EU AI Act : ce qui s'applique aux PME à partir du 2 août 2026

Le 2 août 2026, l'EU AI Act franchit une nouvelle étape. À partir de ce jour, l'UE peut faire respecter les règles applicables aux modèles d'IA par des amendes, et les obligations de transparence pour les systèmes d'IA deviennent applicables. Pour les dirigeants de PME se pose alors une question très concrète : qu'est-ce qui concerne mon entreprise, et qu'est-ce qui doit être fait d'ici là ? La bonne nouvelle d'abord : la plupart des PME sont utilisatrices d'IA, pas fournisseuses, et pour elles la liste est simple et gérable.

Que se passe-t-il concrètement le 2 août 2026 ?

Le 2 août 2026, deux choses entrent en vigueur : les pouvoirs de contrôle et de sanction envers les fournisseurs de modèles d'IA à usage général (GPAI), et les obligations de transparence de l'article 50. À partir de cette date, le Bureau de l'IA de l'UE peut exiger de la documentation, tester lui-même les modèles, demander des corrections et, en cas grave, retirer un modèle du marché européen.

Simultanément, les dispositions relatives aux amendes deviennent applicables. Les violations des pratiques interdites coûtent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Pour la plupart des autres obligations, le plafond est de 15 millions d'euros ou 3 % (article 99 de l'AI Act). Les montants sont déjà fixés ; ils deviennent simplement applicables à partir de cette échéance.

Suis-je concerné en tant que PME ?

La grande majorité des PME sont des déployeurs d'IA, pas des fabricants, et pour elles trois choses comptent avant tout : la maîtrise de l'IA, la transparence et le renoncement aux pratiques interdites. Les lourdes obligations GPAI qui entrent en vigueur le 2 août concernent les fournisseurs de modèles comme OpenAI, Google ou Anthropic, pas la boulangerie qui utilise ChatGPT pour ses devis. Que votre cas d'usage précis relève ou non du risque élevé dépend du domaine d'application. Notre article donne un premier éclairage sur si votre entreprise est concernée.

Quelles obligations sont déjà en vigueur ?

Deux obligations sont déjà en vigueur depuis le 2 février 2025 et passent souvent inaperçues dans l'agitation autour des nouvelles échéances : l'interdiction de certaines pratiques d'IA et l'obligation de maîtrise de l'IA du personnel prévue à l'article 4.

• Pratiques interdites : Il s'agit notamment de la notation sociale, de la manipulation ciblée et de la collecte non ciblée d'images de visages sur internet. Pour une entreprise ordinaire, c'est rarement un sujet, mais il vaut mieux vérifier une fois.
• Maîtrise de l'IA (article 4) : Toute entreprise utilisant l'IA doit veiller à ce que les personnes qui travaillent avec elle la comprennent dans ses grandes lignes. Le Digital Omnibus a assoupli cette obligation fin 2025, passant de « garantir » à « favoriser », mais elle n'a pas été supprimée.

Qu'est-ce qui a été reporté, et sur quoi ne pas trop compter ?

Le Digital Omnibus de novembre 2025 a repoussé les obligations strictes pour l'IA à haut risque reporté : au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour l'IA intégrée dans des produits réglementés. Pour les petites entreprises, certains allègements ont aussi été étendus à la nouvelle catégorie des Small Mid-Caps.

Deux choses ne doivent pas être confondues ici. Premièrement : ce sont les obligations liées au risque élevé qui ont été reportées, pas les obligations de transparence ni l'application des règles GPAI. Les deux restent fixées au 2 août 2026. Deuxièmement : l'Omnibus est encore en cours de procédure législative. Planifiez en fonction des échéances officielles, pas des gros titres annonçant sans cesse de nouveaux reports.

Que doit avoir fait un dirigeant avant l'échéance ?

D'ici le 2 août 2026, quatre choses devraient être faites : un état des lieux, des mentions de transparence mises en œuvre, une brève formation et une responsabilité clairement désignée.

• État des lieux : Notez quels outils d'IA sont réellement utilisés dans l'entreprise, de Microsoft Copilot à ChatGPT en passant par les chatbots et les automatisations. Sans cette liste, aucune obligation ne peut être correctement attribuée.
• Mettre en œuvre la transparence : Les chatbots et les voicebots doivent faire clairement comprendre qu'un humain s'adresse à une IA. Les textes, images et voix générés par IA doivent être signalés en conséquence.
• Développer la maîtrise de l'IA : Une formation courte et documentée pour les collaborateurs qui utilisent l'IA remplit les exigences de l'article 4 et prévient les erreurs au quotidien.
• Désigner une responsabilité : Une seule personne chargée d'avoir une vue d'ensemble suffit amplement dans la plupart des PME.

Dans nos projets d'automatisation et d'agents IA, la mention de transparence fait désormais partie du standard : chaque voicebot et chaque chat de site web que nous livrons indique de lui-même qu'une IA répond ici. Ce n'est pas un effort important, mais cela doit être pensé dès le départ.

La Commission européenne précise dans ses lignes directrices destinées aux fournisseurs de GPAI que l'échéance rend les obligations existantes opposables sans en créer de nouvelles. Pour les déployeurs, cela signifie : qui met de l'ordre dès maintenant n'aura rien à précipiter le 2 août.

Questions fréquentes sur l'EU AI Act à partir du 2 août 2026

L'EU AI Act s'applique-t-il aussi aux petites entreprises ?

Oui. L'AI Act s'applique quelle que soit la taille de l'entreprise, mais échelonne les obligations selon le rôle et le risque. La plupart des PME sont des déployeurs et doivent avant tout assurer la maîtrise de l'IA et la transparence. Seules quelques applications relèvent de la classe stricte à haut risque.

Que se passe-t-il exactement le 2 août 2026 ?

Ce jour-là, les pouvoirs de contrôle et de sanction envers les fournisseurs de modèles d'IA à usage général deviennent applicables, et les obligations de transparence de l'article 50 entrent en vigueur. Les obligations liées au risque élevé ne sont pas concernées.

Dois-je signaler mon chatbot de site web ?

Oui. L'article 50 exige que les utilisateurs puissent reconnaître qu'ils s'adressent à une IA et non à un humain. Une mention claire dans la fenêtre de chat suffit généralement.

Quel est le montant des amendes ?

Pour les pratiques interdites, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel ; pour la plupart des autres infractions, jusqu'à 15 millions d'euros ou 3 %. Pour les petites et moyennes entreprises, c'est le montant le plus bas des deux qui s'applique comme plafond.

Les règles sur le risque élevé ont-elles vraiment été reportées ?

Oui. Le Digital Omnibus de fin 2025 a reporté les obligations liées au risque élevé au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour les systèmes intégrés. Les règles de transparence et GPAI du 2 août 2026 restent quant à elles inchangées.