez vous. Le règlement se combine en revanche au RGPD dès que des données personnelles circulent ; la CNIL articule les deux réglementations dans ses publications. Le prérequis reste le choix d’offres professionnelles plutôt que de comptes personnels, un point que détaille notre comparatif ChatGPT, Copilot ou Claude en entreprise. Et si vous construisez un agent IA branché sur vos données, transparence et supervision humaine se règlent à la conception. C’est notre approche de l’agent IA d’entreprise.

Ce que nous constatons en mission : la conformité d’une PME se joue d’abord dans l’inventaire. Chez un groupe de cinq sociétés, l’état des lieux a fait apparaître un outil de présélection de candidatures activé par un manager, sans validation, précisément le type d’usage qui bascule en haut risque. Personne ne peut mettre en conformité des usages qu’il ignore.

Checklist de conformité minimale

Inventoriez les usages IA réels, y compris non déclarés : outils, comptes, données concernées.
Éliminez tout usage interdit. En PME, la tentation classique reste l’analyse des émotions ou du comportement des salariés.
Organisez la maîtrise de l’IA : sensibilisation du personnel et charte d’usage écrite, avec un rappel des limites des outils.
Rendez vos chatbots transparents et prévoyez l’identification des contenus générés diffusés à l’extérieur.
Repérez les usages RH sensibles (tri de candidatures, évaluation) et préparez la marche haut risque de décembre 2027.
Traitez AI Act et RGPD ensemble : bases légales, information des personnes, minimisation des données.

Cette checklist tient sur une page. Le vrai travail est dans l’inventaire et dans l’arbitrage des cas limites. Pour savoir où vous en êtes avant d’aller plus loin, notre quiz de readiness IA donne une première photographie en cinq minutes.

À jour à la rédaction, juillet 2026. Le calendrier cité intègre l’accord européen de juin 2026 sur l’« omnibus numérique » ; sa publication au Journal officiel de l’Union européenne rendra les nouvelles dates définitives.

Un doute sur un usage précis chez vous (chatbot client, tri de CV, outil métier « intelligent ») ? Réservez un appel de 30 minutes : nous qualifions ensemble le niveau de risque, comme nous le faisons dans chaque audit IA.