AI Act PME : ce qui est reporté, ce qui s'applique déjà
Obligations « haut risque » repoussées à fin 2027, article 4 réécrit, chatbots tenus de se présenter comme des IA depuis le 2 août 2026… L'omnibus numérique adopté cet été a rebattu les cartes de l'AI Act. Voici le point complet, daté et sourcé, pour savoir ce que votre PME doit faire dès maintenant, et ce qui peut attendre.
L'essentiel en 30 secondes :
- Reporté : les obligations des systèmes d'IA « à haut risque » (recrutement, formation, crédit…) s'appliqueront au 2 décembre 2027, et au 2 août 2028 pour l'IA intégrée à des produits réglementés.
- Déjà applicable depuis le 2 février 2025 : toute entreprise dont les salariés utilisent ChatGPT, Claude, Copilot ou Gemini doit prendre des mesures pour développer leur maîtrise de l'IA (article 4).
- Nouveau depuis le 2 août 2026 : un chatbot doit indiquer clairement qu'il est une IA, et un deepfake doit être signalé comme tel (article 50).
- Ce qui a changé à l'article 4 : on ne vous demande plus de garantir un niveau de compétence, mais de prendre des mesures. Il faut donc pouvoir les prouver.
- Aucun certificat n'est imposé. Une formation documentée reste le moyen le plus simple de démontrer vos mesures.
Qu'est-ce que l'omnibus numérique sur l'IA ?
L'AI Act (règlement européen 2024/1689) est la première loi générale au monde sur l'intelligence artificielle. Il classe les usages de l'IA selon leur niveau de risque et fixe des obligations qui entrent en application par étapes.
L'omnibus numérique sur l'IA (règlement UE 2026/1744) est le premier texte qui modifie l'AI Act. Il a été voté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, publié au Journal officiel de l'Union européenne le 24 juillet et il est entré en vigueur le 27 juillet 2026. Son objectif affiché : simplifier la mise en œuvre, en particulier pour les PME, sans supprimer le cadre.
Pour une entreprise de 5 à 250 salariés, trois changements comptent :
- Le report des règles « haut risque », justifié par le retard des normes techniques européennes.
- La réécriture complète de l'article 4 sur la maîtrise de l'IA.
- Un délai de quatre mois pour le marquage technique des contenus générés par IA, jusqu'au 2 décembre 2026. Il ne concerne que les éditeurs d'outils déjà sur le marché.
Le calendrier de l'AI Act après l'omnibus
| Date | Ce qui s'applique | Qui est concerné |
|---|---|---|
| 2 février 2025 | Maîtrise de l'IA (art. 4) et pratiques interdites (art. 5) | Toute entreprise qui utilise l'IA |
| 2 août 2025 | Obligations des modèles d'IA à usage général | Éditeurs de modèles (OpenAI, Anthropic, Mistral…) |
| 27 juillet 2026 | Entrée en vigueur de l'omnibus : nouvel article 4, nouveaux délais | Toutes les entreprises |
| 2 août 2026 | Transparence (art. 50) et application générale du règlement | Entreprises avec chatbot, contenus générés, deepfakes |
| 2 décembre 2026 | Marquage technique des contenus générés (outils déjà sur le marché) et nouvelles interdictions (deepfakes intimes non consentis, contenus pédocriminels) | Éditeurs d'outils génératifs |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (emploi, éducation et formation, crédit, biométrie…) | Éditeurs et utilisateurs de ces outils |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés (annexe I) | Industriels |
Article 4 : ce que dit vraiment le texte depuis le 27 juillet 2026
Avant (version 2024) : les entreprises devaient prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel.
Après (version omnibus) : « Les fournisseurs et les déployeurs de systèmes d'IA prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes s'occupant du fonctionnement et de l'utilisation des systèmes d'IA pour leur compte. » Le texte précise que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».
Ce qui change pour vous
On passe d'une obligation de résultat à une obligation de moyens. Vous n'avez plus à prouver que chaque salarié a atteint un niveau donné. Vous devez prouver que vous avez agi, avec des mesures adaptées :
- aux connaissances techniques, à l'expérience et à la formation de vos équipes ;
- au contexte dans lequel les outils d'IA sont utilisés ;
- aux personnes concernées par ces outils : clients, candidats, apprenants…
Ce qui ne change pas
- Il n'y a aucun seuil d'effectif. Un artisan qui rédige ses devis avec ChatGPT est « déployeur » d'IA au sens du règlement, comme un grand groupe.
- L'obligation couvre aussi vos prestataires qui utilisent l'IA pour votre compte.
- Une obligation de moyens se prouve par des traces. Sans documents, vous ne pouvez rien démontrer.
La formation à l'IA est-elle obligatoire pour une PME ?
Le texte n'impose ni formation certifiante, ni examen, ni nombre d'heures. Il impose de prendre des mesures. Dans les faits, la formation de vos équipes reste la mesure la plus simple à mettre en place et, surtout, la plus facile à prouver : programme, feuilles d'émargement, attestations, supports. Découvrir les formations en IA de Brio Formation.
Une formation efficace n'est pas la même pour tout le monde. L'esprit du nouvel article 4 est d'adapter les mesures à chaque rôle :
- Dirigeants : responsabilité de l'entreprise, choix des outils, règles internes.
- Utilisateurs au quotidien : bons usages, limites des IA (erreurs, « hallucinations »), confidentialité des données.
- RH, communication, relation client : risques propres au métier (tri de candidatures, contenus publiés, chatbot).
Exemple : une PME vendéenne de 12 salariés utilise ChatGPT pour ses devis et ses publications, et a installé un chatbot sur son site.
- Article 4 : elle recense ces usages, rédige une charte et forme les salariés concernés, puis conserve les preuves.
- Article 50 : elle vérifie que son chatbot annonce clairement qu'il est une IA.
- Haut risque : aucune obligation à ce stade, sauf si elle utilise un outil qui trie automatiquement des candidatures (échéance : 2 décembre 2027).
Qui contrôle, et que risque réellement une PME ?
Au niveau européen, le règlement est en application générale depuis le 2 août 2026. Les autorités nationales de surveillance peuvent donc exercer leurs pouvoirs de contrôle.
En France, le schéma prévu s'appuie sur plusieurs autorités : la CNIL comme autorité de référence, et des autorités sectorielles comme la DGCCRF, l'Arcom ou l'ACPR. À la mi-septembre 2026, cette désignation n'était pas encore définitivement adoptée par le Parlement. Le cadre de contrôle se met en place : ce n'est pas une raison d'attendre.
| Obligation | Sanction maximale |
|---|---|
| Maîtrise de l'IA (art. 4) | Pas d'amende européenne spécifique : les sanctions relèvent du droit national, encore en construction en France |
| Transparence (art. 50) | Jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial |
| Pratiques interdites (art. 5) | Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial |
Pour une PME, c'est le montant le plus faible des deux (somme fixe ou pourcentage) qui s'applique.
Article 50 : votre chatbot doit dire qu'il est une IA
Depuis le 2 août 2026, les règles de transparence de l'AI Act sont applicables. Trois situations concernent directement les PME :
- Chatbots et assistants : une personne qui échange avec une IA doit en être informée, sauf si c'est évident. Si vous avez construit votre propre assistant (via une API, Make ou un outil no-code) et que vous l'avez mis en service sous votre nom, vous êtes probablement considéré comme son fournisseur. Si vous utilisez un outil clé en main, vérifiez son paramétrage.
- Deepfakes : une image, une vidéo ou un audio réaliste généré ou modifié par IA, qui représente une personne, un lieu ou un événement, doit être signalé comme artificiel.
- Textes d'information : un texte généré par IA et publié pour informer le public sur des sujets d'intérêt général doit être signalé, sauf s'il a été relu par un humain qui en assume la responsabilité éditoriale.
Formule simple pour votre chatbot : « Bonjour, je suis l'assistant virtuel de [Entreprise], une intelligence artificielle. Un conseiller peut prendre le relais à tout moment. »
Haut risque : êtes-vous concerné en décembre 2027 ?
Probablement pas comme éditeur, mais peut-être comme utilisateur. L'annexe III de l'AI Act vise notamment :
- l'emploi : tri de CV, évaluation ou suivi des salariés ;
- l'éducation et la formation professionnelle : admission, évaluation des acquis ;
- l'accès à des services essentiels : scoring de crédit, par exemple.
Si l'un de vos logiciels RH classe automatiquement des candidatures, vous avez environ 14 mois pour vous préparer. Les obligations sont reportées, pas supprimées.
Plan d'action en 5 étapes pour votre PME
- Faites l'inventaire des usages IA, y compris les outils utilisés sans autorisation (« shadow AI ») : qui utilise quoi, pour quoi faire, avec quelles données ?
- Classez chaque usage par niveau de risque : usage courant, transparence (chatbot, contenus), haut risque potentiel (RH, évaluation).
- Rédigez une charte d'usage de l'IA : données interdites, outils autorisés, relecture humaine obligatoire, mentions de transparence.
- Formez vos équipes selon leur rôle : dirigeants, utilisateurs, RH et communication.
- Documentez tout : feuilles d'émargement, attestations, supports, charte signée, date de la prochaine mise à jour. C'est votre dossier de preuve.
Mettez votre PME en conformité avec l'article 4
Chez Brio Formation, organisme certifié Qualiopi basé à Soullans, en Vendée, notre formation « Maîtrise de l'IA en entreprise » a été conçue pour répondre à l'article 4 tel qu'il est rédigé aujourd'hui. Elle se déroule en intra-entreprise, elle est personnalisée selon vos métiers et vos outils, et elle est finançable par votre OPCO. Chaque participant reçoit une attestation de formation qui vient alimenter votre dossier de preuve.
Écrivez-nous à contact@brioformation.fr ou rendez-vous sur www.brioformation.fr.
Questions fréquentes sur l'AI Act et les PME
La formation à l'IA est-elle obligatoire pour une PME ?
L'AI Act impose de prendre des mesures pour développer la maîtrise de l'IA des salariés qui l'utilisent (article 4, applicable depuis le 2 février 2025). Il n'impose pas de formation certifiante. La formation reste la mesure la plus simple à mettre en place et à prouver.
L'AI Act s'applique-t-il si mes salariés utilisent seulement ChatGPT ?
Oui. Une entreprise qui utilise un système d'IA dans un cadre professionnel est « déployeur » au sens du règlement, quelle que soit sa taille.
Qu'est-ce que l'omnibus a changé à l'article 4 de l'AI Act ?
Depuis le 27 juillet 2026, les entreprises doivent prendre des mesures pour favoriser le développement de la maîtrise de l'IA, sans avoir à garantir un niveau spécifique pour chaque salarié. C'est une obligation de moyens, qui se prouve par des documents.
Faut-il un certificat ou un niveau minimum ?
Non. Le texte précise qu'il n'y a pas de niveau individuel à garantir et ne prévoit aucun certificat. Vous devez en revanche pouvoir démontrer les mesures prises.
Mon chatbot doit-il se présenter comme une IA ?
Oui, depuis le 2 août 2026, sauf si c'est évident pour l'utilisateur (article 50 de l'AI Act).
Les obligations « haut risque » sont-elles supprimées ?
Non, elles sont reportées : au 2 décembre 2027 pour les usages de l'annexe III (emploi, éducation, crédit…), au 2 août 2028 pour l'IA intégrée aux produits réglementés.
Sources
- EUR-Lex : règlement (UE) 2026/1744, omnibus numérique sur l'IA (JO UE du 24 juillet 2026)
- EUR-Lex : règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act)
- CNIL : questions-réponses sur le règlement IA (mise à jour du 17 août 2026)
- DGCCRF : schéma des autorités de surveillance de l'IA en France
- Next : le gouvernement prévoit de confier la régulation de l'IA à la CNIL
- DSIH : règlement IA, entrée en application de nouvelles obligations au 2 août 2026
Cet article a une vocation informative et ne constitue pas un conseil juridique. La réglementation sur l'IA évolue rapidement : vérifiez toujours les textes officiels et les publications de la CNIL avant toute décision.