AI Act : ce qui change (vraiment) pour votre PME

Vous avez peut-être lu que l'AI Act était reporté. C'est faux pour l'essentiel : pour une PME qui utilise ChatGPT, Copilot ou un chatbot sur son site, la plupart des obligations s'appliquent déjà.

Le règlement européen sur l'intelligence artificielle (AI Act) a été amendé cet été par l'« Omnibus numérique », entré en vigueur le 27 juillet 2026. Ce texte a repoussé les règles les plus lourdes, celles des systèmes d'IA à haut risque, à décembre 2027 et août 2028.

Tout le reste est resté en place. Voici, sans jargon, ce qui vous concerne aujourd'hui, ce qui arrive, et comment vous mettre en règle sans y passer des semaines.

Ce qui s'applique déjà à votre PME

Trois obligations sont en vigueur aujourd'hui, quelle que soit la taille de l'entreprise. Elles concernent les « déployeurs », c'est-à-dire toute organisation qui utilise un outil d'IA dans un cadre professionnel.

1Accompagner vos équipes dans la maîtrise de l'IA (article 4)

Depuis février 2025, l'entreprise doit prendre des mesures pour que ses salariés utilisent l'IA en connaissance de cause. L'Omnibus a assoupli la formulation : il s'agit désormais de favoriser le développement de la maîtrise de l'IA, sans garantir un niveau précis pour chaque personne (Commission européenne, AI Act Service Desk).

C'est une obligation de moyens, pas de résultat. Aucune durée de formation ni aucun certificat n'est imposé. En revanche, des actions documentées (charte d'usage, sessions de formation à l'IA, guide interne) sont votre meilleure preuve de bonne foi en cas de contrôle ou d'incident.

2Être transparent quand l'IA s'adresse à vos clients (article 50)

Depuis le 2 août 2026, ces règles s'appliquent sans report (Morgan Lewis) :

• Chatbot ou assistant : indiquer clairement à l'utilisateur qu'il échange avec une IA.
• Deepfakes : signaler toute image, vidéo ou voix réaliste générée ou retouchée par IA.
• Reconnaissance des émotions ou catégorisation biométrique : informer les personnes concernées.

3Ne pas franchir les lignes rouges (article 5)

Certaines pratiques sont interdites depuis février 2025, par exemple la notation sociale ou la reconnaissance des émotions de vos salariés sur le lieu de travail. Peu de PME sont concernées, mais un outil RH « qui détecte l'humeur des équipes » mérite une vérification.

Ce qui arrive : trois dates à retenir

Le prochain jalon important pour une PME est le 2 décembre 2027, et seulement si elle utilise l'IA dans un domaine sensible comme le recrutement. Le règlement (UE) 2026/1744 a fixé ces nouvelles dates (Laucked).

Si vous êtes concerné par le haut risque en tant qu'utilisateur, vos obligations porteront notamment sur la supervision humaine des décisions, la conservation des journaux d'utilisation et l'information des personnes concernées. Les obligations elles-mêmes n'ont pas changé : seule leur date a été décalée.

Et en France, qui contrôle ?

L'AI Act s'applique directement en France, mais la loi qui désigne officiellement les autorités de contrôle n'était pas définitivement adoptée en octobre 2026 (Opsio). Le schéma qui se dessine donne un rôle central à deux acteurs que les PME connaissent déjà :

• La CNIL, que le gouvernement a proposé en février 2026 de charger de la mise en œuvre de l'AI Act (Next).
• La DGCCRF, compétente pour les pratiques commerciales trompeuses, y compris un contenu généré par IA présenté aux clients sans mention.

Côté sanctions, les PME bénéficient d'un régime plus favorable : c'est le montant le plus faible entre le plafond fixe et le pourcentage du chiffre d'affaires qui s'applique. Comme pour le RGPD en 2018, les premiers mois devraient surtout donner lieu à des mises en demeure et à de l'accompagnement. Ce n'est pas une raison pour attendre.

Votre plan d'action en 5 étapes

Une demi-journée suffit pour couvrir l'essentiel.

1. Faites l'inventaire de vos outils d'IA : abonnements (ChatGPT, Copilot, Claude, Gemini), chatbot du site, outils de recrutement ou de gestion RH, fonctions IA intégrées à vos logiciels. C'est aussi l'occasion de repérer les abonnements en doublon : l'optimisation de vos frais généraux commence souvent là.
2. Affichez les mentions de transparence : « Vous échangez avec un assistant virtuel » sur votre chatbot, et une mention sur les visuels ou vidéos réalistes générés par IA.
3. Rédigez une charte d'usage interne : quels outils sont autorisés, quelles données ne doivent jamais y être saisies (données clients, données personnelles, informations confidentielles), qui valide un contenu avant publication. La CNIL publie des questions-réponses sur l'usage de l'IA générative utiles pour la rédiger.
4. Formez et gardez une trace : une session de prise en main, une feuille d'émargement, un support remis aux équipes. Bonne nouvelle : nos formations IA sont souvent finançables par votre OPCO.
5. Repérez vos usages « haut risque » : si un outil touche au recrutement ou à l'évaluation de personnes, notez-le dès maintenant pour préparer décembre 2027.

En résumé

L'AI Act n'est pas reporté : la transparence et la maîtrise de l'IA s'appliquent déjà à votre PME. Le haut risque laisse un peu plus d'un an pour s'organiser. Bien menée, cette mise en conformité est surtout l'occasion de structurer l'usage de l'IA dans votre entreprise et d'en tirer davantage de bénéfices.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Pour une situation précise, notamment un outil RH, rapprochez-vous d'un avocat.

À lire aussi : tous nos articles · questions fréquentes · Symposium CE, la plateforme d'avantages salariés