AI Act 2026 : obligations concrètes pour les PME

Moins de huit mois nous séparent de l'échéance du 2 août 2026, date à laquelle la majorité des **exigences réglementaires de l'[AI Act](/fr/blog/ai-act-systemes-haut-risque-classification)** deviendront pleinement applicables aux entreprises européennes. Les [systèmes d'intelligence artificielle à haut risque](/fr/blog/ai-act-systemes-haut-risque-classification) et les [règles de transparence](/fr/blog/ia-generative-chatgpt-obligations-transparence) entreront alors en vigueur, avec des sanctions pouvant atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial. Cette réalité réglementaire concerne directement les dirigeants de PME et startups qui utilisent l'intelligence artificielle dans leurs processus. Une PME peut être considérée comme déployeur selon l'usage qu'elle fait d'un outil génératif, que ce soit pour automatiser la relation client, optimiser les processus RH ou générer du contenu marketing. Cet article détaille les **contraintes légales de l'AI Act 2026** précises qui s'appliqueront à partir d'août et novembre 2026, les démarches de mise en conformité et les risques encourus en cas de manquement. ## Une application progressive aux enjeux croissants Le règlement européen sur l'intelligence artificielle (Règlement UE 2024/1689) est entré en vigueur le 1er août 2024 avec une application échelonnée. Cette approche progressive crée un calendrier contraignant que les entreprises doivent absolument maîtriser. Les pratiques interdites s'appliquent depuis le 2 février 2025, les contraintes relatives aux modèles à usage général depuis le 2 août 2025, et l'exigence de transparence envers les utilisateurs finaux entre en vigueur le 2 novembre 2026. Cette dernière échéance concerne particulièrement les entreprises déployant des chatbots ou des systèmes génératifs. La portée territoriale du règlement est large : toute organisation qui développe, commercialise ou utilise des systèmes d'intelligence artificielle dans l'Union européenne est concernée, même si l'entreprise est située hors Europe. Cette extraterritorialité place le texte au même niveau d'impact que le [RGPD](/fr/blog/sanctions-cnil-2026-ai-act-rgpd). ## Classification des risques : comprendre votre positionnement Le règlement structure ses **mesures de conformité** autour d'une classification en quatre niveaux de risque, chacun correspondant à des exigences spécifiques. Les systèmes à risque inacceptable sont interdits (scoring social, manipulation), ceux à haut risque sont soumis à des contraintes strictes (recrutement, crédit, santé), les systèmes à risque limité doivent respecter des règles de transparence (chatbots), et les systèmes à risque minimal n'ont pas d'exigence spécifique. Pour la majorité des PME, les usages courants relèvent du risque limité : ChatGPT pour la rédaction, un chatbot sur le site, de la génération d'images, avec comme contrainte principale la transparence : signaler aux utilisateurs qu'ils interagissent avec une machine. Le risque élevé concerne des secteurs précis. Si vous intégrez des systèmes génératifs dans des processus sensibles comme le recrutement (tri de CV), la gestion des infrastructures critiques, l'éducation ou l'accès aux services publics, votre système est classé « haut risque » et doit disposer d'un marquage CE, d'une documentation technique exhaustive et d'un contrôle humain permanent. ## Exigences de transparence : l'échéance de novembre 2026 L'exigence de transparence envers les utilisateurs finaux entre en vigueur le 2 novembre 2026, créant une échéance critique pour les entreprises utilisant des chatbots ou des systèmes génératifs. Cette contrainte impose des mesures précises. Lors de l'utilisation de systèmes comme les chatbots, les utilisateurs doivent être informés qu'ils interagissent avec une machine afin de pouvoir prendre une décision éclairée. Un chatbot doit afficher une mention "intelligence artificielle" si il interagit avec des personnes physiques et que le contexte ne rend pas évidente l'interaction avec une machine. Un chatbot utilisé en interne et clairement identifié comme automatisé par tous ses utilisateurs peut bénéficier de l'exception contextuelle. Les contenus générés nécessitent également un marquage spécifique. Les fournisseurs de systèmes génératifs doivent s'assurer que le contenu généré soit identifiable, et certains contenus doivent être clairement et visiblement étiquetés, notamment les deepfakes et les textes publiés dans un but d'information du public. ## Formation obligatoire et maîtrise technologique Depuis le 2 février 2025, l'article 4 du règlement impose de garantir un niveau suffisant de maîtrise pour chaque personne impliquée dans l'utilisation de ces systèmes, avec des sanctions nationales applicables à partir du 2 août 2026. Cette contrainte de formation, appelée "AI literacy", ne nécessite pas de certification spécifique. Une sensibilisation documentée et adaptée au poste suffit. L'enjeu consiste à démontrer que les utilisateurs comprennent les capacités et limites des outils qu'ils manipulent. La formation doit couvrir plusieurs aspects : les biais potentiels des systèmes, les limites de fiabilité, les bonnes pratiques d'usage et les risques associés. L'exigence de maîtrise technologique est en vigueur depuis le 2 février 2025, avec une formation documentée adaptée aux systèmes effectivement utilisés constituant la baseline minimale attendue. ## Sanctions et risques de non-conformité Le régime de sanctions figure parmi les plus sévères jamais adoptés par l'Union européenne. Le texte établit un système d'amendes à trois niveaux qui constitue l'un des régimes les plus contraignants de l'histoire réglementaire européenne, dépassant largement les sanctions prévues par le RGPD. Les sanctions les plus sévères concernent les pratiques interdites : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial. Pour les violations relatives aux systèmes à haut risque, les amendes peuvent atteindre 15 millions d'euros ou 3% du chiffre d'affaires mondial. La fourniture d'informations incorrectes est passible d'amendes jusqu'à 7,5 millions d'euros ou 1,5% du chiffre d'affaires. Le règlement prévoit des plafonds adaptés pour les PME et les startups, avec des amendes plafonnées au montant le plus bas entre le pourcentage du CA et le montant fixe. Cette modulation reconnaît les contraintes spécifiques des structures de taille réduite. Au-delà des sanctions financières, un système non conforme peut être interdit d'exploitation sur le marché européen. En France, la CNIL, la DGCCRF et l'Arcom sont les autorités désignées pour le contrôle, avec la CNIL qui a indiqué intensifier ses contrôles sur les systèmes RH à partir de l'automne 2026. ## Mise en conformité pratique : les étapes essentielles La conformité nécessite une approche structurée que les entreprises peuvent mettre en œuvre selon un calendrier maîtrisé. La première étape consiste à lister tous les outils utilisés dans l'entreprise : logiciels RH, chatbots, outils de génération de contenu, solutions de scoring, tout SaaS mentionnant "intelligence artificielle" ou "machine learning". Pour chaque outil, il faut déterminer s'il relève du risque minimal, limité ou élevé, en se posant la question clé : cet outil influence-t-il des décisions qui impactent la vie des personnes ? L'évaluation des fournisseurs constitue un enjeu majeur. Il faut poser aux éditeurs les questions sur la classification du risque, la documentation technique, les données d'entraînement, les mécanismes de supervision et l'enregistrement EU. Un fournisseur qui ne répond pas est un risque. La documentation s'impose comme une contrainte transversale. Il faut tenir un registre des évaluations de conformité, des mesures de contrôle humain et des incidents, indispensable en cas de contrôle par une autorité de surveillance.

**Niveau de risque**	**Exemples d'usage**	**Obligations principales**	**Échéance**
**Inacceptable**	Scoring social, manipulation	Interdiction totale	Février 2025
**Haut**	IA RH, scoring crédit, diagnostic médical	Documentation, marquage CE, supervision humaine	Août 2026
**Limité**	Chatbots, génération de contenu	Transparence utilisateur	Novembre 2026
**Minimal**	Filtres anti-spam, traduction	Aucune obligation spécifique	-

Selon une étude de la DGE, le coût de mise en conformité pour une PME déployeuse de systèmes à haut risque représente entre 2 000 et 8 000 euros par an (audit et formation compris), un investissement modeste au regard des sanctions potentielles. ## Articles liés - [AI Act CNIL sanctions entreprises : règles 2026](/fr/blog/ai-act-cnil-sanctions-entreprises-2026) - [CNIL : audit intelligence artificielle renforcé 2025-2028](/fr/blog/cnil-plan-strategique-2025-2028-audit-intelligence-artificielle) - [DPIA obligatoire en 2026 : quand et comment ?](/fr/blog/analyse-impact-dpia-quand-obligatoire) ## L'essentiel à retenir • L'exigence de transparence pour les chatbots et systèmes génératifs entre en vigueur le 2 novembre 2026 • Les sanctions peuvent atteindre 35 millions d'euros ou 7% du chiffre d'affaires mondial selon la gravité des infractions • La formation des équipes (AI literacy) est obligatoire depuis février 2025, avec des sanctions nationales applicables dès août 2026 • Toute PME utilisant l'intelligence artificielle dans un contexte professionnel peut être qualifiée de "déployeur" et soumise aux contraintes du règlement • Le coût de mise en conformité reste modéré (2 000 à 8 000 euros par an) comparé aux risques encourus ### Dois-je signaler que mon chatbot utilise l'intelligence artificielle dès novembre 2026 ? Oui, si votre chatbot interagit avec des personnes physiques et que le contexte ne rend pas évidente l'interaction avec une machine, l'exigence entre en vigueur le 2 novembre 2026. Une mention claire comme "Cette conversation est gérée par un assistant virtuel" suffit à respecter la contrainte de transparence. ### Quelles formations dois-je prévoir pour mes équipes ? Aucune certification spécifique n'est requise : une sensibilisation documentée et adaptée au poste suffit, constituant la baseline minimale attendue. La formation doit couvrir les capacités et limites des outils utilisés, les biais potentiels et les bonnes pratiques. ### Comment savoir si mon système est à haut risque ? Si vous intégrez des systèmes génératifs dans des processus sensibles comme le recrutement (tri de CV), la gestion des infrastructures critiques, l'éducation ou l'accès aux services publics, votre système est classé "haut risque". Les domaines sont précisément listés dans l'annexe III du règlement. ### Quelles sanctions risque mon entreprise en cas de non-conformité ? Les sanctions varient selon l'infraction : jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites, 15 millions d'euros ou 3% pour les systèmes à haut risque non conformes, et 7,5 millions d'euros ou 1,5% pour les manquements de transparence. Des plafonds réduits s'appliquent aux PME. ### Quels documents dois-je préparer pour être conforme ? Il faut tenir un registre des évaluations de conformité, des mesures de contrôle humain et des incidents, indispensable en cas de contrôle par une autorité de surveillance. Ce registre doit documenter vos usages, leur classification et les mesures de supervision mises en place. Ce guide pratique des **obligations AI Act 2026** vous donne les clés pour anticiper les échéances réglementaires et sécuriser vos usages de l'intelligence artificielle dans un cadre juridique contraignant mais prévisible.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)