AI Act : ce qu'une PME doit vraiment faire en 2026

Si vous dirigez une PME et que vos équipes utilisent de l'IA, voici ce que le règlement européen sur l'IA (règlement (UE) 2024/1689, dit AI Act) exige de vous : depuis le 2 février 2025, vous devez former les personnes qui utilisent ces systèmes et avoir vérifié qu'aucun usage interdit n'est en jeu ; à partir du 2 août 2026, s'ajouteront des obligations de transparence et, si l'un de vos systèmes est classé à haut risque, des exigences nettement plus lourdes. Cet article traduit le texte en actions concrètes, à partir de ce que nous appliquons réellement chez notre client pilote. Précision d'usage : c'est un retour d'expérience de praticien, pas un avis juridique.

Le calendrier qui vous concerne vraiment

Le règlement est entré en vigueur le 1er août 2024, mais il s'applique par paliers. Voici les dates utiles vues d'une PME :

| Date | Ce qui s'applique | Êtes-vous concerné ? | |------|-------------------|----------------------| | 2 février 2025 | Pratiques interdites (article 5) et maîtrise de l'IA (article 4) | Oui, dès que vos équipes utilisent un système d'IA | | 2 août 2025 | Obligations des fournisseurs de modèles à usage général, gouvernance, régime de sanctions | Indirectement (via vos fournisseurs) | | 2 août 2026 | Application générale : systèmes à haut risque de l'annexe III, transparence (article 50) | Oui, selon vos usages | | 2 août 2027 | Haut risque intégré à des produits déjà réglementés (annexe I) | Rarement pour une PME de services ou de distribution |

La lecture honnête de ce tableau : deux obligations vous concernent déjà depuis un an et demi, et l'échéance qui structure votre année 2026 est celle d'août.

Former vos équipes : l'obligation déjà en vigueur

L'article 4 impose aux fournisseurs et aux déployeurs de systèmes d'IA de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui les utilisent, en tenant compte de leur contexte d'usage. Concrètement, pour une PME : les personnes qui se servent d'un outil d'IA doivent comprendre ce qu'il fait, ce qu'il ne fait pas, et quand il faut douter de sa sortie.

C'est moins lourd que ça en a l'air, et c'est surtout une bonne pratique déguisée en obligation. Chez notre client pilote, un Intermarché d'environ 80 collaborateurs, la formation initiale incluse dans le déploiement d'Optines couvre précisément ce point : chaque utilisateur sait sur quelles données l'outil s'appuie, ce que l'algorithme décide (la répartition des tâches) et ce qu'il ne décide pas (l'évaluation des personnes). Nous avons raconté ce déploiement en détail dans le récit complet du pilote.

Ce que l'article 4 attend de vous tient en deux livrables : une formation adaptée au poste (une heure bien construite vaut mieux qu'une journée générique) et une trace écrite de qui a été formé, quand, sur quoi.

Les pratiques interdites : une vérification à faire une fois

L'article 5 bannit certains usages depuis février 2025, quelle que soit la taille de l'entreprise. Pour un employeur, le point le plus concret est l'interdiction de la reconnaissance des émotions sur le lieu de travail (sauf raisons médicales ou de sécurité). S'y ajoutent la manipulation exploitant les vulnérabilités des personnes et la notation sociale.

La plupart des PME ne sont évidemment pas en train de déployer ces systèmes. Mais l'obligation appelle une vérification explicite, pas une intuition : listez vos outils qui embarquent de l'IA, y compris les SaaS que vous n'avez pas perçus comme tels, et actez par écrit qu'aucun ne relève de ces catégories. Une demi-journée suffit, et ce document servira de socle à tout le reste.

Août 2026 : la frontière du haut risque, et pourquoi elle passe par vos outils RH

C'est le cœur du règlement, et l'endroit où une PME peut se tromper de bonne foi. L'annexe III classe à haut risque les systèmes d'IA utilisés dans l'emploi et la gestion des travailleurs : recrutement, décisions d'affectation fondées sur le comportement individuel ou les traits de personnalité, évaluation de la performance des personnes. Un système classé à haut risque impose au déployeur des obligations lourdes : surveillance humaine, tenue de journaux, information des travailleurs et de leurs représentants, analyse d'impact dans certains cas.

La frontière est donc précise, et elle mérite d'être lue attentivement : ce n'est pas « l'IA dans la gestion d'équipe » qui est à haut risque, c'est la décision fondée sur l'individu comme objet d'évaluation. Un outil qui répartit le travail selon les compétences déclarées et les disponibilités, dont la performance se lit au niveau du rayon et jamais de la personne, et où le responsable garde la décision finale, ne coche pas ces critères. Cette distinction n'est pas un hasard de conception : nous l'avons expliquée en détail dans notre article sur le RGPD appliqué, parce que la logique est la même dans les deux textes. L'outil coordonne les personnes, il n'évalue jamais les personnes.

Si vous achetez un outil RH ou de pilotage d'équipe en 2026, la question à poser à votre fournisseur est donc : « sur quels critères votre système prend-il ses décisions, et comment documentez-vous sa classification au sens de l'AI Act ? ». Un fournisseur sérieux a la réponse par écrit. C'est le type de cadrage que nous faisons en amont de chaque projet, dès l'audit initial.

Les sanctions, et la spécificité PME que personne ne cite

L'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements. Ces chiffres font les titres, mais la disposition la plus utile pour vous est ailleurs : pour les PME, c'est le plus bas des deux montants qui constitue le plafond, pas le plus élevé. Le législateur a explicitement calibré le régime pour ne pas écraser les petites structures.

Il faut le dire clairement : le risque réel d'une PME de bonne foi n'est pas l'amende maximale. C'est d'acheter un système mal classé par son fournisseur, ou de laisser un usage dériver sans formation ni documentation. Les deux se préviennent par les actions déjà décrites, pas par une armée de juristes.

La checklist avant août 2026

Voici, dans l'ordre, ce que nous recommandons de faire, et ce que ce chantier représente honnêtement pour une structure de moins de 250 personnes :

1. Inventorier : la liste de tous les systèmes d'IA utilisés, y compris ceux embarqués dans vos SaaS. Une demi-journée.
2. Qualifier : pour chacun, la catégorie au sens du règlement (interdit, haut risque, transparence, minimal), en exigeant la documentation de classification de vos fournisseurs. Une journée, fournisseurs inclus.
3. Former : les utilisateurs réels de chaque système, avec une trace écrite. Déjà obligatoire depuis février 2025.
4. Contractualiser : clauses fournisseurs sur la classification, la localisation des données et l'usage qui en est fait. À la prochaine renégociation, pas besoin d'attendre.

Si vos usages relèvent du risque minimal ou limité, ce qui est le cas le plus fréquent, vous aurez terminé en moins d'une semaine de travail cumulé. Et si un doute subsiste sur la qualification d'un système, c'est exactement le genre de question que nous instruisons avec vous : parlez-nous de votre situation.