Le calendrier, mis à jour après le Digital Omnibus
L'AI Act (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024, mais ses obligations s'appliquent progressivement. En 2026, l'Union européenne a adopté une révision ciblée, le « Digital Omnibus » sur l'IA (vote du Parlement le 16 juin, adoption par le Conseil le 29 juin 2026), qui décale les échéances des systèmes à haut risque.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques d'IA inacceptables (manipulation, notation sociale...) et obligation de maîtrise de l'IA pour le personnel (article 4) |
| 2 août 2025 | Obligations des fournisseurs de modèles d'IA à usage général (les grands modèles de langage) |
| 2 août 2026 | Transparence (article 50), pouvoirs de contrôle et de sanction des autorités nationales |
| 2 décembre 2026 | Fin du délai de marquage des contenus pour les systèmes déjà sur le marché ; interdiction des IA conçues pour générer des contenus intimes non consentis |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (recrutement, gestion RH, crédit, éducation...), reporté par le Digital Omnibus |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I), reporté |
Votre PME est-elle concernée ?
Presque certainement, dès que vous utilisez un outil d'IA. Mais le niveau d'obligation dépend de votre rôle :
- Fournisseur : vous développez un système d'IA et le mettez sur le marché sous votre nom. C'est le rôle le plus exigeant.
- Déployeur : vous utilisez un système d'IA dans votre activité professionnelle (assistant conversationnel, chatbot sur votre site, assistant téléphonique, outil de tri de CV...). C'est le cas de la grande majorité des PME.
Le règlement classe ensuite les usages en quatre niveaux de risque : inacceptable (interdit), élevé (obligations lourdes), limité (obligation de transparence) et minimal (aucune obligation spécifique, comme un filtre anti-spam ou un correcteur orthographique).
Ce que vous devez faire concrètement
1. Faire l'inventaire de vos usages de l'IA
Listez les outils utilisés dans l'entreprise, y compris ceux adoptés spontanément par les équipes : assistants conversationnels, génération d'images, traduction, tri d'e-mails, chatbot, outils RH. Pour chacun, notez à quoi il sert, quelles données il traite et qui l'utilise.
2. Former les personnes qui utilisent l'IA (article 4)
Depuis février 2025, les entreprises doivent veiller à ce que leur personnel ait un niveau suffisant de maîtrise de l'IA, adapté à son usage : comprendre ce que fait l'outil, ses limites (réponses inventées, biais) et les règles internes (pas de données clients sensibles dans un outil grand public, validation humaine...). Une courte sensibilisation et une charte interne suffisent souvent pour une PME.
3. Être transparent avec le public (article 50)
- Un chatbot ou un assistant vocal qui échange avec vos clients doit indiquer qu'il s'agit d'une IA, sauf si c'est évident.
- Les hypertrucages (images, vidéos ou voix réalistes générées par IA) doivent être signalés comme tels.
- Les textes générés par IA et publiés pour informer le public sur des sujets d'intérêt général doivent être signalés, sauf s'ils ont fait l'objet d'une relecture humaine sous responsabilité éditoriale.
4. Repérer les usages à haut risque
Si vous utilisez l'IA pour recruter (tri de CV, évaluation de candidats), évaluer ou surveiller des salariés, ou décider de l'accès à un service essentiel, vous entrez dans le haut risque. Vous avez jusqu'au 2 décembre 2027, mais ces projets se préparent tôt : supervision humaine, information des personnes concernées, conservation des journaux, vérification de la conformité du fournisseur.
5. Ne pas oublier le RGPD
L'AI Act ne remplace pas le RGPD : dès qu'un outil d'IA traite des données personnelles, les règles habituelles s'appliquent (base légale, information des personnes, durée de conservation, contrat avec le prestataire). Privilégiez des solutions hébergées dans l'Union européenne.
6. Choisir des prestataires qui documentent leur conformité
Demandez à vos fournisseurs d'IA où sont traitées les données, si elles servent à entraîner leurs modèles, comment l'outil informe les utilisateurs et quelles garanties contractuelles ils offrent.
Quelles sanctions ?
Les amendes prévues par l'AI Act peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, 15 millions d'euros ou 3 % pour la plupart des autres manquements, et 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME et les start-up, c'est le montant le plus faible des deux qui s'applique (article 99, paragraphe 6). Pour une PME, le risque le plus concret reste souvent la perte de confiance de ses clients en cas d'usage mal maîtrisé.
Checklist PME
- J'ai la liste des outils d'IA utilisés dans l'entreprise.
- Mes équipes ont été sensibilisées et connaissent les règles internes.
- Mon chatbot ou mon assistant vocal annonce qu'il est une IA.
- Je sais si j'ai des usages à haut risque (RH, recrutement, notation).
- Mes outils d'IA respectent le RGPD et mes contrats prestataires sont à jour.
- Je sais qui alerter en interne si un outil produit une erreur ou une réponse problématique.
Cet article est un guide de vulgarisation à jour au 9 novembre 2026. Il ne constitue pas un conseil juridique : pour une situation particulière, rapprochez-vous d'un avocat ou de votre conseil.
Faites le point sur vos usages de l'IA
Notre pré-diagnostic IA est gratuit : en 10 minutes, vous identifiez où l'IA peut vous faire gagner du temps, avec un point RGPD et AI Act pour chaque piste.