AI Act 2026 pour PME : obligations et conformité

⚠️ Information générale, pas conseil juridique. Le classement dépend du rôle, de l'usage et du secteur. Faites valider les cas sensibles par un professionnel compétent.

💡 En résumé (TL;DR)

• L'AI Act européen est devenu largement applicable le 2 août 2026, avec plusieurs exceptions et dates différées.
• Les pratiques interdites et l'obligation de culture/compétence en IA s'appliquent depuis le 2 février 2025 ; les règles GPAI depuis le 2 août 2025.
• Après l'AI Omnibus entré en vigueur le 27 juillet 2026, certaines obligations pour les systèmes à haut risque s'appliquent plus tard : notamment décembre 2027 ou août 2028 selon la catégorie.
• Une PME utilisant ChatGPT, Gemini ou un agent n'est pas automatiquement fournisseur d'un modèle, mais elle reste responsable de ses usages, accès, données, supervision et information des personnes.
• La priorité pratique : inventaire, classification, politique d'usage, formation, contrats, preuves et contrôle humain.

Depuis août 2026, la question n'est plus de savoir si l'AI Act arrivera, mais quelles obligations concernent réellement chaque usage. Une PME peut être simple utilisatrice d'un service d'IA, déployer un système pour ses salariés, intégrer une API dans un produit ou commercialiser sa propre solution. Le rôle change les responsabilités.

Ce guide propose une checklist opérationnelle fondée sur le calendrier officiel de la Commission européenne au 30 août 2026.

Les dates importantes de l'AI Act

Le calendrier a évolué. Un article antérieur à mai ou juillet 2026 peut donc présenter les anciennes dates. Utilisez la plateforme officielle de la Commission et le texte consolidé pour toute décision.

Première question : quel est votre rôle ?

Déployeur

Vous utilisez un système d'IA sous votre autorité, par exemple pour trier des demandes, assister des salariés ou analyser des documents.

Fournisseur

Vous développez un système ou le mettez sur le marché sous votre nom. Une intégration substantiellement modifiée ou rebrandée peut nécessiter une analyse précise du rôle.

Importateur ou distributeur

Vous introduisez ou distribuez une solution dans l'Union européenne.

Utilisateur individuel

Un salarié qui utilise un outil pour une tâche professionnelle agit dans le cadre de l'organisation ; l'entreprise doit encadrer cet usage, même si le compte a été créé sans projet centralisé.

Documentez le rôle pour chaque système, car une même PME peut être déployeur d'un outil et fournisseur d'une autre solution.

Deuxième question : quel niveau de risque ?

Pratiques interdites

Certains usages sont interdits. Il faut les identifier et les arrêter, pas seulement les documenter.

Haut risque

Le classement dépend de l'usage prévu et des catégories réglementaires : emploi, éducation, biométrie, infrastructures critiques et autres domaines sensibles peuvent être concernés. Les dates de certaines exigences ont été différées, mais cela ne supprime pas la préparation nécessaire.

Transparence spécifique

Certains systèmes qui interagissent avec des personnes ou produisent des contenus synthétiques doivent respecter des obligations d'information ou de marquage selon le cas et le calendrier applicable.

Risque limité ou minimal

Un outil de résumé interne ou de génération d'idées est souvent moins risqué, sans être exempt des règles de protection des données, de confidentialité, de propriété intellectuelle ou de sécurité.

Checklist AI Act pour une PME

1. Créer un registre des systèmes IA

Pour chaque outil, notez :

• nom, fournisseur et version ;
• finalité métier ;
• utilisateurs et responsable ;
• données entrantes et sortantes ;
• personnes affectées ;
• décisions ou actions influencées ;
• connexions à d'autres systèmes ;
• lieu de stockage et durée de conservation ;
• rôle de l'entreprise ;
• niveau de risque provisoire.

Incluez les outils « informels » utilisés par les équipes. Le shadow AI constitue souvent le plus grand angle mort.

2. Établir une politique d'usage

La politique doit expliquer :

• données interdites dans les outils publics ;
• comptes et plans autorisés ;
• cas nécessitant validation ;
• règles de citation et vérification ;
• usages interdits ;
• procédure d'incident ;
• conservation des prompts et résultats lorsque nécessaire.

Une politique de dix pages jamais lue vaut moins qu'une fiche claire accompagnée de formation.

3. Former les personnes

L'AI Act impose depuis février 2025 de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA selon le contexte. La formation doit être adaptée au rôle :

• limites et hallucinations ;
• protection des données ;
• biais ;
• sécurité et injection de prompt ;
• validation humaine ;
• signalement d'un incident.

Conservez programme, dates, participants et évaluations.

4. Évaluer les fournisseurs

Demandez :

• conditions d'utilisation des données ;
• sous-traitants et localisation ;
• sécurité et notification d'incident ;
• documentation du modèle ou système ;
• disponibilité des journaux ;
• mécanismes de suppression ;
• changements de version ;
• assistance à la conformité ;
• possibilité d'exporter et de quitter le service.

Une marque connue ne dispense pas de l'évaluation du produit et du plan précis utilisés.

5. Maintenir une supervision humaine réelle

La supervision n'est pas une case « validé ». La personne doit :

• comprendre le contexte ;
• voir les informations utiles ;
• pouvoir contester le résultat ;
• disposer du temps nécessaire ;
• savoir arrêter le système ;
• ne pas être incitée à approuver automatiquement.

Pour une action financière ou RH, séparez recommandation, décision et exécution.

6. Informer les personnes

Lorsqu'une personne interagit avec une IA ou qu'un contenu est synthétique, vérifiez si une information ou un marquage est requis. Même en dehors d'une obligation spécifique, une information claire réduit les malentendus.

7. Sécuriser les agents et connexions

Un agent peut lire des emails, appeler une API ou modifier un CRM. Appliquez :

• moindre privilège ;
• liste blanche d'outils ;
• validation côté serveur ;
• confirmation pour les actions sensibles ;
• protection contre l'injection ;
• rotation des secrets ;
• limites de volume ;
• journalisation.

Consultez notre guide sur la sécurité des agents IA et workflows n8n.

8. Conserver les preuves

Conservez de manière proportionnée :

• registre ;
• analyse de risque ;
• version des outils ;
• décisions d'approbation ;
• formations ;
• contrats ;
• tests ;
• incidents et corrections ;
• réévaluations périodiques.

La preuve doit montrer ce qui a été réellement fait, pas seulement une politique théorique.

Exemple : assistant RH interne

Une PME utilise un agent pour résumer les CV et préparer des questions. Ce cas exige une attention forte parce qu'il touche l'emploi.

Mesures minimales prudentes :

1. interdire le rejet automatique ;
2. définir les critères professionnels légitimes ;
3. supprimer les attributs non nécessaires ;
4. tester les biais et erreurs ;
5. documenter le fournisseur et les versions ;
6. informer selon les règles applicables ;
7. laisser la décision à une personne formée ;
8. conserver une voie de contestation.

La date exacte des obligations haut risque dépend du classement et du calendrier actualisé. Ne transformez pas une date différée en permission de déployer sans contrôle.

Exemple : chatbot de support

Un chatbot qui répond aux FAQ sans prendre de décision sensible peut présenter un risque plus limité. Il faut néanmoins :

• indiquer qu'il s'agit d'une IA lorsque requis ;
• proposer un transfert vers un humain ;
• limiter les données demandées ;
• vérifier les réponses ;
• empêcher l'accès à d'autres clients ;
• journaliser les incidents ;
• contrôler les actions connectées.

AI Act, RGPD et cybersécurité

L'AI Act ne remplace pas le RGPD, le droit du travail, la protection des consommateurs, la propriété intellectuelle ou les règles sectorielles.

Un projet peut être de faible risque au sens de l'AI Act et traiter pourtant des données personnelles sensibles. Inversement, un système à haut risque exige une gouvernance plus large que la seule protection des données.

Travaillez avec une matrice commune :

Plan d'action sur 30 jours

Jours 1 à 7

• inventorier les outils ;
• bloquer les pratiques manifestement interdites ;
• identifier les usages RH, biométriques, éducatifs ou critiques.

Jours 8 à 15

• nommer les responsables ;
• classer provisoirement les risques ;
• vérifier les contrats des outils principaux ;
• publier une règle temporaire de données autorisées.

Jours 16 à 23

• former les équipes prioritaires ;
• ajouter validations et journaux ;
• créer une procédure d'incident.

Jours 24 à 30

• corriger les écarts ;
• faire valider les cas sensibles ;
• établir un calendrier trimestriel de réévaluation.

FAQ AI Act 2026

L'AI Act s'applique-t-il déjà en 2026 ?

Oui, il est devenu largement applicable le 2 août 2026, mais certaines obligations étaient déjà applicables et d'autres dates ont été différées selon les systèmes.

Une PME est-elle exemptée ?

Non. Des mesures simplifiées existent pour les PME et ont été étendues à certaines petites entreprises de taille intermédiaire, mais les obligations pertinentes subsistent.

Utiliser ChatGPT rend-il automatiquement l'entreprise fournisseur d'IA ?

Non. Une entreprise est souvent déployeur d'un service existant. Son rôle peut changer si elle commercialise, rebrand ou modifie substantiellement un système.

Toutes les IA RH sont-elles interdites ?

Non, mais certains usages liés à l'emploi peuvent être classés à haut risque et certaines pratiques sont interdites. Une analyse précise est nécessaire.

Que faut-il faire en premier ?

Créer un registre complet des outils et usages, puis classer les cas par rôle, risque, données et impact. Sans inventaire, aucune conformité fiable n'est possible.

Sources officielles consultées

• Commission européenne — Cadre réglementaire de l'AI Act et calendrier
• EUR-Lex — Texte du règlement européen sur l'intelligence artificielle
• AI Act Service Desk — Plateforme d'information officielle
• Commission européenne — Code de bonnes pratiques GPAI

Dernière vérification du calendrier : 30 août 2026.