AI Act : ce qui s'applique déjà à votre PME en 2026

Ce qui est déjà en vigueur en 2026

Le règlement européen sur l'intelligence artificielle, le règlement (UE) 2024/1689, est entré en vigueur en août 2024. Depuis, il se déploie par étapes successives plutôt que d'un bloc. Les pratiques jugées inacceptables sont interdites depuis février 2025. Les obligations visant les fournisseurs de modèles à usage général s'appliquent depuis août 2025. Et depuis août 2026, une nouvelle obligation concerne directement les PME qui utilisent l'IA dans leur relation avec leurs clients ou leurs salariés : la transparence.

Un calendrier par étapes, pas un couperet unique

Pour un dirigeant de PME, ce déploiement progressif change la façon d'aborder le sujet. Il ne s'agit pas d'un texte qui tombe d'un coup et qu'il faudrait absorber en urgence, mais d'une série d'échéances qui arrivent les unes après les autres, chacune avec son propre périmètre. Cela laisse le temps de traiter les obligations déjà applicables sans attendre d'avoir tout compris du règlement dans son ensemble. La bonne approche consiste à identifier d'abord ce qui s'applique à votre activité aujourd'hui, puis à surveiller les échéances suivantes au fur et à mesure qu'elles se rapprochent, plutôt que de chercher à tout anticiper en une seule fois.

L'obligation de transparence, la plus concrète pour une PME

L'article 50 du règlement impose d'informer une personne lorsqu'elle interagit avec un système d'IA, dès que ce n'est pas déjà évident pour elle. Concrètement, un chatbot sur votre site doit se présenter comme tel. Un contenu généré ou modifié par IA, en particulier une image ou une vidéo qui pourrait passer pour réelle, doit être signalé comme tel. Si vous utilisez l'IA pour produire des visuels marketing, des comptes rendus, ou un assistant de réservation, cette obligation vous concerne déjà, que votre entreprise compte cinq ou deux cents salariés.

Des situations concrètes où l'obligation s'applique

En pratique, cette obligation touche des usages très courants dans une PME, souvent installés sans réflexion préalable sur la transparence. Un artisan qui installe un agent de prise de rendez-vous sur son site doit indiquer que la personne échange avec un système automatisé. Une boutique en ligne qui génère ses visuels produits avec un outil d'IA doit le signaler si l'image pourrait être confondue avec une photo réelle. Un cabinet qui utilise l'IA pour rédiger des comptes rendus de réunion destinés à des clients externes doit s'assurer que cette origine reste identifiable. Ces exemples couvrent une bonne partie des usages qu'on retrouve dans une petite structure, même quand l'IA n'a été introduite qu'à titre expérimental par un seul collaborateur.

Comment signaler sans alourdir l'expérience client

Signaler un usage d'IA ne demande pas un dispositif lourd. L'essentiel est que l'information soit visible au moment de l'interaction, et non reléguée dans une page de mentions légales que personne ne consulte. Un nom explicite pour l'assistant conversationnel, une mention discrète mais lisible en haut d'une fenêtre de chat, une légende sous un visuel généré : ce type de signalement suffit dans la grande majorité des cas. L'objectif du règlement n'est pas de dissuader l'usage de l'IA, mais d'éviter qu'une personne pense échanger avec un humain ou regarder un contenu authentique alors que ce n'est pas le cas.

Les pratiques interdites depuis février 2025

Certains usages sont proscrits depuis février 2025 : la manipulation comportementale qui contourne le discernement d'une personne, la notation sociale généralisée, ou certaines formes de reconnaissance des émotions sur le lieu de travail. Peu de PME industrielles sont concernées en tant qu'utilisatrices directes, mais un éditeur ou un intégrateur qui vous propose une solution doit pouvoir expliquer qu'il les respecte.

Ce qu'il faut vérifier auprès d'un éditeur ou d'un intégrateur

Avant de retenir un outil d'IA, qu'il s'agisse d'un chatbot commercial, d'un logiciel de tri de CV ou d'une solution de vidéosurveillance intelligente, il est raisonnable de demander au fournisseur comment son produit se positionne par rapport à ces interdictions. Un éditeur sérieux doit pouvoir répondre sans détour, en particulier si son outil traite des données sur des salariés ou évalue des personnes d'une manière ou d'une autre. L'absence de réponse claire, ou une réponse évasive, est un signal qui mérite d'être pris au sérieux avant de signer un contrat.

Ce que le Digital Omnibus a changé cette année

Un texte de simplification, proposé en novembre 2025 et entré en vigueur le 27 juillet 2026, a modifié plusieurs échéances du règlement. L'omnibus ajoute aussi deux interdictions : la génération d'images intimes sans le consentement de la personne représentée, et la génération de contenus d'exploitation sexuelle d'enfants. L'obligation de soutenir le développement des compétences en IA de vos équipes reste en vigueur, mais sa formulation a évolué : le texte demande aux entreprises de prendre des mesures pour accompagner cette montée en compétence, sans exiger de garantir un niveau précis ni un format imposé.

Obligation de moyens plutôt que de résultat, concrètement

Cette nuance change la façon dont une PME peut aborder la formation de ses équipes à l'IA. Il ne s'agit pas de faire passer un examen ou de délivrer une certification, mais de mettre en place des actions raisonnables : une session de présentation des outils utilisés, un temps d'échange sur les bons réflexes, une documentation interne sur ce que l'entreprise attend et n'attend pas de l'IA. Ce qui compte, c'est la démarche engagée, pas un résultat mesuré selon un barème imposé. Une PME qui organise ce type d'accompagnement, même modeste, se met en position de répondre sereinement à cette obligation.

Ce qui reste devant vous

Les obligations les plus lourdes, celles qui visent les systèmes dits à haut risque comme le recrutement automatisé, le scoring de crédit ou certains usages médicaux, s'appliquent à partir du 2 décembre 2027 pour les systèmes listés à l'annexe III du règlement, et du 2 août 2028 pour ceux intégrés à des produits déjà réglementés par ailleurs. Si vous n'envisagez pas ce type de système, vous avez le temps devant vous. Si un projet de ce genre est à l'étude, autant le concevoir avec cette échéance en tête plutôt que de la découvrir après coup.

Se préparer sans attendre l'échéance

Pour une PME qui envisage, par exemple, un outil de tri automatisé des candidatures ou un système d'évaluation de dossiers de crédit, le plus efficace est d'intégrer cette échéance dès la phase de cadrage du projet, avant tout développement. Un projet conçu avec cette contrainte en tête coûte généralement moins cher à ajuster qu'un projet déjà en production qu'il faut ensuite mettre en conformité dans l'urgence. C'est un point à évoquer explicitement lors d'un diagnostic, dès qu'un projet touche potentiellement à ce type de système à haut risque.

Ce qu'une PME peut faire dès maintenant

Pas besoin d'un service juridique pour avancer sur ce sujet. La première étape consiste à lister les usages de l'IA dans votre entreprise, même ponctuels ou portés par un seul collaborateur sur son poste : un assistant de rédaction, un outil de retouche d'image, un chatbot installé en quelques clics sur le site marchand. Beaucoup de dirigeants découvrent à ce moment-là que l'IA est déjà plus présente qu'ils ne le pensaient, souvent sans cadre défini.

Vient ensuite la vérification : chaque interaction avec un client ou un salarié qui passe par l'IA doit être signalée comme telle, dans l'interface elle-même plutôt que dans une page de mentions légales que personne ne lit. Et pour finir, demandez à vos prestataires, par écrit, où vos données sont hébergées et si elles servent à entraîner un modèle ailleurs que chez vous. Notre mémo IA responsable reprend ces points avec des exemples concrets d'application, adaptés à une structure qui n'a pas de juriste à temps plein.

Checklist de mise en conformité minimale

• Lister tous les outils d'IA utilisés dans l'entreprise, y compris ceux installés par un seul collaborateur sans validation formelle.
• Vérifier, pour chaque outil qui interagit avec un client ou un salarié, si sa nature d'IA est signalée de façon visible dans l'interface.
• Demander par écrit à chaque prestataire où sont hébergées vos données et si elles alimentent l'entraînement d'un modèle.
• Repérer les usages qui pourraient relever d'une pratique interdite, notamment tout ce qui touche à l'évaluation ou à la notation de personnes.
• Mettre en place une action simple d'accompagnement des équipes sur l'usage de l'IA, même modeste.
• Noter les échéances à venir concernant les systèmes à haut risque si un projet de ce type est envisagé.

Erreurs fréquentes à éviter

La première erreur consiste à penser que le sujet ne concerne que les grandes entreprises dotées d'un service juridique. L'obligation de transparence s'applique dès qu'une interaction a lieu avec un client ou un salarié, indépendamment de la taille de la structure. La deuxième erreur est de placer l'information sur l'usage de l'IA dans un endroit que personne ne lit, comme le bas d'une page de mentions légales, au lieu de la rendre visible au moment de l'interaction elle-même. La troisième est de ne jamais interroger ses prestataires sur l'hébergement des données, en partant du principe qu'un outil grand public est nécessairement conforme. La quatrième, plus subtile, est de considérer que l'obligation de formation des équipes disparaît parce qu'elle a été assouplie par le Digital Omnibus : elle reste en vigueur, seule son intensité a changé.

Questions à poser à un prestataire avant de choisir une solution d'IA

Quelques questions simples permettent de clarifier la situation avant de s'engager. Où mes données sont-elles hébergées, et servent-elles à entraîner un modèle en dehors de mon entreprise ? Comment votre outil signale-t-il à l'utilisateur qu'il interagit avec une IA ? Votre solution touche-t-elle, même indirectement, à l'évaluation de personnes, à leur notation, ou à la reconnaissance de leurs émotions ? Si mon projet évolue vers un usage plus sensible, comme le tri de candidatures, comment cela est-il pris en compte dans votre offre ? Ces réponses, obtenues par écrit, constituent une base solide pour documenter votre démarche de conformité.

La plupart de ces vérifications ne demandent pas un audit juridique complet ni un budget dédié. Quand le doute porte sur un projet précis, comme l'introduction d'un agent IA dans une relation client existante, un diagnostic offert permet de clarifier ce qui s'applique réellement à votre cas avant d'engager quoi que ce soit. Nos pages accompagnement et cas d'usage détaillent la façon dont nous cadrons ce type de projet en amont, justement pour éviter les mauvaises surprises réglementaires une fois le système en production.

Sources

• Cadre réglementaire sur l'IA, Commission européenne
• Règlement (UE) 2024/1689 (AI Act)
• Règlement (UE) 2024/1689, version consolidée au 27/07/2026

Questions fréquentes

Mon entreprise utilise un outil d'IA en interne, suis-je concerné par l'AI Act ?

Si l'outil interagit avec vos clients ou produit un contenu visible en externe sans le signaler, l'obligation de transparence s'applique. Un usage strictement interne reste hors de cette obligation précise, mais vérifiez tout de même les conditions du fournisseur sur l'hébergement de vos données.

Que risque une PME qui ignore l'obligation de transparence ?

Le règlement prévoit des sanctions en cas de manquement. Nous n'en citons pas le montant ici, parce qu'il dépend de la nature du manquement : pour votre situation précise, reportez-vous au texte du règlement ou à votre conseil juridique.

Le Digital Omnibus a-t-il supprimé l'obligation de former mes salariés à l'IA ?

Non. Il l'a reformulée en obligation de moyens plutôt que de résultat : vous devez prendre des mesures pour accompagner la montée en compétences de vos équipes, sans devoir garantir un niveau précis ni imposer un format de formation donné.

À partir de quand les règles sur les systèmes à haut risque s'appliquent-elles ?

Le 2 décembre 2027 pour les systèmes listés à l'annexe III, comme le recrutement automatisé ou le scoring de crédit. Le 2 août 2028 pour ceux qui sont intégrés à des produits déjà réglementés par ailleurs, comme certains dispositifs médicaux.