Le 2 août 2026, une nouvelle étape de l’AI Act est entrée en application. Depuis l’adoption du paquet Digital Omnibus fin juillet, une idée confortable circule chez les dirigeants : tout aurait été repoussé à 2027, donc rien à faire. C’est à moitié faux. Une partie du calendrier a bien été décalée, mais une autre est entrée en vigueur à cette date, et elle concerne beaucoup plus de PME que la partie reportée. Cet article sépare les deux, et détaille ce qu’une entreprise doit concrètement faire.
Rappel express : l’AI Act en quatre niveaux de risque
Le règlement classe les usages de l’IA selon le risque qu’ils créent, pas selon la technologie employée. Quatre niveaux, du plus strict au plus léger.
- Risque inacceptable : pratiques interdites depuis février 2025, comme la notation sociale, la manipulation comportementale et certaines surveillances biométriques
- Haut risque : huit domaines listés à l’annexe III (recrutement, crédit, éducation, justice, biométrie, infrastructures critiques, services essentiels), avec des obligations lourdes de documentation, de supervision humaine et de traçabilité
- Risque limité : obligations de transparence, en substance dire aux personnes qu’elles ont affaire à une IA
- Risque minimal : la grande majorité des usages courants, sans contrainte particulière
Une précision qui compte, car elle est souvent formulée à l’envers : les obligations de transparence ne sont pas réservées aux systèmes classés à risque limité. Elles s’appliquent à tout système d’IA utilisé dans l’une des quatre situations décrites par l’article 50, quelle que soit sa catégorie de risque.
Ce qui s’applique depuis le 2 août 2026
C’est le cœur du sujet. L’article 50 impose des obligations de transparence, et ce sont elles qui touchent le quotidien réel d’une PME.
- Chatbots et agents conversationnels : toute personne qui interagit avec une IA doit en être informée, sauf si c’est déjà évident
- Contenus générés ou fortement retouchés par IA : images, vidéos, sons et certains textes doivent être identifiables comme tels, dans les cas prévus par le règlement
- Hypertrucages (deepfakes) : le marquage est obligatoire, hors exceptions artistiques
- Reconnaissance des émotions et catégorisation biométrique : les personnes exposées doivent être informées
Deux points pratiques méritent d’être soulignés, car c’est là que la plupart des entreprises se trompent. D’abord, l’article 50 ne fixe aucun seuil de taille : un indépendant qui exploite un chatbot de support est concerné au même titre qu’un grand groupe. Ensuite, la Commission européenne a explicitement écarté la mention enfouie dans les conditions générales, le filigrane imperceptible et la référence vague à un « assistant ». L’information doit être claire, visible, et délivrée au plus tard lors de la première interaction pour un chatbot, ou directement associée au contenu pour un visuel.
Côté texte, l’obligation est plus étroite que la rumeur ne le laisse croire. Elle vise les textes publiés pour informer le public sur des questions d’intérêt public, et elle tombe lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial, avec une personne ou une organisation qui assume la responsabilité éditoriale de la publication. Autrement dit, non, vous n’avez pas à étiqueter chaque phrase qu’une IA vous a aidé à écrire.
Également entrés en application à cette date : les pouvoirs de contrôle et de sanction étendus de la Commission sur les fournisseurs de modèles d’IA à usage général.
Ce qui est reporté, et jusqu’à quand
Le Digital Omnibus sur l’IA (règlement (UE) 2026/1744), publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, a décalé la partie la plus lourde du dispositif.
- Systèmes à haut risque autonomes de l’annexe III (recrutement, crédit, éducation, biométrie) : 2 décembre 2027
- Systèmes à haut risque intégrés à des produits déjà réglementés, annexe I (dispositifs médicaux, jouets connectés) : 2 août 2028
C’est de là que vient le malentendu. Oui, le régime haut risque a bougé. Non, cela ne veut pas dire que rien ne s’applique. Si votre entreprise utilise l’IA pour du recrutement ou du scoring de crédit, vous avez jusqu’à fin 2027. Si elle exploite un chatbot ou publie des visuels générés par IA, l’échéance est déjà passée.
Le calendrier complet
- 1er août 2024 : entrée en vigueur du règlement
- 2 février 2025 : pratiques interdites, et obligation de littératie IA pour les salariés (article 4)
- 2 août 2025 : régime des modèles d’IA à usage général et cadre général des sanctions
- 2 août 2026 : obligations de transparence (chatbots, deepfakes, contenus IA) et pouvoirs de contrôle étendus
- 2 décembre 2026 : nouvelles interdictions et fin de la période de transition pour le marquage des contenus IA existants
- 2 décembre 2027 : obligations pour les systèmes à haut risque autonomes de l’annexe III
- 2 août 2028 : obligations pour les systèmes à haut risque intégrés à des produits réglementés, annexe I
Les sanctions
Les plafonds sont élevés, et ils se calculent sur le chiffre d’affaires mondial. Jusqu’à 35 millions d’euros ou 7 pour cent pour les infractions les plus graves, c’est-à-dire les pratiques interdites. Jusqu’à 15 millions d’euros ou 3 pour cent pour les manquements aux obligations, ce qui inclut la transparence évoquée ici. Comme pour le RGPD, ce sont des plafonds et non des amendes automatiques, et l’application est proportionnée.
Un point qui surprend beaucoup d’entreprises : comme le RGPD, l’AI Act a une portée extraterritoriale. Un fournisseur ou un déployeur établi hors d’Europe est concerné dès lors que son système est utilisé dans l’Union.
Checklist pratique : par où commencer quand on est une PME
Rien de tout cela n’exige un département conformité. Cela demande un inventaire clair et quelques ajustements concrets.
- Inventorier tous les usages IA de l’entreprise, y compris les fonctions IA intégrées aux outils SaaS que vous payez déjà : CRM, RH, marketing, support
- Qualifier chaque usage selon les quatre niveaux de risque, et vérifier s’il entre dans l’une des quatre situations de l’article 50
- Pour tout ce qui est visible du client, ajouter les mentions de transparence manquantes : information sur le chatbot, étiquetage des contenus générés
- Vérifier l’obligation de littératie IA des salariés (article 4), en vigueur depuis février 2025 et très souvent oubliée
- Déterminer si vous êtes fournisseur ou déployeur : si vous utilisez une IA tierce via un SaaS, l’essentiel de la conformité pèse sur le fournisseur, mais vous conservez des obligations de déployeur, comme utiliser le système conformément à sa notice et en assurer la supervision
- Documenter la démarche : une cartographie faite une fois sert pour toutes les échéances à venir
- Pour les usages complexes ou en zone grise, se faire accompagner plutôt que deviner
Le régime haut risque a bougé. Les obligations de transparence, non. Confondre les deux est l’erreur la plus coûteuse du moment.
Le parallèle RGPD
Le schéma est le même qu’en 2018. Les entreprises qui ont cartographié leurs traitements tôt ont abordé chaque échéance sereinement. Celles qui ont attendu le dernier moment ont découvert le sujet sous pression, mal, et plus cher. L’AI Act prend le même chemin.
Pour une PME aujourd’hui, le vrai risque est rarement la sanction immédiate. C’est de découvrir le sujet le jour où un client, un partenaire ou un concurrent vous le reproche. Un inventaire clair de vos usages IA coûte peu maintenant et règle la question pour plusieurs années d’échéances.
Vous voulez savoir où en est réellement votre entreprise ? Réservez un appel de 20 minutes. Nous cartographions vos usages IA et data avec vous, et nous vous disons honnêtement lesquels demandent une action, et lesquels non.
Sources et avertissement
Sources : règlement (UE) 2024/1689 (AI Act) et règlement (UE) 2026/1744 (Digital Omnibus sur l’IA) ; lignes directrices de la Commission européenne sur l’article 50 et code de pratique sur la transparence des contenus générés par IA ; portail AI Act de la Commission européenne.
Cet article est informatif et ne constitue pas un conseil juridique. Les échéances et les interprétations de ce règlement continuent d’évoluer. Pour votre situation spécifique, consultez votre conseil juridique.