L'AI Act expliqué à une TPE/PME : ce qu'il faut savoir en 2026

Le calendrier : ce qui s'applique déjà, ce qui a été repoussé

L'AI Act (règlement UE 2024/1689) est entré en vigueur le 1er août 2024, mais il s'applique par vagues, pas d'un seul bloc. Certaines règles sont déjà actives ; la plus importante pour une petite entreprise arrive le 2 août 2026 ; et un accord de simplification conclu en mai 2026 entre le Conseil et le Parlement — le « Digital Omnibus » — repousse les obligations les plus lourdes. Voici les dates qui comptent vraiment.

• Depuis le 2 février 2025 : les usages à « risque inacceptable » sont interdits (notation sociale, IA manipulatrice), et l'obligation de littératie IA s'applique — vos équipes doivent comprendre les outils qu'elles utilisent.
• Depuis le 2 août 2025 : les obligations sur les grands modèles d'IA « à usage général » (ceux qui font tourner les assistants) pèsent sur leurs fournisseurs, pas sur vous.
• 2 août 2026 : entrée en vigueur des obligations de transparence (article 50) et bascule des sanctions. C'est la date qui concerne le plus les TPE/PME, et elle n'a pas été reportée.
• 2 décembre 2027 : obligations pour les systèmes « à haut risque » de l'annexe III (recrutement, scoring, biométrie, éducation…), repoussées de 16 mois par le Digital Omnibus. Report jusqu'au 2 août 2028 pour l'IA intégrée à des produits déjà réglementés (dispositifs médicaux, machines, jouets, ascenseurs).

Quatre niveaux de risque, et vous êtes sûrement tout en bas

• Risque inacceptable (interdit) : notation sociale, manipulation comportementale, certaines biométries. Ces usages sont bannis, sans dérogation.
• Haut risque : IA de recrutement, de scoring crédit, de biométrie, d'accès aux services essentiels. Obligations lourdes (évaluation de conformité, documentation) — mais applicables seulement fin 2027, et rares dans une TPE.
• Risque limité : chatbots, assistants, contenus générés par IA. Une exigence clé, la transparence : l'utilisateur doit savoir qu'il s'adresse à une machine.
• Risque minimal : filtres anti-spam, suggestions, automatisations internes. La grande majorité des usages, sans aucune obligation contraignante.

Ce que doit concrètement faire une TPE/PME qui utilise l'IA

Dans le vocabulaire du règlement, une entreprise qui utilise un outil IA sans le développer est un « déployeur ». Vos obligations sont réelles mais raisonnables, et se documentent en quelques pages. Que vous fassiez tourner un agent IA sur votre boîte mail ou un simple assistant de rédaction, le principe est le même : rester transparent et garder la main. Pour cartographier vos usages en quelques minutes, notre quiz d'automatisation est un bon point de départ.

• Afficher la transparence : si un chatbot ou un agent répond à vos clients, dites-le clairement (« vous échangez avec un assistant IA »). Même logique pour un contenu généré par IA quand ce n'est pas évident.
• Sensibiliser vos équipes (littératie IA) : expliquer ce que fait l'outil, ses limites, et quand un humain doit reprendre la main. Pas besoin d'une formation certifiante.
• Tenir une politique d'usage écrite : un document simple listant vos outils IA, à quoi ils servent et quelles données ils touchent. C'est votre preuve de bonne foi.
• Garder l'humain dans la boucle : suivre les consignes du fournisseur, superviser les décisions sensibles, et savoir signaler un incident.

Sur le papier, les amendes atteignent 35 M€ ou 7 % du chiffre d'affaires mondial — mais seulement pour les usages interdits, que vous ne pratiquez pas. Un manquement à la transparence relève d'un plafond plus bas (15 M€ ou 3 %), et pour une PME, la loi retient explicitement le plus faible des deux, pas le plus élevé. La vraie question n'est donc pas « vais-je être sanctionné ? », mais « est-ce que je fais les choses proprement ? ».

Bien menée, la conformité devient un argument commercial

Beaucoup d'entreprises voient l'AI Act comme une contrainte. C'est souvent l'inverse. Quand vos clients s'inquiètent de savoir où passent leurs données, pouvoir affirmer « nos agents IA sont transparents, nos données restent hébergées en France, nous sommes RGPD et AI Act ready » devient un vrai différenciateur — surtout en B2B, dans l'immobilier, le tourisme ou la santé. C'est ainsi que Gravona construit ses agents : du vrai logiciel, conforme par conception, avec des critères de succès écrits avant de démarrer. La conformité n'est pas un frein au déploiement — c'est ce qui le rend crédible.