AI Act et PME : ce qui s'applique vraiment en 2026

Le calendrier que vous avez lu l'an dernier n'est plus le bon. Un texte européen adopté le 8 juillet 2026, entré en vigueur le 27 juillet 2026, a repoussé une grande partie des obligations sur les systèmes à haut risque.

Pour une PME qui utilise l'IA sans la développer, trois choses seulement comptent aujourd'hui. Vous devez veiller à ce que vos équipes sachent utiliser ces outils. Vous devez signaler certains contenus produits par IA. Et vous devez faire attention aux données que vous y mettez, ce qui relève du RGPD, pas du règlement IA.

Le reste, notamment les obligations lourdes sur les usages dits à haut risque, s'applique à partir du 2 décembre 2027.

Le règlement européen sur l'intelligence artificielle distingue le fournisseur, qui conçoit et met sur le marché un système d'IA, et le déployeur, qui l'utilise.

Le texte définit le déployeur comme toute personne physique ou morale utilisant un système d'IA sous sa propre autorité, sauf usage personnel non professionnel.

Une PME qui fait rédiger des réponses par ChatGPT, qui active Copilot sur ses postes ou qui installe un agent branché sur son CRM est déployeur. Elle n'est pas fournisseur. C'est une bonne nouvelle : la majorité des obligations lourdes pèsent sur le fournisseur.

Le règlement est entré en vigueur le 1er août 2024, avec une application par étapes.

Les interdictions et l'obligation de maîtrise de l'IA s'appliquent depuis le 2 février 2025. Les règles sur les modèles à usage général s'appliquent depuis le 2 août 2025. Les obligations de transparence s'appliquent depuis le 2 août 2026.

C'est la suite qui a bougé. Un règlement de simplification, adopté le 8 juillet 2026 et entré en vigueur le 27 juillet 2026, décale les systèmes à haut risque listés à l'annexe III au 2 décembre 2027, et ceux intégrés dans des produits déjà réglementés au 2 août 2028. Les secteurs concernés par ce report sont notamment la biométrie, les infrastructures critiques, l'éducation, l'emploi, les services essentiels, la police, la justice et la gestion des frontières.

Beaucoup d'articles publiés en France répètent encore le calendrier d'avant. Vérifiez toujours la date de mise à jour de ce que vous lisez sur ce sujet.

L'article 4 du règlement demande aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte. Le texte demande de tenir compte des connaissances techniques, de l'expérience, de la formation et du contexte d'utilisation.

Cet article s'applique depuis le 2 février 2025. La Commission européenne indique que les règles de supervision et de sanction correspondantes s'appliquent, elles, à partir du 3 août 2026.

Il n'y a pas d'exemption pour les petites entreprises, et il n'y a pas de diplôme à obtenir. Ce que le texte demande est proportionné : que les gens qui utilisent l'outil sachent ce qu'il fait, ce qu'il ne fait pas, et ce qu'ils n'ont pas le droit d'y mettre.

Dans une PME, la réponse doit rester proportionnée, mais elle ne se résume pas à un modèle universel. Le format dépend des outils, des usages et des personnes concernées. Ce qui compte, c'est de pouvoir montrer que les règles sont comprises, appliquées et suivies.

Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. La plupart pèsent sur le fournisseur.

C'est au fournisseur de faire en sorte qu'un système conçu pour interagir directement avec des personnes les informe qu'elles parlent à une IA. C'est aussi au fournisseur de marquer les contenus synthétiques dans un format lisible par machine.

Deux obligations retombent en revanche sur vous, en tant que déployeur.

Si vous diffusez une image, un son ou une vidéo constituant un hypertrucage, vous devez indiquer que le contenu a été généré ou manipulé artificiellement.

Si vous publiez un texte destiné à informer le public sur des questions d'intérêt public et que ce texte a été généré ou manipulé par IA, vous devez le signaler.

La Commission précise que certains cas restent en dehors : les fonctions d'assistance à la rédaction standard, les échanges de machine à machine, les contenus qui restent sous contrôle éditorial humain, et les interactions manifestement authentiques. Une relance client rédigée avec l'aide d'un assistant, relue et envoyée par un humain, n'entre pas dans le champ.

Un délai de grâce est prévu jusqu'à décembre 2026 pour le marquage des contenus produits par des systèmes déjà sur le marché avant le 2 août 2026.

C'est la question qui inquiète le plus, et la réponse est plus simple qu'il n'y paraît : c'est l'usage qui décide, pas l'outil.

L'annexe III liste huit domaines : la biométrie, les infrastructures critiques, l'éducation et la formation professionnelle, l'emploi et la gestion des travailleurs, l'accès aux services essentiels, les activités répressives, la migration et l'asile, l'administration de la justice.

Le point 4, sur l'emploi, est celui qui concerne le plus de PME sans qu'elles s'en rendent compte. Il vise les systèmes utilisés pour le recrutement ou la sélection de personnes, notamment pour diffuser des offres ciblées, analyser et filtrer des candidatures et évaluer des candidats. Il vise aussi les systèmes utilisés pour prendre des décisions affectant la relation de travail, la promotion, la rupture du contrat, l'attribution des tâches selon le comportement, ou le suivi et l'évaluation de la performance.

Traduction concrète. Faire résumer une réunion par une IA n'est pas un usage à haut risque. Faire trier automatiquement des CV, ou noter la performance des salariés à partir de leurs traces d'activité, l'est. Et depuis le règlement de juillet 2026, ces obligations ne s'appliqueront qu'à partir du 2 décembre 2027.

Si vous avez ce type de projet, c'est maintenant qu'il faut en parler, pas en novembre 2027.

Le règlement IA fait beaucoup de bruit. Dans les faits, le risque le plus immédiat pour une PME reste le RGPD.

La CNIL a publié une position claire : quand l'usage envisagé consiste à fournir des données personnelles de clients ou de collaborateurs, ou de la documentation sensible ou stratégique, il semble généralement plus opportun et plus sécurisé de privilégier le déploiement de solutions sur site. Et c'est l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel.

Cela rejoint une question que nous traitons souvent : savoir qui, juridiquement, peut accéder à vos données. Le pays du datacenter ne répond pas à cette question, comme nous l'expliquons dans notre article sur les outils soumis au droit américain et dans celui sur le cloud souverain.

Une règle interne est un bon point de départ, mais son périmètre dépend des outils, des données et des accès de l'entreprise. WiFeel transforme ces usages en règles adaptées et en contrôles concrets, sans appliquer une matrice identique partout. C'est la même logique que la mise en conformité RGPD.

Le règlement prévoit plusieurs niveaux. Les pratiques interdites peuvent être sanctionnées jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Les manquements aux obligations des déployeurs et à l'article 50 peuvent l'être jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.

Un point est rarement cité et il compte pour vous. Le texte prévoit que pour les PME, c'est le montant le plus faible qui s'applique, et non le plus élevé.

Reste que ces plafonds ne sont pas le sujet d'une entreprise de dix personnes. Le vrai coût d'un mauvais usage de l'IA dans une PME, c'est une donnée client qui sort, un devis erroné envoyé, ou une décision prise sur une information inventée.

Cet article présente le cadre général. Il ne remplace pas l'avis d'un conseil juridique sur votre situation particulière.

Une mise en ordre IA commence par une cartographie structurée des usages et des accès. La manière de prioriser les contrôles dépend ensuite de l'environnement de l'entreprise et fait partie du diagnostic.

Prenez rendez-vous avec WiFeel pour faire le point sur vos postes, vos accès et vos outils. Gratuit et sans engagement, à Montpellier, Nîmes, Perpignan et en Occitanie.