L'AI Act est entré en vigueur le 1er août 2024. C'est le premier règlement au monde à encadrer l'intelligence artificielle de manière globale. Et contrairement à ce que beaucoup de dirigeants de PME pensent encore, il ne concerne pas que les GAFAM ou les startups deep tech.
Dès février 2025, les premières obligations sont devenues effectives. En août 2025, de nouvelles règles ont suivi pour les fournisseurs de modèles à usage général. Le calendrier initial prévoyait qu'en août 2026, l'essentiel du règlement, y compris les obligations sur les systèmes à haut risque, serait pleinement applicable. Un règlement dit Digital Omnibus, adopté par le Parlement européen puis le Conseil de l'Union européenne en juin 2026, a révisé ce calendrier : les obligations de transparence restent dues le 2 août 2026, mais celles sur les systèmes à haut risque sont reportées à fin 2027, voire 2028 selon les cas. Pour les PME qui utilisent l'IA au quotidien, chatbots, automatisations, assistants internes, les priorités ont changé, mais la vigilance reste de mise.
Les sanctions ne sont pas symboliques : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial. Mais la bonne nouvelle, c'est que pour la majorité des PME, la mise en conformité est tout à fait accessible, à condition de s'y prendre méthodiquement. Ce guide vous explique concrètement ce qui vous concerne, ce que vous devez faire, et par où commencer, avec le calendrier à jour au 1er août 2026.
Ce qui a changé récemment
Le calendrier de l'AI Act a bougé depuis l'entrée en vigueur du texte. Voici, en date du 1er août 2026, les cinq évolutions à connaître avant de lire la suite de ce guide.
Le calendrier du haut risque a été repoussé
Le Parlement européen a adopté le 16 juin 2026 un règlement dit Digital Omnibus modifiant l'AI Act, ensuite validé formellement par le Conseil de l'Union européenne le 29 juin 2026. Il reporte les obligations sur les systèmes à haut risque autonomes (annexe III : recrutement, scoring de crédit, éducation) du 2 août 2026 au 2 décembre 2027. Les systèmes à haut risque intégrés à des produits déjà réglementés (annexe I) bénéficient d'un délai supplémentaire, jusqu'au 2 août 2028. Source : Conseil de l'Union européenne, juin 2026.
Pour votre PME : si vous utilisez un outil de tri de CV ou de scoring, vous avez jusqu'à fin 2027 pour finaliser documentation et supervision humaine. Autant avancer sans attendre la dernière minute.
Le marquage des contenus IA reporté, la transparence maintenue
Le filigrane technique et le marquage automatisé des contenus générés par IA, prévus à l'article 50, sont reportés au 2 décembre 2026. En revanche, l'obligation d'informer un utilisateur qu'il échange avec une IA reste due dès le 2 août 2026, sans report. Source : analyse du Digital Omnibus, juillet 2026.
Pour votre PME : la mention visible "vous échangez avec une IA" sur vos chatbots doit être en place dès le 2 août 2026. Le marquage technique plus poussé peut attendre quelques mois.
Deux nouvelles pratiques interdites
Le Digital Omnibus ajoute à la liste des pratiques interdites de l'article 5 les systèmes conçus pour générer des images ou vidéos intimes non consenties de personnes réelles ("nudification") ainsi que les systèmes générant du contenu pédopornographique. Ces interdictions entrent en vigueur le 2 décembre 2026, avec les sanctions les plus lourdes du règlement : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial. Source : analyse du Digital Omnibus, juillet 2026.
Pour votre PME : peu d'entreprises sont concernées directement, mais toute structure qui édite ou intègre un outil de génération d'images doit vérifier auprès de son fournisseur que ce type de sortie est techniquement bloqué.
Le régime allégé élargi aux "small mid caps"
Le texte crée une nouvelle catégorie, les "small mid caps" : entreprises de moins de 750 salariés et moins de 150 millions d'euros de chiffre d'affaires annuel. Ces entreprises accèdent à des modèles de documentation simplifiés, une gestion de la qualité proportionnée, un accès prioritaire aux bacs à sable réglementaires et des amendes adaptées à leur taille. Source : synthèse Digital Omnibus, juillet 2026.
Pour votre PME : si vous restez sous ces seuils, vos obligations documentaires seront allégées par rapport au texte initial. À vérifier avec votre référent IA quand les modèles simplifiés seront publiés.
La CNIL confirmée comme régulateur pivot en France, mais pas seule
La loi française d'adaptation au droit européen, qui transpose l'AI Act, confie à la CNIL le rôle d'autorité de surveillance du marché pour les systèmes d'IA traitant des données personnelles, avec une validation par le Sénat le 17 février 2026. La France a toutefois choisi une gouvernance répartie par secteur : l'ACPR pour la finance, l'ANSM et la HAS pour le médical, l'Arcom pour l'audiovisuel, la DGCCRF pour les pratiques interdites, et la DGE pour la coordination stratégique. Source : synthèse des autorités compétentes AI Act en France, 2026.
Pour votre PME : hors secteurs réglementés (santé, finance, audiovisuel), la CNIL reste votre interlocuteur de référence pour toute question de conformité IA.
Qu'est-ce que l'AI Act et pourquoi ça concerne votre PME ?
Le Règlement européen sur l'intelligence artificielle (AI Act, Règlement UE 2024/1689) est un texte législatif adopté le 13 juin 2024 par le Parlement européen. Il s'applique à toute organisation qui développe, met sur le marché ou utilise un système d'IA au sein de l'Union européenne.
Le mot-clé est "utilise". Vous n'avez pas besoin de développer de l'IA pour être concerné. Si votre entreprise :
- → Utilise un chatbot pour le service client ou en interne
- → Exploite des outils d'automatisation de processus basés sur l'IA
- → Recourt à l'IA pour le recrutement, le tri de CV ou l'évaluation de candidats
- → Utilise des assistants IA internes connectés à vos données d'entreprise
- → Déploie des outils de prévision, scoring ou recommandation
...alors l'AI Act vous concerne directement. L'action de la CNIL sur l'IA confirme que la conformité sera contrôlée, y compris pour les PME.
Point essentiel : l'AI Act distingue les "fournisseurs" (ceux qui développent l'IA) des "déployeurs" (ceux qui l'utilisent). La majorité des PME sont des déployeurs. Les obligations sont moins lourdes que pour les fournisseurs, mais elles existent bel et bien.
Le calendrier de l'AI Act : qu'est-ce qui s'applique déjà ?
L'AI Act ne s'applique pas d'un coup. Le législateur avait prévu une mise en application progressive sur 3 ans, et ce calendrier a lui-même été révisé au printemps et à l'été 2026 par le règlement Digital Omnibus. Voici la version à jour que tout dirigeant doit connaître :
2 février 2025 : Interdictions & Literacy IA
Les pratiques d'IA interdites (manipulation, scoring social, surveillance biométrique de masse) sont bannies. L'obligation de literacy IA (article 4) entre en vigueur : vos équipes doivent comprendre les outils IA qu'elles utilisent.
2 août 2025 : Modèles à usage général (GPAI)
Les obligations pour les fournisseurs de modèles d'IA à usage général (comme GPT-4, Claude, Mistral) entrent en vigueur. Cela concerne surtout les éditeurs, mais impacte aussi les PME utilisatrices en termes de transparence sur les outils utilisés.
2 août 2026 : Transparence et gouvernance nationale
L'échéance qui concerne le plus de PME. Les obligations de transparence de l'article 50 (informer qu'on échange avec une IA), les pouvoirs de contrôle de la Commission sur les modèles à usage général et le cadre de gouvernance nationale (CNIL et autorités sectorielles en France) deviennent pleinement applicables. Les obligations sur les systèmes à haut risque, elles, ont été reportées (voir ci-dessous).
2 décembre 2026 : Marquage des contenus IA et nouvelles interdictions
Le marquage technique (filigrane) des contenus générés par IA devient obligatoire. C'est aussi la date d'entrée en vigueur des deux nouvelles pratiques interdites ajoutées par le Digital Omnibus (génération d'images intimes non consenties et de contenu pédopornographique).
2 décembre 2027 : Systèmes à haut risque autonomes (annexe III)
Reportée du 2 août 2026 à cette date par le Digital Omnibus, c'est le moment auquel les obligations complètes (documentation, supervision humaine, registre) s'appliquent aux systèmes à haut risque autonomes : recrutement, scoring de crédit, éducation notamment.
2 août 2028 : Systèmes à haut risque intégrés à des produits (annexe I)
Dernier délai pour les systèmes à haut risque qui sont des composants de sécurité de produits déjà réglementés par ailleurs (machines, dispositifs médicaux, jouets, etc.).
Attention : l'obligation de literacy IA (article 4) est déjà en vigueur depuis février 2025. Si vos équipes utilisent des outils IA sans formation adaptée, votre entreprise est d'ores et déjà en infraction potentielle, indépendamment du report des règles sur le haut risque. Un diagnostic IA interne permet de faire le point rapidement.
Les 4 niveaux de risque IA : où se situe votre entreprise ?
L'AI Act classe les systèmes d'IA en 4 catégories de risque. C'est le coeur du règlement : vos obligations dépendent directement du niveau de risque de chaque usage IA dans votre entreprise.
| Niveau | Exemples PME | Obligations |
|---|---|---|
| Inacceptable (interdit) | Scoring social des employés, manipulation subliminale, surveillance biométrique temps réel | Interdit. Arrêt immédiat. |
| Haut risque | IA de recrutement/tri de CV, scoring crédit, évaluation de performance automatisée, sécurité des produits | Documentation technique, gestion des risques, contrôle humain, transparence, registre |
| Risque limité | Chatbot client, générateur de contenu IA, deepfakes, systèmes de recommandation | Obligation de transparence : informer que l'utilisateur interagit avec une IA |
| Risque minimal | Filtre anti-spam, correction orthographique IA, optimisation logistique interne | Aucune obligation spécifique (hors literacy) |
La réalité pour la plupart des PME : vos usages se situent probablement dans les catégories risque limité et risque minimal. Un chatbot relève du risque limité (obligation de transparence). Une automatisation de processus interne sans impact sur les droits des personnes relève du risque minimal.
Mais attention : si vous utilisez l'IA pour trier des CV, évaluer des employés ou prendre des décisions ayant un impact sur des personnes, vous êtes potentiellement dans le haut risque, avec des obligations bien plus exigeantes. Les cabinets d'avocats qui utilisent l'IA sont particulièrement concernés par ces enjeux de conformité, compte tenu de la nature sensible des données qu'ils traitent.
Obligations concrètes de l'AI Act pour les PME
Passons aux actes. Voici ce que l'AI Act impose concrètement aux PME en tant que déployeurs de systèmes d'IA :
1. La literacy IA (article 4), obligatoire depuis février 2025
C'est l'obligation la plus transversale et la plus souvent ignorée. Chaque entreprise qui utilise l'IA doit garantir que les personnes qui interagissent avec des systèmes d'IA disposent d'un niveau suffisant de compréhension de ces outils.
Concrètement, cela signifie :
- Former vos collaborateurs aux bases du fonctionnement de l'IA qu'ils utilisent
- Leur expliquer les limites et risques (hallucinations, biais, erreurs)
- Adapter la formation au niveau technique et au rôle de chacun
- Documenter que cette formation a été réalisée
2. La transparence, pour les systèmes à risque limité
Si vos clients ou utilisateurs interagissent avec un chatbot, un générateur de contenu IA, ou tout système où ils pourraient croire communiquer avec un humain, vous devez les informer clairement qu'ils interagissent avec une IA.
C'est simple à mettre en place : une mention visible dans l'interface suffit. Par exemple, dans un assistant IA interne ou un chatbot client, un bandeau "Vous échangez avec un assistant IA" remplit l'obligation.
3. Les obligations renforcées, pour les systèmes à haut risque
Si votre PME déploie des systèmes classés à haut risque, les obligations sont nettement plus importantes. Depuis le report acté par le Digital Omnibus, elles deviennent pleinement contraignantes le 2 décembre 2027 pour les systèmes autonomes (annexe III) et le 2 août 2028 pour les systèmes intégrés à des produits déjà réglementés (annexe I). Cela laisse du temps, mais pas une raison d'attendre : les solutions IA déployées dans le secteur de la santé cumulent en outre des exigences RGPD spécifiques à l'article 9 et la certification HDS, notre article sur le RGPD, HDS et IA pour les données de santé détaille ces contraintes additionnelles.
Documentation & Traçabilité
- Registre des systèmes IA utilisés
- Documentation de l'analyse de risque
- Conservation des logs d'utilisation
- Inscription au registre européen des IA à haut risque
Supervision & Contrôle humain
- Supervision humaine effective des décisions IA
- Capacité à intervenir et corriger en temps réel
- Analyse d'impact sur les droits fondamentaux
- Information des personnes concernées
Checklist : votre PME est-elle conforme à l'AI Act ?
Utilisez cette grille pour évaluer rapidement votre situation. Si vous ne pouvez pas cocher une case, c'est un point d'action prioritaire.
Moins de 5 cases cochées ? Il est temps d'agir. Un audit IA permet de faire le point en quelques jours et de construire un plan d'action réaliste.
Les 6 étapes pour mettre votre PME en conformité AI Act
Voici la démarche que nous recommandons chez Tensoria à nos clients PME et ETI. Elle est progressive, pragmatique, et adaptée aux ressources d'une structure de taille intermédiaire.
Cartographier tous vos usages IA
Faites l'inventaire exhaustif de tous les systèmes d'IA utilisés dans votre entreprise. Cela inclut les outils "évidents" (chatbot, assistant) mais aussi les usages diffus : un commercial qui utilise ChatGPT pour rédiger des emails, un comptable qui exploite un outil de catégorisation automatique, etc. Notre guide du diagnostic IA interne détaille cette démarche.
Classifier chaque usage par niveau de risque
Pour chaque outil identifié, déterminez sa catégorie de risque selon les critères de l'AI Act. La question centrale : ce système a-t-il un impact sur les droits ou les opportunités des personnes ? Un chatbot d'information = risque limité. Un outil de pré-sélection de CV = haut risque.
Déployer la formation literacy IA
Formez l'ensemble des collaborateurs qui utilisent ou interagissent avec des systèmes d'IA. Le niveau de formation doit être adapté : un dirigeant a besoin de comprendre les enjeux stratégiques et réglementaires, un opérationnel a besoin de maîtriser les limites concrètes de l'outil qu'il utilise au quotidien.
Mettre en place la transparence
Pour tous les systèmes à risque limité : ajoutez les mentions d'information aux interfaces (chatbots, assistants, contenus générés par IA). Pour les systèmes à haut risque : documentez les mesures de transparence et d'information des personnes concernées.
Documenter et formaliser
Constituez votre dossier de conformité : registre des usages IA, analyses de risque, preuves de formation, politique d'utilisation de l'IA. Ce dossier est votre protection en cas de contrôle. Il est aussi un outil de pilotage interne précieux.
Mettre en place une gouvernance continue
La conformité n'est pas un projet one-shot. Désignez un référent IA, planifiez des revues trimestrielles de vos usages, et intégrez l'évaluation AI Act dans votre processus d'adoption de tout nouvel outil IA. Pour mesurer la valeur de cette démarche, consultez notre guide sur le ROI des projets IA.
Le rôle de l'audit IA dans la conformité AI Act
Un audit IA est le meilleur point de départ pour aborder sereinement la conformité AI Act. Pourquoi ? Parce qu'il répond aux trois questions fondamentales :
Quels systèmes IA utilisez-vous réellement (y compris le shadow AI non déclaré) ?
Où se situent ces usages sur l'échelle de risque AI Act ?
Comment combler l'écart entre votre situation actuelle et la conformité ?
Chez Tensoria, nous réalisons des audits IA à Toulouse et en France qui couvrent spécifiquement la dimension AI Act. En quelques jours, nous livrons un état des lieux complet : inventaire des usages, classification par risque, écarts de conformité identifiés, et plan d'action priorisé avec des échéances réalistes.
Notre retour d'expérience : sur les audits que nous avons menés depuis début 2025, 80% des PME sous-estiment le nombre de systèmes IA qu'elles utilisent. L'usage de ChatGPT, Copilot ou d'assistants IA par les collaborateurs, souvent sans que la direction en soit informée, constitue un angle mort majeur pour la conformité.
Sanctions AI Act : que risque votre PME ?
Les sanctions prévues par l'AI Act sont graduées selon la gravité de l'infraction. Voici la grille :
| Type d'infraction | Amende maximale | Exemples |
|---|---|---|
| Pratiques interdites | 35 M€ ou 7% du CA mondial | Utilisation d'IA interdite (scoring social, manipulation) |
| Non-conformité aux obligations principales | 15 M€ ou 3% du CA mondial | Déploiement d'IA à haut risque sans documentation, sans supervision humaine |
| Informations inexactes | 7,5 M€ ou 1% du CA mondial | Fournir des informations fausses aux autorités de contrôle |
Le point rassurant pour les PME : l'AI Act prévoit explicitement que les amendes doivent être proportionnées à la taille de l'entreprise. Les plafonds ci-dessus concernent les cas les plus graves. Le Digital Omnibus a même élargi ce régime allégé à une nouvelle catégorie, les "small mid caps" (moins de 750 salariés, moins de 150 millions d'euros de chiffre d'affaires), avec des amendes adaptées à leur taille. Ces montants s'appliquent en priorité aux systèmes à haut risque une fois leurs échéances atteintes (fin 2027 ou 2028 selon les cas), mais les obligations de transparence et de literacy, elles, sont contrôlables dès maintenant.
Au-delà des amendes, les risques incluent aussi :
- Le risque réputationnel : une non-conformité publique peut affecter la confiance de vos clients et partenaires
- Le risque commercial : les donneurs d'ordre (grands groupes, collectivités) commencent à exiger la conformité AI Act de leurs sous-traitants
- Le risque opérationnel : une injonction de cesser un usage IA peut perturber fortement votre activité si vous en dépendez
Pour anticiper ces risques et structurer votre démarche, il est essentiel de lancer vos projets IA de manière réaliste, en intégrant la conformité dès le départ.
Questions fréquentes sur l'AI Act et les PME
Pour aller plus loin
Pour consulter le texte officiel complet, rendez-vous sur le Règlement (UE) 2024/1689 sur EUR-Lex. Le site France Num propose également des ressources adaptées aux TPE/PME.
AI Act : structurez votre conformité sans attendre la dernière minute
Les échéances ont changé, mais pas l'obligation d'agir : transparence dès le 2 août 2026, haut risque d'ici fin 2027 ou 2028. Un audit IA Tensoria vous donne un état des lieux clair de vos usages, une classification par risque, et un plan d'action concret. Premier échange de 30 minutes, sans engagement.
Évaluer ma conformité AI Act →
