Si vous utilisez un système d'IA dans votre activité professionnelle, même un simple assistant conversationnel, l'AI Act vous concerne. Le règlement européen sur l'intelligence artificielle s'applique à toute organisation, entreprise, association ou administration, qui fournit, importe, distribue ou déploie de l'IA dans l'Union européenne. La question n'est donc pas de savoir si vous êtes concerné, mais à quel titre et avec quelles obligations.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Si vous utilisez un système d'IA dans votre activité professionnelle, même un simple assistant conversationnel, l'AI Act vous concerne. Le règlement européen sur l'intelligence artificielle s'applique à toute organisation, entreprise, association ou administration, qui fournit, importe, distribue ou déploie de l'IA dans l'Union européenne. La question n'est donc pas de savoir si vous êtes concerné, mais à quel titre et avec quelles obligations.
Cette distinction change tout. Un développeur de logiciel d'IA et une PME qui utilise ChatGPT pour rédiger ses offres commerciales ne portent pas les mêmes responsabilités. Cet article détaille les catégories d'acteurs, le champ d'application territorial, les niveaux de risque, et le calendrier réel des obligations, qui a été profondément remanié à l'été 2026. Pour une vue d'ensemble de la mise en conformité, consultez notre guide de conformité AI Act pour PME et associations.
Toute organisation qui fournit, importe, distribue ou déploie un système d'IA sur le marché européen est concernée, quelle que soit sa taille. Le règlement (UE) 2024/1689 ne prévoit pas d'exemption générale pour les TPE, les PME ou les associations. Selon la Direction générale des Entreprises, sont visées les entités établies dans l'Union, mais aussi celles situées en dehors, dès lors que leurs produits ou résultats sont utilisés sur le territoire européen.
Concrètement, trois profils reviennent le plus souvent chez les structures que nous accompagnons. Le premier : l'éditeur ou l'agence qui développe une solution intégrant de l'IA et la commercialise. Le deuxième : l'entreprise qui intègre un outil d'IA existant (un chatbot, un moteur de recommandation, un logiciel de tri de CV) dans ses processus internes. Le troisième : l'association ou la collectivité qui utilise des outils d'IA générative au quotidien, souvent sans avoir formalisé cet usage.
Le règlement encadre la mise sur le marché, la mise en service et l'utilisation des systèmes d'IA. Les usages strictement personnels, hors cadre professionnel, ainsi que la recherche scientifique, échappent au texte sous certaines conditions prévues à l'article 2.
L'AI Act définit plusieurs rôles, et vos obligations dépendent directement de celui que vous occupez. L'article 3 du règlement distingue quatre catégories principales d'opérateurs, auxquelles s'ajoute le mandataire pour les acteurs hors UE.
| Rôle | Définition | Exemple concret |
|---|---|---|
| Fournisseur | Développe un système d'IA ou le fait développer, puis le met sur le marché sous son nom | Un éditeur SaaS qui vend un logiciel de scoring clients |
| Déployeur | Utilise un système d'IA sous sa propre autorité, dans un cadre professionnel | Une PME qui utilise un outil d'IA pour présélectionner des candidats |
| Importateur | Met sur le marché européen un système d'IA d'un fournisseur établi hors UE | Un distributeur français d'une solution américaine |
| Distributeur | Met à disposition un système d'IA sur le marché sans en être le fournisseur ni l'importateur | Une place de marché revendant des outils d'IA |
La majorité des PME et des associations sont des déployeurs. C'est une bonne nouvelle : les obligations les plus lourdes (documentation technique, marquage CE, gestion des risques) pèsent d'abord sur les fournisseurs, en particulier ceux de systèmes à haut risque. Attention toutefois, un déployeur peut basculer dans le statut de fournisseur s'il modifie substantiellement un système ou le remet sur le marché sous son propre nom.
L'AI Act a une portée extraterritoriale : il s'applique même à des acteurs installés hors d'Europe. L'article 2 vise trois situations. D'abord, les fournisseurs qui mettent un système d'IA sur le marché de l'Union, où qu'ils soient établis. Ensuite, les déployeurs dont le siège ou la localisation se trouve dans l'Union. Enfin, les fournisseurs et déployeurs situés dans un pays tiers, lorsque le résultat produit par le système est utilisé dans l'Union.
Cette logique est proche de celle du RGPD. Une entreprise qui utilise, depuis la France, un outil d'IA hébergé aux États-Unis reste soumise au règlement pour cet usage. Les grands fournisseurs internationaux (modèles de langage, IA générative) sont donc concernés dès lors que leurs services sont accessibles sur le marché européen.
L'AI Act ne traite pas tous les systèmes de la même façon : il applique une approche par niveau de risque. Plus l'impact potentiel sur la santé, la sécurité ou les droits fondamentaux est élevé, plus les obligations sont strictes. Le tableau ci-dessous résume les quatre catégories.
| Niveau de risque | Ce que dit le règlement | Exemples |
|---|---|---|
| Inacceptable | Interdit | Notation sociale, identification biométrique à distance en temps réel dans l'espace public, manipulation exploitant des vulnérabilités |
| Élevé | Obligations strictes (gestion des risques, documentation, supervision humaine) | IA de tri de CV, notation d'examens, scoring de crédit, biométrie |
| Limité | Obligation de transparence | Chatbots, IA générative qui doit signaler que le contenu est artificiel |
| Minimal | Aucune obligation spécifique | Filtres anti-spam, IA de recommandation basique |
Pour la plupart des PME, les usages courants relèvent du risque limité ou minimal. Le point de vigilance concerne les usages en ressources humaines et en accès au crédit, qui basculent facilement dans le haut risque. Si vous automatisez une décision qui affecte l'emploi ou l'accès à un service essentiel, la question mérite un examen sérieux. Notre checklist AI Act pour PME aide à cadrer ce diagnostic.
Depuis le 2 février 2025, tout fournisseur et tout déployeur doit garantir un niveau suffisant de maîtrise de l'IA parmi son personnel. C'est l'obligation la plus immédiate, et la plus souvent ignorée. L'article 4 impose de veiller à ce que les personnes qui utilisent ou supervisent des systèmes d'IA disposent des compétences nécessaires pour en comprendre les capacités, les limites et les risques.
Cette obligation ne dépend pas du niveau de risque du système. Elle s'applique dès qu'une IA est utilisée dans un cadre professionnel. Une association qui utilise un outil d'IA générative pour ses communications est concernée au même titre qu'un grand groupe. Le règlement ne fixe pas de format imposé : l'important est de pouvoir démontrer que vos équipes ont été sensibilisées et formées de façon adaptée à leurs usages réels.
C'est précisément le point d'entrée que nous traitons le plus souvent. Pour en mesurer la portée, lisez notre analyse dédiée à l'article 4 et l'obligation de formation, ainsi que le guide de la formation IA en entreprise.
Le calendrier de l'AI Act a été modifié à l'été 2026 : certaines obligations à haut risque, prévues pour le 2 août 2026, ont été reportées. C'est un point que beaucoup d'articles n'ont pas encore intégré. Le 29 juin 2026, le Conseil de l'Union européenne a donné son feu vert final au « Digital Omnibus » (paquet Omnibus VII), qui décale l'application des règles sur les systèmes à haut risque.
Voici le calendrier consolidé, tel qu'il ressort des textes officiels européens.
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Interdiction des pratiques inacceptables ; obligation de littératie IA (article 4) |
| 2 août 2025 | Règles pour les modèles d'IA à usage général (GPAI) ; gouvernance ; désignation des autorités nationales |
| 2 décembre 2026 | Nouvelle échéance pour les solutions de transparence des contenus générés (délai ramené de 6 à 3 mois) |
| 2 août 2027 | Bacs à sable réglementaires ; règles pour l'IA à haut risque intégrée dans des produits réglementés |
| 2 décembre 2027 | Application des règles pour les systèmes d'IA à haut risque autonomes (annexe III) |
| 2 août 2028 | Application pour les systèmes à haut risque intégrés dans des produits (annexe I) |
Le motif du report est technique : les normes harmonisées nécessaires à la mise en conformité des systèmes à haut risque n'étaient pas prêtes pour l'échéance initiale. Le Digital Omnibus lie désormais l'application de ces règles à la disponibilité des outils de support. Ce report ne concerne pas les obligations déjà en vigueur, en particulier la littératie IA et l'interdiction des pratiques inacceptables, qui restent pleinement applicables. Le calendrier des sanctions et de la transparence, lui, reste largement inchangé pour le 2 août 2026.
Le non-respect de l'AI Act expose à des amendes qui figurent parmi les plus élevées du droit européen. L'article 99 fixe trois plafonds. Le recours à une pratique interdite peut coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le manquement aux autres obligations (systèmes à haut risque, transparence) peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires. La fourniture d'informations inexactes aux autorités est plafonnée à 7,5 millions d'euros ou 1 %.
Le règlement prévoit une modulation pour les PME et les jeunes entreprises : pour elles, le plafond retenu est le plus bas des deux montants, pourcentage ou valeur absolue. Cette souplesse ne dispense pas de se mettre en conformité, mais elle limite l'exposition financière des petites structures. Pour approfondir ce point, consultez notre article sur les sanctions liées à l'AI Act.
Mon association est-elle vraiment concernée par l'AI Act ? Oui, dès lors qu'elle utilise un système d'IA dans le cadre de son activité. Le règlement ne fait pas d'exception pour le secteur non lucratif. En pratique, une association déployeur est surtout concernée par l'obligation de littératie IA de l'article 4.
Je n'utilise que ChatGPT ou un chatbot. Ai-je des obligations ? Vous êtes déployeur d'un système d'IA à risque limité. Vos obligations principales sont la transparence, informer que l'utilisateur interagit avec une IA ou que le contenu est généré, et la littératie IA de vos équipes.
Suis-je fournisseur si je paramètre un outil d'IA existant ? En principe non. Vous restez déployeur tant que vous ne modifiez pas substantiellement le système et ne le remettez pas sur le marché sous votre nom. Un réglage fin très lourd peut toutefois vous faire basculer vers le statut de fournisseur.
Les obligations à haut risque s'appliquent-elles au 2 août 2026 ? Non, plus depuis le Digital Omnibus adopté le 29 juin 2026. Les règles pour les systèmes à haut risque autonomes sont reportées au 2 décembre 2027, et celles intégrées dans des produits au 2 août 2028.
Une entreprise hors UE échappe-t-elle au règlement ? Non, si son système est mis sur le marché de l'Union ou si le résultat produit y est utilisé. Le champ d'application est extraterritorial, sur un modèle proche du RGPD.
Comment savoir si mon usage relève du haut risque ? Il faut examiner la finalité du système. Les usages en recrutement, en évaluation, en accès au crédit ou aux services essentiels sont les plus susceptibles d'être classés à haut risque. Un audit de périmètre permet de trancher au cas par cas.
GrowthPerf est un organisme de formation certifié Qualiopi, spécialisé en IA, no-code et automatisation pour les PME et les associations d'Île-de-France. Notre approche sur l'AI Act commence toujours par la même étape : cartographier vos usages réels pour déterminer votre statut (fournisseur ou déployeur) et le niveau de risque de chaque système. C'est ce diagnostic qui conditionne l'effort de conformité, pas l'inverse.
Nous traitons ensuite l'obligation la plus immédiate, la littératie IA de l'article 4, par des formations adaptées à vos usages concrets, éligibles aux financements OPCO. L'objectif n'est pas de cocher une case, mais de rendre vos équipes autonomes et lucides face à l'IA.
Pour situer votre organisation dans le périmètre de l'AI Act et prioriser vos actions, réservez un audit de périmètre gratuit de 30 minutes. Vous repartirez avec une lecture claire de votre statut, de vos obligations et du calendrier qui vous concerne réellement.