EU AI Act : ce que les PME doivent vraiment faire en 2026

Pour la grande majorité des PME, l'EU AI Act se résume à trois obligations, pas à un cahier des charges de multinationale. Un : former tes équipes à un usage correct de l'IA (obligation en vigueur depuis février 2025). Deux : signaler à tes utilisateurs quand ils interagissent avec une IA (à partir d'août 2026). Trois : respecter le RGPD, qui s'applique déjà. Le reste, la lourde conformité « haut risque », ne concerne que les entreprises qui déploient des systèmes précis, comme le tri automatisé de CV ou le scoring de crédit.

Je le dis parce que la panique autour de l'AI Act est largement disproportionnée pour les PME. On agite le chiffre des sanctions (jusqu'à 35 millions d'euros) sans préciser à qui il s'applique. Résultat : des dirigeants qui reportent tous leurs projets IA « à cause de la réglementation », alors que leur cas relève du régime le plus léger. Reprenons dans l'ordre, avec les vraies dates.

Le calendrier réel de l'EU AI Act

Le règlement (UE) 2024/1689, c'est son nom officiel, est entré en vigueur le 1er août 2024. Mais il ne s'applique pas d'un bloc. Son déploiement est échelonné sur trois ans, et connaître les dates change tout, parce que la plupart des échéances qui te concernent sont déjà passées ou proches.

• 2 février 2025 : interdiction des usages à risque inacceptable (notation sociale, manipulation, certaines reconnaissances biométriques) et entrée en vigueur de l'obligation de littératie IA. Depuis cette date, tu dois t'assurer que les personnes qui utilisent l'IA dans ta boîte ont un niveau de compréhension suffisant.
• 2 août 2025 : obligations pour les modèles d'IA à usage général (les grands modèles type GPT, Claude, Gemini), règles de gouvernance et cadre des sanctions.
• 2 août 2026 : application du gros du règlement, dont les obligations de transparence et les règles pour les systèmes à haut risque listés à l'annexe III. C'est l'échéance dont tout le monde parle.
• 2 août 2027 : obligations pour les systèmes à haut risque qui sont intégrés dans des produits déjà régulés (annexe I), avec une transition plus longue.

Retiens que février 2025 et août 2026 sont tes deux dates. La première est derrière toi. La seconde arrive.

Les quatre niveaux de risque, et où se situe ta PME

L'AI Act ne réglemente pas « l'IA » en bloc. Il classe les systèmes par niveau de risque, et les obligations dépendent entièrement de ce classement. C'est le point que la couverture médiatique écrase, et c'est le plus important pour toi.

• Risque inacceptable : interdit depuis février 2025. Notation sociale, manipulation comportementale. Aucune PME normale n'est là.
• Haut risque : systèmes qui décident sur des sujets sensibles. Tri de candidatures, évaluation de solvabilité, accès à l'éducation ou aux services essentiels. Obligations lourdes. On y revient, parce que c'est là que se joue ta vraie exposition.
• Risque limité : chatbots, générateurs de contenu, assistants. Une seule vraie obligation : la transparence. Prévenir l'utilisateur qu'il parle à une IA.
• Risque minimal : tout le reste. Filtres anti-spam, suggestions, automatisations internes. Aucune obligation spécifique au titre de l'AI Act.

La quasi-totalité des PME opèrent dans les deux derniers niveaux. Un chatbot support, un assistant de rédaction, une automatisation de factures : risque limité ou minimal. Tes obligations tiennent alors sur une page.

Un dernier point de vocabulaire qui change tes obligations : es-tu fournisseur ou déployeur ? Le fournisseur développe et met sur le marché un système d'IA. Le déployeur l'utilise. La plupart des PME sont des déployeurs, ce qui allège nettement leurs obligations : elles n'ont pas à monter la documentation technique d'un système, seulement à l'utiliser correctement et de façon transparente. Si tu achètes un outil IA plutôt que de le construire, tu es presque toujours dans ce cas.

Ce que ta PME doit vraiment faire

Voici les quatre gestes concrets, du plus urgent au plus contextuel.

• La littératie IA. C'est l'obligation la plus oubliée, et elle est déjà en vigueur. Tes collaborateurs qui utilisent l'IA doivent savoir formuler leurs demandes, vérifier les sorties et repérer les erreurs. Une formation courte et une note interne suffisent à documenter la démarche.
• La transparence. À partir d'août 2026, un utilisateur qui interagit avec ton chatbot doit savoir qu'il parle à une IA. Les contenus générés (images, textes de synthèse sur des sujets d'intérêt public) doivent être signalés comme tels. Techniquement trivial, juste à ne pas oublier.
• La validation humaine. Pour toute décision à enjeu (RH, crédit, contractuel), garde un humain dans la boucle. L'IA propose, l'humain décide. C'est une bonne pratique universelle, et une obligation dès que tu touches au haut risque.
• La protection des données et de la propriété. Vérifie dans les conditions de tes fournisseurs que tes données ne servent pas à entraîner leurs modèles publics, et tiens ces traitements dans ton registre RGPD. Ce volet croise directement la conformité RGPD, développée dans notre guide sur le RGPD et la gouvernance des données en PME.

Quatre points, une demi-journée de cadrage. Pas un cabinet d'avocats à cinquante mille euros.

Le vrai sujet : es-tu concerné par le « haut risque »

C'est la seule question qui peut changer ton exposition du tout au tout. Si un de tes systèmes IA relève du haut risque au sens de l'annexe III, tu passes d'une demi-journée de cadrage à un vrai projet de conformité.

Les cas d'annexe III les plus fréquents en PME :

• Un outil qui trie ou évalue automatiquement des candidatures à l'embauche.
• Un système qui évalue la solvabilité ou décide d'un accès au crédit.
• Un système utilisé pour l'accès à des services essentiels ou à la formation.

Si tu es dans un de ces cas, les obligations montent d'un cran : évaluation de conformité, documentation technique, supervision humaine renforcée, gestion des risques, enregistrement du système. Ce n'est pas hors de portée, mais ça se prépare et ça ne s'improvise pas en août 2026.

La plupart des PME ne sont pas là. Mais celles qui utilisent un logiciel RH avec du tri automatique de CV le sont sans toujours le savoir, parce que c'est leur fournisseur qui a intégré l'IA. D'où l'intérêt de cartographier tes usages avant de conclure que « tu n'es pas concerné ».

Les sanctions, et pourquoi le chiffre qui circule trompe

Oui, l'AI Act prévoit des amendes salées. Trois niveaux :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages interdits.
• Jusqu'à 15 millions d'euros ou 3 % pour les autres manquements aux obligations.
• Jusqu'à 7,5 millions d'euros ou 1 % pour des informations incorrectes fournies aux autorités.

Le « 35 millions » qui circule concerne les pratiques interdites, celles qu'aucune PME sérieuse ne met en œuvre. Et le règlement demande explicitement des sanctions proportionnées, en tenant compte de la taille de l'entreprise. Une TPE qui a oublié de signaler son chatbot ne risque pas la même chose qu'un géant qui déploie un système de notation sociale. Le brandir sans contexte, c'est de la désinformation par omission.

Par où commencer, concrètement

La bonne séquence tient en quatre étapes, et tu peux la lancer cette semaine.

• Cartographie tes usages IA. Liste tous les outils IA en service, y compris ceux intégrés dans tes logiciels métiers (RH, compta, CRM).
• Classe chacun par niveau de risque. Minimal, limité, ou haut risque selon l'annexe III.
• Traite le limité et le minimal en priorité. Littératie, transparence, registre RGPD. C'est rapide.
• Isole le haut risque, s'il existe. Et là, prends le temps de faire les choses sérieusement.

Cadrer sa conformité IA n'est pas un frein au projet, c'est ce qui lui permet de passer en production sans se faire stopper par la direction juridique ou par un grand donneur d'ordres qui exige désormais une charte IA. C'est le même réflexe que d'intégrer l'IA proprement dès le départ, la logique qu'on structure avec la méthode C.A.R.E..

Si tu veux qu'on classe tes usages IA et qu'on monte ton cadrage de conformité en une session, c'est exactement ce qu'on fait. Réserve un appel découverte de 30 min. On te dit franchement où tu te situes, et ce que tu as vraiment à faire d'ici août 2026.