L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAL'AI Act, ou règlement UE 2024/1689, s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application. Ce guide détaille le calendrier réel, mis à jour après l'omnibus numérique adopté en juin 2026, et une feuille de route en 6 étapes pour vous mettre en conformité sans sur-investir.
Beaucoup de contenus publiés en 2024 et 2025 annonçaient l'application intégrale des obligations « haut risque » au 2 août 2026. Ce n'est plus exact : le paquet omnibus numérique voté par le Parlement européen puis approuvé par le Conseil fin juin 2026 a décalé une partie du calendrier. Ce qui reste vrai, et que trop d'entreprises ignorent : plusieurs obligations sont déjà en vigueur aujourd'hui, dont l'obligation de former ses équipes à l'IA, et le régime de sanctions s'active bien le 2 août 2026.
Toute organisation qui développe, commercialise ou simplement utilise un système d'IA dans l'Union européenne entre dans le champ de l'AI Act, quelle que soit sa taille : PME, TPE, association ou grand groupe. Le règlement UE 2024/1689, publié au Journal officiel de l'Union européenne le 12 juillet 2024 et entré en vigueur le 1er août 2024, est le premier cadre juridique complet au monde sur l'intelligence artificielle. Contrairement à une idée reçue tenace, il ne vise pas que les éditeurs de logiciels.
Le texte distingue plusieurs rôles, et le vôtre détermine vos obligations :
Pour une PME française type, le scénario le plus courant est simple : vous êtes déployeur de systèmes d'IA générative grand public. Vos obligations sont alors limitées mais réelles : former vos équipes, informer les personnes qui interagissent avec l'IA, et vérifier que vos usages ne tombent pas dans les catégories interdites ou à haut risque. Une association qui utilise l'IA pour trier des candidatures de bénévoles ou pour accompagner des publics fragiles doit en revanche se poser plus de questions qu'un cabinet qui rédige ses comptes rendus avec un LLM.
Le règlement s'applique aussi aux organisations établies hors de l'UE dès lors que le résultat produit par le système d'IA est utilisé dans l'Union. Un prestataire suisse ou britannique qui sert des clients français est donc concerné.
Le calendrier initial de l'AI Act a été modifié en juin 2026 par le paquet omnibus numérique : les obligations « haut risque » sont reportées à fin 2027 et 2028, mais tout le reste s'applique comme prévu. C'est le point qui génère le plus de confusion, y compris dans la presse spécialisée. Voici les échéances telles qu'elles s'appliquent en juillet 2026 :
Concrètement, pour une PME utilisatrice, deux dates comptent : aujourd'hui (articles 4 et 5, déjà applicables) et le 2 août 2026 (transparence et sanctions). Le report du haut risque à décembre 2027 est une bouffée d'oxygène pour les entreprises concernées, pas une dispense : les chantiers de mise en conformité haut risque sont longs, et 17 mois passent vite.
À noter : ce calendrier résulte d'un texte adopté fin juin 2026. Si votre dernier point de situation date d'avant l'été, faites-le mettre à jour avant d'arbitrer votre budget conformité.
L'AI Act classe chaque usage de l'IA dans l'un de quatre niveaux de risque, et vos obligations découlent directement de ce classement, pas de la taille de votre entreprise. Le même outil peut d'ailleurs relever de niveaux différents selon l'usage : un LLM qui rédige vos newsletters est à risque minimal ; le même LLM utilisé pour présélectionner des CV bascule en haut risque.
| Niveau de risque | Exemples concrets | Vos obligations | Échéance |
|---|---|---|---|
| Inacceptable (interdit) | Notation sociale, manipulation exploitant la vulnérabilité, reconnaissance des émotions au travail | Cesser tout usage, sans exception | Déjà en vigueur (2 février 2025) |
| Haut risque | Tri de CV, scoring crédit, affectation de tâches par algorithme, évaluation d'apprenants | Gestion des risques, surveillance humaine, registre, documentation | 2 décembre 2027 (annexe III) |
| Risque de transparence | Chatbots clients, contenus générés (textes, images, deepfakes), agents conversationnels | Informer les personnes, marquer les contenus générés | 2 août 2026 |
| Risque minimal | Aide à la rédaction, traduction, filtres anti-spam, correcteurs, brainstorming | Aucune obligation spécifique au-delà de l'article 4 | Sans objet |
Dans notre pratique d'audit IA auprès de PME d'Île-de-France, la répartition est presque toujours la même : 80 à 90 % des usages relèvent du risque minimal, quelques usages relèvent de la transparence (un chatbot sur le site, des visuels générés pour les réseaux sociaux), et un ou deux usages RH méritent une vraie analyse haut risque. Le piège classique : le module de « matching » de candidats activé par défaut dans un logiciel RH, que personne n'a identifié comme de l'IA.
Depuis le 2 février 2025, votre organisation doit garantir un niveau suffisant de maîtrise de l'IA à toute personne qui utilise des systèmes d'IA pour son compte : c'est l'article 4, et il n'a été ni reporté ni allégé par l'omnibus. Cette obligation dite de « AI literacy » s'applique aux fournisseurs comme aux déployeurs, donc à la PME de 12 salariés dont trois utilisent ChatGPT comme au groupe industriel.
Le texte n'impose pas un format unique : le niveau de formation doit être adapté au contexte technique, à l'expérience des équipes et aux usages réels. Pour une équipe qui utilise l'IA générative en bureautique, une journée d'acculturation structurée couvre l'essentiel : fonctionnement et limites des modèles, hallucinations et vérification des sorties, données confidentielles, cadre interne d'usage. Nous avons détaillé le sujet dans notre article sur l'article 4 et l'obligation de formation, ainsi que les modalités pratiques dans ce que change l'échéance d'août 2026 pour les PME.
Point souvent négligé : la traçabilité. En cas de contrôle ou de litige, c'est à vous de démontrer que vos équipes ont été formées. Conservez les programmes, les émargements et les attestations de formation. Une formation dispensée par un organisme certifié Qualiopi présente ici un double avantage : la preuve documentaire est native, et le coût peut être pris en charge par votre OPCO, comme expliqué dans notre guide du financement OPCO.
L'article 5, lui, interdit purement et simplement certaines pratiques depuis la même date : notation sociale, exploitation des vulnérabilités de publics fragiles, inférence des émotions sur le lieu de travail ou dans l'enseignement (hors raisons médicales ou de sécurité), certaines formes d'identification biométrique. La plupart des PME ne sont pas concernées, mais vérifiez les fonctionnalités annexes de vos outils : un logiciel de visioconférence qui prétend analyser « l'engagement émotionnel » des participants en réunion vous ferait entrer dans une zone interdite.
À partir du 2 août 2026, vous devez informer clairement toute personne qui interagit avec une IA ou consulte un contenu généré par IA, et les autorités nationales peuvent prononcer des sanctions. C'est la vraie bascule de l'été 2026 pour les PME et associations.
L'article 50 impose quatre obligations de transparence principales :
Ce dernier point mérite attention pour toute organisation qui publie du contenu : une relecture humaine réelle, avec un responsable éditorial identifié, vous place dans l'exception. Un blog entièrement automatisé sans contrôle humain, non.
Côté sanctions, l'article 99 fixe trois plafonds : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements ; jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME et startups, le règlement prévoit explicitement que le montant retenu est le plus faible des deux plafonds, et les autorités doivent tenir compte de la taille et de la viabilité économique de l'entreprise. Nous avons détaillé les mécanismes dans notre article sur ce que risquent les entreprises non conformes.
Il ne faut ni dramatiser ni banaliser. Personne ne viendra fermer votre PME le 3 août 2026. Mais le risque réel est ailleurs : un salarié licencié qui invoque une décision assistée par IA non conforme aux prud'hommes, un appel d'offres perdu faute de pouvoir documenter votre conformité, un client grand compte qui exige des garanties contractuelles. La conformité AI Act devient un critère de sélection fournisseur, comme le RGPD l'est devenu après 2018.
Si vous utilisez l'IA pour recruter, évaluer, noter ou affecter des personnes, vous entrez probablement dans la catégorie haut risque de l'annexe III, dont les obligations s'appliqueront le 2 décembre 2027. Le report décidé en juin 2026 vous donne du temps ; il ne change rien au périmètre.
Les cas haut risque les plus fréquents en PME et association :
Pour ces usages, le déployeur devra notamment garantir une surveillance humaine effective (l'IA propose, un humain décide et peut passer outre), utiliser des données d'entrée pertinentes, conserver les journaux du système, informer les personnes concernées et signaler les incidents graves au fournisseur. Les fournisseurs, eux, portent le gros de la charge : gestion des risques documentée, gouvernance des données, documentation technique, enregistrement dans la base de données européenne.
Notre recommandation pratique : ne lancez pas un chantier haut risque théorique. Commencez par cartographier vos usages réels (la plupart des PME découvrent 2 à 3 fois plus d'usages d'IA qu'elles n'en imaginaient), qualifiez chaque usage selon les quatre niveaux, et concentrez l'effort sur les rares usages réellement à haut risque. Si un module RH vous fait basculer en haut risque pour un bénéfice marginal, la décision la plus rationnelle est parfois de le désactiver.
Une PME ou une association peut atteindre une conformité solide en 4 à 8 semaines de travail réparti, sans recruter ni exploser son budget. Voici la séquence que nous appliquons chez nos clients :
Pour les structures associatives, la démarche est identique mais le financement diffère : voyez notre article dédié à la formation IA des associations via Uniformation. Et pour une vue d'ensemble condensée, notre checklist de conformité AI Act pour PME reprend ces étapes en format actionnable.
Oui, comme déployeur. Vos obligations restent légères : former les utilisateurs (article 4, déjà en vigueur), respecter la transparence si vous publiez des contenus générés sans relecture humaine, et vérifier qu'aucun usage ne relève des pratiques interdites. Pas de dossier technique ni d'enregistrement européen pour ce profil.
Partiellement. L'omnibus numérique adopté en juin 2026 reporte les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Tout le reste suit le calendrier initial : les articles 4 et 5 s'appliquent depuis février 2025, la transparence de l'article 50 et le régime de sanctions s'appliquent au 2 août 2026.
Les plafonds vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour les autres manquements. Pour les PME, le règlement retient le plus faible des deux montants et impose de tenir compte de la viabilité économique. Le risque le plus probable à court terme reste indirect : contentieux prud'homal, perte d'appels d'offres, exigences contractuelles des grands comptes.
Chaque État membre désigne ses autorités de surveillance du marché, coordonnées au niveau européen par le Bureau de l'IA de la Commission. En France, le dispositif s'appuie sur les régulateurs sectoriels existants, la CNIL restant compétente dès qu'un traitement de données personnelles est en jeu. Ces autorités peuvent prononcer des sanctions à partir du 2 août 2026.
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA eux-mêmes, y compris quand ils ne traitent aucune donnée personnelle. Les deux se cumulent : un outil RH d'analyse de CV doit respecter le RGPD pour les données des candidats et l'AI Act pour la logique algorithmique. Une gouvernance commune (registre unique, référent commun) évite de faire le travail deux fois.
Non, mais c'est le socle. La formation couvre l'article 4 et conditionne le reste : des équipes formées appliquent la transparence, repèrent les usages à risque et alimentent votre cartographie. Restent ensuite la mise en conformité transparence, la politique IA interne et, le cas échéant, le chantier haut risque.
Non sur le fond : le règlement vise les organisations, pas leur statut juridique. Une association employeuse a les mêmes obligations qu'une PME. Deux spécificités tout de même : les usages sociaux (accompagnement de publics fragiles, priorisation d'aides) peuvent relever du haut risque, et le financement de la formation passe par Uniformation plutôt que par un OPCO classique.
GrowthPerf est un organisme de formation certifié Qualiopi spécialisé en IA, no-code et automatisation pour PME et associations. Sur l'AI Act, notre approche est volontairement pragmatique :
Vous voulez savoir où vous en êtes ? Réservez un audit conformité AI Act gratuit de 30 minutes : nous passons en revue vos usages, identifions les 2 ou 3 actions prioritaires et le montage de financement adapté. Pas d'engagement, pas de rapport de 40 pages, juste un état des lieux clair.
Article rédigé par Romain Bellaïche, fondateur de GrowthPerf, organisme de formation certifié Qualiopi spécialisé en IA, no-code et automatisation pour PME et associations. Sources officielles : règlement UE 2024/1689 sur l'intelligence artificielle (AI Act), en particulier ses articles 4, 5, 50 et 99 et son annexe III ; paquet omnibus numérique adopté par le Parlement européen et le Conseil en juin 2026 ; Commission européenne (Bureau de l'IA).