AI Act et TPE/PME : ce qui s'applique vraiment chez vous en 2026
Le calendrier du règlement européen sur l'IA a changé en juillet 2026. Les obligations les plus lourdes sont reportées, celles sur la transparence sont bien en vigueur. Si vous utilisez un outil RH automatisé, un scoring de leads ou un chatbot client, voici où vous en êtes réellement.
Mise à jour du 3 août 2026
Cet article a été publié en avril 2026, quand l'échéance du 2 août 2026 pour les systèmes à haut risque était toujours d'actualité. Le Digital Omnibus sur l'IA, signé le 8 juillet 2026, a reporté ces obligations à décembre 2027 et août 2028 selon les cas. Le texte ci-dessous a été corrigé en conséquence. Ce qui n'a pas été reporté, ce sont les obligations de transparence, en vigueur depuis le 2 août 2026, que nous détaillons dans un article dédié.
Qu'est-ce que l'AI Act et depuis quand s'applique-t-il ?
L'AI Act (Règlement UE 2024/1689) est le premier cadre réglementaire mondial dédié à l'intelligence artificielle. Son application est progressive : les premières interdictions (manipulation cognitive, notation sociale) sont en vigueur depuis février 2025, en même temps que l'obligation de former vos équipes à un usage éclairé de l'IA. Les obligations pesant sur les fournisseurs de modèles d'IA générale comme Claude ou GPT ont été activées en août 2025. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Quant aux systèmes classés à "haut risque", leur mise en conformité est désormais attendue pour décembre 2027 (systèmes autonomes) ou août 2028 (systèmes intégrés à des produits).
L'erreur la plus fréquente chez les dirigeants de PME est de penser que ce texte ne cible que les grands groupes technologiques. C'est faux. Le critère déterminant n'est pas la taille de votre entreprise : c'est la nature du système d'IA que vous utilisez. Une PME de 8 salariés qui trie des CV avec un outil automatisé peut être soumise aux obligations les plus strictes du règlement.
Quels systèmes sont considérés à haut risque pour une PME ?
L'AI Act classe les systèmes d'IA en quatre niveaux. Pour les TPE/PME, les deux niveaux à connaître sont :
- Risque inacceptable : usage interdit. Exemples : scoring social des salariés, manipulation cognitive à leur insu. Si votre outil fait cela, il doit être retiré immédiatement.
- Haut risque (Annexe III) : obligations lourdes de transparence, documentation technique, supervision humaine. C'est la zone d'alerte pour les PME, à échéance de décembre 2027.
Entrent dans la catégorie haut risque les systèmes d'IA utilisés dans les domaines suivants :
- Recrutement et gestion RH : tri automatique de CV, scoring d'entretien, évaluation de performance.
- Accès au crédit : scoring de solvabilité, notation financière automatisée.
- Formation professionnelle : orientation automatisée, évaluation des compétences.
- Gestion de l'accès aux services essentiels : santé, éducation, services publics.
Cas concret : vous utilisez un ATS (Applicant Tracking System) avec un scoring automatique des candidats. Si ce scoring influence la sélection, vous entrez dans la catégorie haut risque. Peu importe si le logiciel vient d'un éditeur SaaS : en tant que déployeur, vous avez des obligations.
Quelles sont les obligations concrètes pour un système à haut risque ?
Si l'un de vos systèmes est classé haut risque, voici ce que la réglementation vous imposera à compter de décembre 2027 :
- Cartographie : identifier tous les systèmes d'IA en usage dans votre organisation et les classer par niveau de risque.
- Documentation technique : obtenir de votre fournisseur la documentation complète du système (fonctionnement, données d'entraînement, limites).
- Supervision humaine : mettre en place un processus de contrôle humain sur les décisions automatisées. Pas d'automatisation totale sur des décisions affectant des personnes.
- Journaux d'activité (logs) : conserver les traces des décisions prises par le système IA, pour une durée fixée par le règlement.
- Transparence envers les personnes : informer les individus qu'une IA est impliquée dans une décision qui les concerne.
Et si vous n'utilisez que des outils d'automatisation de processus ?
Bonne nouvelle pour la majorité des TPE/PME : les automatisations purement internes, sans décision affectant des tiers, sont classées à risque minimal ou limité. Un workflow n8n qui envoie des relances, consolide des rapports ou synchronise votre CRM ne tombe pas dans la catégorie haut risque.
Le risque limité concerne principalement les chatbots en contact avec des clients. Depuis le 2 août 2026, un chatbot doit indiquer à son interlocuteur qu'il s'agit d'une IA, sauf si c'est évident pour une personne raisonnablement avertie, une exception interprétée de façon restrictive. Le marquage technique des contenus générés pèse sur l'éditeur de l'outil, pas sur vous, avec un délai supplémentaire jusqu'au 2 décembre 2026 pour les systèmes déjà commercialisés avant le 2 août.
En résumé : si vos automatisations traitent des processus internes (facturation, reporting, relances, synchronisation de données), vous n'avez probablement aucune obligation lourde. Si vous automatisez des processus RH ou des décisions client, c'est différent, même avec le report.
AI Act + RGPD : comment les deux réglementations s'articulent-elles ?
L'AI Act ne remplace pas le RGPD : il s'y ajoute. Les deux s'appliquent en parallèle. Concrètement, si vous traitez des données personnelles via un système d'IA, vous devez respecter à la fois les obligations RGPD (base légale, minimisation des données, droits des personnes) et les obligations AI Act (documentation, supervision, transparence).
En France, la supervision de l'AI Act est partagée entre plusieurs autorités : la CNIL pour les traitements de données personnelles et la biométrie, l'Arcom pour les contenus d'intérêt public, la DGCCRF pour les interactions directes avec les consommateurs. Les textes d'application ont été publiés à l'été 2025, la désignation définitive restant liée au projet de loi d'adaptation au droit de l'Union européenne. Les pouvoirs de sanction, eux, sont actifs depuis le 2 août 2026.
Checklist pratique : êtes-vous concerné ?
Posez-vous ces 6 questions. Si vous répondez "oui" à l'une d'elles, lisez la suite et contactez-nous.
- Utilisez-vous un logiciel qui trie ou note automatiquement des candidatures ?
- Avez-vous un outil de scoring commercial ou financier automatisé ?
- Un système prend-il des décisions automatiques concernant des salariés (planification, évaluation) ?
- Votre chatbot client ne mentionne-t-il pas qu'il s'agit d'une IA ?
- Avez-vous un système d'IA qui oriente des décisions d'accès à des services (prêts, assurances, soins) ?
- Utilisez-vous l'API d'un modèle d'IA générale que vous avez adapté à un usage métier spécifique ?
Si aucune de ces situations ne vous correspond, votre exposition est limitée. En revanche, le diagnostic préventif reste utile : le règlement évolue, et certains usages qui semblent anodins peuvent changer de catégorie avec les mises à jour.
Un dernier mot sur le report. Il ne supprime aucune obligation, il déplace une date. Les entreprises qui traitent ces seize mois comme un sursis se retrouveront exactement au même point fin 2027, avec les mêmes contraintes et moins de temps. Celles qui s'en servent pour cartographier leurs outils et écrire leurs procédures auront transformé une contrainte réglementaire en avantage commercial, parce qu'un client qui vous confie ses données regarde de plus en plus ce point.