AI Act : le calendrier des obligations pour une PME qui utilise l’IA

Le règlement européen sur l’intelligence artificielle s’applique par étapes depuis 2024, et un règlement « omnibus » entré en vigueur le 27 juillet 2026 a déplacé plusieurs dates. Si votre PME utilise un assistant IA, un outil de tri de candidatures ou un chatbot, vous êtes un « déployeur », avec des obligations propres. Cet article donne le calendrier vérifié au 25 octobre 2026 et ce qu’il implique pour une entreprise qui utilise l’IA sans la développer.

Fournisseur ou déployeur : de quoi une PME est responsable

Le règlement (UE) 2024/1689 distingue deux rôles. Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom. Le déployeur utilise un système d’IA sous sa propre autorité, hors usage personnel et non professionnel. Une PME qui achète une licence de chatbot, un module de scoring ou un assistant de rédaction est donc un déployeur. Elle devient fournisseur si elle développe son propre système et le met sur le marché sous son nom.

La plupart des obligations lourdes pèsent sur les fournisseurs. Le déployeur garde néanmoins des devoirs précis. Il doit utiliser le système conformément à la notice du fournisseur, confier la surveillance humaine à des personnes compétentes et formées, informer les salariés quand un système à haut risque est mis en service sur le lieu de travail, et, pour certains usages, informer les personnes exposées. Il doit aussi, depuis février 2025, prendre des mesures pour développer la maîtrise de l’IA de son personnel. Cadre général : IA générative en entreprise : cadre juridique et bonnes pratiques.

Le calendrier vérifié au 25 octobre 2026

Les dates ci-dessous proviennent du calendrier du service d’assistance de l’AI Act et de la page de la Commission européenne sur le cadre réglementaire, mise à jour le 19 octobre 2026. Le report des obligations relatives aux systèmes à haut risque résulte du règlement omnibus sur l’IA (règlement (UE) 2026/1744) : proposé le 19 novembre 2025, objet d’un accord politique le 7 mai 2026, approuvé définitivement par le Conseil fin juin 2026 et entré en vigueur le 27 juillet 2026.

Ce qui s’applique déjà à votre PME

Trois blocs concernent déjà votre entreprise. Les pratiques interdites d’abord : la Commission cite la notation sociale, la reconnaissance des émotions sur le lieu de travail et dans l’enseignement, et les applications de « nudification ». Une PME qui envisagerait d’analyser les émotions de ses salariés en visioconférence ou en entretien est hors la loi depuis le 2 février 2025, et sanctionnable depuis le 2 août 2026.

La transparence ensuite, prévue à l’article 50. Les personnes qui interagissent avec un système d’IA doivent le savoir, sauf si c’est évident pour une personne raisonnablement attentive. Les fournisseurs doivent marquer les contenus synthétiques d’une façon lisible par machine. Le déployeur qui publie un hypertrucage doit indiquer que le contenu est généré ou manipulé, et celui qui utilise une reconnaissance des émotions ou une catégorisation biométrique doit informer les personnes exposées. Pour un chatbot sur votre site ou un standard vocal piloté par une IA, une mention claire suffit, mais elle est obligatoire (détail dans AI Act : les obligations de transparence applicables depuis août 2026).

La maîtrise de l’IA enfin, prévue à l’article 4 et réécrite par l’omnibus. Les fournisseurs et les déployeurs doivent prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel et des personnes qui utilisent les systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur formation et du contexte d’usage. Le texte précise que cette obligation n’impose pas de garantir un niveau donné à chaque individu, et charge la Commission et les États membres de soutenir les efforts des entreprises, en particulier des PME. En pratique, une charte d’usage, une formation courte adaptée aux métiers et une trace écrite suffisent à répondre à l’esprit du texte ; la charte est aussi le meilleur remède au shadow AI, ces usages de ChatGPT sans contrôle.

Haut risque : le report au 2 décembre 2027 ne dispense pas de préparer

L’annexe III liste les usages à haut risque. La Commission cite notamment les logiciels de tri de CV pour le recrutement, le scoring de crédit susceptible de refuser un prêt et les composants de sécurité des infrastructures critiques. L’omnibus a reporté ces obligations du 2 août 2026 au 2 décembre 2027 ; le report décale, il ne supprime pas. Pour un déployeur, l’article 26 fixe déjà ce qui sera attendu : utiliser le système conformément à la notice du fournisseur, confier la surveillance humaine à des personnes disposant de la compétence, de la formation et de l’autorité nécessaires, et, pour un employeur, informer les représentants du personnel et les salariés concernés avant de mettre en service un système à haut risque sur le lieu de travail.

Le recrutement mérite une attention particulière. La CNIL a fait des outils de recrutement l’un de ses trois thèmes de contrôle prioritaires pour 2026, en précisant que cette action préfigure son rôle d’autorité de surveillance du marché pour l’IA dans le champ du travail. Une PME qui utilise un outil de présélection de candidatures est donc déjà exposée au titre du RGPD (décision automatisée, information des candidats, durées de conservation), avant même l’AI Act. Les deux textes se cumulent (voir IA et conformité RGPD : utiliser l’IA tout en respectant la loi).

Sanctions et plan d’action en quatre étapes

Les amendes prévues à l’article 99 vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres obligations, et 7,5 millions d’euros ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME et les start-up, c’est le montant le plus bas des deux qui s’applique, et l’omnibus a étendu cette règle aux petites entreprises de taille intermédiaire pour une partie des amendes.

Le plan d’action tient en quatre étapes. Inventorier d’abord les systèmes d’IA utilisés, y compris les fonctions intégrées aux logiciels existants, et classer chaque usage selon les quatre niveaux du règlement : interdit, haut risque, transparence, risque minimal. Mettre en place ensuite l’information des utilisateurs et des salariés, ainsi que la charte d’usage interne. Former les équipes et documenter cette formation. Pour les usages à haut risque identifiés (ressources humaines, crédit, éducation), ouvrir dès maintenant le dialogue avec le fournisseur sur sa conformité au 2 décembre 2027.

Questions fréquentes

Sources

• Commission européenne — « AI Act », cadre réglementaire et dates d’application (mis à jour le 19 octobre 2026)
• Commission européenne — AI Act Service Desk, « Timeline of implementation of the EU AI Act » (version consolidée au 27 juillet 2026)
• Commission européenne — AI Act Service Desk, article 4 « AI literacy », texte modifié par le règlement omnibus (UE) 2026/1744