AI Act et PME : ce qui s'applique vraiment en 2026

Si vous dirigez une PME et que vous avez entendu parler de l'AI Act cet été avec un mélange d'inquiétude et de flou, vous n'êtes pas seul. La plupart des articles publiés début août s'appuient sur un calendrier qui n'est déjà plus valable : les obligations les plus lourdes, celles sur les systèmes à haut risque, viennent d'être reportées de plus d'un an. Voici ce qui reste vrai aujourd'hui, et ce qui ne l'est plus.

Ce qui a changé : le report du Digital Omnibus

Le règlement européen sur l'IA (Règlement UE 2024/1689) devait imposer ses obligations les plus strictes, celles concernant les systèmes à haut risque, à partir du 2 août 2026. Un paquet législatif appelé « Digital Omnibus » a changé la donne : un accord politique conclu le 7 mai 2026 a été approuvé par le Parlement européen le 16 juin, puis par le Conseil le 29 juin. Résultat, les obligations de l'annexe III (haut risque) sont repoussées au 2 décembre 2027, et celles de l'annexe I au 2 août 2028.

Ce report ne supprime aucune obligation, il déplace simplement l'échéance. Les interdictions déjà en vigueur depuis février 2025 ne sont pas concernées, pas plus que ce qui reste actif au 2 août 2026.

Ce qui s'applique déjà, depuis août 2026

Trois choses entrent bien en application à cette date, indépendamment du report. La transparence d'abord : un chatbot, un deepfake ou un contenu généré par IA doit être clairement identifié comme tel auprès de l'utilisateur, sans exception de taille d'entreprise. La littératie IA ensuite, l'obligation de l'article 4 : vos équipes qui utilisent de l'IA doivent avoir un niveau de compréhension suffisant du fonctionnement et des limites de l'outil, ce qui devient contrôlable à partir de cette date. Enfin, les pouvoirs de sanction de la Commission européenne s'activent, avec des amendes qui peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les violations les plus graves.

Pour une PME, la littératie IA reste modeste dans la pratique : que la personne qui utilise l'IA pour rédiger un contrat ou trier des CV comprenne qu'elle doit vérifier la réponse avant de s'en servir, et sache dans quels cas ne pas s'y fier. Pas besoin d'un programme de formation lourd pour ça.

Les 4 niveaux de risque, et où se situe probablement votre PME

L'AI Act classe chaque système IA sur une échelle de risque. Au sommet, le risque inacceptable regroupe des pratiques interdites depuis février 2025 (notation sociale, manipulation comportementale) : elles ne concernent quasiment jamais une PME. Le haut risque couvre des usages précis comme le tri automatisé de CV, le scoring de crédit ou l'évaluation scolaire, avec des obligations désormais reportées à décembre 2027.

La plupart des usages IA d'une PME se situent dans les deux niveaux du bas. Le risque limité regroupe les chatbots et les contenus générés, avec une seule vraie obligation : informer l'utilisateur qu'il interagit avec une IA. Le risque minimal, celui d'un assistant interne ou d'un outil de rédaction, n'impose aucune obligation spécifique au-delà du droit commun (RGPD notamment). Un audit sert justement à savoir, cas d'usage par cas d'usage, dans quelle case se situe réellement votre entreprise plutôt que de deviner : c'est ce qu'on a fait pour l'étude de faisabilité de Conscientia (FinOwl AI), où la distinction réglementaire entre simple information contextuelle et conseil financier a été encodée dans l'architecture dès la conception, pas ajoutée après coup.

Ce que ça coûte de se mettre en conformité

Pour les rares PME qui déploient effectivement un système à haut risque, la Direction Générale des Entreprises (DGE) situe le coût de mise en conformité entre 2 000 et 8 000 euros par an. Le règlement prévoit aussi des mesures de soutien : chaque État membre doit mettre en place au moins un bac à sable réglementaire, un environnement pour tester un système IA sous supervision avant déploiement, avec un accès prioritaire pour les PME et jeunes entreprises.

Le Digital Omnibus étend par ailleurs le périmètre des entreprises éligibles à ces mesures de soutien : les PME au sens strict, mais aussi les entreprises de taille intermédiaire jusqu'à 750 salariés et 150 millions d'euros de chiffre d'affaires. Sur le régime de sanctions, le texte plafonne aussi les amendes pour les PME et jeunes entreprises au montant le plus bas entre le seuil absolu et un pourcentage du chiffre d'affaires, l'objectif affiché n'étant pas de piéger les petites structures.

Pourquoi s'en occuper maintenant malgré le report

Le report du Digital Omnibus retire une urgence réglementaire immédiate, il ne retire pas la question de fond : savoir précisément quels systèmes IA sont utilisés dans votre entreprise, par qui, et sur quelles données. C'est le même travail que révèle un audit face au shadow AI : la majorité des entreprises n'ont aujourd'hui aucune vision claire des outils IA réellement en usage chez elles, bien avant de se poser la question de leur classification réglementaire.

Une entreprise qui documente ses usages maintenant, sans pression de dernière minute, aborde l'échéance de 2027 en position de force plutôt que dans l'urgence, quel que soit le calendrier final.

Foire aux questions

Mon entreprise est-elle concernée si elle n'a que quelques salariés ?

Oui, l'AI Act ne prévoit pas de seuil de taille pour son applicabilité générale : toute entreprise qui développe, fournit ou utilise un système IA est concernée. Ce qui varie selon la taille et le niveau de risque, ce sont les obligations concrètes et l'accès à des mesures de soutien allégées.

Le report du Digital Omnibus change-t-il l'obligation de transparence ?

Non. La transparence (informer qu'on interagit avec une IA) et la littératie IA restent actives depuis le 2 août 2026. Seules les obligations propres aux systèmes à haut risque ont été reportées.

Un audit IA suffit-il pour être en conformité avec l'AI Act ?

Un audit identifie et classe vos usages par niveau de risque, ce qui est le préalable indispensable à toute mise en conformité. Pour les rares cas à haut risque, des démarches supplémentaires (documentation technique, enregistrement) restent nécessaires, mais elles ne peuvent se faire qu'une fois la cartographie initiale posée.

Que risque une PME qui ne fait absolument rien ?

En théorie, les mêmes pouvoirs de sanction que toute entreprise, actifs depuis août 2026, même si les autorités de contrôle sont encouragées à privilégier l'accompagnement des petites structures plutôt que la sanction immédiate. En pratique, le vrai risque à court terme reste moins la sanction que de continuer à piloter à l'aveugle des usages IA jamais cartographiés.

Discutons de votre situation

Avant de vous demander si vous êtes en conformité, la vraie première question est de savoir ce que vos équipes utilisent réellement. Notre audit IA avec la Méthode ASA part de ce constat pour PME, en France comme au Maroc. Pour comprendre comment se déroule concrètement cette cartographie, voir notre article sur la Méthode ASA, ou notre guide complet IA pour TPE et PME pour une vue d'ensemble du sujet.