AI Act et PME : ce qui s'applique déjà et ce qui arrive (octobre 2026)

Le règlement européen sur l'intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024, avec une application échelonnée. Un an et demi plus tard, l'Union l'a retouché par un règlement de simplification, l'« Omnibus IA ». Résultat : les dates qui circulent encore sur le web sont souvent fausses.

Cet article repose sur les textes officiels (EUR-Lex), les pages de la Commission européenne, de la CNIL et de la DGE, consultés le 20 octobre 2026. Il s'agit d'une synthèse d'information, pas d'un conseil juridique : les points non confirmés sont signalés, et un usage sensible doit être examiné avec un professionnel du droit.

• Depuis le 2 février 2025 : les pratiques interdites (notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail et à l'école, sauf exceptions…) et l'obligation de maîtrise de l'IA (article 4).
• Depuis le 2 août 2025 : les obligations des fournisseurs de modèles d'IA à usage général, comme ceux qui font tourner ChatGPT, Claude ou Mistral, ainsi que les règles de gouvernance.
• Depuis le 2 août 2026 : l'application générale du règlement, avec des exceptions. Elle comprend les obligations de transparence de l'article 50 et le début du contrôle par la Commission et les autorités nationales.

Selon la Commission européenne, page mise à jour le 19 octobre 2026, « l'AI Act est applicable depuis le 2 août 2026, avec certaines exceptions » : ce sont précisément les obligations du haut risque, décalées par l'Omnibus.

Proposé par la Commission le 19 novembre 2025, le texte a été voté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, signé le 8 juillet, publié au Journal officiel le 24 juillet et il est en vigueur depuis le 27 juillet 2026, juste avant l'échéance du 2 août. Pour une PME, quatre changements comptent.

Le report du haut risque. Faute de normes techniques prêtes à temps, les obligations prévues au 2 août 2026 sont décalées de seize mois pour l'annexe III et de deux ans pour l'annexe I. Une entreprise qui utilise l'IA pour trier des candidatures gagne du temps, pas une exemption.

Une maîtrise de l'IA assouplie. L'article 4 ne demande plus de « garantir » un niveau suffisant de maîtrise de l'IA, mais de « prendre des mesures pour favoriser » son développement chez le personnel et les personnes qui utilisent les systèmes pour le compte de l'entreprise, selon leurs connaissances et le contexte d'usage.

Des allègements étendus aux « petites entreprises à moyenne capitalisation ». Les facilités déjà prévues pour les PME (documentation technique simplifiée, amendes plafonnées au montant le plus faible) s'étendent à ces entreprises qui ont dépassé le seuil des PME. Les États doivent aussi tenir compte de la viabilité économique des PME et de ces entreprises en fixant les sanctions.

Une nouvelle interdiction. La génération de contenus intimes réalistes de personnes identifiables sans leur consentement devient une pratique interdite à partir du 2 décembre 2026.

L'AI Act distingue le fournisseur, qui développe un système d'IA ou le met sur le marché sous son nom, et le déployeur, qui l'utilise dans son activité professionnelle.

Si vous utilisez ChatGPT, Microsoft Copilot, Mistral ou Gemini pour rédiger, résumer ou analyser, vous êtes déployeur. Vos obligations actuelles :

• prendre des mesures pour que vos équipes sachent utiliser ces outils et en connaissent les limites (article 4) ;
• n'utiliser aucune pratique interdite ;
• signaler qu'un contenu est un hypertrucage (deepfake) quand vous en diffusez un ;
• signaler qu'un texte publié pour informer le public sur des questions d'intérêt public a été généré par IA, sauf s'il a été relu par une personne qui en assume la responsabilité éditoriale (article 50).

Si vous construisez un outil, même simple, comme un chatbot client branché sur une API, vous en devenez fournisseur. Vous devez notamment informer les utilisateurs qu'ils échangent avec une IA et, pour un système génératif, faire en sorte que ses contenus soient marqués de façon détectable. Mettre votre marque sur un système existant ou le modifier en profondeur peut aussi faire de vous un fournisseur (article 25).

Si votre usage relève du haut risque (tri de CV, évaluation de salariés, octroi de crédit), des obligations supplémentaires s'appliqueront au déployeur à partir du 2 décembre 2027 : suivre la notice du fournisseur, assurer une supervision humaine, conserver les journaux, informer les personnes concernées. Notre article sur l'IA dans le recrutement détaille ces usages.

L'article 99 du règlement prévoit trois plafonds d'amende : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour une pratique interdite, 15 millions ou 3 % pour la plupart des autres manquements, 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour une grande entreprise, c'est le montant le plus élevé qui s'applique. Pour une PME ou une jeune pousse, c'est le plus faible, et l'Omnibus étend cette règle aux petites entreprises à moyenne capitalisation pour les deux derniers niveaux.

Ce sont des plafonds : le montant réel dépend de la gravité, de la durée et de la coopération de l'entreprise. Les régimes de sanctions sont fixés par chaque État membre.

Non confirmé à ce jour. La désignation des autorités passe par le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne (DDADUE). Le Sénat l'a adopté le 18 février 2026 et l'a transmis à l'Assemblée nationale le 20 février 2026. À la date de notre vérification, nous n'avons trouvé ni adoption définitive ni promulgation : consultez le dossier législatif et Légifrance avant de vous y référer.

Le schéma présenté par le gouvernement (DGE, septembre 2025), « sous réserve de l'acceptation par le Parlement », répartit le contrôle entre plusieurs autorités :

• la DGCCRF, point de contact unique et coordinatrice de la surveillance du marché, notamment pour la transparence des chatbots et des contenus générés ;
• la DGE, chargée de la coordination stratégique et de la représentation de la France au Comité européen de l'IA ;
• la CNIL, pour la plupart des pratiques interdites et une grande partie du haut risque (biométrie, emploi, éducation) ;
• l'Arcom, l'ACPR et d'autres régulateurs sectoriels dans leur domaine.

En attendant, la Commission européenne propose un service d'assistance AI Act avec un outil de vérification de conformité, disponible en français.

1. Recensez les outils d'IA utilisés dans l'entreprise, y compris ceux adoptés sans validation officielle.
2. Qualifiez chaque usage : êtes-vous déployeur ou fournisseur ? L'usage touche-t-il un domaine à haut risque (RH, crédit, éducation) ?
3. Organisez une formation courte et documentée pour les équipes qui utilisent l'IA : règles d'usage, données à ne jamais saisir, vérification des résultats.
4. Ajoutez les mentions de transparence : chatbot présenté comme une IA, hypertrucages signalés, contenus d'information générés signalés quand aucune relecture éditoriale n'a eu lieu.
5. Préparez le haut risque si vous êtes concerné : supervision humaine, traçabilité, information des personnes. Décembre 2027 laisse le temps de bien faire, pas de reporter.

Pour cadrer vos premiers usages, le guide IA PME de MindAtlas propose une fiche pilote et une liste de douze points à vérifier. Côté sécurité, lisez aussi notre dossier IA générative et cybersécurité.

Recommandation MindAtlas : à surveiller, avec deux obligations à appliquer dès maintenant.

• Vous êtes peu concerné si vous utilisez des assistants grand public pour rédiger ou résumer en interne : formation des équipes et transparence suffisent pour l'essentiel.
• Vous êtes directement concerné si vous diffusez des contenus générés, proposez un chatbot à vos clients ou intégrez l'IA dans un produit : vous êtes peut-être fournisseur.
• Agissez tôt si vous utilisez l'IA pour recruter, évaluer des salariés ou accorder un crédit : l'échéance du 2 décembre 2027 demande des mois de préparation.
• Faites-vous accompagner par un juriste ou un avocat spécialisé dès qu'un usage relève du haut risque ou que votre statut n'est pas clair. Les textes officiels font foi : règlement (UE) 2024/1689 et règlement (UE) 2026/1744 sur EUR-Lex.

Sources et visuels. Consultés le 20 octobre 2026 : règlement (UE) 2026/1744 du 8 juillet 2026 (JO L du 24 juillet 2026) et règlement (UE) 2024/1689 sur EUR-Lex, articles 4, 5, 25, 26, 50, 99, 111 et 113 ; cadre réglementaire de l'IA, Commission européenne (mise à jour du 19 octobre 2026) ; AI Act Service Desk ; CNIL, questions-réponses sur l'entrée en application du règlement IA (mise à jour du 17 août 2026) ; DGE, autorités compétentes pour la mise en œuvre du règlement IA (9 septembre 2025) ; Sénat, dossier législatif du projet de loi DDADUE. Cet article n'est pas un avis juridique. Image de couverture : page « Législation sur l'IA » de la Commission européenne, capture du 20 octobre 2026.