AI Act : ce que le règlement européen sur l'IA change pour une PME

Vous avez branché un assistant IA sur votre messagerie, et une question vous taraude

Un tri de mails automatisé, une réponse pré-rédigée pour le service client, un brouillon de devis généré en quelques secondes : l'intelligence artificielle est entrée dans le quotidien de beaucoup de TPE et de PME françaises, un outil après l'autre, sans grand plan d'ensemble. Le mouvement est réel et mesuré : selon le baromètre France Num 2025 (DGE et Crédoc, publié le 15 septembre 2025 et mis à jour le 30 juillet 2026), l'usage de l'IA par les TPE-PME françaises a doublé en un an, passant à 26 %, dont 22 % pour l'IA générative et 14 % pour les chatbots et assistants. Je détaille ces usages concrets, secteur par secteur, dans un autre article.

Reste une question que je vois revenir depuis plusieurs mois : est-ce que tout ça est légal ? La réponse qui circule encore beaucoup en ligne est datée. Elle cite un règlement européen sur l'IA (l'AI Act) qui devait imposer, à partir du 2 août 2026, une vague d'obligations lourdes à toutes les entreprises utilisant de l'IA. Ce calendrier a changé le 27 juillet 2026, et une bonne partie de ce que vous avez pu lire n'a pas été mise à jour depuis.

La réponse courte

Oui, l'AI Act s'applique à votre PME dès que vous utilisez un système d'IA — mais comme déployeur, jamais comme fournisseur, si vous n'avez pas développé le modèle vous-même (article 3 du règlement). La bonne nouvelle, peu relayée : le Digital Omnibus, règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, a reporté les obligations les plus lourdes — celles des systèmes « haut risque » — à décembre 2027, voire août 2028. Ce qui s'applique réellement à une PME aujourd'hui est plus léger, mais aussi plus ancien qu'on ne le croit : l'obligation de littératie IA de votre personnel court depuis février 2025, les interdictions de l'article 5 aussi, et la transparence sur les contenus générés depuis le 2 août 2026 seulement — pas « le reste du règlement », comme on le lit encore à bien des endroits en ligne. Un cadrage à 500 € HT, avec sa note de conformité, permet de trancher votre cas en particulier.

L'AI Act, qu'est-ce que c'est, et qui est concerné ?

Le règlement européen sur l'intelligence artificielle distingue deux rôles, et la confusion entre les deux explique une bonne partie des inquiétudes mal placées. Le fournisseur est celui qui développe un système d'IA et le met sur le marché sous son propre nom ou sa propre marque (article 3(3)) : OpenAI, Google, Anthropic, Mistral, ou l'éditeur d'un agent commercialisé. Le déployeur est celui qui utilise ce système sous sa propre autorité, dans une activité professionnelle (article 3(4)) : c'est vous, dès que vous branchez ChatGPT, Copilot ou un agent sur mesure sur votre messagerie, votre service client ou votre facturation.

Une PME française qui n'entraîne pas de modèle n'est quasiment jamais fournisseur. Elle est déployeur, et c'est ce statut qui détermine les obligations qui la concernent réellement — elles sont moins nombreuses que celles d'un fournisseur, mais elles existent, et certaines s'appliquent depuis plus d'un an sans que la plupart des dirigeants le sachent. Si la notion d'agent IA reste floue pour vous, je la détaille — définition, méthode, coût — dans un guide dédié ; ici, la question n'est pas ce qu'est un agent, mais ce que la loi vous impose une fois qu'il tourne.

Le calendrier a changé le 27 juillet 2026

C'est le point le plus important de cet article, et celui qui justifie de le publier maintenant plutôt que de renvoyer vers un contenu existant. Le règlement (UE) 2026/1744, dit Digital Omnibus, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, a reporté les obligations les plus lourdes de l'AI Act — celles des systèmes à « haut risque » — sans toucher aux articles 4, 5 et 50.

Avant ce report, le 2 août 2026 devait marquer l'entrée en application de « tout le reste du règlement ». Ce n'est plus le cas : à cette date, seule l'obligation de transparence de l'article 50 est réellement entrée en vigueur. Une grande partie du contenu publié en ligne sur l'AI Act — articles, guides, fiches pratiques — a été écrite avant le 27 juillet 2026 et affiche encore ce calendrier périmé, avec un « haut risque » présenté comme applicable dès le 2 août 2026. Ce n'est plus exact : c'est aujourd'hui décembre 2027, ou août 2028 selon les cas.

Les quatre niveaux de risque, et où tombe votre cas

L'AI Act range les systèmes d'IA en quatre niveaux, et c'est ce niveau — pas le simple fait d'utiliser de l'IA — qui détermine le poids réel des obligations.

Le risque inacceptable est purement et simplement interdit (article 5) : techniques manipulatoires, exploitation de vulnérabilités, notation sociale des personnes, certains usages de la reconnaissance biométrique. Aucune PME n'a de raison légitime de s'en approcher.

Le risque élevé (chapitre III, article 6, Annexe III) couvre des usages précis dans des domaines sensibles : recrutement et gestion des travailleurs, éducation, accès aux services essentiels, justice, migration, police. Un outil qui trie ou évalue des candidatures relève du domaine « recrutement et gestion des travailleurs » visé par l'Annexe III : selon ce qu'il fait exactement, il peut donc être classé à haut risque — le règlement prévoit des exceptions pour les tâches procédurales étroites ou préparatoires. Si c'est votre cas, faites qualifier l'usage précisément plutôt que de trancher au jugé : les obligations de l'article 26 s'appliqueront à partir de décembre 2027.

Le risque limité correspond aux obligations de transparence de l'article 50 : un chatbot doit se signaler comme tel — une obligation que le texte met à la charge du fournisseur du système, pas de celui qui l'utilise — tandis que le déployeur, lui, doit signaler un deepfake ou un contenu généré qu'il diffuse dans certains contextes.

Le risque minimal n'est pas réglementé spécifiquement : c'est le cas de la plupart des usages courants en TPE-PME — tri de mails, aide à la rédaction, réponses de premier niveau au service client. Je détaille ces mêmes usages, hors angle réglementaire, dans l'article sur l'automatisation par agents IA.

Ce qu'une PME doit faire concrètement

À la date du 31 août 2026, si votre usage de l'IA ne relève pas de l'Annexe III, l'essentiel de ce qui vous incombe tient en cinq réflexes. Informer les personnes concernées quand un contenu qu'elles reçoivent est généré ou manipulé par IA, notamment un deepfake ou un texte publié à des fins d'information (article 50). Organiser une littératie IA minimale de vos équipes, en tenant compte de leur niveau et du contexte d'usage — la Commission doit d'ailleurs soutenir en priorité les PME sur ce point (article 4, en vigueur depuis février 2025). Écrire noir sur blanc le périmètre de ce que l'IA peut décider seule et ce qui reste tranché par une personne. Tracer les échanges et les décisions prises avec son aide. Prévoir une escalade humaine systématique dès qu'une situation sort de ce périmètre.

Ce sont exactement les garde-fous qu'intègre un agent IA développé sur mesure : ils ne sont pas propres au règlement, mais s'y conforment par construction, sans qu'il soit nécessaire d'y penser après coup.

AI Act et RGPD : deux textes, deux logiques

Les deux textes se recoupent sans se remplacer, et je vois régulièrement les deux confondus par des dirigeants pourtant en règle sur l'un comme sur l'autre. Le RGPD encadre la donnée personnelle : ce que vous collectez, pourquoi, combien de temps vous la conservez — j'en détaille les obligations pour un site de TPE dans un autre article. L'AI Act encadre le système : ce qu'il fait, à quel niveau de risque il se range, avec quelle transparence envers la personne qui l'utilise ou qui en subit une décision.

Un agent IA connecté à votre messagerie peut donc être parfaitement conforme au RGPD, données correctement traitées, et rester à mettre en règle côté AI Act, transparence ou littératie non traitées — ou l'inverse. La CNIL a mis à jour sa page dédiée le 17 août 2026 pour intégrer les changements du Digital Omnibus, et pose elle-même la question en ces termes : qu'est-ce qui distingue le règlement IA du RGPD, et en quoi se complètent-ils. C'est bien de complémentarité qu'il s'agit, pas de substitution d'un texte à l'autre.

Ce que ça change quand on fait développer un agent sur mesure

Chez BecauseTimeCounts, un agent métier livré sur mesure, à 2 500 € HT, intègre ces garde-fous par construction, pas en option : une escalade vers un humain non négociable dès que la situation sort du périmètre défini, une mémoire des échanges soumise à une politique de purge, un tableau de bord qui mesure le volume traité, le taux d'escalade et le coût réel, et un critère de succès chiffré mesuré à 60 jours. La supervision mensuelle qui suit, 290 € HT ou 790 € HT selon le niveau retenu, inclut les mises à jour de conformité, pour que le suivi du règlement ne retombe pas entièrement sur vous.

Avant tout ça, le cadrage — 500 € HT, déduit si vous engagez la réalisation sous 30 jours — produit une note de conformité AI Act et une cartographie RGPD propres à votre cas, avec une recommandation franche : si votre besoin ne justifie pas un agent, je vous le dis à ce stade, pas après avoir facturé le développement. La logique de devis et de cadrage est la même sur l'ensemble de mes prestations ; elle est détaillée sur la page tarifs.

Le plan d'action, avant de déployer quoi que ce soit

Cinq étapes suffisent à clarifier votre situation, sans attendre un texte d'application ou un audit externe.

• Identifiez si votre usage relève de l'Annexe III (recrutement, éducation, accès à un service essentiel, justice, migration, police) : si oui, anticipez l'échéance de décembre 2027 même si elle semble lointaine.
• Vérifiez que les personnes exposées à un contenu généré ou à un deepfake en sont informées, conformément à l'article 50.
• Organisez une session de littératie IA pour les équipes qui utilisent l'outil au quotidien.
• Écrivez le périmètre de décision de l'IA et les conditions de l'escalade humaine, même sur une seule page.
• Si le doute persiste sur votre cas précis, faites-le trancher plutôt que de le deviner.

Décrivez-moi votre situation en quelques lignes via le formulaire de contact : je vous donne un avis franc sous 24 heures, y compris si la conclusion est qu'un agent IA ne se justifie pas chez vous.

Sources et références

• artificialintelligenceact.eu — Implementation Timeline — calendrier détaillé d'entrée en application de chaque disposition, intégrant le report du Digital Omnibus (consulté le 31 août 2026).
• artificialintelligenceact.eu — High-Level Summary — classification par niveau de risque et calendrier synthétique intégrant le règlement (UE) 2026/1744 (mis à jour le 31 août 2026).
• artificialintelligenceact.eu — Article 3 (définitions) — définitions de « fournisseur » et de « déployeur », en vigueur depuis le 2 février 2025.
• artificialintelligenceact.eu — Article 4 (littératie IA) — obligation de littératie IA pour tout fournisseur et déployeur, en vigueur depuis le 2 février 2025.
• artificialintelligenceact.eu — Article 26 (obligations du déployeur) — obligations du déployeur d'un système à haut risque, désormais applicables au 2 décembre 2027 (Annexe III) ou au 2 août 2028 (Annexe I).
• artificialintelligenceact.eu — Article 50 (transparence) — obligations de transparence des fournisseurs et déployeurs, en vigueur depuis le 2 août 2026.
• artificialintelligenceact.eu — Article 62 (mesures PME) — mesures de soutien aux PME (bacs à sable, formation, canaux dédiés) ; aucune exemption d'obligation.
• artificialintelligenceact.eu — Article 99 (sanctions) — barème des sanctions et plafonnement au montant le plus bas pour les PME (article 99(6)).
• CNIL — Entrée en vigueur du règlement européen sur l'IA — confirmation du report opéré par le règlement « omnibus numérique » du 24 juillet 2026, page mise à jour le 17 août 2026.
• France Num — Baromètre France Num 2025 — 26 % des TPE-PME françaises utilisatrices de l'IA, contre 13 % un an plus tôt (publié le 15 septembre 2025, mis à jour le 30 juillet 2026).

Questions fréquentes

L'AI Act s'applique-t-il à une PME qui utilise juste ChatGPT ?

Oui — dès qu'elle utilise un système d'IA dans son activité, une PME est « déployeur » au sens de l'article 3(4) du règlement, jamais « fournisseur » si elle n'a pas développé le modèle. À ce titre, elle doit respecter les interdictions de l'article 5 (depuis le 2 février 2025) et l'obligation de littératie IA de son personnel (article 4, même date). Les obligations lourdes de l'article 26 ne s'appliquent que si l'usage relève de l'Annexe III (haut risque), et seulement à partir de décembre 2027.

Quelles sanctions en cas de non-conformité à l'AI Act ?

L'article 99 prévoit trois paliers : 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 5) ; 15 millions ou 3 % pour les obligations des déployeurs et la transparence (articles 26 et 50) ; 7,5 millions ou 1 % pour des informations trompeuses. Détail contre-intuitif de l'article 99(6) : pour une PME, c'est le montant le plus bas de chaque fourchette qui s'applique, pas le plus haut.

Faut-il un audit de conformité avant de déployer un agent IA ?

Ce n'est pas une obligation légale pour un usage à risque limité ou minimal, mais c'est une précaution utile. Le cadrage d'un agent métier chez BecauseTimeCounts, à 500 € HT et déduit si vous engagez la réalisation sous 30 jours, inclut une note de conformité AI Act et une cartographie RGPD propres à votre cas, avec une recommandation franche : on y va, ou on n'y va pas.