AI Act : ce que votre PME doit vérifier avant les prochaines échéances

Le calendrier réel de l’AI Act après l’omnibus de juillet 2026

L’AI Act, règlement (UE) 2024/1689, entre en application par paliers, et le règlement omnibus (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, n’a déplacé que les échéances du haut risque. Les interdictions de l’article 5 et l’obligation de maîtrise de l’IA de l’article 4 s’appliquent depuis le 2 février 2025. Les règles sur les modèles d’IA à usage général et la gouvernance européenne (Bureau de l’IA, autorités nationales) sont applicables depuis le 2 août 2025. Les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026, date à laquelle le reste du texte est devenu applicable.

Les obligations complètes pour les systèmes à haut risque listés à l’annexe III (emploi, éducation, accès aux services essentiels, biométrie, infrastructures critiques) ont été repoussées au 2 décembre 2027. Celles qui concernent l’IA intégrée dans des produits déjà soumis à une réglementation sectorielle (dispositifs médicaux, machines, véhicules, jouets, annexe I) sont repoussées au 2 août 2028. La Commission européenne et la CNIL publient toutes deux ce calendrier révisé.

Deux dates intermédiaires méritent d’être notées. Le 2 décembre 2026 marque la fin de la période transitoire accordée aux systèmes mis sur le marché avant le 2 août 2026 pour le marquage des contenus générés, et l’entrée en application de la nouvelle interdiction visant les contenus intimes non consentis et les contenus pédocriminels générés par IA. Le 2 août 2027 ouvre l’obligation pour chaque État membre de disposer d’un bac à sable réglementaire. Pour une PME, le message est clair : le report ne concerne que le haut risque, et le reste de l’AI Act est déjà opposable.

Fournisseur ou déployeur : le rôle qui fixe vos obligations AI Act

Au sens de l’AI Act, une PME est déployeur dès qu’elle utilise un système d’IA sous sa propre autorité dans le cadre de son activité professionnelle, et fournisseur seulement si elle développe ou fait développer un système qu’elle met sur le marché ou en service sous son nom. Les deux rôles n’ont pas le même poids. Le fournisseur porte l’évaluation de conformité, la documentation technique et le système de gestion des risques. Le déployeur doit utiliser le système conformément à la notice, assurer une supervision humaine, informer les personnes concernées et, pour certains usages à haut risque, réaliser une analyse d’impact sur les droits fondamentaux (article 27).

Le piège classique concerne la personnalisation. Une entreprise qui prend un modèle d’IA à usage général (celui d’OpenAI, d’Anthropic, de Google ou de Mistral), le connecte à ses données et le diffuse à ses clients sous sa marque peut passer du statut de déployeur à celui de fournisseur, notamment si elle modifie substantiellement le système ou lui assigne une finalité à haut risque. Un agent IA de qualification de leads reste du côté déployeur. Un outil de présélection de candidats conçu en interne et commercialisé auprès d’autres entreprises change de catégorie.

La qualification AI Act se fait usage par usage, pas entreprise par entreprise. La même PME peut être déployeur de son chatbot support, déployeur à haut risque de son outil de tri de CV, et fournisseur d’un module IA qu’elle intègre dans le logiciel qu’elle vend. C’est pour cette raison que l’inventaire précède tout le reste : sans liste des usages, impossible d’attribuer les rôles, donc impossible de connaître ses obligations.

Ce que l’AI Act impose déjà à une PME : interdictions, transparence, maîtrise de l’IA

Trois blocs d’obligations de l’AI Act sont déjà applicables à une PME qui utilise des outils d’IA, quel que soit son secteur. Le premier est l’interdiction de l’article 5 de l’AI Act : manipulation subliminale ou trompeuse causant un préjudice, exploitation des vulnérabilités liées à l’âge ou au handicap, notation sociale, reconnaissance des émotions au travail et dans l’enseignement (hors raisons médicales ou de sécurité), catégorisation biométrique à partir de données sensibles. La Commission a publié des lignes directrices sur ces pratiques interdites en février 2025. Dans une PME, le cas concret à vérifier est l’analyse des émotions dans les outils de visioconférence ou de support client : certains éditeurs la proposent par défaut.

Le deuxième bloc est la transparence de l’article 50 de l’AI Act, applicable depuis le 2 août 2026. Toute personne qui interagit avec un système d’IA doit en être informée, sauf si c’est évident. Les contenus audio, image ou vidéo générés ou manipulés doivent être marqués dans un format lisible par machine, et les deepfakes doivent être signalés comme tels. Un texte généré par IA et publié pour informer le public sur des questions d’intérêt général doit aussi être signalé, sauf relecture éditoriale humaine. Pour un chatbot de site web, un agent WhatsApp ou un répondeur vocal, cela se traduit par une mention claire au début de la conversation.

Le troisième bloc est l’article 4 de l’AI Act sur la maîtrise de l’IA, en application depuis le 2 février 2025, et dont la surveillance par les autorités nationales a commencé le 2 août 2026. L’omnibus a reformulé l’obligation : les fournisseurs et déployeurs doivent soutenir le développement de la maîtrise de l’IA de leur personnel, sans niveau minimal imposé ni certificat requis. La foire aux questions de la Commission précise qu’un enregistrement interne des actions menées suffit. Une PME y répond avec une charte d’usage, une session de sensibilisation adaptée aux outils réellement utilisés, et une trace écrite de qui a été formé à quoi.

Haut risque : les usages PME concernés et ce qui attend décembre 2027

Les usages à haut risque de l’AI Act les plus fréquents dans une PME relèvent de l’annexe III et concernent l’emploi et l’accès aux services : tri et présélection de candidatures, évaluation ou affectation des salariés, notation de crédit des personnes physiques, tarification en assurance vie et santé, évaluation des étudiants. Un outil de recrutement qui classe les CV ou un module d’évaluation de performance assisté par IA entre dans cette catégorie, même acheté auprès d’un éditeur.

Pour ces usages, les obligations AI Act du déployeur deviendront pleinement applicables le 2 décembre 2027 : utilisation conforme à la notice du fournisseur, supervision humaine par des personnes compétentes, contrôle de la pertinence des données d’entrée, conservation des journaux, information des salariés et de leurs représentants avant mise en service, et analyse d’impact sur les droits fondamentaux pour certains déployeurs. Le fournisseur, de son côté, devra fournir un système documenté, évalué et enregistré dans la base de données européenne.

Le report de seize mois accordé par l’AI Act révisé ne change pas la recommandation : commencer maintenant. Un outil de recrutement acheté aujourd’hui sera encore en place fin 2027. Le bon réflexe est contractuel : demander à l’éditeur sa feuille de route de conformité à l’AI Act, la notice d’utilisation prévue par le règlement, et une clause d’engagement sur la documentation technique. Une PME qui attend la dernière échéance de l’AI Act se retrouvera dépendante d’un fournisseur qui n’aura peut-être pas livré.

Tableau de vérification par usage courant

Le tableau suivant classe, au regard de l’AI Act, les usages d’IA les plus répandus dans les PME que Lead4you accompagne, avec le rôle probable, le niveau de risque et l’action à mener avant la prochaine échéance.

La colonne « rôle probable » reste une hypothèse à confirmer usage par usage. Un même outil change de case selon la façon dont il est paramétré et à qui il s’adresse.

La méthode en 5 étapes pour tenir le registre des usages IA

Un registre des usages IA conforme à l’AI Act se construit en cinq étapes, et une PME de 20 à 100 personnes le tient en deux à trois semaines avec un pilote interne et un appui extérieur ponctuel.

1. Inventorier. Lister chaque outil ou fonction IA utilisé, service par service, en interrogeant les éditeurs déjà en place sur les fonctions IA activées. Noter l’éditeur, le modèle sous-jacent quand il est connu, les données traitées et les personnes exposées (clients, candidats, salariés).
2. Qualifier le rôle. Pour chaque ligne, décider si l’entreprise est déployeur ou fournisseur, en s’appuyant sur la foire aux questions de la Commission et sur les questions-réponses de la CNIL. Documenter le raisonnement en deux lignes.
3. Classer le risque. Vérifier d’abord l’article 5 de l’AI Act (pratiques interdites), puis l’annexe III (haut risque), puis l’article 50 (transparence). Tout ce qui n’entre dans aucune de ces cases relève du risque minimal et ne demande qu’une bonne pratique interne.
4. Mettre en place les mesures déjà exigibles. Mentions de transparence dans les chatbots et agents IA, marquage des contenus générés, désactivation des fonctions interdites, actions de maîtrise de l’IA tracées, clauses contractuelles avec les éditeurs d’outils à haut risque.
5. Planifier le haut risque et relier au RGPD. Pour les usages de l’annexe III, fixer une feuille de route AI Act jusqu’au 2 décembre 2027, désigner un responsable, et rapprocher le registre des traitements RGPD et l’analyse d’impact quand des données personnelles sont en jeu.

Le registre n’est pas exigé en tant que tel par l’AI Act pour les usages à risque limité, mais c’est la seule pièce qui permet de répondre à une autorité, à un client grand compte ou à un assureur en moins d’une journée.

Sanctions de l’AI Act et articulation avec le RGPD

Les amendes prévues à l’article 99 de l’AI Act vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements, et 7,5 millions ou 1 % pour des informations incorrectes fournies aux autorités. Pour les PME, le texte retient le montant le plus bas des deux plafonds, et non le plus élevé comme pour les grandes entreprises. L’application en France relève d’autorités désignées par l’État, avec la CNIL en première ligne sur les systèmes qui traitent des données personnelles.

L’AI Act ne remplace pas le RGPD, il s’y ajoute. La CNIL le formule ainsi dans ses questions-réponses : l’AI Act complète les exigences du RGPD, et les deux textes s’appliquent simultanément dès qu’un système d’IA traite des données personnelles. Concrètement, un chatbot qui collecte des coordonnées relève de la transparence de l’article 50 et de l’information RGPD, et un outil de tri de CV relève à la fois du haut risque et de l’analyse d’impact sur la protection des données. Les fiches pratiques IA de la CNIL donnent des repères opérationnels sur la base légale, la minimisation et la durée de conservation des données d’entraînement.

Le point d’entrée pratique pour une PME est donc son registre RGPD existant : chaque traitement qui mobilise un outil IA est à compléter par le rôle, le niveau de risque et les mesures de transparence. Si vous ne savez pas par où commencer, un diagnostic de votre système d’information et de vos usages IA fixe la liste en quelques jours et évite de découvrir un usage interdit ou à haut risque au détour d’un contrôle ou d’un appel d’offres.

Checklist rapide

• Inventaire des outils et fonctions IA tenu à jour, y compris les fonctions activées dans les logiciels existants (messagerie, support, visioconférence, CRM).
• Rôle attribué pour chaque usage : déployeur ou fournisseur, avec le raisonnement écrit.
• Aucune fonction d’analyse des émotions au travail, ni de catégorisation biométrique sensible, ni de notation sociale en service.
• Mention de transparence dès le premier message de chaque chatbot, agent IA ou répondeur vocal.
• Contenus image, audio et vidéo générés marqués dans un format lisible par machine ; deepfakes signalés.
• Contenus textuels publics générés relus par un humain, ou signalés comme générés.
• Actions de maîtrise de l’IA tracées : charte, sensibilisation, liste des personnes formées.
• Pour chaque usage à haut risque au sens de l’AI Act : feuille de route jusqu’au 2 décembre 2027, clauses avec l’éditeur, information des salariés.
• Registre RGPD rapproché du registre des usages IA, analyse d’impact prévue quand des données personnelles sont en jeu.