Cet article a été révisé en profondeur. Le règlement modificatif (UE) 2026/1744, dit « Digital Omnibus sur l'IA », est entré en vigueur le 27 juillet 2026 et modifie le calendrier ainsi que plusieurs obligations décrites dans la version initiale de juin.
L'AI Act, on vous l'a peut-être présenté comme un texte réservé aux Google, OpenAI et autres constructeurs de modèles. C'est incomplet. Si votre entreprise utilise de l'IA (un abonnement ChatGPT, un assistant intégré à votre CRM, un outil de génération de contenu), vous êtes concerné aussi, dans un rôle différent.
Le règlement ne prévoit aucune exemption générale liée à la taille de l'entreprise. Une structure de cinq personnes peut donc être soumise aux mêmes obligations principales qu'un grand groupe pour un usage comparable. Il prévoit en revanche des plafonds de sanction adaptés, des exigences proportionnées et plusieurs mesures de simplification pour les PME.
Depuis le 2 août 2026, le texte est pleinement applicable. Et depuis le 27 juillet, il a été modifié. Voici où on en est réellement.
La logique du texte, en une minute
L'AI Act classe les usages de l'IA selon le risque qu'ils font peser sur les personnes. Plus le risque est élevé, plus les obligations sont lourdes.
- Risque inacceptable. Notation sociale, manipulation comportementale, et depuis juillet 2026 deux nouvelles interdictions ajoutées par le Digital Omnibus. Ces pratiques sont interdites, point.
- Haut risque. Filtrage ou évaluation de candidatures, évaluation de la solvabilité de personnes physiques, certains usages biométriques, certains systèmes utilisés dans l'éducation, les services essentiels, la justice ou la santé. Les obligations sont lourdes : documentation, supervision humaine, journalisation, marquage CE.
- Transparence spécifique. Systèmes conversationnels, contenus générés par IA, hypertrucages. Les obligations existent mais varient selon votre rôle et le type de contenu.
- Pas d'obligation spécifique. L'essentiel des usages bureautiques courants.
Deux précisions qui évitent les contresens. D'abord, la qualification « haut risque » dépend de la finalité précise du système et de son incidence sur les décisions concernant des personnes, pas du secteur dans lequel vous travaillez. Toute IA utilisée dans la santé n'est pas automatiquement à haut risque. Ensuite, le scoring de vos clients n'est pas automatiquement concerné : ce que vise le texte, c'est l'évaluation de la solvabilité ou la note de crédit de personnes physiques. Un score de prospect, de fidélité ou d'appétence commerciale ne bascule pas mécaniquement en haut risque.
Pour la grande majorité des TPE et PME qui utilisent l'IA pour rédiger, synthétiser, automatiser de l'administratif ou produire du marketing, on reste sur des usages qui ne déclenchent pas d'obligation spécifique lourde. Ce qui ne dispense de rien par ailleurs, on y revient plus bas.
Ce qui s'applique aujourd'hui
Deux premières échéances sont entrées en application en 2025. Depuis le 2 août 2026, la majeure partie des autres dispositions du règlement s'applique également, sous réserve des reports concernant les systèmes à haut risque et certains systèmes générant des contenus synthétiques.
| Date | Disposition principale | Statut au 10 août 2026 |
|---|---|---|
| 2 février 2025 | Premières pratiques interdites et obligation de maîtrise de l'IA (article 4) | En application |
| 2 août 2025 | Gouvernance européenne et obligations des fournisseurs de modèles d'IA à usage général | En application |
| 27 juillet 2026 | Entrée en vigueur du règlement modificatif (UE) 2026/1744 | En vigueur |
| 2 août 2026 | Application générale de l'AI Act, pouvoirs de contrôle, obligations de transparence de l'article 50 | En application |
| 2 décembre 2026 | Délai accordé à certains fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 pour respecter le marquage de l'article 50, §2 | À venir |
| 2 décembre 2027 | Principales obligations pour les systèmes à haut risque de l'annexe III | À venir |
| 2 août 2028 | Principales obligations pour les systèmes à haut risque intégrés dans les produits de l'annexe I | À venir |
← Faites glisser le tableau pour voir toutes les colonnes →
L'article 4, l'obligation que personne ne vous a signalée
C'est la plus immédiate, et toujours la plus ignorée.
Depuis le 2 février 2025, les fournisseurs et les déployeurs de systèmes d'IA sont soumis à une obligation de maîtrise de l'IA. Depuis l'entrée en vigueur du règlement (UE) 2026/1744, cette obligation a été réécrite dans un sens plus souple : il s'agit de prendre des mesures adaptées pour soutenir le développement de cette maîtrise auprès de votre personnel et des autres personnes qui utilisent ou exploitent ces systèmes pour votre compte, prestataires externes compris.
L'obligation reste proportionnée aux connaissances, à l'expérience, à la formation des personnes concernées et au contexte d'utilisation. Elle n'impose pas de garantir un niveau précis pour chaque individu.
Une entreprise qui ne prend aucune mesure de sensibilisation, d'information, d'accompagnement ou de formation adaptée s'expose à ne pas pouvoir démontrer qu'elle respecte l'article 4. Le règlement n'impose pour autant ni cursus standardisé, ni certificat, ni format documentaire particulier. Ce qu'on vous demandera, c'est de montrer que vous avez fait quelque chose de cohérent avec vos usages réels.
Les obligations de transparence, selon qui vous êtes
L'article 50 est applicable depuis le 2 août 2026, et il ne dit pas la même chose à tout le monde. La confusion la plus fréquente consiste à croire que « il faut dire que c'est une IA » s'applique uniformément.
Ce sont les fournisseurs qui doivent concevoir les systèmes conversationnels de façon que les personnes sachent qu'elles parlent à une IA (sauf si c'est évident), et qui doivent assurer le marquage lisible par machine des contenus synthétiques.
Ce sont les déployeurs, donc vous dans la plupart des cas, qui doivent informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique, signaler le caractère artificiel des hypertrucages qu'ils produisent, et divulguer les textes générés ou manipulés par IA publiés pour informer le public sur des questions d'intérêt public, sous réserve notamment de l'exception liée à l'examen humain et à la responsabilité éditoriale.
En clair : si vous vous contentez d'utiliser des outils du marché pour votre production interne, l'essentiel des obligations techniques de marquage pèse sur vos fournisseurs, pas sur vous. Ce qui ne veut pas dire que vous n'avez rien à faire.
Les reports désormais adoptés
Le Digital Omnibus sur l'IA n'est plus une proposition. Le règlement modificatif (UE) 2026/1744 a été voté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, publié au Journal officiel le 24 juillet et est entré en vigueur le 27 juillet 2026.
Ce qu'il change, et surtout ce qu'il ne change pas :
Il n'a pas touché au 2 août 2026. Ceux qui attendaient un report en bloc en sont pour leurs frais. L'application générale du règlement et les obligations de transparence de l'article 50 sont bien effectives depuis cette date.
Il repousse les obligations lourdes du haut risque. Les principales obligations concernant les systèmes de l'annexe III (recrutement, éducation, crédit des personnes physiques, biométrie, migration, justice) s'appliqueront à compter du 2 décembre 2027. Pour les systèmes à haut risque intégrés dans des produits réglementés de l'annexe I (machines, dispositifs médicaux, jouets, aviation), l'échéance est fixée au 2 août 2028.
Il assouplit l'article 4, comme vu plus haut, en le faisant passer d'une obligation de garantir un niveau à une obligation de moyens.
Il ajoute deux interdictions à la liste des pratiques inacceptables et renforce les pouvoirs du Bureau européen de l'IA.
Pour une TPE ou une PME en usages courants, la conséquence pratique est simple : le sujet reste entier, seule la partie la plus technique du texte a été décalée, et elle ne vous concernait probablement pas.
Qui contrôle, en France
C'est le point où beaucoup d'articles racontent n'importe quoi, y compris la version initiale de celui-ci. Non, la CNIL n'est pas l'autorité unique de contrôle de l'AI Act.
Au niveau européen, la mise en œuvre relève du Bureau européen de l'IA. Au niveau national, chaque État désigne ses autorités compétentes. La France a fait le choix d'un modèle sectoriel : une quinzaine d'autorités existantes se répartissent la surveillance selon le domaine d'application du système. La CNIL sur les traitements de données personnelles et la biométrie, l'Arcom sur l'audiovisuel et les hypertrucages, l'ACPR sur la finance, l'ANSM et la HAS sur la santé, la DGCCRF sur les pratiques interdites, la consommation et les produits de l'annexe I.
Le schéma gouvernemental publié en septembre 2025 prévoit que la DGCCRF assure la coordination opérationnelle et joue le rôle de point de contact unique au sens de l'article 70. Ce dispositif n'est pas encore entièrement stabilisé sur le plan législatif au moment où ces lignes sont écrites.
Ce qu'il faut en retenir en tant que dirigeant : dans l'immense majorité des cas, l'interlocuteur sera votre régulateur habituel, celui de votre secteur. Vous n'aurez pas à apprendre à parler à une nouvelle administration.
Ce qu'un dirigeant de TPE/PME doit faire en 2026
Pas besoin d'un service juridique interne ni d'un budget de grand groupe. Une demi-journée bien menée suffit à poser les bases.
- Inventorier les systèmes et fonctionnalités d'IA réellement utilisés, y compris les usages non autorisés, le fameux « shadow AI ». On ne peut pas se mettre en conformité sur ce dont on ignore l'existence.
- Identifier votre rôle pour chaque système : fournisseur, déployeur, importateur ou distributeur. Dans une PME, c'est presque toujours déployeur, mais pas toujours, et c'est ce qui détermine vos obligations.
- Décrire la finalité de chaque usage : qui s'en sert, sur quelles personnes il a un effet, quelles décisions il influence. C'est ce qui permet de qualifier le régime applicable.
- Qualifier le régime : pratique interdite, haut risque, transparence spécifique, ou absence d'obligation spécifique au titre de l'AI Act.
- Mettre en place des mesures adaptées de maîtrise de l'IA au sens de l'article 4, proportionnées à vos usages.
- Vérifier ce qui sort de l'entreprise : données personnelles et informations confidentielles transmises aux outils, et cohérence avec vos obligations RGPD.
- Regarder vos contrats fournisseurs : instructions d'utilisation, garanties, mesures de sécurité, engagements de conformité.
- Définir les validations humaines et conserver de quoi démontrer les mesures prises.
Tenir un registre de vos usages IA reste une très bonne pratique de gouvernance. Ce n'est pas pour autant une obligation générale de traçabilité imposée à tous les usages courants.
Le vrai sujet
Pour la majorité des usages bureautiques internes, les obligations spécifiques de l'AI Act restent limitées. Cela ne dispense en rien de respecter les règles applicables en matière de données personnelles, de confidentialité, de sécurité, de propriété intellectuelle et de droit du travail. Ce sont souvent ces textes-là, et pas l'AI Act, qui posent le vrai risque dans une PME.
Et c'est bien là que se trouve la valeur de l'exercice. Faire cet inventaire, ce n'est pas cocher une case réglementaire. C'est découvrir ce qui se passe réellement dans votre entreprise avec ces outils, souvent pour la première fois. Dans la plupart des cas que je vois sur le terrain, le dirigeant en ressort moins inquiet de la loi, et beaucoup plus lucide sur ce qu'il pourrait automatiser sérieusement.
La contrainte devient le point de départ. C'est le meilleur usage qu'on puisse en faire.