AI Act 2026 : ce que les PME françaises doivent faire avant août

Si vous dirigez une PME en France et que vous utilisez des outils d'intelligence artificielle — même un simple chatbot ou un système de tri de CV — vous êtes concerné par le Règlement européen sur l'IA (AI Act). Et la date butoir approche : 2 août 2026.

La mauvaise nouvelle : les sanctions peuvent aller jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial. La bonne nouvelle : pour la grande majorité des PME, se mettre en conformité est tout à fait faisable, à condition de ne pas attendre la dernière minute.

Cet article n'est pas un cours de droit. C'est une checklist pratique pour un dirigeant de PME qui veut comprendre ce qu'il doit faire concrètement dans les prochains mois.

Le calendrier : où en sommes-nous ?

Le Règlement européen sur l'IA est entré en vigueur le 1er août 2024. Son application se fait en plusieurs phases :

• Février 2025 : Interdiction des pratiques d'IA à risque inacceptable (manipulation cognitive, scoring social, identification biométrique en temps réel dans les espaces publics)
• Août 2025 : Obligations pour les modèles d'IA à usage général (GPAI) et les systèmes à risque limité (obligations de transparence)
• 2 août 2026 : Application complète — toutes les obligations pour les systèmes d'IA à haut risque entrent en vigueur

Note importante : la Commission européenne a proposé fin 2025 un "Digital Omnibus" qui pourrait repousser certaines obligations pour les systèmes à haut risque de l'Annexe III jusqu'en décembre 2027. Mais ce n'est pas confirmé. Ne pariez pas dessus. Planifiez pour août 2026.

Les 4 niveaux de risque : où se situe votre PME ?

L'AI Act classe les systèmes d'IA en quatre catégories. Votre première mission est de déterminer dans quelle catégorie tombent les outils que vous utilisez.

Risque inacceptable (interdit)

Ces systèmes sont tout simplement interdits depuis février 2025 :

• Manipulation comportementale ciblant les vulnérabilités (âge, handicap)
• Notation sociale (social scoring)
• Catégorisation biométrique basée sur des caractéristiques sensibles (orientation sexuelle, opinions politiques)
• Scraping non ciblé d'images faciales pour créer des bases de données de reconnaissance

Pour votre PME : sauf si vous êtes dans un domaine très spécifique, vous n'êtes probablement pas concerné par cette catégorie. Mais vérifiez quand même : certains outils de marketing utilisant la reconnaissance émotionnelle pourraient tomber ici.

Haut risque (réglementé)

C'est la catégorie la plus lourde en termes d'obligations. Elle concerne les systèmes d'IA utilisés dans :

• Recrutement et RH : tri de CV, évaluation de candidats, décisions de promotion
• Accès aux services essentiels : scoring de crédit, évaluation d'assurance
• Éducation : notation automatisée, orientation scolaire
• Infrastructure critique : gestion de l'eau, de l'électricité, des transports
• Application de la loi et justice

Pour votre PME : si vous utilisez un outil d'IA pour trier des CV ou évaluer des candidats, vous êtes potentiellement dans cette catégorie. C'est le cas le plus fréquent pour les PME.

Risque limité (transparence obligatoire)

Ces systèmes nécessitent principalement des obligations de transparence :

• Chatbots : les utilisateurs doivent savoir qu'ils parlent à une IA
• Deepfakes et contenus générés : doivent être étiquetés comme tels
• Systèmes de reconnaissance émotionnelle : les personnes concernées doivent être informées

Pour votre PME : si vous avez un chatbot sur votre site web ou si vous utilisez l'IA pour générer du contenu marketing, vous êtes ici. Les obligations sont légères mais réelles.

Risque minimal (pas de contrainte)

La majorité des utilisations de l'IA en PME : filtres anti-spam, recommandations produits basiques, outils de productivité (correction orthographique IA, résumé de textes, etc.).

Aucune obligation spécifique, mais les bonnes pratiques restent recommandées.

Les 7 étapes concrètes pour se mettre en conformité

Étape 1 : Faire l'inventaire de vos outils IA (avril 2026)

Avant tout, vous devez savoir ce que vous utilisez. Faites un recensement de TOUS les outils intégrant de l'IA dans votre entreprise :

• Outils de recrutement (Indeed, LinkedIn Recruiter, solutions ATS)
• Chatbots et assistants virtuels
• Outils de marketing et CRM avec IA intégrée
• Solutions comptables ou financières avec IA
• Outils de productivité (Copilot, ChatGPT, Claude, etc.)

Livrable : un tableau avec le nom de l'outil, son usage, le fournisseur, et les données traitées.

Coût estimé : 0 € (travail interne) à 2 000–5 000 € si vous faites appel à un consultant.

Étape 2 : Classifier le niveau de risque (avril-mai 2026)

Pour chaque outil identifié, déterminez sa catégorie de risque. La Commission européenne met à disposition un AI Act Compliance Checker spécialement conçu pour aider les PME et startups.

Astuce : la plupart de vos fournisseurs de logiciels SaaS devraient eux-mêmes communiquer sur la classification de leurs outils. Demandez-leur. S'ils ne savent pas répondre, c'est un signal d'alarme.

Étape 3 : Pour les systèmes à risque limité — mettre en place la transparence (mai 2026)

Si vous avez des chatbots ou générez du contenu par IA :

• Ajoutez une mention claire "Ce contenu est généré par intelligence artificielle" ou "Vous échangez avec un assistant IA"
• Mettez à jour vos CGV et politique de confidentialité
• Informez vos utilisateurs de manière visible et compréhensible

Coût estimé : 500–2 000 € (mise à jour juridique + technique).

Étape 4 : Pour les systèmes à haut risque — obligations renforcées (mai-juillet 2026)

Si vous êtes concerné (notamment recrutement), les obligations sont plus lourdes :

• Système de gestion des risques : documentez les risques liés à l'utilisation du système
• Gouvernance des données : assurez-vous que les données d'entraînement sont pertinentes, représentatives et sans biais excessif
• Documentation technique : votre fournisseur doit la fournir, demandez-la
• Tenue de registres : gardez les logs d'utilisation pendant au moins 6 mois
• Supervision humaine : un humain doit pouvoir intervenir dans les décisions du système
• Précision et robustesse : le système doit fonctionner de manière fiable

Coût estimé : 5 000–15 000 € pour un accompagnement juridique et technique complet.

Étape 5 : Désigner un responsable IA (mai 2026)

Pas besoin d'embaucher quelqu'un. Désignez un référent interne (souvent le DPO si vous en avez un, sinon le responsable qualité ou le dirigeant lui-même) qui sera le point de contact pour les questions liées à l'IA.

Coût estimé : 0 € (réorganisation interne).

Étape 6 : Former vos équipes (juin-juillet 2026)

L'article 4 de l'AI Act impose une obligation de culture IA (AI literacy) pour tout le personnel qui utilise ou supervise des systèmes d'IA. C'est souvent sous-estimé.

Concrètement, vos employés doivent comprendre :

• Ce que fait l'outil IA qu'ils utilisent
• Ses limites
• Les risques associés
• Comment signaler un problème

Coût estimé : 1 000–3 000 € pour une formation collective d'une demi-journée à une journée.

Étape 7 : Documenter et archiver (juillet 2026)

Constituez un dossier de conformité qui comprend :

• L'inventaire de vos outils IA
• La classification des risques
• Les mesures prises pour chaque catégorie
• Les preuves de formation du personnel
• Les politiques de transparence mises en place

Ce dossier est votre bouclier en cas de contrôle.

Combien ça coûte au total ?

Soyons honnêtes sur les chiffres pour une PME typique de 50 personnes :

Si vous n'utilisez que des outils à risque minimal et limité (cas le plus fréquent), comptez plutôt 3 000 à 8 000 € tout compris. C'est un investissement raisonnable, surtout quand on le compare aux amendes potentielles.

Bonne nouvelle : les PME bénéficient d'allégements spécifiques dans le règlement. Et chaque État membre doit mettre en place au moins un "bac à sable réglementaire IA" (AI regulatory sandbox) d'ici août 2026 pour aider les entreprises à tester leurs systèmes dans un cadre sécurisé.

Ce que vos fournisseurs doivent faire (et que vous devez vérifier)

Un point crucial que beaucoup de PME oublient : si vous utilisez un système d'IA à haut risque, vous êtes considéré comme "déployeur" (deployer) au sens du règlement. Vous avez des obligations, même si vous n'avez pas développé l'outil.

Mais votre fournisseur a aussi des obligations bien plus lourdes en tant que "fournisseur" (provider). Posez-lui ces questions :

1. Votre système est-il classifié selon l'AI Act ? Quelle catégorie ?
2. Pouvez-vous fournir la documentation technique requise ?
3. Le système porte-t-il (ou portera-t-il) le marquage CE ?
4. Comment gérez-vous les obligations de transparence ?
5. Quelle supervision humaine est prévue ?

Si votre fournisseur ne peut pas répondre à ces questions, il est peut-être temps d'en chercher un autre.

Mon conseil : ne paniquez pas, mais ne dormez pas non plus

L'AI Act n'est pas là pour empêcher les PME d'utiliser l'IA. Il est là pour mettre des garde-fous. Pour 80% des PME qui utilisent des outils IA courants (chatbots, outils de productivité, marketing automation), les obligations se résument à de la transparence et de la formation.

Les erreurs que je vois le plus souvent :

1. Ignorer le sujet en pensant que "c'est pour les grandes entreprises" — faux
2. Paniquer et tout arrêter — inutile et coûteux
3. Faire confiance aveuglément aux fournisseurs qui disent "on gère" sans documentation
4. Attendre le dernier moment — c'est maintenant qu'il faut s'y mettre