Aller au contenu
Optim-AI

Réglementation

AI Act : ce qui s'applique à une PME, et quand

À jour au 10 octobre 2026. Le règlement européen sur l'IA (UE 2024/1689, modifié en juillet 2026) classe les usages par niveau de risque. Une PME qui utilise des outils d'IA a aujourd'hui une obligation générale : prendre des mesures pour que ses équipes comprennent ces outils, sans niveau à garantir ni certificat à obtenir. Certaines pratiques sont interdites depuis février 2025, et depuis août 2026 il faut signaler les contenus truqués (« deepfakes ») que l'on diffuse. La plupart des usages bureautiques n'entraînent pas d'autre obligation. Les usages à haut risque, comme le tri de candidatures, l'accès au crédit ou la surveillance des salariés, auront des obligations renforcées à partir du 2 décembre 2027 et méritent un examen dédié avant tout déploiement.

Qui est concerné

Fournisseur ou déployeur

Le règlement distingue deux rôles.

  • Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom. Les éditeurs de logiciels sont dans ce cas.
  • Le déployeur utilise un système d'IA sous sa propre autorité, dans un cadre professionnel. Un usage personnel non professionnel n'est pas visé.

Une PME qui achète ou s'abonne à un outil d'IA est presque toujours déployeur. La plupart des obligations lourdes pèsent sur le fournisseur.

Une exception compte pour les PME. Vous devenez fournisseur d'un système à haut risque si vous y apposez votre nom, si vous le modifiez de façon substantielle, ou si vous changez sa finalité au point de le rendre à haut risque (article 25).

Calendrier

Ce qui s'applique, date par date

Calendrier d'application du règlement européen sur l'IA
DateCe qui s'appliqueQui est visé
1er août 2024Entrée en vigueur du règlement—
2 février 2025Pratiques interdites (art. 5). Mesures pour la maîtrise de l'IA (art. 4)Tous
2 août 2025Modèles d'IA à usage général, gouvernance, sanctionsFournisseurs de modèles, États
27 juillet 2026Entrée en vigueur de l'Omnibus (règlement 2026/1744). Article 4 allégéTous
2 août 2026Transparence (art. 50) : deepfakes, certains textes publiésFournisseurs et déployeurs
2 décembre 2026Nouvelles interdictions : contenus intimes non consentis d'une personne identifiable, contenus pédocriminelsTous
2 décembre 2027Systèmes à haut risque de l'annexe III (recrutement, crédit, etc.)Fournisseurs et déployeurs
2 août 2028Systèmes à haut risque intégrés à des produits réglementés (annexe I)Fournisseurs et déployeurs

Les dates de 2027 et 2028 sont fixes. Elles ne dépendent pas de la publication des normes techniques.

En pratique

Ce que doit faire une PME qui utilise l'IA

  1. Savoir quels outils sont utilisés.

    Le règlement ne demande pas d'inventaire en tant que tel. Mais vous ne pouvez appliquer les points suivants qu'à des outils que vous connaissez.

  2. Prendre des mesures pour que vos équipes comprennent ces outils (art. 4).

    Cela vaut pour vos salariés et pour les personnes qui les utilisent pour votre compte, comme un prestataire. Une session de sensibilisation, une règle d'usage écrite ou une formation ciblée sont des exemples. Aucun certificat n'est exigé. Un registre interne des mesures prises suffit.

  3. Vérifier qu'aucun usage n'est interdit (art. 5).

    Exemple utile en entreprise : la reconnaissance des émotions sur le lieu de travail est interdite, sauf raison médicale ou de sécurité.

  4. Signaler ce qui doit l'être (art. 50).

    Une image, un son ou une vidéo truqués que vous diffusez doivent être signalés comme générés ou manipulés. Un texte publié pour informer le public sur une question d'intérêt public doit l'être aussi, sauf s'il a été relu par une personne qui en assume la responsabilité éditoriale.

  5. Repérer les usages à haut risque avant le 2 décembre 2027.

    Voir la section suivante.

Haut risque

Les usages à haut risque

L'annexe III liste les domaines concernés. Pour une PME, trois sont les plus courants :

  • Recrutement : diffusion ciblée d'offres, tri de candidatures, évaluation de candidats.
  • Gestion du personnel : décisions de promotion ou de licenciement, attribution des tâches selon des traits personnels, suivi des performances et du comportement.
  • Services financiers : évaluation de la solvabilité ou score de crédit (hors détection de fraude), tarification d'assurance vie et santé.

Les autres domaines sont la biométrie, les infrastructures critiques, l'éducation, l'accès aux services publics et d'urgence, la police, les migrations et la justice.

À partir du 2 décembre 2027, le déployeur d'un tel système doit notamment (art. 26) :

  • l'utiliser conformément à la notice du fournisseur ;
  • confier la surveillance humaine à des personnes compétentes, formées et disposant de l'autorité nécessaire ;
  • veiller à la pertinence des données d'entrée, s'il les contrôle ;
  • surveiller le fonctionnement, suspendre l'usage en cas de risque et signaler les incidents graves ;
  • conserver les journaux générés automatiquement au moins six mois ;
  • informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail ;
  • informer les personnes visées par une décision prise ou assistée par le système ;
  • coopérer avec les autorités compétentes.

Ces usages méritent un examen dédié avant tout déploiement. Si vous utilisez déjà un logiciel RH ou de crédit qui intègre de l'IA, demandez dès maintenant à votre éditeur s'il le considère comme relevant de l'annexe III, et à quelle date sa notice sera disponible.

Sanctions

Les plafonds d'amende

Les plafonds fixés par le règlement (art. 99) sont :

  • pratiques interdites : 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel ;
  • autres obligations, dont celles du déployeur et la transparence : 15 millions d'euros ou 3 % ;
  • informations inexactes données aux autorités : 7,5 millions d'euros ou 1 %.

Pour une grande entreprise, le plus élevé des deux montants est retenu. Pour une PME ou une start-up, c'est le plus bas. Depuis juillet 2026, les sanctions peuvent aussi prendre la forme d'un avertissement ou d'une mesure non financière, et les États doivent tenir compte de la viabilité économique des PME.

L'article 4 ne figure dans aucune de ces listes. Il n'a pas de plafond européen. Son éventuelle sanction relève du droit national.

Accompagnement

Ce qu'Optim-AI peut faire

  • Le diagnostic de deux jours relève les outils d'IA déjà utilisés dans l'entreprise.
  • L'audit cartographie les usages réels, y compris ceux qui n'ont pas été déclarés, et signale ceux qui pourraient relever de l'annexe III.
  • Les règles d'usage de l'IA, livrées avec le plan de contre-mesures, sont rédigées pour être lues par vos équipes et prêtes à être rattachées au règlement intérieur. Elles constituent une trace écrite des mesures prises.
  • La mission d'acculturation est une mission distincte, avec un compte rendu écrit, les supports présentés et un court questionnaire d'évaluation avant et après la session, pour mesurer ce qui a changé. C'est l'une des mesures possibles au titre de l'article 4, pas la seule.

Optim-AI n'est pas un cabinet d'avocats. Pour un usage à haut risque, l'analyse juridique finale relève de votre conseil.

Questions fréquentes

Les questions des dirigeants

Utiliser Copilot ou ChatGPT fait-il de ma PME un utilisateur de système à haut risque ?
En général, non. Un assistant de rédaction ou de synthèse n'entre pas dans l'annexe III. Il le devient si vous l'utilisez pour une finalité qui y figure, par exemple trier des candidatures. Vous restez concerné par l'article 4 et, si vous diffusez des deepfakes, par l'article 50.
Faut-il former tous les salariés et obtenir un certificat ?
Non. Depuis le 27 juillet 2026, le règlement demande de prendre des mesures pour soutenir la maîtrise de l'IA, sans niveau à garantir. La Commission précise qu'aucun certificat n'est nécessaire. Les mesures s'adaptent aux personnes et aux outils. Gardez-en une trace écrite.
Dois-je signaler les textes rédigés avec l'IA ?
Seulement pour les textes publiés afin d'informer le public sur une question d'intérêt public, et seulement s'ils n'ont pas fait l'objet d'une relecture humaine sous la responsabilité éditoriale d'une personne. Une newsletter commerciale ou une fiche produit ne relèvent en principe pas de cette catégorie.
Notre logiciel RH trie les CV. Que faire maintenant ?
Ce type d'outil relève de l'annexe III. Les obligations du déployeur s'appliquent à partir du 2 décembre 2027. D'ici là, demandez à l'éditeur sa position et sa notice, nommez la personne qui supervisera l'outil, et prévoyez l'information des représentants du personnel.
Une PME risque-t-elle 35 millions d'euros d'amende ?
Ce plafond vise les pratiques interdites. Pour une PME, le plafond retenu est le plus bas des deux montants prévus, et l'autorité peut se limiter à un avertissement.

Sources

Les textes consultés

Page à jour au 10 octobre 2026. Les articles sont lus dans la version consolidée au 27 juillet 2026, publiée par la Commission européenne.

Audit IA pour PME et ETIRepérer les usages réels, y compris ceux qui n'ont pas été déclarés.Risques et maîtriseLes cinq risques réels de l'IA en entreprise et leurs contre-mesures.Questions et réponsesLes réponses courtes sur la réglementation, les coûts et l'organisation.Comprendre l'IACe qu'est une IA générative, ce qu'elle fait bien, ce qu'elle fait mal.

Prochaine étape

Savoir quels outils d'IA sont utilisés chez vous

Le premier échange dure trente minutes, sans engagement. Il sert à cadrer ce qu'il faut regarder en premier.

Réserver 30 minutesFaire le test de maturité IA