> Mise à jour du 20 août 2026. Le règlement "Digital Omnibus sur l'IA" (approuve par le Parlement européen le 16 juin 2026, adopte par le Conseil le 29 juin 2026) reporte au 2 décembre 2027 les obligations pesant sur les systèmes d'IA a haut risque de l'annexe III — recrutement, scoring, RH, crédit — initialement prévues au 2 août 2026, et au 2 août 2028 pour l'annexe I. En revanche, les obligations de transparence de l'article 50 s'appliquent bien depuis le 2 août 2026, comme les interdictions de pratiques et la littératie IA depuis février 2025. Cet article a été relu à cette date.
Vous n'avez pas developpe d'IA ? L'AI Act vous concerne quand même.
La majorité des PME françaises pensent que l'AI Act ne vise que les géants de la tech qui développent des modeles d'IA. C'est faux. Le règlement européen distingue deux rôles clés : le fournisseur (qui développe le système d'IA) et le déployer (qui utilise le système dans un contexte professionnel).
Si votre entreprise utilise un outil RH avec scoring automatique des candidats, un CRM qui classe vos prospects par IA, un chatbot IA sur votre site web, un système de détection de fraude, ou même ChatGPT integre dans vos processus métiers : vous etes un déployer au sens de l'AI Act.
L'article 26 du règlement detaille vos obligations spécifiques. Le non-respect expose votre PME à des amendes pouvant atteindre 15 millions d'euros ou 3 % du CA mondial. Voici les 7 obligations concrètes a mettre en place d'ici au 2 décembre 2027.
Obligation 1 : Utiliser le système d'IA conformément aux instructions du fournisseur
L'article 26(1) impose aux deployers de prendre les mesures techniques et organisationnelles appropriées pour utiliser le système d'IA conformément à ses instructions d'utilisation. Concrètement, cela signifie lire et respecter la documentation fournie par l'éditeur du logiciel, ne pas utiliser l'outil pour un usage non prévu (par exemple, un chatbot de support client detourne pour du scoring RH), et documenter votre usage réel versus l'usage prévu.
Pour les PME : demandez systématiquement à vos fournisseurs SaaS leur notice d'utilisation conforme AI Act. Si elle n'existe pas, c'est un signal d'alerte.
Obligation 2 : Assurer une supervision humaine compétente
L'article 26(2) exige que les deployers attribuent la supervision humaine à des personnes physiques disposant des compétences, de la formation et de l'autorité nécessaires.
En pratique pour une PME, cela implique de designer un réfèrent IA interne (ou externalisé), de former les collaborateurs qui utilisent l'outil a comprendre ses limites et ses biais potentiels, et de documenter qui supervise quoi. Le réfèrent IA peut être la même personne que le DPO pour les PME de petite taille.
Obligation 3 : Contrôler la qualité des données d'entrée
Si vous avez le controle sur les données que vous injectez dans le système d'IA, l'article 26(4) vous impose de vous assurer que ces données sont pertinentes et suffisamment représentatives.
Exemple concret : si vous alimentez un CRM avec scoring IA à partir de données clients biaisées (uniquement des entreprises d'une région, d'un secteur, d'une taille), les décisions du système seront biaisées. Vous etes responsable de la qualité de vos inputs, pas seulement de l'algorithme qui les traite.
Obligation 4 : Conserver les journaux d'activité (logs) pendant 6 mois minimum
L'article 26(6) impose la conservation des logs generes automatiquement par le système d'IA a haut risque pendant une durée appropriée, et au minimum 6 mois. Ces logs doivent permettre de retracer les décisions prises par le système.
Pour les PME, cela signifie vérifier que votre fournisseur SaaS conserve bien les logs (la plupart le font déjà), conserver vos propres traces d'utilisation (qui a lance quelle requête, quand, pour quelle décision), et avoir un processus pour extraire ces logs en cas de controle.
Obligation 5 : Informer les personnes concernées
L'article 26(7) oblige les deployers à informer les personnes physiques qui font l'objet de décisions prises par un système d'IA a haut risque. Si vous utilisez un outil IA pour trier des CV, évaluer des demandes de crédit, noter des étudiants ou surveiller des employes, les personnes concernées doivent en être informées clairement.
En pratique : ajoutez une mention dans vos contrats de travail, dans vos conditions générales, ou dans une notice dédiée. Exemple : "Notre processus de pre-sélection utilise un système d'intelligence artificielle. Toute décision est validée par un responsable humain."
Obligation 6 : Réaliser une analyse d'impact sur les droits fondamentaux (FRIA)
L'article 27 (lie a l'article 26) impose aux deployers de systèmes a haut risque de réaliser une analyse d'impact sur les droits fondamentaux (Fundamental Rights Impact Assessment) avant la mise en service du système. Cette FRIA doit identifier les risques spécifiques que le système d'IA fait peser sur les droits fondamentaux des personnes concernées, décrire les mesures de mitigation, et être mise à jour régulièrement.
C'est l'équivalent de l'analyse d'impact du RGPD (AIPD/PIA), mais centrée sur l'IA. Pour les PME qui ont déjà un DPO externalisé, c'est une extension naturelle de son périmètre.
Obligation 7 : Signaler les incidents graves
L'article 26(5) impose aux deployers de signaler au fournisseur et aux autorités tout incident grave lie au système d'IA, ainsi que d'interrompre l'utilisation en cas de risque sérieux. Un incident grave peut être une décision discriminatoire identifiée, une faille de sécurité dans le système IA, un dysfonctionnement ayant impacte des personnes physiques, ou une utilisation détournée par un tiers.
Le délai de signalement n'est pas encore précisé par décret en France (attendu début 2027), mais l'obligation de principe suit le calendrier haut risque, désormais fixe a décembre 2027.
Calendrier de mise en conformité pour les PME
L'AI Act entre en application de maniere progressive. Le 2 février 2025, les pratiques interdites (manipulation, notation sociale) sont déjà en vigueur. Le 2 août 2026, les obligations de transparence de l'article 50 sont devenues exigibles. Pour les deployers de systèmes a haut risque (annexe III) — classification, supervision humaine, logs, FRIA, information des personnes — la date cle est désormais le 2 décembre 2027, après le report acte par le Digital Omnibus.
Le délai est donc confortable, à condition de ne pas le confondre avec une dispense. Un plan d'action réaliste pour une PME prend 4 à 6 semaines : semaine 1-2 pour l'inventaire des outils IA et la classification des risques, semaine 3 pour la désignation du réfèrent et la documentation, semaine 4-5 pour la FRIA et la mise à jour des contrats, semaine 6 pour la formation des equipes.
Déployer + RGPD : la double conformité
Les systèmes d'IA traitent presque toujours des données personnelles. Un déployer doit donc être conforme à la fois a l'AI Act ET au RGPD. Les deux réglementations se complètent : la FRIA de l'AI Act peut s'appuyer sur l'AIPD du RGPD, le DPO peut aussi être le réfèrent IA, les registres de traitements RGPD doivent être enrichis avec les systèmes IA.
Un DPO externalisé compétent en AI Act vous permet de couvrir les deux volets pour un coût unique, au lieu de multiplier les prestataires.
Conclusion
L'article 26 de l'AI Act est clair : les PME qui utilisent des systèmes d'IA ont des obligations concrètes. Ignorer ce texte expose votre entreprise à des sanctions lourdes, mais aussi à une perte de confiance de vos clients et partenaires. La bonne nouvelle : la mise en conformité déployer est beaucoup plus simple que la conformité fournisseur, et un DPO externalisé compétent peut la mener en 4 à 6 semaines.