AI Act : ce qu'une PME doit vraiment faire en 2026
Formation des équipes, transparence depuis août 2026, haut risque reporté à décembre 2027 : les obligations réelles de l'AI Act pour une PME, vues du terrain.
Si vous dirigez une PME et que vos équipes utilisent de l'IA, voici ce que le règlement européen sur l'IA (règlement (UE) 2024/1689, dit AI Act) exige de vous : depuis le 2 février 2025, vous devez former les personnes qui utilisent ces systèmes et avoir vérifié qu'aucun usage interdit n'est en jeu ; depuis le 2 août 2026, s'y ajoutent des obligations de transparence ; et si l'un de vos systèmes est classé à haut risque, des exigences nettement plus lourdes s'appliqueront à partir du 2 décembre 2027, l'omnibus IA de juillet 2026 ayant reporté cette échéance de seize mois. Cet article traduit le texte en actions concrètes, à partir de ce que nous appliquons réellement chez notre client pilote. Précision d'usage : c'est un retour d'expérience de praticien, pas un avis juridique.
Mise à jour du 16 septembre 2026 : le règlement (UE) 2026/1744, dit omnibus IA, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet, a reporté l'application des obligations des systèmes à haut risque et assoupli la formulation de l'article 4. Les dates et les formulations de cet article ont été corrigées en conséquence.
Le calendrier qui vous concerne vraiment
Le règlement est entré en vigueur le 1er août 2024, mais il s'applique par paliers. Voici les dates utiles vues d'une PME, telles que révisées par l'omnibus IA de juillet 2026 :
| Date | Ce qui s'applique | Êtes-vous concerné ? |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et maîtrise de l'IA (article 4) | Oui, dès que vos équipes utilisent un système d'IA |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général, gouvernance, régime de sanctions | Indirectement (via vos fournisseurs) |
| 2 août 2026 | Application générale du règlement et transparence (article 50) : information des personnes qui interagissent avec une IA, marquage des contenus générés | Oui, dès qu'un assistant IA parle à vos clients ou à vos équipes |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (emploi et gestion des travailleurs, notamment), échéance reportée par l'omnibus IA | Oui, si l'un de vos outils évalue ou affecte des personnes sur des critères individuels |
| 2 août 2028 | Haut risque intégré à des produits déjà réglementés (annexe I), échéance reportée par l'omnibus IA | Rarement pour une PME de services ou de distribution |
La lecture honnête de ce tableau : trois obligations vous concernent déjà (maîtrise de l'IA et pratiques interdites depuis février 2025, transparence depuis août 2026), et le report du haut risque à décembre 2027 n'est pas une raison d'attendre : c'est le temps qu'il faut pour qualifier vos systèmes sans précipitation.
Former vos équipes : l'obligation déjà en vigueur
L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures qui soutiennent la maîtrise de l'IA des personnes qui les utilisent, en tenant compte de leur contexte d'usage. La formulation initiale exigeait de garantir un niveau suffisant ; l'omnibus IA de juillet 2026 l'a assouplie en obligation de moyens, sans en changer le principe : former, et pouvoir le prouver. Concrètement, pour une PME : les personnes qui se servent d'un outil d'IA doivent comprendre ce qu'il fait, ce qu'il ne fait pas, et quand il faut douter de sa sortie.
C'est moins lourd que ça en a l'air, et c'est surtout une bonne pratique déguisée en obligation. Chez notre client pilote, un Intermarché d'environ 80 collaborateurs, la formation initiale incluse dans le déploiement d'Optines couvre précisément ce point : chaque utilisateur sait sur quelles données l'outil s'appuie, ce que l'algorithme décide (la répartition des tâches) et ce qu'il ne décide pas (l'évaluation des personnes). Nous avons raconté ce déploiement en détail dans le récit complet du pilote.
Ce que l'article 4 attend de vous tient en deux livrables : une formation adaptée au poste (une heure bien construite vaut mieux qu'une journée générique) et une trace écrite de qui a été formé, quand, sur quoi.
Les pratiques interdites : une vérification à faire une fois
L'article 5 bannit certains usages depuis février 2025, quelle que soit la taille de l'entreprise. Pour un employeur, le point le plus concret est l'interdiction de la reconnaissance des émotions sur le lieu de travail (sauf raisons médicales ou de sécurité). S'y ajoutent la manipulation exploitant les vulnérabilités des personnes et la notation sociale.
La plupart des PME ne sont évidemment pas en train de déployer ces systèmes. Mais l'obligation appelle une vérification explicite, pas une intuition : listez vos outils qui embarquent de l'IA, y compris les SaaS que vous n'avez pas perçus comme tels, et actez par écrit qu'aucun ne relève de ces catégories. Une demi-journée suffit, et ce document servira de socle à tout le reste.
Décembre 2027 : la frontière du haut risque, et pourquoi elle passe par vos outils RH
C'est le cœur du règlement, et l'endroit où une PME peut se tromper de bonne foi. L'annexe III classe à haut risque les systèmes d'IA utilisés dans l'emploi et la gestion des travailleurs : recrutement, décisions d'affectation fondées sur le comportement individuel ou les traits de personnalité, évaluation de la performance des personnes. Un système classé à haut risque impose au déployeur des obligations lourdes : surveillance humaine, tenue de journaux, information des travailleurs et de leurs représentants, analyse d'impact dans certains cas. Ces obligations, initialement prévues pour le 2 août 2026, s'appliqueront à partir du 2 décembre 2027 pour les systèmes de l'annexe III.
La frontière est donc précise, et elle mérite d'être lue attentivement : ce n'est pas « l'IA dans la gestion d'équipe » qui est à haut risque, c'est la décision fondée sur l'individu comme objet d'évaluation. Un outil qui répartit le travail selon les compétences déclarées et les disponibilités, dont la performance se lit au niveau du rayon et jamais de la personne, et où le responsable garde la décision finale, ne coche pas ces critères. Cette distinction n'est pas un hasard de conception : nous l'avons expliquée en détail dans notre article sur le RGPD appliqué, parce que la logique est la même dans les deux textes. L'outil coordonne les personnes, il n'évalue jamais les personnes.
Si vous achetez un outil RH ou de pilotage d'équipe en 2026, la question à poser à votre fournisseur est donc : « sur quels critères votre système prend-il ses décisions, et comment documentez-vous sa classification au sens de l'AI Act ? ». Un fournisseur sérieux a la réponse par écrit. C'est le type de cadrage que nous faisons en amont de chaque projet, dès l'audit initial.
Les sanctions, et la spécificité PME que personne ne cite
L'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements. Ces chiffres font les titres, mais la disposition la plus utile pour vous est ailleurs : pour les PME, c'est le plus bas des deux montants qui constitue le plafond, pas le plus élevé. Le législateur a explicitement calibré le régime pour ne pas écraser les petites structures.
Il faut le dire clairement : le risque réel d'une PME de bonne foi n'est pas l'amende maximale. C'est d'acheter un système mal classé par son fournisseur, ou de laisser un usage dériver sans formation ni documentation. Les deux se préviennent par les actions déjà décrites, pas par une armée de juristes.
La checklist, dans l'ordre
Voici, dans l'ordre, ce que nous recommandons de faire, et ce que ce chantier représente honnêtement pour une structure de moins de 250 personnes :
- Inventorier : la liste de tous les systèmes d'IA utilisés, y compris ceux embarqués dans vos SaaS. Une demi-journée.
- Qualifier : pour chacun, la catégorie au sens du règlement (interdit, haut risque, transparence, minimal), en exigeant la documentation de classification de vos fournisseurs. Une journée, fournisseurs inclus.
- Former : les utilisateurs réels de chaque système, avec une trace écrite. Déjà obligatoire depuis février 2025.
- Contractualiser : clauses fournisseurs sur la classification, la localisation des données et l'usage qui en est fait. À la prochaine renégociation, pas besoin d'attendre.
Si vos usages relèvent du risque minimal ou limité, ce qui est le cas le plus fréquent, vous aurez terminé en moins d'une semaine de travail cumulé. Et si un doute subsiste sur la qualification d'un système, c'est exactement le genre de question que nous instruisons avec vous : parlez-nous de votre situation.
Sources et textes cités
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle (AI Act), sur EUR-Lex
- Règlement (UE) 2026/1744, dit omnibus IA, publié au Journal officiel le 24 juillet 2026, sur EUR-Lex
- Commission européenne, page officielle de l'AI Act et calendrier d'application révisé
Questions fréquentes
Mon entreprise utilise un assistant IA ou un agent IA : l'AI Act me concerne-t-il ?
Oui, en tant que déployeur. Dès aujourd'hui, l'article 4 vous impose de prendre des mesures qui soutiennent la maîtrise de l'IA des personnes qui utilisent le système (formation adaptée au contexte d'usage ; l'omnibus de juillet 2026 a assoupli la formulation, pas le principe), et l'article 50 impose, depuis le 2 août 2026, d'informer clairement les personnes lorsqu'elles interagissent avec une IA. Ces obligations valent quelle que soit la taille de l'entreprise.
Qu'est-ce qu'une pratique interdite par l'article 5 ?
Les usages que le règlement bannit purement et simplement depuis février 2025 : manipulation exploitant les vulnérabilités des personnes, notation sociale, et notamment, pour un employeur, la reconnaissance des émotions sur le lieu de travail (hors raisons médicales ou de sécurité). Une PME qui n'achète pas ce type de système n'est par définition pas concernée, mais la vérification doit être faite une fois, par écrit.
Un outil de répartition des tâches en magasin est-il un système à haut risque ?
Tout dépend de ce qui fonde la décision. L'annexe III classe à haut risque les systèmes qui répartissent les tâches sur la base du comportement individuel ou de traits de personnalité, ou qui évaluent la performance des personnes. Un outil qui affecte le travail selon les compétences et les disponibilités, avec une performance lue au niveau du rayon et un responsable qui garde la main, ne repose pas sur ces critères. C'est exactement la frontière que nous avons gravée dans Optines.
Que faire concrètement, et dans quel ordre ?
Quatre actions tiennent dans un trimestre : inventorier les systèmes d'IA réellement utilisés (y compris les outils SaaS qui en embarquent), qualifier chacun selon les catégories du règlement, former les utilisateurs (obligation déjà en vigueur), et exiger de vos fournisseurs qu'ils documentent la classification de leur produit. Le tout tient dans un document que vous pourrez montrer.
Luca Vicario
Fondateur de NEXALIS
Ingénieur de formation, il conçoit des agents IA et logiciels métier pour les PME françaises. Les chiffres cités dans cet article proviennent du terrain : le pilote Optines déployé chez un Intermarché (environ 10 400 heures récupérées par an).
17 certifications officielles AnthropicPartagez cet article :