AI Act 2026 : ce que les PME doivent faire avant le 2 août

Le 2 août 2026, l'essentiel du règlement européen sur l'intelligence artificielle (l'« AI Act ») devient applicable. Si vos équipes utilisent ChatGPT, Copilot ou un autre outil d'IA générative — même de façon informelle — votre entreprise entre dans le champ du règlement. Concrètement, vous devez savoir qui utilise quelle IA, pour quel usage, et avec quelles données. Ce guide explique en clair de quoi il s'agit, comment savoir si vous êtes concerné, ce que vous risquez, et la liste des actions à mener avant l'échéance.

Une précision d'emblée, parce qu'elle évite la panique : le 2 août 2026 ne rend pas l'IA illégale. Cette date marque l'entrée en vigueur des obligations de transparence et du régime des systèmes à « haut risque ». Pour la grande majorité des PME, la mise en conformité tient en quelques mesures de bon sens documentées — pas en un chantier informatique de six mois.

L'AI Act, en clair

L'AI Act est le Règlement (UE) 2024/1689, le premier cadre juridique complet au monde sur l'intelligence artificielle. Comme le RGPD pour les données personnelles, c'est un règlement européen : il s'applique directement dans tous les États membres, sans transposition nationale, et il vise toute organisation qui met sur le marché ou utilise un système d'IA dans l'Union — y compris les éditeurs établis hors UE dont les outils sont employés en Europe.

Le texte distingue deux rôles principaux. Le fournisseur développe le système d'IA et le met à disposition (par exemple OpenAI pour ChatGPT). Le déployeur utilise le système sous sa propre autorité, dans le cadre professionnel. Dès qu'une de vos équipes utilise une IA pour travailler, votre entreprise est déployeur — c'est ce statut qui vous concerne en premier.

Le calendrier à retenir

L'AI Act s'applique par étapes. Trois dates comptent pour une PME :

• 2 février 2025 : interdiction des pratiques d'IA jugées inacceptables (article 5). Déjà en vigueur.
• 2 août 2025 : obligations pour les modèles d'IA à usage général, les « GPAI » comme les grands modèles de langage qui font tourner ChatGPT ou Gemini. Déjà en vigueur, mais ces obligations pèsent sur les fournisseurs des modèles, pas sur vous.
• 2 août 2026 : application de l'essentiel du règlement — les obligations de transparence (article 50) et le régime des systèmes à haut risque listés à l'annexe III. C'est l'échéance qui concerne directement les PME.

Une dernière étape, le 2 août 2027, étendra le dispositif aux IA intégrées dans des produits réglementés (machines, dispositifs médicaux). Elle ne concerne qu'une minorité d'entreprises.

« Suis-je concerné ? »

Oui, dès que vos équipes utilisent une IA générative. Il n'existe pas de seuil d'effectif ou de chiffre d'affaires en dessous duquel l'AI Act ne s'applique pas. Une PME de cinq personnes qui rédige ses devis avec ChatGPT est un déployeur d'IA au sens du règlement, exactement comme un groupe du CAC 40. Ce qui change selon la taille, ce sont les moyens — pas le périmètre des obligations.

Le piège le plus courant porte un nom : le shadow AI, l'usage d'outils d'IA par les salariés sans validation ni visibilité de la direction. Un commercial qui colle un fichier client dans un assistant pour rédiger un e-mail, un comptable qui demande à une IA d'analyser un bilan, un recruteur qui fait résumer des candidatures : ces usages se sont installés sans décision formelle. Les chiffres de marché sont parlants — une majorité des collaborateurs utilisent déjà l'IA générative en dehors du périmètre de la DSI, et une large part y collent des données internes. Le problème n'est pas l'outil. Le problème, c'est que le dirigeant est juridiquement responsable d'usages qu'il ne voit pas.

Premier réflexe, donc : partir du principe que de l'IA est déjà utilisée chez vous, et chercher à savoir où.

Les 4 niveaux de risque

L'AI Act classe les systèmes d'IA selon le risque qu'ils font peser sur les droits et la sécurité des personnes. À chaque niveau correspond un régime d'obligations. C'est la grille de lecture centrale du règlement.

1. Risque inacceptable — interdit (article 5). Une poignée de pratiques sont purement et simplement interdites dans l'Union : la notation sociale généralisée des individus, la manipulation subliminale qui altère les comportements, l'exploitation des vulnérabilités d'une personne, ou encore la reconnaissance des émotions des salariés sur le lieu de travail (hors raisons médicales ou de sécurité). Ces interdictions visent surtout des usages extrêmes ; la plupart des PME n'y sont pas exposées, mais il faut les connaître pour les écarter.

2. Haut risque (annexe III). Ce sont les usages d'IA dans des domaines sensibles : emploi, accès au crédit, éducation, services essentiels, justice. L'exemple le plus concret pour une PME est le tri automatisé de candidatures : filtrer, scorer ou classer des CV avec une IA relève de l'annexe III (domaine « emploi et gestion des travailleurs »). Un système à haut risque entraîne des obligations lourdes — supervision humaine, documentation technique, gestion des risques, journalisation. Un cabinet de recrutement ou un service RH qui automatise sa présélection est directement concerné.

3. Risque limité — transparence (article 50). C'est la catégorie qui touche le plus grand nombre de PME. Quand vous utilisez un agent conversationnel ou que vous diffusez du contenu généré par IA, vous devez en informer les personnes concernées : un chatbot doit indiquer qu'il est une IA, un contenu de synthèse (texte, image, audio) doit être signalé comme tel. Ce sont des obligations de transparence, pas un parcours de conformité technique.

4. Risque minimal. Tout le reste : la très grande majorité des usages d'IA en entreprise (rédaction, traduction, brainstorming, résumé interne). Aucune obligation réglementaire spécifique. Le règlement encourage simplement les bonnes pratiques volontaires.

Le bon réflexe n'est pas de craindre le « haut risque » par défaut, mais de classer chacun de vos usages dans la bonne case. La plupart tomberont en risque minimal ou limité.

Les sanctions

Le non-respect de l'AI Act expose à des amendes administratives calibrées sur la gravité du manquement (article 99). Le montant retenu est le plus élevé entre un plafond fixe et un pourcentage du chiffre d'affaires mondial annuel :

• Pratiques interdites (article 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
• Autres manquements (obligations des déployeurs et fournisseurs sur les systèmes à haut risque, transparence) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires.
• Informations inexactes ou trompeuses fournies aux autorités : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires.

Le règlement prévoit que, pour les PME et les jeunes entreprises, c'est le plus bas des deux montants (plafond fixe ou pourcentage) qui s'applique — un correctif qui évite des amendes disproportionnées pour une petite structure. Ces sanctions seront prononcées par les autorités nationales de surveillance.

Surtout, ne raisonnez pas « AI Act » de façon isolée. Le RGPD, lui, s'applique déjà. Coller des données personnelles ou confidentielles dans un outil d'IA grand public, c'est souvent un transfert de données hors UE et un traitement non encadré — sanctionnable aujourd'hui, sans attendre 2026, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires côté RGPD. Pour les professions réglementées, s'y ajoute le secret professionnel, dont la violation expose à des poursuites disciplinaires. L'échéance de l'AI Act est donc moins une nouveauté qu'un accélérateur : elle rend visible un risque déjà présent.

Quoi faire — la checklist actionnable

La mise en conformité d'une PME ne demande pas un budget de grand compte. Elle repose sur cinq actions, dans l'ordre :

1. Cartographier les usages. Recensez quels outils d'IA sont utilisés, par qui, pour quelles tâches, et avec quelles données. C'est l'étape qui révèle le shadow AI. Sans cette photographie, aucune conformité n'est possible.

2. Classer les risques. Pour chaque usage identifié, placez-le dans l'un des quatre niveaux ci-dessus. Vous saurez immédiatement lesquels demandent une vigilance particulière (haut risque, transparence) et lesquels sont sans contrainte.

3. Tenir un registre IA. Documentez vos usages dans un registre — l'équivalent, pour l'IA, du registre des traitements RGPD. C'est la pièce qu'une autorité demandera en premier en cas de contrôle. Un tableau structuré et tenu à jour suffit à démontrer votre bonne foi.

4. Rédiger une charte d'usage. Donnez à vos équipes des règles claires : quels outils sont autorisés, quelles données ne doivent jamais être saisies, quels usages sont proscrits. Une charte transforme le shadow AI subi en usage encadré.

5. Anonymiser les données avant de les envoyer à l'IA. C'est la mesure technique qui réduit le plus le risque. Si aucune donnée personnelle ou confidentielle ne quitte votre périmètre en clair, l'essentiel de l'exposition RGPD et secret professionnel disparaît. Attention toutefois : le simple remplacement de noms ne suffit pas — les modèles de langage réinfèrent souvent les identités à partir du contexte. Nous détaillons cette limite dans notre comparatif sur l'anonymisation simple.

Ces cinq actions sont à la portée d'une PME et constituent une base de conformité solide, même imparfaite. Mieux vaut un registre tenu à 80 % qu'aucun registre.

Par où commencer

Le point de départ le plus efficace est un audit de votre exposition. Un audit AI Act cartographie vos usages, classe vos risques, identifie vos écarts de conformité et vous remet les documents fondateurs — registre IA, charte d'usage, plan d'action priorisé. C'est précisément l'objet de notre audit AI Act : un accompagnement humain, pas un questionnaire généré automatiquement, qui vous laisse avec un dossier exploitable face à un contrôle.

Une fois la photographie faite, reste à encadrer les usages dans la durée — et c'est le rôle d'un outil. MASKAI est un proxy IA souverain européen : il s'intercale entre vos équipes et les IA grand public (ChatGPT, Claude, Gemini, Mistral), détecte et masque les données sensibles avant qu'elles ne partent, puis journalise chaque usage. Ce journal constitue un registre de conformité AI Act tenu automatiquement, et les données sensibles restent en France, hors de portée des lois extraterritoriales. Vous pouvez demander une démo pour voir le fonctionnement, ou consulter notre page de transparence sur l'hébergement et la stack.

Selon votre métier, les obligations se cumulent différemment. Nous avons détaillé les cas les plus exposés : les cabinets RH et de recrutement (tri de CV et annexe III), les experts-comptables (secret professionnel et bilans clients) et les avocats (secret professionnel absolu sur les pièces de dossier).

Questions fréquentes

L'AI Act concerne-t-il les TPE et les PME ?

Oui. L'AI Act ne fixe aucun seuil d'effectif ou de chiffre d'affaires : une TPE qui utilise ChatGPT pour son activité est déployeur d'IA au même titre qu'un grand groupe. Les obligations sont identiques, mais le règlement allège les sanctions pour les petites structures, qui se voient appliquer le plus bas des deux plafonds prévus.

Que se passe-t-il concrètement le 2 août 2026 ?

Le 2 août 2026, l'essentiel de l'AI Act devient applicable : les obligations de transparence sur les contenus et agents conversationnels générés par IA (article 50) et le régime des systèmes à haut risque (annexe III). L'IA ne devient pas illégale ; ce sont les règles d'usage, de documentation et d'information qui entrent en vigueur et deviennent contrôlables.

Dois-je arrêter d'utiliser ChatGPT dans mon entreprise ?

Non. Utiliser ChatGPT n'est pas interdit par l'AI Act. Le risque ne vient pas de l'outil mais des données que vos équipes y saisissent : coller des informations personnelles ou confidentielles dans un service grand public viole déjà le RGPD. La solution est d'encadrer l'usage et d'anonymiser les données avant l'envoi, pas d'interdire l'IA.

Combien coûte la mise en conformité pour une PME ?

Pour une PME, la conformité repose sur des actions internes peu coûteuses : cartographie des usages, registre IA, charte. Un audit AI Act encadré démarre à 1 500 € HT et vous remet les documents fondateurs. Le vrai coût à comparer, c'est celui d'un manquement : amendes RGPD ou AI Act, contentieux, perte de confiance des clients.

Quelle différence entre l'AI Act et le RGPD ?

Le RGPD encadre le traitement des données personnelles depuis 2018 ; l'AI Act encadre les systèmes d'intelligence artificielle eux-mêmes, selon leur niveau de risque. Les deux s'appliquent en parallèle et se cumulent : une IA qui traite des données personnelles doit respecter le RGPD aujourd'hui et les obligations de l'AI Act au fil de leur entrée en vigueur.