L’essentiel
- L’AI Act concerne aussi les entreprises qui se contentent d’utiliser ChatGPT, Copilot, Gemini ou un outil métier intégrant de l’IA.
- Depuis le 27 juillet 2026, le règlement européen « Omnibus numérique » a assoupli l’obligation de formation : vous devez prendre des mesures pour développer la culture IA de vos équipes, sans obligation de résultat ni certificat.
- Les règles de transparence sur les contenus générés par l’IA s’appliquent depuis le 2 août 2026.
- Les obligations lourdes (IA à « haut risque ») sont repoussées à décembre 2027 et ne concernent qu’une minorité d’usages.
« L’AI Act, c’est pour les géants de la tech. » C’est la réponse que nous entendons le plus souvent chez les dirigeants de TPE et de PME. Elle est en partie juste : la majorité des obligations pèsent sur ceux qui conçoivent les systèmes d’IA. Mais le règlement européen vise aussi les déployeurs, c’est-à-dire toute organisation qui utilise un système d’IA dans le cadre de son activité professionnelle. Le cabinet comptable qui rédige ses courriers avec ChatGPT, l’artisan qui fait générer ses devis, la commune qui répond aux administrés avec un assistant conversationnel : tous sont concernés.
Bonne nouvelle, ce qui vous est demandé reste raisonnable. Voici ce qui s’applique réellement en octobre 2026, ce qui a changé cet été, et les cinq actions à mener pour être serein.
Le calendrier de l’AI Act, mis à jour après l’Omnibus numérique
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024 et s’applique par étapes. Il a été modifié par le règlement (UE) 2026/1744, l’« Omnibus numérique sur l’IA », entré en vigueur le 27 juillet 2026. Ce texte simplifie plusieurs obligations et décale celles qui concernent les systèmes à haut risque.
| Date | Ce qui s’applique | Qui est concerné |
|---|---|---|
| 2 février 2025 | Interdiction de certaines pratiques (notation sociale, manipulation, etc.) et premières règles de culture IA | Toutes les organisations |
| 27 juillet 2026 | Article 4 assoupli : obligation de moyens sur la culture IA | Fournisseurs et utilisateurs professionnels |
| 2 août 2026 | Application générale, dont les obligations de transparence (article 50) | Fournisseurs et utilisateurs professionnels |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (recrutement, crédit, éducation…) | Fournisseurs et utilisateurs de ces systèmes |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés | Industriels |
Pour une TPE ou une PME qui utilise des outils d’IA « grand public », deux sujets comptent vraiment aujourd’hui : la culture IA de vos équipes et la transparence sur les contenus générés.
Former vos équipes : ce que dit désormais l’article 4
Dans sa version initiale, l’article 4 imposait aux entreprises de garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l’IA chez leur personnel. L’Omnibus a reformulé cette exigence : les fournisseurs et les utilisateurs professionnels doivent prendre des mesures pour soutenir le développement de la culture IA de leurs salariés et des personnes qui utilisent ces outils pour leur compte. Le texte précise qu’il n’est pas exigé de garantir un niveau particulier pour chaque individu.
Concrètement, l’obligation de résultat devient une obligation de moyens. Elle ne disparaît pas. Et la Commission européenne le rappelle dans sa foire aux questions sur la culture IA : aucun certificat n’est nécessaire, mais vous pouvez tenir un registre interne des formations et actions menées. C’est ce registre qui fera la différence en cas de question d’un client, d’un assureur ou d’une autorité.
Au-delà du droit, l’enjeu est d’abord opérationnel. Un collaborateur non formé colle un contrat client dans un outil gratuit, fait confiance à un chiffre inventé ou publie un texte truffé d’erreurs. Une formation IA pour vos équipes, courte et centrée sur vos cas réels, réduit ces risques et fait gagner du temps dès la première semaine.
Ce que nous recommandons
Une demi-journée de formation par profil (direction, administratif, commercial), une charte d’usage d’une page et un registre tenu à jour. C’est proportionné, vérifiable et utile au quotidien.
Transparence : quand devez-vous signaler un contenu généré par l’IA ?
L’article 50 s’applique depuis le 2 août 2026. La plupart de ses obligations visent les éditeurs d’outils : informer l’utilisateur qu’il échange avec une IA, marquer techniquement les contenus générés. Les fournisseurs dont l’outil était déjà sur le marché ont jusqu’au 2 décembre 2026 pour ce marquage.
En tant qu’utilisateur professionnel, vous êtes concerné dans trois cas :
- Images, vidéos ou sons truqués (« deepfakes ») représentant des personnes, des lieux ou des événements réels : vous devez indiquer qu’ils ont été générés ou manipulés par l’IA.
- Textes publiés pour informer le public sur des sujets d’intérêt général : la mention est requise, sauf si le texte a fait l’objet d’une relecture humaine et qu’une personne en assume la responsabilité éditoriale. Ce point concerne directement les communes et les associations.
- Reconnaissance des émotions ou catégorisation biométrique : les personnes exposées doivent en être informées. C’est rare dans une petite structure, mais à connaître.
À l’inverse, un e-mail commercial ou une fiche produit rédigés avec l’aide de l’IA, relus et validés par vous, n’ont pas à porter de mention. Si vous installez un assistant conversationnel sur votre site, choisissez un outil qui annonce clairement à l’internaute qu’il dialogue avec une IA : c’est l’obligation de son éditeur, et c’est aussi une question de confiance.
Ce que vous risquez (et ce que vous ne risquez pas)
Les plafonds de sanctions prévus par l’article 99 sont élevés : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 M€ ou 3 % pour la plupart des autres manquements, dont la transparence. Pour les PME, c’est le montant le plus faible des deux qui s’applique. Les manquements à l’article 4 relèvent, eux, du régime fixé par chaque État membre.
En France, la désignation des autorités de contrôle passe par un projet de loi encore en discussion au Parlement à la date de publication de cet article. Le schéma proposé par le gouvernement confie l’essentiel du contrôle à la CNIL et à la DGCCRF. Le risque immédiat pour une petite entreprise n’est donc pas l’amende, mais l’incident : une fuite de données clients, une information fausse publiée, un litige avec un client. C’est précisément ce que les mesures ci-dessous préviennent.
Enfin, l’AI Act ne remplace pas le RGPD. Dès que vous faites traiter des données personnelles par un outil d’IA, les règles habituelles s’appliquent, et la CNIL publie des recommandations pratiques sur le sujet.
La check-list en 5 étapes pour votre entreprise
- Faites l’inventaire de vos outils d’IA. Listez ce qui est réellement utilisé, y compris les comptes gratuits ouverts par vos salariés et l’IA intégrée à vos logiciels (messagerie, CRM, comptabilité). Notez pour chacun l’usage, les données concernées et la version (gratuite ou professionnelle).
- Rédigez une charte d’usage d’une page. Outils autorisés, données interdites (données clients, santé, contrats, mots de passe), relecture humaine obligatoire avant tout envoi ou publication, personne référente.
- Formez et documentez. Une session adaptée à chaque profil, une attestation de présence et un registre simple (date, contenu, participants). Prévoyez une mise à jour annuelle et l’accueil des nouveaux arrivants.
- Encadrez la transparence. Identifiez les contenus qui doivent porter une mention (images réalistes de personnes, communications d’intérêt général non relues) et vérifiez que vos outils conversationnels se présentent comme des IA.
- Protégez les données personnelles. Privilégiez les offres professionnelles qui n’utilisent pas vos données pour entraîner leurs modèles, désactivez l’historique quand c’est possible, et mettez à jour votre registre RGPD et vos mentions d’information.
Le bon réflexe : partir de vos usages réels
La conformité à l’AI Act n’est pas un projet juridique de plus. Pour la plupart des TPE et PME, c’est l’occasion de structurer des usages qui se sont installés sans règles depuis deux ans. Les entreprises qui le font gagnent sur les deux tableaux : moins de risques et plus d’efficacité, parce que des équipes formées utilisent mieux les outils.
Si vous ne savez pas par où commencer, un diagnostic de vos usages permet en général de couvrir les étapes 1, 2 et 5 en une matinée. C’est la démarche que nous proposons dans notre accompagnement de consultant IA dans les Landes et le Gers, avant de former les équipes sur leurs propres cas.
