L'AI Act (ou règlement IA, règlement (UE) 2024/1689) s'applique de façon échelonnée, et au 4 octobre 2026 trois blocs sont déjà dus : les interdictions et la littératie IA depuis février 2025, les règles sur les modèles à usage général depuis août 2025, la transparence depuis le 2 août 2026. Les obligations sur les systèmes à haut risque, elles, sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
Ce report vient du Digital Omnibus IA, voté par le Parlement européen le 16 juin 2026, adopté par le Conseil le 29 juin et entré en vigueur le 27 juillet 2026 selon la Commission. Pour une PME, la question n'est donc plus « quand » mais « quoi faire maintenant » : cartographier ses usages, informer les utilisateurs d'un chatbot, former ses équipes. Pour un éditeur SaaS qui intègre un modèle tiers, il faut en plus savoir si l'on est fournisseur ou déployeur.
Les sanctions montent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, avec un plafond plus bas pour les PME. Mis à jour le 4 octobre 2026.
AI Act : le calendrier d'application au 4 octobre 2026
L'AI Act s'applique de façon échelonnée, et le calendrier a été modifié en 2026. Voici l'état des lieux, daté du 4 octobre 2026, avec la source officielle : la page de la Commission européenne sur le cadre réglementaire de l'IA.
| Date | Statut au 4 octobre 2026 | Ce qui s'applique |
|---|---|---|
| 1er août 2024 | En vigueur | Entrée en vigueur du règlement Règlement (UE) 2024/1689, publié au Journal officiel de l'UE le 12 juillet 2024. |
| 2 février 2025 | Applicable | Interdictions (article 5) et littératie IA (article 4) Scoring social, manipulation, certaines pratiques biométriques. Formation du personnel. |
| 2 août 2025 | Applicable | Gouvernance et modèles d'IA à usage général (GPAI) Obligations des fournisseurs de modèles. Code de bonnes pratiques GPAI publié en juillet 2025 (volontaire). |
| 2 août 2026 | Applicable | Date générale d'application, dont la transparence (article 50) Information en cas d'interaction avec une IA, contenus synthétiques, deepfakes. Pouvoirs de contrôle et d'amende de l'AI Office sur les GPAI. |
| 2 décembre 2026 | À venir | Délai de grâce du marquage machine et nouvelle interdiction Marquage lisible par machine des systèmes déjà sur le marché avant le 2 août 2026. Interdiction de la nudification et des contenus pédopornographiques. |
| 2 août 2027 | À venir | Bacs à sable réglementaires Date limite d'établissement par les États membres. |
| 2 décembre 2027 | Reporté | Haut risque autonome (annexe III) Biométrie, infrastructures critiques, éducation, emploi, migration. Initialement 2 août 2026. |
| 2 août 2028 | Reporté | Haut risque intégré à des produits (annexe I) Dispositifs médicaux, machines, jouets. Initialement 2 août 2027. |
Pour une PME qui utilise l'IA sans la développer, l'essentiel du calendrier tient en trois lignes : littératie et interdictions, déjà dues ; transparence, due depuis le 2 août 2026 ; haut risque, pas avant décembre 2027.
À vérifier
Le numéro exact du règlement modificatif (Omnibus) et sa date de publication au Journal officiel ne sont pas confirmés sur EUR-Lex par nos vérifications : la presse juridique évoque une signature le 8 juillet 2026 et une publication en juillet. Les dates de vote, elles, sont concordantes entre les sources (voir l'analyse de Quantic Avocats). Les lignes directrices de la Commission sur l'article 6 (classification haut risque), attendues en février 2026, et celles sur l'article 50, publiées en projet en mai 2026, n'ont pas de version finale confirmée à ce jour.
Digital Omnibus : ce qui a changé pour l'AI Act en 2026
Le Digital Omnibus IA est adopté et en vigueur. Voici les cinq évolutions à connaître. Mise à jour le 4 octobre 2026.
Le report du haut risque est adopté, plus seulement proposé
Le Digital Omnibus IA, proposé par la Commission le 19 novembre 2025, a fait l'objet d'un accord politique le 7 mai 2026. Le Parlement européen l'a voté le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions) et le Conseil l'a adopté le 29 juin 2026. Selon la Commission européenne, il est entré en vigueur le 27 juillet 2026. Les systèmes à haut risque autonomes (annexe III) passent du 2 août 2026 au 2 décembre 2027, ceux intégrés à des produits réglementés (annexe I) au 2 août 2028.
Pour votre PME : un outil de tri de CV ou de scoring dispose de plus de temps, mais la documentation se prépare dès maintenant.
La transparence de l'article 50 n'a pas été reportée
L'information des personnes qui échangent avec une IA, le marquage des contenus synthétiques et l'étiquetage des deepfakes s'appliquent depuis le 2 août 2026. Seule exception : un délai de grâce jusqu'au 2 décembre 2026 pour le marquage lisible par machine (article 50, paragraphe 2) des systèmes déjà sur le marché avant le 2 août 2026.
Pour votre PME : la mention « vous échangez avec une IA » sur vos chatbots doit être en place aujourd'hui.
Une nouvelle interdiction à l'article 5
L'Omnibus ajoute l'interdiction des applications de « nudification » et de la génération de contenus pédopornographiques. Les garde-fous techniques des fournisseurs sont attendus au 2 décembre 2026. Ces pratiques entrent dans la tranche de sanctions la plus lourde.
Pour votre PME : si vous intégrez un générateur d'images, demandez à votre fournisseur comment ce type de sortie est bloqué.
La littératie IA est assouplie, pas supprimée
L'article 4 oblige désormais fournisseurs et déployeurs à « soutenir le développement » de la littératie IA de leur personnel, au lieu de garantir un niveau précis, d'après l'analyse de Gibson Dunn.
Pour votre PME : une formation courte, adaptée aux rôles et tracée, suffit à rester dans le cadre.
Bacs à sable et pouvoirs de l'AI Office
Les États membres ont jusqu'au 2 août 2027 pour établir leurs bacs à sable réglementaires, avec un accès élargi et un bac à sable au niveau de l'UE. L'AI Office voit ses pouvoirs étendus : supervision des systèmes fondés sur un modèle d'IA à usage général du même fournisseur et des systèmes déployés sur les très grandes plateformes et moteurs de recherche. Les systèmes auto-évalués hors haut risque doivent rester enregistrés dans la base de données de l'UE, avec une procédure simplifiée, selon Freshfields.
Pour votre PME : ces points concernent surtout les éditeurs et les très grandes plateformes ; les PME utilisatrices n'ont rien à faire à ce stade.
Les normes harmonisées du comité CEN-CENELEC JTC 21, qui devaient être prêtes à l'automne 2025, sont en retard : leur livraison est visée au quatrième trimestre 2026 au plus tôt, et aucune n'est citée au Journal officiel. Il n'existe donc pas encore de présomption de conformité par application d'une norme (article 40). C'est la cause principale du report du haut risque.
Qu'est-ce que l'AI Act (règlement IA) et qui est concerné ?
Le règlement européen sur l'intelligence artificielle (AI Act, parfois écrit « IA Act », règlement (UE) 2024/1689) s'applique à toute organisation qui développe, met sur le marché ou utilise un système d'IA dans l'Union européenne. Le texte complet est consultable sur EUR-Lex.
Vous n'avez pas besoin de développer de l'IA pour être concerné. Vous l'êtes si votre entreprise :
- utilise un chatbot pour le service client ou en interne ;
- exploite des outils d'automatisation de processus basés sur l'IA ;
- recourt à l'IA pour le recrutement, le tri de CV ou l'évaluation de candidats ;
- utilise des assistants IA internes connectés à vos données ;
- embarque de l'IA dans un produit ou un logiciel que vous vendez.
Le règlement distingue plusieurs rôles. Les deux qui comptent pour une PME sont le déployeur (il utilise un système conçu par un tiers) et le fournisseur (il développe un système, ou le fait développer, pour le commercialiser sous son nom). La plupart des PME utilisatrices sont déployeuses, et leurs obligations sont plus légères que celles des fournisseurs.
Éditeur SaaS : fournisseur ou déployeur de l'AI Act ?
Un éditeur SaaS qui intègre un modèle tiers (via une API ou un modèle ouvert) est fournisseur de son propre système d'IA dès qu'il le met sur le marché sous son nom. Le fait que le modèle vienne d'un autre ne le transforme pas en simple déployeur.
La bascule la plus surveillée concerne le haut risque. L'article 25 prévoit qu'un déployeur ou un tiers devient fournisseur d'un système à haut risque dans trois cas, d'après l'analyse de donneespersonnelles.fr :
| Situation | Ce que dit l'article 25 | Exemple |
|---|---|---|
| Vous apposez votre nom ou votre marque | Vous devenez fournisseur du système à haut risque | Encapsuler une API tierce dans un produit vendu sous votre marque |
| Vous modifiez substantiellement le système | Modification non prévue par le fournisseur initial qui affecte la conformité ou la finalité (article 3, point 23) | Fine-tuner un modèle pour du scoring de CV en ressources humaines |
| Vous changez la destination | Vous rendez à haut risque un système qui ne l'était pas | Utiliser un assistant généraliste pour trier des candidatures |
Ce que cela change pour un éditeur
Tant que votre produit reste hors annexe III et hors annexe I, vos obligations principales sont la transparence (article 50), la littératie de vos équipes et le respect des interdictions. Si votre cas d'usage touche l'emploi, le crédit, l'éducation ou la biométrie, le statut de fournisseur de haut risque s'applique : documentation technique, gestion des risques, supervision humaine, marquage CE. L'échéance est désormais le 2 décembre 2027, mais un produit se conçoit plus d'un an à l'avance.
Les modèles à usage général : l'affaire de leur fournisseur
Les obligations sur les modèles d'IA à usage général s'appliquent depuis le 2 août 2025 à ceux qui les fournissent, avec un code de bonnes pratiques volontaire (transparence, droit d'auteur, sûreté). Les pouvoirs d'amende de l'AI Office sur ces modèles sont applicables depuis le 2 août 2026. Si vous construisez sur un modèle tiers, demandez à votre fournisseur la documentation prévue par le règlement : elle nourrit votre propre dossier.
AI Act : les 4 niveaux de risque et l'annexe III
L'AI Act classe les systèmes d'IA en quatre catégories de risque. Vos obligations dépendent directement du niveau de chaque usage.
| Niveau | Exemples | Obligations |
|---|---|---|
| Inacceptable (interdit) | Scoring social, manipulation subliminale, nudification | Interdit (article 5) |
| Haut risque | Tri de CV, évaluation de performance automatisée, scoring de crédit, éducation, biométrie (annexe III) | Documentation technique, gestion des risques, supervision humaine, registre. Dès le 2 décembre 2027 |
| Risque limité | Chatbot client, contenu généré par IA, deepfakes | Transparence (article 50), applicable depuis le 2 août 2026 |
| Risque minimal | Filtre anti-spam, correction orthographique, optimisation logistique | Aucune obligation spécifique, hors littératie |
La réalité pour la plupart des PME : vos usages sont en risque limité ou minimal. Un chatbot relève de la transparence. Une automatisation de processus interne sans effet sur les droits des personnes est en risque minimal.
Le basculement vers le haut risque tient à l'annexe III : si l'IA trie des CV, évalue des salariés ou décide de l'accès à un service essentiel, vous entrez dans une autre catégorie. Un cabinet d'avocats qui utilise l'IA doit en outre composer avec la sensibilité des données traitées.
Pratiques interdites : la vérification de l'article 5
Les pratiques interdites sont applicables depuis le 2 février 2025 : manipulation, exploitation de vulnérabilités, scoring social, certaines pratiques de biométrie ou de reconnaissance des émotions au travail. Pour une PME, la vérification tient en une question par outil : cet usage figure-t-il dans la liste de l'article 5 ? Les lignes directrices de la Commission sur les pratiques interdites, publiées en février 2025, détaillent les cas.
AI Act : les obligations concrètes d'une PME
Voici ce que l'AI Act impose concrètement à une PME déployeuse.
1. La littératie IA (article 4), depuis février 2025
Chaque entreprise qui utilise l'IA doit soutenir le développement de la littératie IA des personnes qui l'utilisent. Concrètement : former aux bases de fonctionnement de l'outil, expliquer les limites (hallucinations, biais, erreurs), adapter au rôle de chacun, garder une trace. Notre guide sur la formation IA en entreprise détaille le format.
2. La transparence (article 50), depuis août 2026
Si vos clients ou utilisateurs échangent avec un chatbot, ou reçoivent un contenu généré par IA, vous devez les informer clairement. Une mention visible dans l'interface suffit pour l'interaction, par exemple un bandeau « Vous échangez avec un assistant IA » dans un assistant IA interne. Le marquage lisible par machine des contenus synthétiques bénéficie d'un délai de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant le 2 août 2026.
La transparence est une obligation réglementaire. Les droits d'usage commercial d'un contenu généré en sont distincts : voir notre article sur l'usage commercial des sorties d'IA.
3. Le haut risque, à partir de décembre 2027
Pour un système de l'annexe III, les obligations deviennent contraignantes le 2 décembre 2027 : registre des systèmes, gestion des risques, conservation des logs, supervision humaine effective, information des personnes concernées. Dans la santé, s'y ajoutent les exigences RGPD de l'article 9 et la certification HDS, voir notre article sur le RGPD, HDS et IA pour les données de santé.
AI Act : sanctions et autorités de contrôle en France
Les sanctions de l'article 99, reprises par la version officielle du règlement, sont graduées :
| Type d'infraction | Amende maximale | Exemples |
|---|---|---|
| Pratiques interdites | 35 M€ ou 7 % du CA mondial | Scoring social, manipulation |
| Autres manquements | 15 M€ ou 3 % du CA mondial | Obligations des fournisseurs et des déployeurs, transparence |
| Informations inexactes | 7,5 M€ ou 1 % du CA mondial | Informations fausses ou incomplètes aux autorités |
Pour les PME, le plafond retenu est le plus bas des deux montants (le montant fixe ou le pourcentage). Ces chiffres sont ceux du règlement initial ; nous ne les avons pas vus modifiés par l'Omnibus, mais nous ne les avons pas revérifiés sur EUR-Lex. Selon plusieurs analyses, les allègements prévus pour les PME seraient étendus aux « small mid caps », sans que nous ayons pu confirmer leur contenu exact dans le texte final. Côté pratique, les interdictions s'appliquent depuis février 2025, les obligations GPAI depuis août 2025, et le pouvoir de sanction de l'AI Office sur les GPAI depuis août 2026, d'après Dastra.
À notre connaissance, aucune sanction ni contrôle nommé au titre de l'AI Act n'est documenté par une source primaire à ce jour. Le risque immédiat est surtout commercial : les donneurs d'ordre commencent à demander des garanties à leurs sous-traitants.
Qui contrôle en France ?
La France a choisi une gouvernance éclatée, d'une quinzaine d'autorités, présentée par la DGE et la DGCCRF et décrite sur le site entreprises.gouv.fr : la CNIL (biométrie, emploi, éducation), la DGCCRF (point de contact unique, coordination de la surveillance du marché, transparence), l'Arcom, l'ACPR pour le crédit, des autorités sectorielles, avec la DGE en coordination stratégique.
Cette répartition n'est pas encore en vigueur. Le projet de loi d'adaptation au droit de l'UE a été adopté par le Sénat le 18 février 2026 et transmis à l'Assemblée nationale le 20 février. Au 25 septembre 2026, l'Assemblée ne l'avait pas voté et aucune autorité n'était formellement désignée, d'après L'Usine Digitale. Une proposition de loi (n° 3149, enregistrée le 15 septembre 2026) demande une autorisation préalable des modèles à usage général et des amendes à 7 % : c'est une simple proposition, sans portée à ce stade.
AI Act : que faire maintenant, checklist et 6 étapes
Voici d'abord une grille d'auto-évaluation. Une case non cochée est un point d'action prioritaire.
Moins de 5 cases cochées ? Un audit IA fait le point en quelques jours et construit une analyse des écarts avec un plan d'action. Pour la partie données, notre checklist sécurité des données IA, RGPD et souveraineté complète la grille, et une IA souveraine répond aux cas où les données ne doivent pas quitter votre périmètre.
Les 6 étapes de mise en conformité
Voici la démarche que nous recommandons chez Tensoria aux PME et ETI. Elle est progressive et tient compte des ressources d'une structure intermédiaire.
Cartographier tous vos usages IA
Faites l'inventaire exhaustif de tous les systèmes d'IA utilisés dans votre entreprise. Cela inclut les outils "évidents" (chatbot, assistant) mais aussi les usages diffus : un commercial qui utilise ChatGPT pour rédiger des emails, un comptable qui exploite un outil de catégorisation automatique, etc. Notre guide du diagnostic IA interne détaille cette démarche.
Classifier chaque usage par niveau de risque
Pour chaque outil identifié, déterminez sa catégorie de risque selon les critères de l'AI Act. La question centrale : ce système a-t-il un impact sur les droits ou les opportunités des personnes ? Un chatbot d'information = risque limité. Un outil de pré-sélection de CV = haut risque.
Déployer la formation literacy IA
Formez l'ensemble des collaborateurs qui utilisent ou interagissent avec des systèmes d'IA. Le niveau de formation doit être adapté : un dirigeant a besoin de comprendre les enjeux stratégiques et réglementaires, un opérationnel a besoin de maîtriser les limites concrètes de l'outil qu'il utilise au quotidien.
Mettre en place la transparence
Pour tous les systèmes à risque limité : ajoutez les mentions d'information aux interfaces (chatbots, assistants, contenus générés par IA). Pour les systèmes à haut risque : documentez les mesures de transparence et d'information des personnes concernées.
Documenter et formaliser
Constituez votre dossier de conformité : registre des usages IA, analyses de risque, preuves de formation, politique d'utilisation de l'IA. Ce dossier est votre protection en cas de contrôle. Il est aussi un outil de pilotage interne précieux. Les organismes de formation connaissent un exercice voisin, mais spécifique et déjà normé : le dossier de preuve Qualiopi, exigé indicateur par indicateur lors de chaque audit.
Mettre en place une gouvernance continue
La conformité n'est pas un projet one-shot. Désignez un référent IA, planifiez des revues trimestrielles de vos usages, et intégrez l'évaluation AI Act dans votre processus d'adoption de tout nouvel outil IA. Pour mesurer la valeur de cette démarche, consultez notre guide sur le ROI des projets IA.
Documentation
Un dossier de conformité minimal contient : le registre des usages IA, la classification par risque, les preuves de formation, la politique d'utilisation de l'IA et, pour un éditeur, la documentation reçue des fournisseurs de modèles. Un diagnostic IA interne produit la majeure partie de ces éléments.
ISO 42001 et AI Act : la norme peut-elle servir de preuve ?
ISO/IEC 42001 est une norme de système de management de l'IA, certifiable, publiée en décembre 2023. Elle structure la gouvernance (politique, rôles, analyse de risque, amélioration continue) et prépare bien la documentation attendue par l'AI Act.
En revanche, elle ne vaut pas conformité. Aucune norme harmonisée du JTC 21 n'est encore citée au Journal officiel, donc aucune présomption de conformité au sens de l'article 40 ne joue aujourd'hui. Pour une PME, l'ISO 42001 est un accélérateur de gouvernance, pas un laissez-passer. Notre article sur l'ISO 42001 en entreprise détaille ce que couvre la certification et à qui elle s'adresse.
Le rôle de l'audit IA dans la conformité AI Act
Un audit IA est le meilleur point de départ, car il répond à trois questions :
Quels systèmes IA utilisez-vous réellement, y compris les outils adoptés sans validation de la direction ?
Où se situent ces usages sur l'échelle de risque, et dans quel rôle (fournisseur ou déployeur) ?
Comment combler l'écart avec la conformité, dans quel ordre et à quelle échéance ?
Chez Tensoria, nos audits IA à Toulouse et en France couvrent la dimension AI Act : inventaire des usages, classification par risque, écarts identifiés et plan d'action priorisé selon le calendrier ci-dessus.
Questions fréquentes sur l'AI Act (IA Act) en 2026
Pour aller plus loin
Source de référence : le règlement (UE) 2024/1689 sur EUR-Lex. Le site France Num propose aussi des ressources pour les TPE et PME.
AI Act : structurez votre conformité sans attendre
Transparence due depuis le 2 août 2026, haut risque à fin 2027 ou 2028 : les échéances ont bougé, pas l'intérêt d'une cartographie claire. Un audit IA Tensoria livre l'inventaire de vos usages, leur classification par risque et un plan d'action. Premier échange de 30 minutes, sans engagement.
Évaluer ma conformité AI Act →
