AI Act : obligations et transparence pour les PME dès 2026

Ce qu'est l'AI Act, en une phrase

L'AI Act est le règlement européen (UE) 2024/1689 qui encadre le développement et l'usage des systèmes d'intelligence artificielle dans l'Union européenne, avec une approche graduée selon le niveau de risque de chaque usage : plus l'usage présente de risques pour les droits des personnes, plus les obligations sont strictes.

L'obligation qui concerne toutes les PME : la maîtrise de l'IA

Depuis le 2 février 2025, l'article 4 du règlement impose à toute entreprise utilisant des systèmes d'IA, y compris des outils grand public comme ChatGPT, Microsoft Copilot ou Claude, de garantir un niveau suffisant de maîtrise de l'IA pour ses collaborateurs. Cette obligation ne dépend d'aucun seuil d'effectif : une entreprise de trois salariés qui utilise un assistant IA pour rédiger ses emails commerciaux est concernée exactement comme une entreprise de 200 personnes.

Concrètement, cette obligation transforme la formation à l'IA générative d'un simple avantage compétitif en un élément de conformité réglementaire. Une entreprise qui laisserait ses équipes utiliser l'IA sans aucune sensibilisation aux risques et aux bonnes pratiques prend un risque de non-conformité, indépendamment de sa taille.

Ce qui change au 2 août 2026 : ce n'est pas l'obligation elle-même, qui existe depuis février 2025, mais le pouvoir de contrôle. À partir de cette date, les autorités peuvent effectivement contrôler et sanctionner un manquement à l'article 4. "Je ne savais pas" ne suffira plus comme réponse en cas de contrôle.

Les usages interdits, quelle que soit la taille de l'entreprise

L'AI Act interdit certains usages de l'intelligence artificielle sans exception de taille d'entreprise, notamment :

• La notation sociale des personnes à partir de leur comportement
• Les systèmes de manipulation comportementale exploitant des vulnérabilités
• Certaines formes de reconnaissance biométrique en temps réel dans l'espace public

Pour la grande majorité des PME qui utilisent l'IA générative pour de la rédaction, de l'analyse de données ou du support client, ces interdictions ne sont pas directement concernées. Elles marquent cependant les limites au-delà desquelles un usage devient illégal, quelle que soit l'intention initiale.

Depuis le 2 août 2026 : l'obligation de transparence (article 50)

L'article 50 du règlement est entré en application le 2 août 2026. Il impose deux choses concrètes à toute entreprise, quelle que soit sa taille :

• Prévenir une personne qu'elle échange avec un chatbot ou un assistant IA, sauf si c'est déjà évident dans le contexte.
• Marquer les contenus créés ou fortement retouchés par IA (textes, images, sons, vidéos) diffusés publiquement, y compris par un marquage lisible par une machine pour les deepfakes réalistes.

Une PME qui publie des visuels générés par IA sur son site ou ses réseaux sans le signaler, ou qui installe un chatbot sur sa page contact sans le présenter comme tel, est concernée dès maintenant. Respecter cette obligation suppose d'abord de savoir précisément quels usages de l'IA génèrent du contenu diffusé à des tiers, ce qui rejoint directement l'obligation de maîtrise de l'article 4 vue plus haut : sans équipe formée à reconnaître ces usages, impossible de les signaler correctement.

Le 2 août 2026 cumule donc deux échéances pour une PME :

• L'article 50 devient applicable pour la première fois (transparence, marquage).
• L'article 4, déjà en vigueur depuis février 2025, devient effectivement contrôlable et sanctionnable par les autorités à partir de cette même date.
• À l'inverse, les obligations les plus lourdes (systèmes à haut risque : recrutement, crédit, assurance, éducation) ont été reportées par un texte européen appelé Digital Omnibus, adopté fin juin 2026, à décembre 2027 voire août 2028 selon les cas. Ce report ne change rien à l'urgence des deux points précédents.

Comment se mettre en conformité concrètement

1. Identifier les usages actuels de l'IA dans l'entreprise, y compris les usages informels que les salariés pratiquent sans en parler.
2. Former les équipes aux bases : ce que l'outil peut et ne peut pas faire, ce qu'on a le droit d'y saisir, comment vérifier une réponse avant de l'utiliser.
3. Documenter les règles d'usage dans une note interne simple, même sommaire, plutôt que de laisser les pratiques se développer sans cadre écrit.
4. Croiser cette mise en conformité avec le RGPD, les deux réglementations se recoupent largement sur la question des données personnelles. Voir notre article sur le RGPD et l'IA générative.

C'est exactement ce point de départ, identifier les usages actuels et les zones de risque, que couvre l'audit IA, gratuit ou complet.

Pourquoi ce n'est pas qu'une contrainte

Le lien entre obligation réglementaire et formation des équipes joue en réalité en faveur des PME qui s'y prennent tôt. Une entreprise qui forme ses équipes pour se conformer à l'AI Act obtient, dans le même mouvement, une meilleure qualité d'usage de l'IA générative au quotidien : moins d'erreurs, moins de temps perdu à corriger des réponses mal cadrées, et une réduction du risque de fuite de données sensibles. Voir notre article pourquoi et comment former ses équipes à l'IA.

Questions fréquentes

Une TPE de 3 salariés est-elle vraiment concernée par l'AI Act ?

Oui, pour l'obligation de maîtrise de l'IA prévue à l'article 4. Aucun seuil d'effectif n'exonère une entreprise de cette obligation générale.

Faut-il un document formel pour être en conformité ?

Une note interne décrivant les usages autorisés et les précautions à prendre constitue déjà une base sérieuse. L'essentiel est que les équipes aient reçu une information et, idéalement, une formation adaptée à leur usage réel.

L'AI Act et le RGPD se contredisent-ils ?

Non, ils sont complémentaires : le RGPD encadre la protection des données personnelles, l'AI Act encadre l'usage des systèmes d'IA en tant que tels. Une entreprise conforme au RGPD n'est pas automatiquement conforme à l'AI Act, et inversement.

Le 2 août 2026 change-t-il quelque chose pour mon entreprise ?

Oui, à deux niveaux. D'abord, l'article 50 devient applicable : si votre entreprise utilise un chatbot ou diffuse des contenus générés ou retouchés par IA (visuels, textes, sons) sans le signaler, vous êtes concerné dès cette date. Ensuite, et c'est souvent oublié, l'obligation de maîtrise de l'IA de l'article 4, en vigueur depuis février 2025, devient à partir du 2 août réellement contrôlable et sanctionnable par les autorités. Une entreprise qui n'a jamais formé ses équipes ne pourra plus invoquer le flou du texte. C'est justement ce diagnostic, savoir ce qui vous concerne réellement et former vos équipes à y répondre, que je propose dans l'audit IA.