> Mise à jour du 20 août 2026. Le calendrier de l'AI Act a changé depuis la rédaction de cet article. Le règlement dit « Digital Omnibus sur l'IA », approuvé par le Parlement européen le 16 juin 2026 puis adopté par le Conseil de l'Union européenne le 29 juin 2026, reporte au 2 décembre 2027 l'entrée en application des obligations pesant sur les systèmes d'IA à haut risque de l'annexe III (recrutement, scoring, RH, crédit), initialement prévues pour le 2 août 2026 — et au 2 août 2028 pour les systèmes à haut risque intégrés aux produits de l'annexe I. Le reste du règlement, lui, s'applique déjà : interdictions de pratiques et obligation de littératie IA depuis le 2 février 2025, obligations des modèles à usage général depuis le 2 août 2025, et obligations de transparence de l'article 50 depuis le 2 août 2026 (avec un délai jusqu'au 2 décembre 2026 pour le marquage des contenus générés par des systèmes déjà sur le marché). Le report ne dispense donc de rien : il donne du temps pour cartographier et documenter. Les échéances ci-dessous ont été revues en conséquence.
L'AI Act s'applique déjà, par vagues
Le 2 août 2026, une partie du règlement européen sur l'intelligence artificielle (AI Act) est devenue applicable — le volet haut risque, lui, a été repousse a décembre 2027. Il s'agit de la première législation mondiale qui encadre l'usage de l'IA dans les entreprises. Contrairement à ce que beaucoup pensent, il ne concerne pas seulement les géants de la tech : toute PME qui utilise ChatGPT, Claude, un outil de génération d'image, un chatbot ou un système de scoring automatise est potentiellement concernée.
Le point aveugle est toujours le même dans les PME : on sait que "l'IA est réglementée", on ne sait pas quelle obligation s'applique à quel outil, ni depuis quand. Or les deux premières vagues (pratiques interdites et littératie IA en février 2025, modeles a usage général en août 2025) sont déjà passées, et la troisième concerne la transparence de vos chatbots et de vos contenus generes.
Le report du volet haut risque a décembre 2027 laisse le temps de faire les choses proprement — à condition de commencer maintenant.
Ce qu'est vraiment l'AI Act (sans le jargon)
L'AI Act classe les systèmes d'IA en quatre niveaux de risque :
- Risque inacceptable (interdit) : notation sociale, manipulation cognitive, reconnaissance faciale en temps réel dans l'espace public, scoring émotionnel en entreprise/école.
- Risque eleve (obligations lourdes) : IA utilisée pour le recrutement, l'évaluation d'employes, l'accès au crédit, a l'éducation, à la santé, à la justice.
- Risque limite (obligations de transparence) : chatbots, deepfakes, génération de contenu synthétique. L'utilisateur doit savoir qu'il interagit avec une IA.
- Risque minimal (aucune obligation spécifique) : filtres anti-spam, recommandations de produits.
Pour la plupart des PME, les usages tombent dans les catégories "risque limite" et "risque eleve". Exemples concrets : - Un cabinet de recrutement qui utilise un outil IA pour trier des CV = RISQUE ELEVE. - Un e-commerçant qui utilise un chatbot de support = RISQUE LIMITE. - Une PME qui utilise ChatGPT pour générer des contrats ou des devis = RISQUE LIMITE a ÉLEVÉ selon l'usage. - Une agence immobilière qui utilise un scoring IA pour sélectionner des locataires = RISQUE ELEVE.
Les sanctions : jusqu'à 35 millions d'euros ou 7 % du CA mondial
L'AI Act prévoit trois paliers de sanctions parmi les plus lourds du droit européen :
- Usage d'IA interdite : jusqu'a 35 millions d'euros ou 7 % du CA mondial annuel (le plus eleve des deux).
- Non-respect des obligations (systèmes haut risque) : jusqu'a 15 millions d'euros ou 3 % du CA mondial.
- Fournir des informations incorrectes aux autorités : jusqu'a 7,5 millions d'euros ou 1,5 % du CA mondial.
À titre de comparaison, le RGPD plafonne à 4 % du CA mondial. L'AI Act est donc 75 % plus sévère que le RGPD sur les sanctions maximales.
Pour une PME de 2 millions d'euros de CA, un manquement grave peut théoriquement signifier 140 000 euros d'amende. Les autorités de controle priorisent, en pratique, les signalements et les secteurs sensibles : une entreprise qui n'a engage aucune demarche est la plus exposée.
Checklist : les 10 actions à mener des maintenant
1. Cartographier TOUS les outils IA utilises dans l'entreprise (étape 1)
Beaucoup de dirigeants ignorent ce que font réellement leurs equipes. Posez la question : quels outils IA utilisez-vous au quotidien ?
Les incontournables à vérifier : - Outils de génération de texte : ChatGPT, Claude, Gemini, Mistral, Copilot - Outils de génération d'image : Midjourney, DALL-E, Stable Diffusion, Adobe Firefly - Outils de transcription : Otter, Fireflies, Whisper - Outils RH : ATS avec scoring IA, outils d'évaluation - Outils commerciaux : lead scoring, chatbots, IA de prospection - Outils internes : scripts Python avec API OpenAI, extensions navigateur, automatisations Make/Zapier avec IA
Action concrète : créer un tableau Excel listant chaque outil, son usage, les données qu'il traite, et le risque estime.
2. Classer chaque usage selon les 4 niveaux de risque (étape 2)
Pour chaque outil identifie, déterminez la catégorie AI Act. En cas de doute, considérez le scénario le plus défavorable.
Red flags automatiques (risque eleve) : - L'IA prend ou influence une décision concernant une personne (embauche, salaire, crédit, accès à un service). - L'IA traite des données sensibles (santé, orientation sexuelle, religion, origine). - L'IA est utilisée pour surveiller des employes.
3. Documenter les usages (étape 3)
L'AI Act exige une documentation écrite pour les systèmes a risque eleve. Même pour les systèmes a risque limite, il est fortement recommande d'avoir : - Une fiche par outil : finalité, données traitées, fournisseur, conditions d'usage. - Un registre des usages IA (équivalent du registre des traitements RGPD). - Les mesures de protection appliquées.
4. Vérifier la conformité des fournisseurs IA (étape 4)
Si vous utilisez un outil tiers (ChatGPT, Claude, Mistral, etc.), vérifiez que le fournisseur lui-même respecte l'AI Act. Les principaux acteurs publient désormais des fiches de conformité — à intégrer dans votre dossier.
Attention : l'obligation ne se transfère PAS au fournisseur. Vous restez responsable de l'usage que vous faites de l'outil dans votre entreprise.
5. Informer les utilisateurs et clients (étape 5)
Pour les systèmes a risque limite (la majorité des PME), l'obligation principale est la transparence : - Indiquer clairement quand un utilisateur interagit avec une IA (ex : "Ce chatbot est propulsé par une IA"). - Étiqueter les contenus générés par IA (deepfakes, images synthétiques, textes d'article). - Mentionner l'usage d'IA dans les CGU et la politique de confidentialité.
6. Former les equipes (étape 6)
L'AI Act impose un niveau minimal de "littératie IA" pour les personnes qui utilisent ou déploient ces systèmes. Pour une PME, cela signifie : - Une formation initiale de 2 à 4 heures pour tous les utilisateurs réguliers. - Un brief spécifique pour les managers qui valident les usages. - Une charte interne sur les bons usages de l'IA.
Digital Work propose une formation AI Act + RGPD combinée, conçue spécifiquement pour les PME de moins de 50 salaries.
7. Mettre à jour les contrats (étape 7)
Vos contrats doivent intégrer les usages IA : - Contrats de travail : clause sur l'utilisation d'outils IA, protection des données employes, droit a l'information. - Contrats clients : mention explicite si l'IA est utilisée pour générer des livrables, traiter des données clients, ou automatiser des décisions. - Contrats fournisseurs : garanties AI Act chez vos prestataires IA.
8. Réaliser une analyse d'impact IA (étape 8)
Pour les systèmes a risque eleve, une AIPD-IA (Analyse d'Impact Proportionne) est obligatoire. Elle reprend la logique de l'AIPD RGPD mais ajoute : - Évaluation des biais algorithmiques. - Tests de robustesse et de fiabilité. - Mesures de supervision humaine. - Plan de gestion des incidents.
9. Designer un réfèrent IA (étape 9)
Ce n'est pas une obligation stricte pour les PME < 250 salaries, mais c'est fortement recommande. Le réfèrent IA est souvent le DPO (s'il existe) ou un dirigeant designe. Son rôle : centraliser les usages, valider les nouveaux outils, assurer le lien avec les autorités.
10. Auditer et corriger (étape 10)
Dans les deux dernières semaines : - Relire tout le dossier de conformité. - Vérifier que chaque outil identifie à une fiche et un niveau de risque. - S'assurer que les equipes sont formées et informées. - Tester un scénario de contrôle CNIL.
Pourquoi externaliser cet audit à un expert (et ce que ça coute vraiment)
Réaliser cette checklist en interne demande entre 40 et 80 heures de travail pour une PME de 10 à 30 salaries. Pour un dirigeant ou un DPO interne déjà surcharge, c'est souvent impossible à tenir en parallèle de l'activité courante.
Externaliser un audit AI Act + accompagnement à un expert indépendant coûte en moyenne entre 1 500 € et 4 500 € pour une PME — à comparer avec les amendes potentielles qui démarrent a 7,5 millions d'euros.
Digital Work propose un audit AI Act express pour les PME : 5 jours ouvres, livrable de conformité complet, checklist personnalisée, formation des equipes incluse. Tarif forfaitaire à partir de 2 400 € HT.
Le lien avec le RGPD : ne pas refaire les mêmes erreurs
En 2018, les PME avaient aussi 2 ans pour se préparer au RGPD. Résultat : en 2026, 60 % d'entre elles ne sont toujours pas conformes, et la CNIL a prononce 1,15 milliard d'euros d'amendes en 2025.
L'AI Act arrive dans le même contexte, mais avec deux différences majeures : - Des sanctions encore plus lourdes (jusqu'à 7 % du CA mondial). - Une attention médiatique et politique beaucoup plus forte (IA = sujet "chaud").
Les PME qui attendront les premières sanctions pour agir seront clairement la cible privilégiée des autorités, qui cherchent a faire des exemples pédagogiques rapidement après le 2 août.
Ne pas confondre AI Act et RGPD : les deux s'appliquent
C'est une confusion frequente : "je suis conforme RGPD, donc je suis conforme AI Act". C'est FAUX. Les deux réglementations coexistent et ont des finalités différentes :
- Le RGPD protege les données personnelles (qui, quoi, comment).
- L'AI Act regule les systèmes d'IA (pourquoi, quel risque, quelle transparence).
Un outil d'IA peut être parfaitement conforme RGPD (données anonymisees, consentement, etc.) mais NON conforme AI Act (opacité, absence de supervision humaine, pas d'information utilisateur).
La bonne approche : traiter les deux en même temps, car ils partagent 60 % de la documentation (registres, analyses d'impact, politiques).
Conclusion : du temps, mais pas une dispense
- L'AI Act est une opportunité autant qu'une contrainte. Les PME qui s'y prennent maintenant bénéficient de trois avantages :
- Moins de stress : étaler le travail sur les mois qui restent avant décembre 2027 est largement tenable.
- Un avantage commercial : pouvoir dire "notre PME est conforme AI Act" devient un argument de vente auprès des grands comptes et administrations, qui exigent désormais cette conformité chez leurs fournisseurs.
- Des risques mesures : pas de zone grise, pas de panique au dernier moment, pas de risque juridique.
Les PME qui attendent la veille de l'échéance paniquent, bâclent, et sont les premières cibles des contrôles.