AI Act : ce qui change concrètement pour une PME ou une ETI

Le règlement européen sur l'intelligence artificielle, plus connu sous le nom d'AI Act, est entré en vigueur le 1er août 2024. Depuis, ses obligations se déploient par étapes jusqu'en 2027. Beaucoup de dirigeants d'ETI et de PME pensent que ce texte ne concerne que les grands groupes technologiques ou les éditeurs de modèles. C'est une erreur de lecture. Dès que votre entreprise déploie un système d'IA, même acheté sur étagère, vous devenez, aux yeux du règlement, un « déployeur » avec des obligations propres.

Voici ce qui change concrètement, et pourquoi il vaut mieux traiter le sujet maintenant plutôt que dans l'urgence d'un contrôle.

Un calendrier déjà en cours

Contrairement à une idée répandue, l'AI Act n'est pas une échéance lointaine. Plusieurs jalons sont déjà passés ou imminents :

• Depuis le 2 février 2025 : interdiction des pratiques d'IA à « risque inacceptable » (notation sociale, manipulation comportementale, certaines formes de reconnaissance biométrique). Une obligation de littératie IA s'applique également : vos équipes qui utilisent ces outils doivent avoir un niveau de compréhension suffisant.
• Depuis le 2 août 2025 : entrée en application des règles sur les modèles d'IA à usage général (les grands modèles type LLM) et mise en place de la gouvernance (autorités nationales, sanctions).
• 2 août 2026 : obligations de transparence (art. 50), sanctions CNIL pleinement opérationnelles, et obligation de littératie IA (art. 4) qui devient contrôlable.
• 2 décembre 2027 : entrée en application des obligations pour les systèmes d'IA à « haut risque » listés en Annexe III, échéance repoussée par le paquet Digital Omnibus (accord provisoire du 7 mai 2026), qui a décalé cette étape initialement prévue au 2 août 2026.

Autrement dit, une partie du texte s'applique déjà à votre entreprise si vous utilisez de l'IA générative ou des outils de décision automatisée. Et une confusion très répandue mérite d'être levée dès maintenant : les pratiques d'IA interdites (art. 5) ne sont pas concernées par le report. Elles sont prohibées depuis le 2 février 2025 et le restent, sans aucun aménagement. Le report du paquet Digital Omnibus ne porte que sur le haut risque (Annexe III), ne pas confondre les deux régimes.

Ce qui s'active concrètement le 2 août 2026

Le 2 août 2026 n'est pas une date symbolique : trois mécanismes deviennent réellement opposables ce jour-là. Ils touchent la quasi-totalité des ETI et des PME qui utilisent de l'IA, même sans système à haut risque.

1. La transparence (art. 50). Vous devez informer un utilisateur qu'il interagit avec une IA, un chatbot doit s'annoncer comme tel. Tout contenu généré ou substantiellement modifié par IA doit être signalé, et les deepfakes sont explicitement visés. Le marquage visible (une mention claire pour l'utilisateur) s'applique dès le 2 août ; le marquage technique lisible par machine (machine-readable) bénéficie d'un délai jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché.

2. Les sanctions deviennent pleinement opérationnelles. La CNIL a été désignée autorité nationale compétente. Avant le 2 août 2026, le règlement existait mais les amendes n'étaient pas applicables sur le terrain. Elles le sont désormais. Les montants sont significatifs : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement aux obligations de transparence ; jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour l'usage d'une pratique interdite. Pour une ETI de taille moyenne, ces plafonds pris au pourcentage sont plus lourds que le montant fixe.

3. La littératie IA (art. 4) devient contrôlable. L'obligation existe depuis le 2 février 2025 mais n'était pas sanctionnable en pratique. À partir du 2 août 2026, elle l'est. Elle s'applique à tous les niveaux de risque, y compris un simple assistant rédactionnel utilisé par vos équipes marketing ou support. Aucune certification officielle n'est requise, le format est libre, mais deux éléments deviennent obligatoires : une documentation de ce qui a été transmis à vos équipes (contenu, dates, publics) et une traçabilité qui permette de le démontrer en cas de contrôle.

Le point souvent oublié : la consultation du CSE

C'est l'angle mort le plus fréquent dans les ETI et PME : déployer un outil d'IA générative peut constituer, au sens du Code du travail (art. L2312-8), l'introduction d'une « technologie nouvelle » ou un projet important modifiant les conditions de travail. Cette qualification déclenche une obligation d'information-consultation préalable du CSE, distincte et indépendante des obligations de l'AI Act.

La jurisprudence récente ne laisse pas de marge : la Cour d'appel de Paris, dans un arrêt du 21 mai 2026, a ordonné la suspension d'outils d'IA déployés sans consultation du CSE, y compris pour un outil grand public qui ne semblait, à première vue, pas structurant. Point essentiel : la phase pilote ne dispense pas de la consultation. Le raisonnement « on teste d'abord, on formalisera plus tard » ne tient plus.

Concrètement, avant tout déploiement d'un outil d'IA générative, même sur un périmètre restreint, prévoyez : un dossier d'information au CSE (finalités, périmètre, données traitées, impact sur les postes), un délai raisonnable d'examen, et la trace écrite de la consultation.

La première question : dans quelle catégorie tombez-vous ?

L'AI Act raisonne par niveau de risque. Tout part de là. Quatre catégories structurent le règlement :

• Risque inacceptable : interdit. Peu probable dans une PME classique, mais à vérifier si vous faites du scoring de personnes.
• Haut risque : autorisé sous conditions strictes. Concerne notamment les systèmes utilisés pour le recrutement, l'évaluation des salariés, l'accès au crédit, ou intégrés dans des produits soumis à certification. C'est ici que se concentrent les obligations lourdes.
• Risque limité : obligations de transparence. Un chatbot doit indiquer qu'il est une IA ; un contenu généré doit être identifiable.
• Risque minimal : pas d'obligation spécifique. La majorité des usages bureautiques.

La bonne nouvelle : la plupart de vos usages relèvent du risque limité ou minimal. La mauvaise : il suffit d'un seul système RH ou financier mal classé pour vous faire basculer dans le haut risque sans que vous l'ayez anticipé.

Ce que vous devez mettre en place, concrètement

Que vous soyez déployeur ou fournisseur, trois piliers reviennent systématiquement :

• La cartographie : recenser tous les systèmes d'IA en usage dans l'entreprise, y compris ceux embarqués dans vos logiciels métiers. On ne peut pas se conformer à ce qu'on ne connaît pas.
• La traçabilité : conserver les logs, documenter les données d'entraînement (pour les fournisseurs), savoir qui a décidé quoi et sur quelle base. En cas de contrôle ou de litige, c'est votre preuve.
• La supervision humaine : pour les systèmes à haut risque, une personne doit pouvoir comprendre, contrôler et le cas échéant arrêter la décision automatisée. L'IA ne décide pas seule d'un licenciement ou d'un refus de crédit.

À cela s'ajoutent la documentation technique, l'information des personnes concernées, et pour les fournisseurs, le marquage de conformité.

Un exemple concret

Prenons une ETI industrielle de 300 salariés qui déploie un outil de tri automatique des CV pour accélérer ses recrutements. L'outil vient d'un éditeur externe. Aux yeux de l'AI Act, ce système est à haut risque : il participe à l'accès à l'emploi.

Concrètement, cette ETI doit : vérifier que le fournisseur a rempli ses obligations, informer les candidats que leur candidature est traitée par une IA, garantir qu'un recruteur humain valide les décisions, conserver les journaux d'utilisation, et former les RH à l'usage de l'outil. Sans cette préparation, l'entreprise s'expose à des sanctions pouvant atteindre plusieurs millions d'euros ou un pourcentage du chiffre d'affaires mondial.

Si ce travail est fait avant le déploiement, il représente quelques jours de cadrage. S'il est fait après un signalement d'un candidat, c'est un chantier subi, coûteux et exposé.

La conformité by design, ou la mise en conformité douloureuse

Il y a deux façons d'aborder l'AI Act. La première consiste à attendre, à déployer des outils au fil de l'eau, puis à tenter de reconstituer a posteriori qui utilise quoi, avec quelles données et quelle supervision. Cette approche est épuisante et rarement complète.

La seconde consiste à intégrer les exigences dès la conception de votre infrastructure IA : chaque système est classé, documenté et tracé au moment où il est mis en service. La conformité n'est plus un chantier annexe, elle est une propriété de votre organisation. C'est précisément l'intérêt d'une organisation requêtable : vous pouvez répondre à tout moment à la question « quels systèmes d'IA tournent chez nous, et sous quel régime ? ».

Cette rigueur n'est pas qu'une contrainte réglementaire. C'est aussi un argument de souveraineté et de confiance face à vos clients, vos partenaires et vos propres équipes.