AI Act : ce que le règlement européen change pour une PME, date par date

Le règlement dépasse les cent articles et compte quatorze annexes ; une PME qui utilise l’IA en lit une dizaine. Voici le calendrier vérifié dans le texte officiel, à jour de l’omnibus de juillet 2026, les quatre niveaux de risque, et ce que nous conseillons de faire, dans l’ordre.

1Qu’est-ce que l’AI Act ?

L’AI Act est le premier cadre juridique d’ensemble sur l’intelligence artificielle dans l’Union européenne. Son nom officiel : règlement (UE) 2024/1689 du 13 juin 2024. En français, on dit aussi règlement sur l’IA, ou RIA.

Trois traits le résument :

• c’est un règlement : il s’applique tel quel dans les vingt-sept États membres, sans loi de transposition ;
• il vise des usages : le même outil peut être libre pour rédiger un courriel et très encadré pour trier des candidatures ;
• il a été retouché en 2026 : le règlement (UE) 2026/1744, dit « omnibus » sur l’IA, en vigueur depuis le 27 juillet 2026, a déplacé plusieurs dates.

Cette note décrit le règlement et renvoie à ses articles. Elle tient lieu d’information : pour un cas précis, votre juriste tranche.

2Fournisseur ou déployeur : quel est le rôle de votre entreprise ?

Une PME qui utilise un outil d’IA du marché est « déployeur » ; l’éditeur de l’outil en est le « fournisseur ». Le règlement répartit les obligations selon ce rôle, et l’essentiel pèse sur les fournisseurs.

Les modèles d’IA à usage général, ceux qui animent les assistants, ont leur propre chapitre. Ses obligations visent les fournisseurs de modèles, comme OpenAI, Anthropic, Google ou Mistral, et non les entreprises qui s’en servent.

Quand un utilisateur devient fournisseur

L’article 25 prévoit trois cas où une entreprise utilisatrice endosse les obligations du fournisseur d’un système à haut risque :

• elle le commercialise sous son nom ou sa marque ;
• elle lui apporte une modification substantielle ;
• elle change la destination d’un outil, assistant généraliste compris, au point d’en faire un système à haut risque.

Un exemple imaginé : une agence branche un assistant généraliste sur les candidatures de ses clients pour les classer. Le tri des candidatures figure parmi les usages à haut risque ; la question de l’article 25 se pose alors, et elle se règle avec un juriste.

3Quelles sont les dates d’application de l’AI Act ?

L’AI Act s’applique par étapes, du 2 février 2025 au 2 août 2028. Son article 113 fixe ces dates ; l’omnibus de juillet 2026 a repoussé celles des systèmes à haut risque.

Pour une PME utilisatrice, deux dates sont déjà passées et comptent : le 2 février 2025, pour la maîtrise de l’IA, et le 2 août 2026, pour la transparence et les contrôles.

Ce que l’omnibus de juillet 2026 a changé

Le règlement (UE) 2026/1744 a retouché l’AI Act sur cinq points :

• le haut risque attend : le 2 décembre 2027 pour l’annexe III, au lieu du 2 août 2026, et le 2 août 2028 pour l’annexe I ;
• l’article 4 est reformulé : des mesures « pour favoriser le développement de la maîtrise de l’IA », sans niveau à atteindre pour chaque personne ;
• deux interdictions s’ajoutent le 2 décembre 2026 ;
• les générateurs de contenus déjà en service ont jusqu’au 2 décembre 2026 pour marquer leurs sorties ;
• des allègements prévus pour les PME s’étendent aux petites entreprises à moyenne capitalisation.

Beaucoup de pages en ligne donnent encore l’ancien calendrier. Le repère sûr reste le texte consolidé sur EUR-Lex, daté du 27 juillet 2026.

4Quels usages de l’IA sont interdits, à haut risque ou libres ?

Le règlement range les usages en quatre niveaux, du risque inacceptable au risque minimal. La plupart des usages de bureau d’une PME se trouvent au dernier.

L’annexe III vise des usages précis, et l’article 6 en sort certains outils : ceux qui se limitent à une tâche procédurale étroite, ou à une tâche préparatoire. Un système qui établit le profil de personnes y reste toujours.

La Commission a publié le 19 mai 2026 un projet de lignes directrices sur ce classement, avec des exemples par domaine. Elle annonce la version finale pour la fin de 2026. Le projet aide déjà à situer un outil avant d’interroger son éditeur.

5Que doit faire une PME qui utilise l’IA ?

Cinq gestes, dans l’ordre où nous les conseillons. Les quatre premiers valent dès maintenant ; le dernier prépare décembre 2027.

1. 1Lister les outilsService par service : les assistants, et les fonctions d’IA des logiciels déjà en place, comme la transcription des réunions ou l’assistant du CRM.
2. 2Écarter les pratiques interditesRelisez la liste de l’article 5. Le point qui touche le plus souvent une entreprise : déduire les émotions des personnes au travail.
3. 3Développer la maîtrise de l’IADes consignes écrites, un atelier sur les vraies tâches, une trace de ce qui a été fait. C’est l’article 4.
4. 4Régler la transparenceUn agent conversationnel s’annonce comme tel ; une image ou une voix générée qui pourrait passer pour vraie porte sa mention. C’est l’article 50.
5. 5Repérer les usages à haut risqueRecrutement, évaluation des salariés, crédit, assurance : notez qui fournit l’outil, et demandez-lui sa notice et son calendrier de conformité.

Pour le premier geste, les outils que l’équipe utilise sans le dire comptent aussi : notre note sur le shadow AI montre comment les faire remonter sans reproche.

La maîtrise de l’IA, en quelques lignes

L’obligation vaut depuis le 2 février 2025 pour toute entreprise qui utilise un système d’IA, quel que soit son niveau de risque.

La Commission européenne précise deux choses : un certificat est superflu, et un registre interne des formations et des consignes en garde la trace. Les autorités nationales contrôlent ce point depuis le 2 août 2026.

Dans une PME, cela prend la forme d’un atelier sur les tâches réelles et d’une règle écrite. Nos formations IA sont construites ainsi, et notre modèle de charte IA donne la trame de la règle.

La transparence, cas par cas

L’article 50 distingue ce qui revient au fournisseur de l’outil et ce qui revient à l’entreprise qui s’en sert.

L’information est donnée au plus tard à la première interaction, de façon claire et reconnaissable. Pour le site d’une entreprise, cela revient à deux vérifications :

• l’agent conversationnel s’annonce, dès son premier message ;
• chaque article a un relecteur et un responsable. Une simple correction d’orthographe ne vaut pas relecture, précise la Commission.

La Commission a publié le 20 juillet 2026 ses lignes directrices sur l’article 50. Un code de bonnes pratiques, paru le 10 juin 2026, propose des icônes pour étiqueter les contenus générés. Notre note sur les agents IA décrit les autres règles à poser avant d’en ouvrir un au public.

Les usages à haut risque

À partir du 2 décembre 2027, l’entreprise qui utilise un système à haut risque suit l’article 26 :

• elle l’utilise selon la notice du fournisseur ;
• elle confie le contrôle humain à des personnes compétentes et formées ;
• elle garde les journaux du système au moins six mois ;
• elle informe les salariés et leurs représentants avant de s’en servir au travail ;
• elle informe les personnes visées par une décision prise avec l’outil.

Pour la notation de crédit et l’assurance vie ou santé, l’article 27 y ajoute une analyse d’impact sur les droits fondamentaux. Côté salariés, notre note sur la charte IA détaille la consultation du CSE.

6Quelles sanctions prévoit l’AI Act ?

L’article 99 fixe des plafonds d’amende, de 7,5 à 35 millions d’euros selon la règle enfreinte. Pour une PME, le plafond retenu est le plus faible des deux montants de chaque ligne.

Un calcul, avec un chiffre d’affaires choisi pour l’exemple : pour une PME à 4 millions d’euros, le plafond de la deuxième ligne est de 3 %, soit 120 000 euros. C’est un plafond : le texte demande des sanctions proportionnées, qui tiennent compte de la taille de l’entreprise.

L’article 4 est absent de cette liste. D’après la Commission, sa sanction relève du régime fixé par chaque État, et le règlement n’ouvre par lui-même aucun droit à indemnisation.

7Qui contrôle l’AI Act en France ?

Plusieurs autorités se partageront le contrôle, chacune dans son domaine. La loi qui les désigne reste à voter : le projet adopté par le Sénat le 18 février 2026 attend sa première lecture à l’Assemblée nationale.

Le schéma présenté par le Gouvernement en septembre 2025, que ce projet de loi reprend pour l’essentiel, prévoit :

• la CNIL : la plupart des pratiques interdites, la biométrie, l’emploi et la gestion du personnel ;
• la DGCCRF et l’Arcom : les techniques manipulatrices, les agents conversationnels, les contenus générés et les hypertrucages ;
• l’ACPR : la notation de crédit et la tarification de l’assurance vie et santé, chez les établissements qu’elle suit déjà.

La DGCCRF y tient le rôle de point de contact unique. Pour une question, la Commission européenne tient aussi un guichet en ligne, l’AI Act Service Desk : un calendrier à jour, le texte à parcourir, et un outil en version bêta qui situe un cas dans le règlement.

Questions fréquentes

Sur le même sujet

L’IA en entreprise : où elle fait gagner du temps, et ce qu’elle coûte IA Pour comprendre Lire la note Charte IA en entreprise : un modèle commenté et la méthode en cinq étapes IA Pour agir Lire la note Shadow AI : quand l’équipe utilise l’IA hors des outils de l’entreprise IA Pour comprendre Lire la note