Conformité AI Act PME : obligations et calendrier

L’essentiel en quatre points

Depuis le 2 août 2026 : application générale du règlement, obligations de transparence et pouvoir de sanction des autorités.
Reporté au 2 décembre 2027 : les obligations sur l’IA à haut risque, dont le recrutement et la gestion du personnel.
Pour toute entreprise qui utilise l’IA : prendre des mesures pour développer la maîtrise de l’IA de ses équipes (article 4).
Pour une PME, la conformité tient en quelques décisions : recenser les outils, signaler les chatbots, écrire des règles d’usage.

Un règlement qui vise les usages, pas les outils

L’AI Act ne classe pas les logiciels en bloc. C’est l’usage, la finalité et le contexte qui déterminent les obligations. Le même outil peut être anodin pour rédiger un courrier et à haut risque pour trier des candidatures.

Le texte distingue surtout deux rôles. Le fournisseur développe ou commercialise un système d’IA. Le déployeur l’utilise dans son activité professionnelle. Une PME qui se sert d’outils existants est un déployeur : c’est le cas de la quasi-totalité des entreprises du Var. Attention toutefois : une entreprise qui vend un outil d’IA sous son propre nom devient fournisseur.

Le calendrier après l’omnibus de l’été 2026

Le règlement (UE) 2026/1744, dit « omnibus numérique sur l’IA », a été approuvé par le Parlement européen le 16 juin 2026, publié au Journal officiel de l’Union le 24 juillet et est en vigueur depuis le 27 juillet 2026. Il a déplacé les dates du haut risque, pas le reste.

Date	Ce qui s’applique	Votre PME est concernée si…
2 février 2025	Pratiques interdites et obligation de maîtrise de l’IA (article 4)	Vous utilisez un outil d’IA, quel qu’il soit
2 août 2025	Règles pour les modèles d’IA à usage général	Vous développez vous-même un modèle (très rare)
2 août 2026	Application générale : transparence (article 50), contrôles, sanctions	Vous utilisez un chatbot face à vos clients ou publiez du contenu généré par IA
2 décembre 2026	Deux nouvelles interdictions (images intimes générées sans consentement, contenus pédocriminels) et fin du délai de marquage pour les outils génératifs déjà sur le marché	Surtout les éditeurs d’outils génératifs
2 décembre 2027	Obligations sur l’IA à haut risque de l’annexe III : recrutement, gestion des salariés, crédit, éducation	Vous utilisez l’IA pour recruter, évaluer ou gérer du personnel
2 août 2028	Haut risque intégré à des produits réglementés (machines, dispositifs médicaux)	Vous fabriquez ce type de produit

Quatre niveaux de risque

Niveau	Exemple en entreprise	Conséquence
Inacceptable	Manipulation des personnes, notation sociale, analyse des émotions des salariés au travail (sauf raisons médicales ou de sécurité)	Interdit depuis le 2 février 2025
Haut risque	Tri de candidatures, évaluation, promotion ou licenciement assistés par l’IA	Obligations renforcées au 2 décembre 2027
Transparence	Assistant conversationnel, deepfakes, certains contenus générés	Information des personnes depuis le 2 août 2026
Minimal	Aide à la rédaction, traduction, résumé, automatisation interne	Pas d’obligation spécifique

Ce qui s’applique déjà

La transparence, depuis le 2 août 2026

Une personne qui échange avec un chatbot ou un assistant IA doit en être informée, sauf si c’est évident au regard du contexte.
Les images, sons et vidéos générés ou modifiés pour faire passer pour réel ce qui ne l’est pas (deepfakes) doivent être signalés comme tels.
Un texte généré par IA n’a à être signalé que s’il est publié pour informer le public sur un sujet d’intérêt général, et pas si un humain l’a relu en assumant la responsabilité éditoriale. Le marquage technique des contenus incombe, lui, au fournisseur de l’outil.

La maîtrise de l’IA, pour toutes les entreprises

L’article 4 s’applique depuis février 2025 à tout fournisseur et déployeur. L’omnibus l’a réécrit : il faut désormais prendre des mesures pour favoriser la maîtrise de l’IA des personnes qui utilisent ces outils, en fonction de leur rôle et du contexte d’usage. C’est une obligation de moyens : aucun niveau précis n’est garanti ni exigé pour chaque salarié, et aucun format de formation n’est imposé. Ce qui protège une PME, c’est de pouvoir montrer ce qu’elle a fait : quels outils, quelles règles, quelle sensibilisation.

Ce qui est reporté au 2 décembre 2027 : les usages RH

Pour une PME, l’annexe III concerne surtout les ressources humaines : recruter ou filtrer des candidats, évaluer, décider d’une promotion ou d’une rupture de contrat, attribuer des tâches selon le comportement des salariés, surveiller leurs performances. Les obligations du déployeur porteront notamment sur :

la supervision humaine, confiée à une personne compétente ;
le respect des instructions d’utilisation du fournisseur et la surveillance du fonctionnement ;
la qualité des données fournies au système ;
l’information des salariés et de leurs représentants avant la mise en service.

Le report est un délai, pas une dispense. Recenser les outils utilisés et fixer des règles d’usage ne dépend d’aucune norme technique et peut commencer maintenant. Environ quinze mois, c’est à peu près le temps qu’il faut pour s’organiser sereinement.

Les 6 actions à mener par une PME

Recenser les outils d’IA utilisés dans l’entreprise, poste par poste, y compris ceux que personne n’a déclarés.
Signaler vos chatbots : une phrase claire en début d’échange suffit dans la plupart des cas. Si vous déployez un agent IA face à vos clients, c’est le premier réflexe.
Vérifier qu’aucun usage n’est interdit, par exemple l’analyse des émotions des salariés.
Repérer les usages RH (tri de CV, évaluation) et préparer l’échéance de décembre 2027.
Écrire vos règles d’usage internes, dont la liste des données qu’on ne confie jamais à un outil en ligne, et garder une trace des actions de sensibilisation.
Relire les conditions de vos fournisseurs d’IA : rôle de chacun, données transmises, articulation avec le RGPD.

Sanctions et contrôle

Les amendes vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements (transparence comprise), et 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, c’est le plus faible des deux montants qui sert de plafond. Le contrôle est confié aux autorités nationales de surveillance du marché, dont les pouvoirs de sanction s’exercent depuis le 2 août 2026.

Questions fréquentes

L’AI Act est-il reporté ?

Non. Seules les obligations sur l’IA à haut risque sont reportées : au 2 décembre 2027 pour les usages listés à l’annexe III (recrutement, gestion du personnel, crédit, éducation) et au 2 août 2028 pour l’IA intégrée à des produits réglementés. L’application générale du règlement, la transparence et les sanctions courent depuis le 2 août 2026.

Une PME qui utilise ChatGPT ou un chatbot est-elle concernée ?

Oui, en tant que déployeur. Pour un usage courant (rédaction, résumé, traduction), les obligations se limitent pour l’essentiel à la maîtrise de l’IA par les équipes. Un assistant automatique qui échange avec vos clients doit en plus être signalé comme tel, sauf si c’est évident.

Faut-il former tous ses salariés à l’IA ?

L’article 4 impose de prendre des mesures pour développer la maîtrise de l’IA des personnes qui utilisent ces outils, en fonction de leur rôle et du contexte. C’est une obligation de moyens : aucun niveau précis ni aucun format de formation n’est imposé. Il reste prudent de garder une trace de ce qui a été fait.

Faut-il indiquer qu’un texte a été écrit avec l’IA ?

Pas de manière générale. L’obligation vise les textes publiés pour informer le public sur des sujets d’intérêt général, et elle tombe si un humain a relu le texte et en assume la responsabilité éditoriale. Les deepfakes doivent, eux, toujours être signalés.

Quels usages RH sont concernés, et à partir de quand ?

Le recrutement, le tri de candidatures, l’évaluation, la promotion, la rupture de contrat, l’attribution de tâches selon le comportement et la surveillance des performances à l’aide de l’IA sont classés à haut risque. Les obligations correspondantes s’appliquent à partir du 2 décembre 2027.

Quelles sanctions pour une PME ?

Les plafonds vont de 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial, pour des informations inexactes, jusqu’à 35 millions ou 7 % pour les pratiques interdites. Pour les PME, c’est le plus faible des deux montants qui s’applique.

Sources : règlement (UE) 2024/1689 sur l’intelligence artificielle ; règlement (UE) 2026/1744 dit « omnibus numérique sur l’IA », publié le 24 juillet 2026 ; questions-réponses de la Commission européenne sur la maîtrise de l’IA. Cette page est informative et ne constitue pas un conseil juridique.