AI Act : ce qui est devenu obligatoire le 2 août 2026 — et ce que ça change pour votre PME

Le 2 août 2026 était inscrit dans le texte dès le premier jour : en vertu de son article 113, le règlement (UE) 2024/1689 — l’AI Act — est devenu applicable dans son régime général à cette date dans toute l’Union. C’est la troisième vague d’un calendrier ouvert par l’interdiction des pratiques prohibées et l’obligation de maîtrise de l’IA le 2 février 2025, puis poursuivi par les règles des modèles d’IA à usage général le 2 août 2025. Cette fois, le changement concerne les entreprises qui se contentent d’utiliser l’IA, pas seulement celles qui la construisent — PME comprises.

Ce qui est devenu applicable le 2 août 2026

• →Les obligations de transparence (article 50) : une personne qui interagit avec un chatbot doit pouvoir savoir qu’elle a affaire à une IA, et les contenus générés ou manipulés par IA — les deepfakes en particulier — doivent être identifiés comme tels.
• →Le régime des systèmes à haut risque : les obligations attachées aux systèmes listés à l’annexe III — recrutement et évaluation des salariés, scoring de crédit, accès aux services essentiels, éducation — s’appliquent désormais, pour les fournisseurs comme pour les entreprises qui les déploient.
• →Le contrôle : les États membres devaient désigner leurs autorités de surveillance du marché et fixer leur régime de sanctions. Les plafonds posés par le règlement : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour la plupart des autres manquements — avec une règle qui retient le montant le plus bas des deux pour les PME.
• →Une réserve de prudence : le paquet de simplification (« omnibus numérique ») proposé par la Commission européenne en novembre 2025 pourrait ajuster une partie du calendrier du haut risque. Vérifiez son état d’avancement avant de bâtir un plan de conformité sur les seules dates.

La question à se poser : êtes-vous déployeur d’un système à haut risque sans le savoir ?

Le règlement distingue le fournisseur, qui construit le système, du déployeur, qui l’utilise sous sa propre autorité. Une PME n’est presque jamais fournisseur — mais elle devient déployeur d’un système à haut risque le jour où elle utilise un logiciel qui filtre des candidatures, score des demandes de crédit ou évalue des salariés. Dans ce cas, les obligations sont concrètes : utiliser le système conformément à la notice du fournisseur, garantir une supervision humaine des décisions, conserver les journaux, et informer les salariés concernés avant la mise en service. Les juristes avaient vu venir cette architecture bien avant le texte final : l’analyse de référence de Michael Veale et Frederik Zuiderveen Borgesius, publiée en 2021 dans Computer Law Review International, Demystifying the Draft EU Artificial Intelligence Act, relevait déjà que le règlement fait peser l’essentiel des devoirs sur celui qui met le système sur le marché — laissant au déployeur des obligations moins nombreuses, mais très opérationnelles.

Ce qui ne change pas pour la plupart des usages en PME

L’essentiel de ce que les PME font réellement avec l’IA — aide à la rédaction, synthèse de documents, chatbots de support, automatisations internes — relève de la catégorie à risque minimal : aucune autorisation nouvelle, aucun enregistrement à accomplir. Pour un chatbot face aux clients, l’exigence opérationnelle tient à l’honnêteté : dire clairement que c’est une IA, ce qu’un assistant bien conçu devrait faire de toute façon. Et le RGPD n’a pas bougé : dès qu’un outil d’IA traite des données personnelles, les règles que la CNIL détaille dans ses recommandations sur l’IA s’appliquent exactement comme avant. L’AI Act ajoute une couche pour des usages précis ; il ne réécrit pas les fondamentaux.

La vérification en 5 points avant la fin du trimestre

• →Inventorier les outils d’IA réellement utilisés dans l’entreprise — y compris ceux adoptés équipe par équipe sans décision de la DSI.
• →Confronter cette liste à l’annexe III : tout ce qui touche au recrutement, à l’évaluation des salariés, au crédit ou à l’accès aux services essentiels mérite un examen rapproché.
• →Pour chaque correspondance, demander au fournisseur sa documentation AI Act : destination du système, notice d’utilisation, mesures de supervision humaine.
• →Rendre identifiables comme tels vos chatbots face aux clients et vos contenus générés par IA — l’obligation de l’article 50, celle qui concerne presque tout le monde.
• →Documenter la formation à l’IA dispensée aux équipes : l’obligation de maîtrise de l’IA de l’article 4 s’applique depuis le 2 février 2025 et reste la moins coûteuse à satisfaire.

La leçon que nous tirons des chantiers de conformité : les entreprises qui souffrent ne sont pas celles qui utilisent l’IA avec ambition, mais celles qui sont incapables de dire où l’IA intervient dans leurs propres processus. Une après-midi passée à construire cet inventaire vaut mieux que toutes les spéculations sur les amendes.