AI Act pour les PME : le calendrier à jour et ce qui vous concerne vraiment

En bref

• Le report ne concerne que le haut risque. Interdictions, maîtrise de l'IA et transparence s'appliquent déjà.
• La plupart des PME sont « déployeurs », pas « fournisseurs ». Leurs obligations sont plus légères, sauf si elles détournent un outil vers un usage à haut risque.
• Le RGPD continue de s'appliquer en entier. L'AI Act ne le remplace pas, il s'y ajoute.

Page à réviser à chaque échéance. Prochaine révision prévue : le 2 décembre 2026 au plus tard. Dernière vérification des sources : 5 octobre 2026. Ce guide est une information générale et ne constitue pas un avis juridique : pour qualifier un usage précis, adressez-vous à un avocat ou à votre délégué à la protection des données.

Ce que l'omnibus a changé en juillet 2026

La Commission européenne a proposé le 19 novembre 2025 un texte de simplification, dit « omnibus IA ». Il est entré en vigueur le 27 juillet 2026. Ce qu'il change pour une PME :

• Le report du haut risque. 2 décembre 2027 pour les usages de l'annexe III, 2 août 2028 pour l'IA intégrée à des produits (annexe I).
• La maîtrise de l'IA précisée. L'article 4 indique désormais que l'obligation n'impose pas de garantir un niveau donné pour chaque personne, et que la Commission et les États soutiennent les entreprises, en particulier les PME, avec des exemples pratiques à publier.
• Des allègements étendus. Certaines simplifications prévues pour les PME sont étendues aux petites entreprises de taille intermédiaire.
• Une interdiction ajoutée. Les systèmes qui génèrent des contenus intimes non consentis ou des contenus pédocriminels, applicable au 2 décembre 2026.

Ce qu'il ne change pas : les interdictions existantes, la transparence et le calendrier des modèles à usage général.

Fournisseur ou déployeur : la question qui fixe vos obligations

L'article 3 distingue deux rôles. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Une PME qui utilise Claude, ChatGPT, Copilot ou un logiciel métier doté d'IA est déployeur.

Deux situations font basculer une PME du côté fournisseur. Elle fait développer un système et le met en service sous son nom : la définition du fournisseur peut alors la viser. Ou elle change la destination d'un outil, y compris un outil généraliste, de sorte qu'il devienne à haut risque : l'article 25 la traite alors comme fournisseur de ce système. Exemple : brancher un assistant généraliste pour trier des candidatures. Dans ces deux cas, faites qualifier la situation par un juriste.

Ce qui concerne réellement une PME

1. Les pratiques interdites. L'article 5 s'applique à quiconque utilise un système, pas seulement à celui qui le vend. Trois interdictions peuvent croiser le quotidien d'une entreprise : déduire les émotions d'une personne sur le lieu de travail, sauf pour des raisons médicales ou de sécurité ; manipuler ou exploiter la vulnérabilité d'une personne d'une façon qui lui cause un préjudice important ; noter des personnes sur leur comportement social. Un outil d'analyse des appels qui « mesure l'humeur » des salariés est à examiner de près.

2. La maîtrise de l'IA. L'article 4 demande de prendre des mesures pour que les personnes qui utilisent l'IA pour votre compte aient les connaissances nécessaires, en tenant compte de leur niveau et du contexte. Le texte ne fixe ni format ni durée, et l'article 99 ne prévoit pas de plafond d'amende propre à cet article. Concrètement : une formation adaptée aux usages réels, des règles d'usage écrites, et une trace.

3. La transparence. L'article 50 répartit les obligations. Le fournisseur d'un système qui dialogue avec des personnes doit faire en sorte qu'elles sachent qu'elles parlent à une IA, sauf si c'est évident. Le déployeur doit signaler un hypertrucage, et signaler un texte généré publié pour informer le public sur des questions d'intérêt public, sauf relecture humaine et responsabilité éditoriale. L'information se donne au plus tard à la première interaction. Notre règle, plus simple que le texte : un agent conversationnel se présente comme tel dès le premier message, que vous soyez fournisseur ou déployeur.

4. Le haut risque. L'annexe III liste les domaines. Ceux qu'une PME peut rencontrer : le recrutement et la sélection (annonces ciblées, tri et filtrage de candidatures, évaluation de candidats), l'éducation et la formation professionnelle (admission, évaluation des acquis), l'évaluation de la solvabilité des personnes, la tarification en assurance vie et santé. L'article 6 prévoit qu'un système de l'annexe III n'est pas à haut risque s'il se limite à une tâche procédurale étroite ou préparatoire sans influencer la décision, mais qu'il l'est toujours s'il profile des personnes.

AI Act et RGPD : les deux s'appliquent

La CNIL est nette : le règlement sur l'IA ne remplace pas le RGPD, il le complète. Elle distingue quatre situations : le règlement IA seul, le RGPD seul, les deux, ou aucun. Son exemple pour « les deux » est le tri automatique de CV : système à haut risque et traitement de données personnelles à la fois.

Trois conséquences pratiques, toujours selon la CNIL. Le déployeur qui traite des données personnelles avec un système d'IA en est le plus souvent responsable de traitement au sens du RGPD. L'analyse d'impact relative à la protection des données est présumée requise pour un système à haut risque, et elle peut s'appuyer sur la documentation que le fournisseur doit remettre. Enfin, le RGPD s'applique aujourd'hui, sans attendre 2027.

Les six questions RGPD à se poser avant de brancher un outil, et ce que nous mettons en place dans nos missions, sont sur la page IA conforme en PME. Pour écrire vos règles d'usage, partez du modèle de charte IA.

Les sanctions, sans dramatiser

L'article 99 fixe des plafonds : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite ; jusqu'à 15 millions d'euros ou 3 % pour un manquement aux obligations du déployeur d'un système à haut risque ou aux obligations de transparence. Pour une PME, le plafond est le plus faible des deux montants. Les États membres fixent les règles de sanction et doivent tenir compte de la situation des PME et de leur viabilité économique.

Ces chiffres sont des maximums, pas des tarifs. Pour une PME qui utilise des outils courants, le risque réaliste n'est pas l'amende record : c'est de découvrir trop tard qu'un usage en place, souvent en ressources humaines, relève du haut risque.

Sources, vérifiées le 5 octobre 2026

• Commission européenne, « AI Act » : niveaux de risque, calendrier d'application, simplification (dernière mise à jour affichée : 3 août 2026)
• Commission européenne, « AI Omnibus enters into force » (27 juillet 2026)
• Commission européenne, début de l'application et règles de transparence au 2 août 2026 (31 juillet 2026)
• Commission européenne, AI Act Service Desk : article 113, entrée en vigueur et application (texte consolidé au 27 juillet 2026)
• AI Act Service Desk : article 111, systèmes et modèles déjà sur le marché
• AI Act Service Desk : article 3, définitions (fournisseur, déployeur, hypertrucage)
• AI Act Service Desk : article 4, maîtrise de l'IA (version modifiée)
• AI Act Service Desk : article 5, pratiques interdites
• AI Act Service Desk : article 6, classification à haut risque
• AI Act Service Desk : article 25, responsabilités le long de la chaîne de valeur
• AI Act Service Desk : article 26, obligations des déployeurs de systèmes à haut risque
• AI Act Service Desk : article 50, obligations de transparence
• AI Act Service Desk : article 99, sanctions
• AI Act Service Desk : annexe III, domaines à haut risque
• Commission européenne, questions et réponses sur l'AI Act (analyse d'impact sur les droits fondamentaux, PME)
• CNIL, « Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses » (mise à jour du 17 août 2026)

Le texte du règlement sur EUR-Lex n'a pas pu être lu le 5 octobre 2026 : le site a renvoyé une page vide à la lecture automatisée. Les articles cités ont été lus sur l'AI Act Service Desk de la Commission européenne, qui affiche la version consolidée d'EUR-Lex au 27 juillet 2026. Lien officiel vers le texte : règlement (UE) 2024/1689 sur EUR-Lex. L'autorité française chargée du contrôle et les règles nationales de sanction n'ont pas été vérifiées et ne sont pas commentées ici.