AI Act : ce que doit faire une PME en 2026

L'AI Act est un règlement européen, donc applicable directement en France, sans loi de transposition. Il vise d'abord ceux qui conçoivent des systèmes d'IA. Mais il impose aussi des obligations à ceux qui les utilisent, ce que le texte appelle les « déployeurs », et une PME qui utilise un assistant, un agent de service client ou un outil de tri de candidatures en est un. Cet article ne traite que de ce qui vous concerne en 2026 et 2027, sans commentaire juridique : ce qu'il faut faire, quand, et ce qui n'est pas obligatoire.

Le calendrier en quatre dates

Date	Ce qui s'applique	Pour une PME utilisatrice
2 février 2025	Article 4 (maîtrise de l'IA) et pratiques interdites	Former les personnes qui utilisent l'IA ; vérifier qu'aucun usage n'est interdit
27 juillet 2026	Entrée en vigueur de l'omnibus numérique	Report du calendrier « haut risque »
2 août 2026	Article 50 (transparence)	Informer quand une personne dialogue avec une IA ; identifier certains contenus générés
2 décembre 2027	Systèmes à haut risque de l'annexe III (date reportée par l'omnibus)	Obligations renforcées si vous utilisez l'IA pour recruter, évaluer, noter ou décider sur des personnes

Deux de ces dates sont passées. Si votre entreprise n'a rien fait, elle n'est pas seule, et ce n'est pas un projet d'un an : c'est un chantier de deux à quatre semaines.

Article 4 : la maîtrise de l'IA

Ce que dit le texte

Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'utilisation.

Ce que ça veut dire chez vous

Toute personne qui utilise un outil d'IA dans le cadre de son travail doit savoir ce qu'il fait, ce qu'il ne fait pas, quelles données elle peut y mettre, et comment vérifier une réponse. Le niveau attendu dépend du poste : une assistante commerciale qui rédige des emails, un responsable RH qui trie des candidatures et un comptable qui fait extraire des factures n'ont pas besoin de la même formation.

Le texte n'impose ni format, ni durée, ni certification, ni organisme. Il impose un résultat : des personnes qui maîtrisent ce qu'elles utilisent. En cas de contrôle ou de litige, ce qui compte est la preuve : une formation datée, son contenu, la liste des participants, et une mise à jour quand les usages changent.

Ce que nous mettons en place

Une demi-journée pour les dirigeants (jusqu'à 12 personnes, 1 800 € HT), une journée pour les équipes (jusqu'à 15 personnes, 2 900 € HT), un atelier d'une demi-journée par métier (1 500 € HT). Chaque session se termine par une attestation nominative, une charte d'usage signée et une liste des outils autorisés. Les formations peuvent être prises en charge par votre OPCO quand elles passent par un organisme certifié.

Article 50 : la transparence

Les quatre situations qui concernent une PME

Vous mettez un agent conversationnel en face de clients, de candidats ou de salariés. La personne doit savoir qu'elle dialogue avec une IA, sauf si c'est évident. En pratique : une mention claire au début de la conversation, sur le site, l'email ou WhatsApp, et un moyen de joindre un humain.

Vous générez des images, des sons ou des vidéos réalistes de personnes, de lieux ou d'événements. Le contenu doit être identifié comme généré ou manipulé. Un visuel de campagne avec un visage généré entre dans ce cas.

Vous publiez des textes générés par IA pour informer le public sur des sujets d'intérêt général. Ils doivent être signalés, sauf s'ils ont été relus par une personne qui en assume la responsabilité éditoriale. Une fiche produit ou un email commercial ne sont pas concernés ; un article d'information l'est.

Vous utilisez un système de reconnaissance des émotions ou de catégorisation biométrique. Les personnes doivent en être informées. Rare en PME, mais présent dans certains outils de recrutement vidéo ou de vidéosurveillance : vérifiez ce que font vos fournisseurs.

Ce que ça change concrètement

Une phrase dans vos agents, une règle écrite pour les contenus générés, une relecture humaine assumée pour les publications. Une demi-journée de travail, à condition d'avoir la liste de vos usages. C'est l'objet du registre.

Le haut risque : reporté, pas annulé

L'annexe III liste les usages dits à haut risque. Pour une PME, les plus courants sont l'emploi (tri de candidatures, évaluation des salariés, attribution de tâches, décisions de promotion ou de licenciement), l'accès à la formation, et l'évaluation de solvabilité pour le crédit ou certaines assurances.

L'omnibus numérique, en vigueur depuis le 27 juillet 2026, a reporté l'application de ces obligations au 2 décembre 2027. Un report n'est pas une exemption : si vous utilisez, ou envisagez d'utiliser, un outil qui trie des CV ou note des salariés, inventoriez-le maintenant. Le jour venu, il faudra une supervision humaine définie, l'information des personnes concernées, des journaux et une documentation. Et l'obligation d'information au titre du RGPD, elle, s'applique déjà.

Le registre des usages : votre première obligation pratique

Aucun article ne dit « tenez un registre des usages d'IA ». Mais il est impossible de former les bonnes personnes, d'informer au bon endroit et de repérer un usage à haut risque sans savoir ce qui est utilisé. Le registre est l'outil qui rend le reste possible, et c'est ce qu'un contrôleur, un client ou un assureur vous demandera en premier.

Un tableur suffit, avec une ligne par usage et huit colonnes :

• Outil (nom, fournisseur, version ou offre).
• Usage (rédiger, extraire, répondre aux clients, trier des candidatures…).
• Données traitées (personnelles ou non, sensibles ou non, de clients, de salariés).
• Utilisateurs (équipe, nombre, formés ou non).
• Compte (entreprise ou personnel, qui administre).
• Hébergement (pays, contrat de sous-traitance signé ou non).
• Qualification (interdit, haut risque, transparence article 50, minimal).
• Responsable (qui répond de cet usage).

La partie la plus longue est l'inventaire lui-même, parce qu'une part des usages est invisible : comptes personnels, extensions de navigateur, outils gratuits. On le fait en réunion d'équipe, sans sanction, avec une question simple : « qu'est-ce que vous utilisez, pour quoi, avec quelles données ? ». Exemple : une PME de services de 80 personnes qui pense avoir « un abonnement ChatGPT et Copilot » en découvre généralement une dizaine d'autres.

Ce qui n'est pas obligatoire

• Une certification. Aucun label « AI Act » n'est requis pour une PME qui utilise des outils du commerce.
• Un responsable IA dédié. Le texte n'impose pas de fonction. Il impose que quelqu'un réponde de chaque usage ; ce peut être le dirigeant.
• Une déclaration à une autorité pour les usages courants (rédaction, résumé, recherche documentaire, service client de premier niveau, extraction de documents).
• Une analyse d'impact IA pour ces mêmes usages. L'analyse d'impact RGPD, elle, peut être requise si le traitement présente un risque élevé pour les personnes.
• Arrêter d'utiliser l'IA en attendant d'être conforme. La conformité se construit sur des usages connus, pas sur leur absence.

Le RGPD n'a pas bougé

L'AI Act s'ajoute au RGPD, il ne le remplace pas. Chaque usage d'IA qui traite des données personnelles doit figurer au registre des traitements, avoir une base légale, une durée de conservation, un contrat avec le fournisseur (article 28) et une information des personnes. Un outil d'IA grand public utilisé avec un compte personnel pour traiter un fichier clients est une violation du RGPD avant d'être une question d'AI Act. Sur les systèmes que nous exploitons, le registre des traitements et le registre des usages d'IA se construisent ensemble, avec les mêmes colonnes pour moitié.

Un plan en quatre semaines

Semaine	Travail	Résultat
1	Inventaire des usages en réunion d'équipe, relevé des comptes et des contrats	Registre des usages, première version
2	Qualification de chaque usage, arrêt ou remplacement des usages non acceptables, contrats fournisseurs	Registre qualifié, liste des outils autorisés
3	Mentions de transparence, charte d'usage, mise à jour du registre RGPD	Article 50 traité, charte signée
4	Formation dirigeants et équipes, attestations, calendrier de revue	Article 4 traité, dossier de preuve

C'est le contenu de notre solution Conformité AI Act (3 à 4 semaines, 6 000 à 12 000 € HT), combinable avec la formation dans un pack à −10 %. Une PME organisée peut faire les semaines 1 à 3 seule ; la formation demande un intervenant.

À retenir

• Deux obligations s'appliquent déjà : former les utilisateurs (article 4, depuis février 2025) et informer quand une IA est en face d'une personne ou a produit un contenu (article 50, depuis le 2 août 2026).
• Le haut risque (recrutement, évaluation, crédit) est reporté au 2 décembre 2027 : inventoriez maintenant, préparez ensuite.
• Le registre des usages, huit colonnes dans un tableur, rend tout le reste possible.
• Pas de certification, pas de responsable dédié, pas de déclaration pour les usages courants.
• Le RGPD s'applique toujours, et c'est souvent lui qui pose le premier problème.

Où en est votre entreprise sur la gouvernance ? Le Thermomètre Cape Pebble le mesure en cinq minutes. Pour un registre et une formation en quatre semaines, écrivez-nous.