Règlement IA européen (AI Act) : ce qui s'applique vraiment à une PME en 2026

Une PME qui utilise ChatGPT, Copilot ou Gemini est déployeuse d'un système d'IA, pas fournisseuse. À ce titre, l'AI Act lui demande trois choses : soutenir la littératie IA de ses équipes, respecter les pratiques interdites, signaler l'usage de l'IA dans certains cas de figure. Les obligations lourdes, celles des systèmes à haut risque, ont été reportées. Cet article traite dans l'ordre : ce qu'est l'AI Act, la distinction fournisseur-déployeur, les quatre niveaux de risque. Puis ce qui est réellement dû à une PME aujourd'hui, ce qui ne l'est pas, et comment vérifier de quel côté vous vous trouvez.

L'AI Act pour une PME : le règlement en trois phrases

Le texte du règlement (UE) 2024/1689, appelé AI Act, encadre la mise sur le marché et l'usage des systèmes d'intelligence artificielle dans l'Union européenne. Il ne régule pas la technologie en soi, mais les usages, en fonction du risque qu'ils font peser sur les personnes. Plus un usage touche aux droits, à la santé ou à la sécurité, plus les obligations sont nourries ; un usage bureautique ordinaire n'en déclenche presque aucune.

Le texte s'applique à toute organisation qui met un système d'IA sur le marché ou qui l'utilise dans un cadre professionnel, quelle que soit sa taille. Il n'existe pas d'exemption générale pour les petites structures. En revanche, le règlement prévoit un traitement adapté aux PME, étendu depuis juillet 2026 aux entreprises de taille intermédiaire (small mid-caps).

Autrement dit : votre entreprise est concernée, mais probablement pas de la façon dont on vous l'a présentée.

Fournisseur ou déployeur : la distinction qui change tout

C'est la première question à trancher, et c'est elle qui détermine l'essentiel de la charge réelle.

Un fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son propre nom ou sa propre marque. C'est le cas des éditeurs de modèles et des logiciels métier qui embarquent de l'IA. Un déployeur utilise un système d'IA sous sa propre autorité, dans le cadre de son activité.

Un cabinet comptable de 14 personnes qui fait reformuler des courriers par ChatGPT est déployeur. Une PME industrielle de 60 salariés qui utilise un outil de tri de candidatures acheté à un éditeur est déployeuse. Dans les deux cas, les obligations les plus techniques du règlement pèsent sur le fournisseur, pas sur elles. Ce sont celles qui portent sur la conception, la documentation technique et l'évaluation du système.

Une PME peut basculer du côté fournisseur dans trois situations. Elle développe un système d'IA qu'elle commercialise. Elle appose son nom ou sa marque sur un système existant qu'elle redistribue. Ou elle modifie un système de façon substantielle et en change la finalité. Si vous vous contentez d'utiliser des outils du marché avec vos propres données, vous restez déployeur.

Les quatre niveaux de risque, et où se situe l'usage courant

Le règlement classe les usages, pas les outils. Le même modèle de langage peut relever de deux niveaux différents selon ce qu'on lui demande de faire.

• Risque inacceptable : interdit purement et simplement. C'est l'objet de l'article 5, applicable depuis le 2 février 2025. On y trouve notamment la notation sociale, l'exploitation des vulnérabilités d'une personne et la déduction des émotions sur le lieu de travail.
• Haut risque : autorisé, mais lourdement encadré. Deux portes d'entrée : l'Annexe III pour les systèmes autonomes utilisés dans des domaines sensibles, comme l'emploi, l'éducation ou l'évaluation de solvabilité des particuliers. L'Annexe I couvre les produits déjà régulés par ailleurs.
• Risque limité : autorisé, avec des obligations de transparence. C'est l'article 50 : quand une personne interagit avec une IA ou consomme un contenu généré par IA, elle doit pouvoir le savoir.
• Risque minimal : la très grande majorité des usages bureautiques. Rédaction, synthèse, traduction, aide au code, brouillons de présentation. Aucune obligation spécifique ne s'y attache, en dehors de la littératie.

Faire relire un compte rendu par un assistant conversationnel relève du risque minimal. Faire classer des candidatures par le même assistant fait entrer dans un domaine listé à l'Annexe III. La frontière n'est pas dans l'outil, elle est dans la décision qu'il influence.

Ce qu'une PME déployeuse doit réellement avoir en place

Trois blocs, pas plus. Ils sont applicables aujourd'hui et ne dépendent d'aucun report.

Soutenir la littératie IA de ses équipes (article 4)

L'article 4 est applicable depuis le 2 février 2025. Sa supervision par les autorités nationales entre en fonction à partir du 2 août 2026. Depuis le Digital Omnibus, c'est une obligation de moyens : la preuve attendue est un programme de formation documenté, pas la compétence individuelle de chaque salarié.

Une réunion orale sans trace écrite ne vaut rien comme preuve. Ce que l'obligation couvre exactement, et la trace qu'elle suppose, sont traités dans le guide de l'article 4 et de la littératie IA.

Dire quand c'est une IA qui répond (article 50)

L'article 50 devient applicable le 2 août 2026. Il concerne les situations où une personne pourrait se tromper sur ce qu'elle a en face d'elle. Un agent conversationnel sur votre site, une voix de synthèse au téléphone, un visuel ou un texte généré et publié. L'exigence est une information claire, pas une bannière juridique.

Beaucoup de PME sont concernées sans le savoir, parce qu'elles ont branché un chatbot sur leur site ou parce que leur service client s'appuie sur des réponses générées. Le délai de grâce du 2 décembre 2026 ne vise que le marquage machine côté fournisseur. L'information visible des personnes reste due dès le 2 août 2026, comme le détaille le guide de l'article 50 et de la transparence de l'IA.

Ne pas franchir les pratiques interdites (article 5)

Ce bloc est le plus simple et le plus absolu : aucune atténuation, aucun report, aucune tolérance pour les PME. Les cas qui remontent le plus souvent en entreprise concernent l'analyse des émotions des salariés à partir de la voix ou du visage, et les dispositifs de notation comportementale. Une nouvelle interdiction, portant sur les contenus intimes non consentis générés par IA, s'ajoute au 2 décembre 2026.

Ce qui n'est pas dû : les obligations haut risque ont été reportées

C'est le point sur lequel la plupart des contenus en ligne sont périmés. Le Digital Omnibus sur l'IA a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il déplace l'application des obligations haut risque de l'Annexe III, initialement prévue au 2 août 2026, au 2 décembre 2027. Les systèmes de l'Annexe I suivent au 2 août 2028.

Concrètement : si vous utilisez un outil qui relève de l'Annexe III, vous avez du temps. Ce qui ne veut pas dire que rien ne s'applique, puisque la littératie, la transparence et les interdictions restent dues. Le détail des échéances est repris dans le calendrier de l'AI Act à jour.

Un mot sur les sanctions, pour couper court aux chiffres qui circulent. Le cadre figure à l'article 99, et pour les PME le montant retenu est le plus faible des deux termes prévus, non le plus élevé. Les plafonds, l'autorité qui les prononce et ce qui expose réellement une petite structure sont détaillés dans le guide des sanctions et amendes de l'AI Act en entreprise.

Comment savoir de quel côté vous vous trouvez

Quatre questions suffisent à situer votre entreprise, et elles se répondent sans juriste.

1. Développez-vous ou revendez-vous un système d'IA sous votre marque ? Si non, vous êtes déployeur, et l'essentiel du règlement ne vous concerne pas.
2. Un de vos usages influence-t-il une décision sur une personne ? Recrutement, promotion, évaluation, accès à un service ou à un financement. Si oui, regardez l'Annexe III de près.
3. Un tiers interagit-il avec une IA chez vous, ou consomme-t-il un contenu que vous avez généré ? Si oui, l'article 50 s'applique.
4. Savez-vous quels outils d'IA sont réellement utilisés dans votre entreprise ? C'est la question la plus embarrassante, et la plus utile. L'écart entre les outils validés et les outils réellement utilisés est souvent plus large que prévu. Les signaux qui le trahissent sont décrits dans l'article sur les signes de shadow AI en entreprise.

Si vous ne pouvez répondre à la quatrième question, commencez par là. Aucune obligation du règlement ne peut être traitée sérieusement sur un périmètre d'usages inconnu. Pour transformer ces quatre questions en vérification détaillée, la checklist de conformité AI Act pour PME les décline en douze points.

Questions fréquentes

Une PME de 12 salariés est-elle vraiment concernée par l'AI Act ?

Oui, dès lors qu'elle utilise un système d'IA dans son activité professionnelle. Il n'y a pas de seuil d'effectif en dessous duquel le règlement ne s'applique pas. En pratique, sa charge réelle se limite le plus souvent à trois choses. Sensibiliser ses équipes, ne pas franchir les pratiques interdites, informer quand une IA interagit avec un tiers.

Faut-il désigner un responsable de l'IA dans l'entreprise ?

Le règlement n'impose pas de fonction équivalente au délégué à la protection des données pour les déployeurs ordinaires. Désigner une personne référente reste néanmoins la façon la plus économique de faire vivre le sujet. Sans responsable nommé, les documents produits une fois ne sont jamais mis à jour.

Que se passe-t-il quand l'IA sert à trier des candidatures ?

Cet usage relève d'un domaine listé à l'Annexe III, donc du haut risque. Les obligations correspondantes sont reportées au 2 décembre 2027. Deux points restent toutefois immédiats : l'information des personnes concernées et le respect du RGPD, qui s'applique en parallèle et n'a jamais été suspendu. C'est un usage à recenser et à documenter dès maintenant.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA