Depuis le printemps, la même phrase revient dans les échanges avec des dirigeants de PME : « au 2 août, il faut être conforme à l’IA Act ». C’est à moitié vrai. Et la moitié fausse est justement celle qui fait peur.
Le règlement européen sur l’intelligence artificielle est entré en vigueur le 1er août 2024. Il s’applique par étapes. Ce qui arrive le 2 août 2026, ce sont les obligations de transparence. Les obligations lourdes, celles qui visent les systèmes dits à haut risque, ont été repoussées à décembre 2027 et août 2028 par le Digital Omnibus, validé par le Conseil de l’Union européenne le 29 juin 2026.
Deuxième idée reçue à évacuer tout de suite : ce n’est pas la taille de l’entreprise qui déclenche les obligations, c’est le niveau de risque de l’usage. Une PME de huit personnes qui trie des CV avec une IA est plus concernée qu’un groupe de mille salariés qui s’en sert pour relire ses e-mails.
Une approche fondée sur le risque, pas sur la taille
Le texte range les usages d’IA en quatre étages.
1. Risque inacceptable : interdit. Ce sont les usages que l’Europe juge incompatibles avec les droits fondamentaux. Il n’y a pas de mise en conformité possible.
- La notation sociale des personnes, c’est-à-dire attribuer un score à un individu selon son comportement.
- Les systèmes qui manipulent l’utilisateur à son insu, ou qui exploitent une vulnérabilité liée à l’âge, au handicap ou à une situation de détresse.
- La reconnaissance des émotions au travail et à l’école, hors cas de sécurité ou de santé très limités.
- À partir du 2 décembre 2026, les générateurs d’images intimes non consenties et de contenus pédopornographiques.
Pour une PME, la question se règle vite. Si un outil que vous utilisez fait l’une de ces choses, vous l’arrêtez.
2. Haut risque : autorisé, mais très encadré. Ce sont les usages qui pèsent sur la vie des gens : emploi, crédit, éducation, justice, infrastructures essentielles.
- Un logiciel de tri automatique de CV ou de notation de candidats.
- Un outil qui évalue la solvabilité d’un client, en crédit comme en assurance.
- Un système qui décide d’une admission en formation.
- Une IA utilisée dans la conduite d’infrastructures critiques, énergie ou transport.
Les obligations sont lourdes : analyse des risques, qualité et traçabilité des données, documentation technique, supervision humaine réelle, sécurité. Elles ne s’appliquent pleinement qu’au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour l’IA intégrée dans des produits déjà réglementés comme les machines ou les dispositifs médicaux.
Ce report n’est pas un délai de repos. Monter un dossier de conformité haut risque se compte en mois, pas en semaines.
3. Risque limité : informer. Ici, on ne vous demande pas de prouver. On vous demande de dire.
- Les agents conversationnels et chatbots de service client : il faut indiquer clairement que l’interlocuteur est une IA.
- Les contenus générés par IA, texte, image, son ou vidéo, qui doivent être identifiables comme tels. Les deepfakes en priorité.
- La reconnaissance des émotions et la catégorisation biométrique, dans les cas où elles restent autorisées.
Vous avez peut-être noté que la reconnaissance des émotions apparaît deux fois. C’est normal, et c’est une source de confusion fréquente. Elle est interdite au travail et à l’école. Ailleurs, elle est autorisée à condition de prévenir les personnes.
C’est l’étage qui concerne le plus de PME au 2 août 2026.
4. Risque minimal : rien de spécifique. C’est la très grande majorité des usages quotidiens.
- Filtres anti-spam.
- Traduction automatique.
- Assistants de rédaction, du type ChatGPT pour écrire un e-mail.
- Retouche photo, recommandations de produits sur un site marchand.
L’IA Act n’impose ici aucune obligation particulière. Ce qui ne veut pas dire aucun risque. J’y reviens plus bas, car c’est exactement là que se joue le sujet des données.
Le calendrier réel, après l’Omnibus
Voici les échéances telles qu’elles se présentent aujourd’hui.
Le 2 août 2026 marque donc l’entrée dans l’ère de la transparence, pas le basculement vers le régime complet des systèmes à haut risque.
Un point de vigilance avant de bâtir un planning là-dessus : les reports issus de l’Omnibus ne produisent leurs effets qu’une fois le texte publié au Journal officiel de l’Union européenne. Cette publication est attendue avant le 2 août 2026. Vérifiez qu’elle a bien eu lieu.
Ce qui change le 2 août 2026 : la transparence
Quatre obligations, formulées simplement.
- Dire que c’est une IA. Chatbot, agent conversationnel, standard téléphonique automatisé. Sauf lorsque c’est évident pour l’utilisateur.
- Marquer les contenus produits ou modifiés par IA. Le marquage doit être lisible par une machine, pas seulement visible à l’œil.
- Signaler les deepfakes, ainsi que les contenus d’information publiés sans relecture humaine.
- Prévenir les personnes en cas de reconnaissance d’émotions ou de catégorisation biométrique.
La Commission européenne a publié le 20 juillet 2026 des lignes directrices de 51 pages pour préciser ces obligations. Elles ne sont pas contraignantes, mais les autorités de contrôle nationales s’y référeront. Les systèmes déjà en service avant le 2 août 2026 disposent d’un délai jusqu’au 2 décembre 2026 pour le marquage lisible par machine.
Le vrai angle mort : conforme à l’IA Act ne veut pas dire conforme au RGPD
C’est le point que je vois le moins traité. C’est aussi celui qui expose le plus une PME.
L’IA Act encadre le système. Le RGPD encadre les données qui passent dedans. Les deux se cumulent, ils ne se remplacent pas.
Prenons le chatbot de service client, l’exemple le plus courant.
- Au titre de l’IA Act, il est à risque limité. Vous affichez « vous parlez à une IA », vous êtes en règle.
- Au titre du RGPD, la question est ailleurs. Où partent les messages de vos clients ? Sur quel serveur, dans quel pays ? Sont-ils conservés pour entraîner le modèle ? Cet usage figure-t-il dans votre registre des traitements ? Votre prestataire est-il couvert par un contrat de sous-traitance conforme ?
Un chatbot peut donc afficher la bonne mention et transférer chaque jour des données personnelles hors d’Europe sans base légale solide. La mention IA Act ne répare rien de tout cela.
La bonne nouvelle, c’est que le travail se mutualise. L’inventaire des systèmes d’IA que demande l’IA Act recoupe très largement le registre des traitements que le RGPD vous impose déjà. Même logique, mêmes colonnes : quelle donnée, pour quoi faire, chez qui, pendant combien de temps.
Si votre registre est à jour, une bonne partie de l’inventaire est déjà faite. S’il ne l’est pas, l’échéance du 2 août est une occasion de le reprendre. Vous réglez deux sujets d’un coup.
Ce que ça coûte, et ce qui est allégé pour les PME
Les difficultés réelles, dans l’ordre où elles se présentent :
- Classer. La difficulté principale ne vient pas de vos propres outils, mais de ceux de vos fournisseurs. L’IA arrive de plus en plus souvent intégrée dans un logiciel que vous utilisez déjà, CRM, paie, recrutement, sans que ce soit mis en avant.
- Le coût. Même au risque limité, informer et marquer demande du temps, et parfois du développement.
- Les compétences. Peu de PME ont en interne quelqu’un qui couvre à la fois la conformité et la sécurité.
- L’instabilité du cadre. Les lignes directrices et les codes de bonne pratique continuent d’évoluer. L’Omnibus vient de le démontrer.
En face, le texte prévoit de vrais aménagements pour les petites structures :
- Accès prioritaire et gratuit aux espaces d’expérimentation encadrés, ces environnements où l’on teste un système sous le regard du régulateur. Chaque État membre doit en avoir un au plus tard le 2 août 2027.
- Documentation technique simplifiée.
- Frais d’évaluation de conformité proportionnés à la taille de l’entreprise.
- Amendes plafonnées au plus bas des deux montants possibles, montant fixe ou pourcentage du chiffre d’affaires mondial, et non au plus élevé.
- Ces aménagements ont été étendus aux entreprises de taille intermédiaire, jusqu’à 750 salariés et 150 millions d’euros de chiffre d’affaires.
La checklist, dans l’ordre
Six étapes. Les trois premières se traitent en une demi-journée dans une TPE.
1. Listez vos usages d’IA, y compris ceux qui sont cachés. Ne demandez pas « quelle IA utilisez-vous ? ». Personne ne sait répondre. Demandez plutôt, service par service : quel outil vous fait gagner du temps sur de la rédaction, du tri, de la relance ou de l’analyse ? Puis ouvrez les réglages de vos logiciels en place et cherchez les modules « assistant », « copilote » ou « suggestions automatiques ».
2. Interrogez vos éditeurs de logiciels. Trois questions à envoyer par écrit. Une réponse écrite vaut preuve, et elle vous fait gagner un temps considérable au moment de classer.
- Votre produit intègre-t-il un système d’IA au sens du règlement (UE) 2024/1689, et à quel niveau de risque le classez-vous ?
- Où sont hébergées et traitées les données que nous y saisissons, et sont-elles utilisées pour entraîner vos modèles ?
- Quelle documentation de conformité mettez-vous à disposition de vos clients, et à quelle échéance ?
3. Classez chaque usage sur les quatre étages. En pratique, presque tout tombe en risque minimal ou limité. L’exercice consiste surtout à isoler les exceptions : recrutement, crédit, notation de personnes.
4. Traitez la transparence avant le 2 août. Une mention visible dès le premier message du chatbot, par exemple : « Vous échangez avec un assistant automatique. Un conseiller peut prendre le relais à tout moment. » Et une règle interne écrite sur le marquage des contenus publiés qui ont été générés par IA.
5. Formez vos équipes. L’obligation de culture de l’IA, l’AI literacy du texte, est en vigueur depuis le 2 février 2025. Elle n’attend pas 2026. Une session courte suffit, tracée par une feuille de présence, avec les règles maison sur ce qu’on ne colle jamais dans un outil grand public.
6. Anticipez le haut risque si vous êtes concerné. Décembre 2027 paraît loin. Un dossier complet, avec gestion des risques, documentation et supervision humaine, ne se monte pas en un trimestre.
Mon avis : la transparence est un plancher, pas une conformité
L’IA Act n’a pas été écrit pour freiner les PME. Pour la très grande majorité d’entre elles, l’effort immédiat tient en une mention et un peu de rigueur documentaire.
Le risque que je vois n’est pas la sanction. Il est de confondre le plancher et le plafond. Afficher « vous parlez à une IA » coûte dix minutes et ne dit rien de l’endroit où partent vos données, ni de ce que votre fournisseur en fait. Une entreprise peut être parfaitement en règle avec l’IA Act le 2 août, et parfaitement exposée le 3.
Les PME qui traiteront cette échéance comme un prétexte pour faire le vrai inventaire, savoir quels outils tournent, quelles données y entrent et où elles atterrissent, en sortiront avec beaucoup mieux qu’une case cochée. Elles sauront ce qu’elles utilisent. C’est la condition pour choisir son adoption de l’IA plutôt que de la subir.
Le 2 août 2026 n’est pas un mur. C’est un point de départ.
| Date | Obligations concernées |
|---|---|
| 2 février 2025 | Interdictions + obligation d’alphabétisation à l’IA (AI literacy) |
| 2 août 2025 | Règles sur les modèles d’IA à usage général (GPAI) |
| 2 août 2026 | Obligations de transparence (article 50) et entrée en application de l’essentiel des règles et des pouvoirs de contrôle |
| 2 décembre 2026 | Marquage lisible par machine pour les systèmes déjà en service, et nouvelles interdictions : images intimes non consenties et contenus pédopornographiques générés par IA |
| 2 août 2027 | Au moins un espace d’expérimentation encadré opérationnel par État membre |
| 2 décembre 2027 | Obligations pour les systèmes à haut risque autonomes (annexe III) |
| 2 août 2028 | Systèmes à haut risque intégrés dans des produits déjà réglementés (annexe I) |
