Vous utilisez l'IA. Voici ce que l'AI Act vous demande.

01Avant de commencer

La question que ce guide traite

Vos équipes rédigent avec ChatGPT, résument des réunions avec Copilot, et votre logiciel de recrutement propose désormais de « classer les candidatures par pertinence ». Vous avez entendu parler de l'AI Act, d'amendes en millions d'euros, d'obligations de formation. Vous n'avez jamais développé la moindre IA.

Une PME qui utilise l'IA sans la fabriquer a-t-elle quelque chose à faire, et pour quand ?

Oui, mais moins qu'on ne le dit, et pas tout de suite pour tout. Ce guide vous aide à savoir quel rôle vous jouez, à classer vos usages et à faire les quelques gestes qui comptent. Chaque article cité a été relu le 24 octobre 2026 au Journal officiel de l'Union européenne, dans sa version modifiée en juillet 2026 ; les numéros renvoient aux sources en fin de page.

02Le constat

Beaucoup de guides en ligne sont faux depuis l'été 2026 : le texte a changé avant même de s'appliquer

Le règlement sur l'intelligence artificielle, appelé AI Act, est entré en vigueur le 1^er août 2024.¹ Il s'applique par étapes. Le 24 juillet 2026, l'Union a publié un second règlement, dit omnibus numérique sur l'IA, qui en modifie une quarantaine de points et décale les obligations les plus lourdes.² Il est en vigueur depuis le 27 juillet 2026.

Deux changements touchent directement les PME. L'obligation de formation des équipes a été réécrite : il ne s'agit plus de « garantir un niveau suffisant » de maîtrise de l'IA, mais de prendre des mesures pour la favoriser (chapitre 6). Et les obligations liées au recrutement et à l'évaluation des salariés ne s'appliqueront qu'à partir du 2 décembre 2027 (chapitre 8).

Si un article, une formation ou un prestataire vous annonce des obligations « haut risque » au 2 août 2026, il n'est pas à jour.

03Le modèle

Tout dépend d'une question : fabriquez-vous l'IA, ou vous en servez-vous ?

Le texte distingue plusieurs rôles. Deux concernent une PME. Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son nom. Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel.¹⁵ Le salarié qui utilise ChatGPT pour votre entreprise n'est pas déployeur : c'est votre entreprise qui l'est.

La frontière n'est pas figée. L'article 25 prévoit trois cas où un déployeur est traité comme le fournisseur d'un système à haut risque : il le commercialise sous sa marque, il le modifie en profondeur, ou il en change l'usage de sorte qu'il devient à haut risque.¹ Le troisième cas vise expressément les IA à usage général, comme les agents grand public.

04Les niveaux

Le règlement ne vise pas l'IA en général, mais certains usages : quatre niveaux de risque

Le même outil peut être anodin ou très encadré selon ce que vous en faites. ChatGPT qui rédige une relance relève du premier niveau ; le même outil branché pour éliminer des candidats change de catégorie. Classez des usages, pas des logiciels.

1. !
   Interdit

   Reconnaître les émotions des salariés ou des candidats, noter socialement des personnes, manipuler des clients vulnérables. Interdit depuis le 2 février 2025.

2. 3
   Haut risque

   Recrutement, tri des candidatures, décisions de promotion ou de licenciement, évaluation des performances, notation de crédit des particuliers. Obligations à partir du 2 décembre 2027.

3. 2
   Transparence

   Images, vidéos ou sons réalistes générés par IA, analyse des émotions ou catégorisation biométrique autorisées : il faut le signaler. Depuis le 2 août 2026.

4. 1
   Risque minimal

   Rédiger, résumer, traduire, chercher, préparer un devis, analyser un tableur. Aucune obligation propre à ces usages, au-delà de la maîtrise de l'IA par les équipes.

La grande majorité des usages d'une PME tombe au niveau 1. L'enjeu est de repérer les quelques usages qui n'y sont pas, souvent cachés dans un logiciel acheté pour autre chose.

05Le calendrier

Le calendrier en vigueur, après la modification de juillet 2026

Ce tableau reprend les dates du texte modifié.² Les lignes en bleu sont celles qui demandent une action à une PME qui utilise l'IA.

1. 1 août 2024

   Entrée en vigueur du règlement. Rien ne s'applique encore.

2. 2 févr. 2025

   Pratiques interdites et maîtrise de l'IA par les équipes.

3. 2 août 2025

   IA à usage général : obligations des éditeurs de modèles. Régime des sanctions.

4. 27 juil. 2026

   Omnibus en vigueur : l'article sur la maîtrise de l'IA est réécrit, les échéances du haut risque reculent.

5. 2 août 2026

   Transparence : signaler les hypertrucages et certains contenus générés. Début du contrôle par les autorités nationales.³

6. 2 déc. 2026

   Deux nouvelles interdictions : les contenus intimes réalistes d'une personne sans son consentement et les contenus pédocriminels.

7. 2 déc. 2027

   Haut risque de l'annexe III : recrutement, gestion des salariés, crédit, éducation. Obligations des déployeurs (article 26).

8. 2 août 2028

   Haut risque de l'annexe I : l'IA intégrée à des produits réglementés (machines, jouets, dispositifs médicaux).

Avant l'omnibus, le haut risque de l'annexe III était prévu le 2 août 2026 et celui de l'annexe I le 2 août 2027.

06Ce qui s'applique déjà

Deux obligations vous concernent aujourd'hui : former vos équipes et ne pas franchir les interdits

La maîtrise de l'IA

Depuis le 27 juillet 2026, l'article 4 demande aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel, en tenant compte de leurs connaissances, de leur expérience et du contexte d'utilisation. Le texte précise que cette obligation ne contraint pas à garantir un niveau donné pour chaque personne.² La rédaction de 2024 exigeait de « garantir, dans toute la mesure du possible, un niveau suffisant ».¹

La Commission a mis à jour ses questions-réponses le 20 octobre 2026.³ Ce qu'on peut en retenir pour une PME :

• Aucun certificat n'est exigé. Ni formation labellisée, ni examen.
• Aucune structure imposée. Pas d'obligation de nommer un référent IA ou de créer un comité.
• Un registre interne est utile, pas obligatoire. Garder la trace des formations et des consignes données permet de montrer ce qui a été fait.
• Le contenu dépend de l'usage. La Commission prend l'exemple de salariés qui rédigent ou traduisent avec ChatGPT : ils doivent connaître les risques propres à cet usage, comme les réponses inventées.
• Le contrôle relève des autorités nationales depuis le 2 août 2026. L'article 4 ne figure pas dans la liste des obligations punies des amendes de l'article 99, paragraphe 4.¹

Les pratiques interdites

L'article 5 interdit huit pratiques, dont la plupart ne concernent pas une entreprise ordinaire (police prédictive, reconnaissance faciale à distance). Quatre peuvent la concerner :¹⁴

• Déduire les émotions des salariés ou des candidats, sauf pour des raisons médicales ou de sécurité. Un outil qui mesure le stress ou l'enthousiasme pendant un entretien d'embauche est interdit.
• Manipuler par des techniques subliminales ou trompeuses, ou exploiter la vulnérabilité liée à l'âge, au handicap ou à la situation économique, quand cela cause un préjudice important.
• Noter socialement des clients ou des salariés à partir de leur comportement, avec un traitement défavorable sans rapport avec le contexte.
• Catégoriser par la biométrie pour déduire l'origine, les opinions, l'appartenance syndicale, la religion ou l'orientation sexuelle.

Ce sont les infractions les plus lourdement sanctionnées. Elles visent aussi le déployeur : acheter l'outil à un éditeur ne vous couvre pas.

07La transparence

Depuis le 2 août 2026, une image réaliste générée par IA doit être signalée comme telle

L'article 50 répartit les obligations de transparence entre l'éditeur et l'utilisateur.¹ Pour une PME, trois situations se présentent.

L'information doit être claire et donnée au plus tard au premier contact avec le contenu ou l'outil.¹ La Commission a publié en juin 2026 un code de bonnes pratiques, volontaire, sur le marquage et l'étiquetage des contenus générés, avec une partie pour les utilisateurs ; et en juillet 2026, des lignes directrices sur l'article 50.⁶⁷

08Le haut risque

Pour une PME, le haut risque se cache surtout dans les logiciels RH

L'annexe III liste les domaines à haut risque. Pour une entreprise ordinaire, trois comptent : l'emploi (recruter, trier les candidatures, décider d'une promotion ou d'un licenciement, répartir les tâches selon le comportement, évaluer les performances), l'accès au crédit et à l'assurance vie ou santé des particuliers, et l'éducation (admission, évaluation des acquis).¹

Un outil de ces domaines n'est pas à haut risque s'il ne fait qu'une tâche procédurale étroite, améliore un travail humain déjà fait, repère des écarts sans remplacer l'évaluation humaine, ou prépare le travail. Mais il l'est toujours s'il établit le profil des personnes.¹ C'est l'éditeur qui fait cette analyse et la documente ; demandez-lui le résultat.

À partir du 2 décembre 2027, un déployeur de système à haut risque devra notamment¹ :

1. Suivre la notice d'utilisation de l'éditeur.

   Le système doit être utilisé comme prévu, pas détourné.

2. Confier le contrôle à une personne compétente.

   Formée, et qui a l'autorité de ne pas suivre la recommandation de l'outil.

3. Surveiller le fonctionnement.

   Signaler un risque à l'éditeur et à l'autorité, suspendre l'usage s'il le faut, déclarer les incidents graves.

4. Conserver les journaux générés par l'outil.

   Au moins six mois, s'ils sont sous votre contrôle.

5. Informer les représentants du personnel et les salariés concernés avant la mise en service.

   Et informer les personnes visées par une décision que l'outil a prise ou aidé à prendre.

6. Réaliser l'analyse d'impact sur la protection des données prévue par le RGPD, avec les informations de l'éditeur.

L'analyse d'impact sur les droits fondamentaux de l'article 27 ne concerne pas une PME ordinaire : elle vise les organismes publics, les entreprises qui assurent un service public, et les usages liés au crédit ou à l'assurance de personnes.¹

1. Votre outil utilise-t-il un système d'IA au sens du règlement (UE) 2024/1689 ?
2. Est-il classé à haut risque au titre de l'annexe III ? Sur quelle base,
   et pouvez-vous nous transmettre votre analyse ?
3. Établit-il un profil des candidats ou des salariés ?
4. Analyse-t-il des émotions, la voix ou des traits biométriques ?
5. Pouvez-vous nous fournir la notice d'utilisation et ses limites connues ?
6. Quelles données de nos salariés ou candidats traitez-vous, où, et
   servent-elles à entraîner vos modèles ?
7. Quels journaux l'outil conserve-t-il, combien de temps, et y avons-nous accès ?
8. Comment une personne de chez nous peut-elle vérifier, corriger ou
   écarter une recommandation de l'outil ?

09Diagnostic

Classez vos usages en deux minutes

10Passer à l'action

Par où commencer : un inventaire, une formation, une charte

Qui contrôle, et combien ça coûte

Les amendes maximales sont de 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et de 15 millions ou 3 % pour les obligations des déployeurs et de transparence. Pour une PME, c'est le plus faible des deux montants qui s'applique.¹ Une PME de 10 millions d'euros de chiffre d'affaires risque donc au plus 300 000 euros pour un manquement de l'article 26 ou 50 : un plafond, pas un tarif.

En France, au 24 octobre 2026, aucune loi ne désigne encore les autorités de contrôle. Le projet de loi qui doit le faire a été adopté par le Sénat le 18 février 2026 et attend son examen en séance à l'Assemblée nationale.¹⁰¹¹ Le schéma proposé par le gouvernement fait de la DGCCRF le point de contact, confie à la CNIL le haut risque dans l'emploi, à la DGCCRF et à l'Arcom la transparence.⁹

1. Semaine 1

   Faites l'inventaire de vos usages de l'IA, outils achetés compris. Une ligne par usage : l'outil, qui s'en sert, pour quoi faire.

2. Semaine 1

   Passez chaque ligne au test du chapitre 9. Arrêtez tout usage interdit.

3. Semaine 2

   Écrivez votre charte IA : les outils autorisés, les données interdites, la relecture, les usages à valider. Notre guide et son modèle vous font gagner du temps.

4. Semaine 3

   Formez chaque équipe à ses usages réels et à leurs risques. Gardez une trace : date, public, contenu.

5. Semaine 4

   Signalez les images et vidéos réalistes générées, et vérifiez que votre agent client se présente comme une IA.

6. Avant fin 2027

   Envoyez les huit questions aux éditeurs de vos outils RH, puis préparez l'information du CSE et l'analyse d'impact pour chaque outil à haut risque.