Depuis le 2 août 2026, l'AI Act s'applique pleinement sur la transparence et les sanctions, mais les obligations lourdes sur les systèmes à haut risque ont été repoussées à décembre 2027. Pour une TPE ou une PME qui utilise ChatGPT, un chatbot ou un outil no-code, le travail réel tient en une demi-journée.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Depuis le 2 août 2026, l'AI Act s'applique pleinement sur la transparence et les sanctions, mais les obligations lourdes sur les systèmes à haut risque ont été repoussées à décembre 2027. Pour une TPE ou une PME qui utilise ChatGPT, un chatbot ou un outil no-code, le travail réel tient en une demi-journée.
La confusion vient de la masse de contenus publiés avant l'été 2026, qui datent encore l'entrée en vigueur du haut risque au 2 août 2026 et vendent une obligation de formation assortie de 15 millions d'euros d'amende. Le paquet Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a changé les deux. Cet article fait le tri entre ce qui vous oblige aujourd'hui et ce qui peut attendre. Pour le cadre complet, y compris les associations, le guide de conformité AI Act pour PME et associations sert de base.
Trois blocs seulement sont applicables et sanctionnables en septembre 2026 : les pratiques interdites, la transparence de l'article 50, et les règles sur les modèles d'IA à usage général. Tout le reste concerne soit des dates futures, soit des acteurs que vous n'êtes probablement pas.
Voici le calendrier consolidé publié par la Commission européenne sur son portail AI Act Service Desk, après amendement par le Digital Omnibus sur l'IA :
| Date | Ce qui s'applique | Vous concerne si |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5), définitions, maîtrise de l'IA (article 4) | Toujours |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance nationale | Vous entraînez ou distribuez un modèle |
| 2 août 2026 | Transparence (article 50), démarrage effectif des contrôles et sanctions | Vous exposez de l'IA à des clients, salariés ou visiteurs |
| 2 décembre 2026 | Nouvelles interdictions (deepfakes sexuels non consentis, contenus pédocriminels) et fin du délai de grâce sur le marquage machine des contenus générés | Vous fournissez un système génératif mis sur le marché avant août 2026 |
| 2 décembre 2027 | Haut risque autonome, annexe III | Recrutement, notation de crédit, éducation, infrastructures critiques |
| 2 août 2028 | Haut risque intégré à des produits réglementés, annexe I | Dispositifs médicaux, machines, jouets |
Le détail article par article est traité dans le calendrier AI Act complet de 2024 à 2030. Le point à retenir : si votre PME fait du recrutement assisté par IA, vous avez jusqu'au 2 décembre 2027, pas jusqu'à l'été 2026. Cela change l'ordre de priorité, pas la trajectoire.
Dans la quasi-totalité des cas, une TPE ou une PME est déployeur, pas fournisseur, et les obligations lourdes pèsent sur son éditeur. Un déployeur utilise un système d'IA sous sa propre autorité dans un cadre professionnel. Un fournisseur développe le système et le met sur le marché sous son nom.
Le piège est ailleurs : un déployeur bascule en fournisseur dans quatre situations précises. Il appose sa marque sur le système, il le modifie substantiellement, il change sa finalité prévue, ou il intègre un système existant dans un usage classé haut risque.
C'est là que les projets no-code posent problème. Une PME qui assemble un agent IA de présélection de CV à partir d'un LLM du commerce, avec ses propres règles de scoring et son propre nom commercial, ne se voit plus comme un simple utilisateur d'API par le règlement. Elle coche deux critères sur quatre : finalité modifiée et usage annexe III. À partir de décembre 2027, elle devra une documentation technique, une évaluation de conformité et un enregistrement en base européenne.
Concrètement, la règle de tri que nous appliquons en audit : tant que vous utilisez un outil SaaS tel quel, avec ses paramètres d'origine, vous restez déployeur. Dès que vous construisez quelque chose que vous vendez ou présentez comme le vôtre, posez-vous la question du basculement. Le périmètre d'application détaillé reprend chaque cas de figure.
La très grande majorité des usages d'une TPE ou d'une PME relève du risque limité ou minimal, où la seule contrainte réelle est d'informer. Classer vos outils prend une heure si vous partez de la liste de vos abonnements logiciels.
Un cas fréquent tranche mal : ChatGPT utilisé en interne pour rédiger un devis ou reformuler un mail relève du risque minimal. Le même contenu publié sur votre site ou envoyé à un client sous forme d'image générée bascule dans le champ de l'article 50.
L'article 50 impose d'informer les personnes qu'elles interagissent avec une IA ou qu'un contenu a été généré par une IA, sauf lorsque c'est évident pour un observateur raisonnablement averti. C'est la seule obligation qui touche vraiment toutes les PME depuis le 2 août 2026.
Trois situations reviennent en permanence :
À cela s'ajoute l'obligation de marquage machine, à la charge du fournisseur du modèle et non du déployeur, avec un délai transitoire au 2 décembre 2026 pour les systèmes déjà sur le marché avant août 2026. Vous n'avez pas à implémenter ce marquage vous-même. La rédaction de vos mentions est traitée pas à pas dans l'article sur la notice d'information IA.
L'article 4 sur la maîtrise de l'IA existe toujours, mais l'AI Omnibus a transformé l'exigence de niveau "suffisant" pesant sur les entreprises en une incitation non contraignante, la Commission et les États membres prenant la main sur la promotion. Autrement dit, il n'existe pas d'amende dédiée à un défaut de formation.
C'est un point où nous nous écartons volontairement du discours dominant du secteur. Beaucoup d'organismes de formation continuent de vendre l'AI Act comme une obligation ferme assortie de 15 millions d'euros d'amende. C'était déjà discutable avant l'Omnibus, c'est faux depuis juillet 2026.
Deux nuances tiennent toujours. D'une part, l'obligation de formation subsiste pour les déployeurs de systèmes à haut risque, via l'article 26 qui impose un contrôle humain effectif : on ne supervise pas sérieusement un système que l'on ne comprend pas. D'autre part, la supervision par les autorités nationales de surveillance du marché a démarré le 2 août 2026, dans un régime proportionné.
Notre position : former parce que les équipes produisent des résultats médiocres et prennent des risques de confidentialité sans cadre, pas parce qu'un régulateur menace. L'analyse complète est dans l'article Article 4 AI Act : la formation IA est-elle obligatoire.
Pour une PME ou une start-up, l'amende est plafonnée au montant le plus bas entre le pourcentage du chiffre d'affaires et la somme fixe, alors que la règle est inverse pour les grandes entreprises. C'est l'article 99(6) du règlement, et c'est probablement l'information la moins relayée du texte.
| Manquement | Plafond général | Plafond PME |
|---|---|---|
| Pratique interdite (article 5) | 35 M€ ou 7 % du CA mondial, le plus élevé | Le plus bas des deux |
| Autres obligations opérateurs | 15 M€ ou 3 % du CA mondial, le plus élevé | Le plus bas des deux |
| Informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial, le plus élevé | Le plus bas des deux |
Pour une PME à 2 millions d'euros de chiffre d'affaires, un manquement aux obligations opérateurs est donc plafonné à 60 000 euros, pas à 15 millions. Le montant reste dissuasif, mais l'ordre de grandeur brandi dans la plupart des articles ne correspond pas à votre situation. Le détail des barèmes figure dans l'article sur les sanctions AI Act en 2026.
Le règlement prévoit un ensemble de mesures spécifiquement destinées aux PME et start-ups, que la plupart des guides passent sous silence. Ils ne suppriment pas les obligations, ils en réduisent le coût.
L'article 62 impose aux États membres d'accorder aux PME établies dans l'Union un accès prioritaire aux bacs à sable réglementaires, d'organiser des actions de sensibilisation adaptées à leurs besoins et d'ouvrir des canaux de conseil dédiés. Il prévoit aussi que les frais d'évaluation de conformité soient réduits proportionnellement à la taille de l'entreprise. La France doit disposer d'au moins un bac à sable opérationnel au 2 août 2027.
Les PME peuvent par ailleurs fournir la documentation technique de l'annexe IV sous forme simplifiée, sur un formulaire type que la Commission doit établir pour les petites et micro-entreprises, formulaire que les organismes notifiés sont tenus d'accepter. L'article 63 ajoute des dérogations sur le système de gestion de la qualité pour les micro-entreprises.
Ces dispositions ne servent que si vous devenez fournisseur d'un système à haut risque. Elles méritent d'être connues avant de renoncer à un projet par crainte du coût de conformité.
Pour une PME de moins de 250 salariés qui n'opère aucun système à haut risque, la mise en conformité tient en une demi-journée de travail, pas en un projet trimestriel.
Deux limites à avoir en tête. Cette méthode ne suffit pas si vous utilisez de l'IA en recrutement, en évaluation des salariés ou en scoring financier : l'échéance de décembre 2027 impose alors une évaluation de conformité réelle, qui se prépare sur plusieurs mois. Et elle ne traite pas la question des données personnelles, régie par le RGPD, qui s'applique en parallèle et non à la place : le sujet est détaillé dans AI Act et RGPD, quelles différences.
Une TPE de 5 salariés qui utilise ChatGPT est-elle concernée par l'AI Act ? Oui, mais très légèrement. L'usage interne de ChatGPT pour rédiger ou reformuler relève du risque minimal et n'entraîne aucune obligation spécifique. Les obligations apparaissent dès que la production IA est exposée à des tiers, par exemple via un chatbot ou une image générée publiée.
Faut-il déclarer ses systèmes d'IA à une autorité française ? Non, sauf pour les fournisseurs de systèmes à haut risque, qui devront s'enregistrer dans la base de données européenne à partir de décembre 2027. Un déployeur de PME n'a aucune déclaration préalable à effectuer.
L'obligation de former ses équipes à l'IA a-t-elle disparu ? Elle a été allégée. L'AI Omnibus, entré en vigueur le 27 juillet 2026, a remplacé l'exigence contraignante de l'article 4 par une incitation. La formation reste requise en pratique pour les déployeurs de systèmes à haut risque, au titre du contrôle humain de l'article 26.
Mon prestataire a développé un outil IA sur mesure pour moi : qui est responsable ? Cela dépend du nom sous lequel l'outil est exploité et du degré de personnalisation. Si l'outil porte votre marque ou si vous en avez modifié la finalité, vous risquez d'être qualifié de fournisseur. C'est un point à trancher contractuellement, idéalement avant le développement.
Quel budget prévoir pour la conformité AI Act d'une PME ? Pour une PME sans usage à haut risque, le coût est essentiellement du temps interne, de l'ordre d'une demi-journée à une journée. Les postes qui coûtent vraiment apparaissent plus loin : évaluation de conformité si vous devenez fournisseur d'un système à haut risque, et documentation technique. Le règlement prévoit d'ailleurs que les frais d'évaluation de conformité soient réduits proportionnellement pour les PME.
Les associations sont-elles soumises aux mêmes règles ? Oui. Le règlement raisonne par rôle, fournisseur ou déployeur, et non par statut juridique. Une association qui déploie un chatbot sur son site a les mêmes obligations de transparence qu'une société commerciale.
Que se passe-t-il si je ne fais rien avant un contrôle ? Les autorités nationales de surveillance du marché exercent leurs pouvoirs depuis le 2 août 2026, dans un régime gradué qui privilégie la mise en demeure avant la sanction. L'absence de mention sur un chatbot se corrige en quelques minutes ; l'absence totale de cartographie est plus difficile à rattraper sous délai.
Nous ne sommes ni avocats ni cabinet de conformité. Nous intervenons sur ce que la conformité implique côté outils et côté équipes : cartographier les usages IA réels, y compris ceux que la direction ignore, corriger les mentions de transparence sur les interfaces, et former les équipes à un usage cadré.
Notre parcours Acculturation IA pour les entreprises intègre un module de cadrage réglementaire, et la formation IA Opérationnelle pour PME traite les questions de confidentialité et de traçabilité sur des cas concrets. GrowthPerf est certifié Qualiopi, ce qui ouvre les financements OPCO.
Si vous voulez d'abord savoir où vous en êtes, l'audit gratuit de 30 minutes permet de faire le tri entre ce qui vous oblige aujourd'hui et ce qui peut attendre décembre 2027. Le guide de conformité AI Act pour PME et associations reste la référence pour approfondir chaque point abordé ici.