AI Act : le calendrier 2025-2028 pour les PME
Sept dates, dont quatre déjà passées. Ce qui s’applique à votre entreprise aujourd’hui, ce qui reste à venir, et ce que le règlement de juillet 2026 a changé.
À jour au 18 septembre 2026 — AI Act & PME
L’AI Act s’applique par étapes. Depuis le 2 février 2025, les pratiques interdites et l’obligation de maîtrise de l’IA concernent toute entreprise qui utilise un outil d’IA. Depuis le 2 août 2026, le règlement est applicable dans son ensemble. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, n’a reporté qu’un bloc d’obligations : les systèmes à haut risque, au 2 décembre 2027 pour l’annexe III (recrutement, évaluation des salariés, crédit) et au 2 août 2028 pour l’annexe I (produits réglementés) ; il accorde aussi aux outils génératifs déjà sur le marché un délai, au 2 décembre 2026, pour le marquage de leurs contenus. En France, la loi qui doit désigner les autorités de contrôle n’était pas adoptée au 18 septembre 2026. Cela ne suspend aucune obligation.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Comment lire le calendrier
Tout tient dans l’article 113 du règlement (UE) 2024/1689 : entrée en vigueur « le vingtième jour suivant celui de sa publication », soit le 1er août 2024, application « à partir du 2 août 2026 », et une liste d’exceptions. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique », publié au Journal officiel du 24 juillet et en vigueur « le troisième jour suivant celui de sa publication » (considérant 46), soit le 27 juillet, a réécrit deux de ces exceptions et en a ajouté une (article 1er, point 40). Nous citons le texte consolidé à cette date.
Une PME qui se sert d’un assistant, d’un chatbot ou d’un logiciel de tri de candidatures est « déployeur » : elle utilise « sous sa propre autorité un système d’IA » (article 3, point 4).
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Ce qui s’applique déjà
Depuis le 2 février 2025 : définitions, maîtrise de l’IA, pratiques interdites
Les chapitres I et II s’appliquent depuis le 2 février 2025 (article 113, troisième alinéa, point a) : définitions, article 4 et article 5.
L’article 4 impose aux fournisseurs et aux déployeurs de prendre « des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel », en tenant compte de leurs connaissances et du « contexte dans lequel les systèmes d’IA sont destinés à être utilisés ». Il ajoute : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. » C’est la rédaction issue du règlement 2026/1744 ; le texte initial visait « un niveau suffisant ». Les « exemples pratiques » que la Commission doit publier (paragraphe 2) ne l’étaient pas, à notre connaissance, au 18 septembre 2026.
L’article 5 interdit notamment les techniques manipulatrices ou trompeuses (point a), l’exploitation des vulnérabilités (point b), la notation sociale (point c) et l’inférence des émotions « sur le lieu de travail et dans les établissements d’enseignement », sauf raisons médicales ou de sécurité (point f). Rien de cela n’a été reporté.
Depuis le 2 août 2025 : modèles à usage général, gouvernance, sanctions
À cette date s’appliquent le chapitre V (modèles d’IA à usage général), le chapitre VII (gouvernance), le chapitre XII (sanctions), la section 4 du chapitre III et l’article 78, sauf l’article 101 (point b). Le chapitre XII concerne tout le monde : l’article 99 fixe des plafonds d’amende et, pour les PME, prévoit que « chaque amende visée au présent article s’élève au maximum aux pourcentages ou montants visés aux paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu » (paragraphe 6). Montants détaillés dans notre article sur les sanctions de l’AI Act.
Depuis le 27 juillet 2026 : le règlement modifié
Le règlement 2026/1744 est entré en vigueur six jours avant la date d’application générale. Pour une PME, il réécrit l’article 4, ajoute deux pratiques interdites à l’article 5 (applicables au 2 décembre 2026), étend la règle des PME aux petites entreprises à moyenne capitalisation pour les paragraphes 4 et 5 (article 99, paragraphe 6 bis), règle le sort des systèmes déjà sur le marché (article 111), reporte au 2 août 2027 l’ouverture d’au moins un bac à sable réglementaire par État membre (article 57) et fixe les dates de l’article 113. Le nouveau point d) — « les articles 102 à 110 sont applicables à partir du 27 juillet 2026 » — vise des modifications d’autres textes européens (sûreté aérienne, véhicules, équipements marins, rail) et, à l’article 110, la directive (UE) 2020/1828 : les associations de consommateurs peuvent engager des actions représentatives pour les manquements à l’AI Act. Aucune obligation nouvelle pour une PME utilisatrice.
Depuis le 2 août 2026 : application générale, transparence, contrôle
Tout ce qui n’a pas de date propre s’applique depuis le 2 août 2026 (article 113, deuxième alinéa) : l’article 50, le chapitre VI (soutien à l’innovation), le chapitre IX (surveillance du marché), l’article 101.
L’article 50 touche le plus de PME. Paragraphe 1 : les personnes qui interagissent avec un système d’IA en sont informées, « sauf si cela ressort clairement » du contexte — obligation du fournisseur, mais c’est votre chatbot qui l’affiche. Paragraphe 2 : le fournisseur marque les contenus générés « dans un format lisible par machine ». Paragraphe 4 : le déployeur signale les hypertrucages et les textes « publiés dans le but d’informer le public sur des questions d’intérêt public », sauf examen humain et responsabilité éditoriale assumée (voir notre article sur les images générées).
Selon la Commission, les autorités nationales exercent leurs pouvoirs de contrôle à partir du 2 août 2026, article 4 compris.
Ce qui arrive
2 décembre 2026 : deux interdictions de plus, et le marquage des contenus
L’article 5 comporte désormais un point b bis (images, vidéos ou sons réalistes à caractère intime ou sexuel d’une personne identifiable, sans son consentement) et un point b ter (contenus pédocriminels), qui « s’appliquent à partir du 2 décembre 2026 » (article 113, point a). Pour un déployeur, l’utilisation n’est interdite « que lorsque le déployeur utilise le système dans le but de générer ou de manipuler ce matériel » (paragraphe 1 bis, point b).
Même date pour le marquage : les fournisseurs de systèmes génératifs « mis sur le marché avant le 2 août 2026 » doivent se conformer à l’article 50, paragraphe 2, « d’ici au 2 décembre 2026 » (article 111, paragraphe 4). L’obligation est celle de l’éditeur de votre outil.
2 décembre 2027 : les systèmes à haut risque de l’annexe III
Les sections 1, 2 et 3 du chapitre III — classification, exigences, obligations des fournisseurs et des déployeurs — s’appliquent « du 2 décembre 2027 en ce qui concerne les systèmes d’IA classés comme étant à haut risque en vertu de l’article 6, paragraphe 2, et de l’annexe III » (article 113, point c, i), au lieu du 2 août 2026.
Pour une PME, l’annexe III se résume souvent à son point 4 : les systèmes « destinés à être utilisés pour le recrutement ou la sélection de personnes physiques », dont ceux qui servent à « analyser et filtrer les candidatures », et ceux qui servent à évaluer ou à surveiller les salariés. Un système de l’annexe III qui « effectue un profilage de personnes physiques » est toujours à haut risque (article 6, paragraphe 3). Le déployeur devra alors confier le contrôle humain à des personnes qui disposent « des compétences, de la formation et de l’autorité nécessaires » (article 26, paragraphe 2) et informer les représentants du personnel et les salariés avant la mise en service (paragraphe 7). Voir notre article sur le tri de candidatures.
Pour les outils déjà en place, le règlement s’applique aux systèmes mis sur le marché avant cette date « uniquement si, à compter de cette date, ces systèmes subissent d’importantes modifications de leurs conceptions » (article 111, paragraphe 2) ; la date qui compte est celle de « la première unité de ce type et modèle » (considérant 39). À notre lecture, un logiciel antérieur peut donc rester hors du chapitre III tant que son éditeur ne le redessine pas. L’article 5 et le RGPD s’appliquent dans tous les cas.
2 août 2028 : l’IA intégrée à des produits réglementés (annexe I)
Les mêmes sections s’appliquent « du 2 août 2028 » aux systèmes à haut risque « en vertu de l’article 6, paragraphe 1, et de l’annexe I » (point c, ii) : les composants de sécurité de produits soumis à une évaluation de conformité par un tiers — machines, jouets, dispositifs médicaux. Les systèmes utilisés « uniquement pour des aspects non liés à la sécurité » « ne sont pas considérés comme des composants de sécurité » (article 6, paragraphe 1 bis), sauf ceux dont « la défaillance ou le dysfonctionnement mettrait en danger la santé et la sécurité » (paragraphe 1 ter).
Le calendrier en un tableau
| Date | Qui | Quoi | Article |
|---|---|---|---|
| 2 février 2025 | Fournisseurs et déployeurs | Chapitres I et II : définitions, maîtrise de l’IA, pratiques interdites | Art. 113, point a ; art. 4 et 5 |
| 2 août 2025 | Fournisseurs de modèles ; États membres | Chapitres V, VII et XII ; section 4 du chapitre III ; art. 78 | Art. 113, point b ; art. 99 |
| 27 juillet 2026 | Tous | Règlement 2026/1744 en vigueur ; art. 102 à 110 | Art. 113, point d |
| 2 août 2026 | Tous | Application générale : art. 50, chapitres VI et IX, art. 101 | Art. 113, 2e alinéa |
| 2 décembre 2026 | Fournisseurs et déployeurs d’outils génératifs | Points b bis et b ter de l’art. 5 ; marquage des systèmes antérieurs au 2 août 2026 | Art. 113, point a ; art. 111, § 4 |
| 2 décembre 2027 | Fournisseurs et déployeurs, annexe III | Chapitre III, sections 1 à 3 ; systèmes antérieurs : seulement si modification importante | Art. 113, point c, i ; art. 26 ; art. 111, § 2 |
| 2 août 2028 | Fabricants et déployeurs, annexe I | Chapitre III, sections 1 à 3 | Art. 113, point c, ii |
En France : qui contrôle, et depuis quand
Les États membres devaient publier les coordonnées de leurs autorités de surveillance du marché au plus tard le 2 août 2025 (article 70). Le schéma publié par le Gouvernement le 9 septembre 2025 fait de la DGCCRF l’autorité « chargée de la coordination des autorités de surveillance du marché », « sous réserve qu’il soit accepté par le Parlement par le biais d’un projet de loi ».
Ce projet de loi d’adaptation au droit de l’Union européenne a été adopté par le Sénat le 18 février 2026 et transmis à l’Assemblée nationale le 20 février (texte n° 2518). Au 18 septembre 2026, le dossier de l’Assemblée ne mentionne que la saisine des commissions (la dernière, pour avis, le 23 avril) : ni rapport, ni séance, ni adoption. À notre connaissance, aucune loi désignant les autorités françaises n’a été promulguée ; la liste de la Commission européenne du 7 septembre 2026 cite la DGCCRF pour la France en précisant que la désignation attend encore une adoption finale.
Cela ne change rien aux obligations : « Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre » (article 113, dernier alinéa). Ce qui manque en France, c’est l’autorité habilitée à prononcer les amendes de l’article 99, pas la règle ; et une partie des mêmes faits relève déjà du RGPD, du Code du travail ou du Code de la consommation.
Ce que ça change pour une PME
Pour une entreprise qui utilise des outils du commerce, trois documents couvrent ce qui s’applique déjà et préparent 2027.
La liste des usages. Elle sert à écarter tout usage de l’article 5, à repérer ce qui relève de l’article 50 et ce qui entrera dans l’annexe III. Les mesures de l’article 4 dépendent du « contexte dans lequel les systèmes d’IA sont destinés à être utilisés » : sans liste, impossible de le décrire. Notre modèle de registre en donne la trame.
La règle d’usage. Une page : ce qui est autorisé, ce qui ne doit jamais être saisi dans un outil, qui relit ce qui en sort, comment le chatbot se présente. C’est le support des mesures de l’article 4 et de la relecture humaine de l’article 50, paragraphe 4. Voir notre guide sur la politique d’usage de l’IA.
Le dossier daté. Séance d’explication et feuille de présence, versions de la règle d’usage, notices des éditeurs, capture de la mention affichée par le chatbot. Pour fixer une amende, l’article 99, paragraphe 7, tient compte « des mesures techniques et organisationnelles qu’il a mises en œuvre » (point g). Sans date, une mesure ne se prouve pas.
Ensuite : avant le 2 décembre 2026, demander à vos éditeurs ce qui change pour le marquage ; avant le 2 décembre 2027, pour chaque outil de l’annexe III, obtenir la notice, désigner le contrôle humain et informer les salariés (article 26).
Idées reçues
« L’AI Act ne s’applique qu’à partir de 2027. » Les chapitres I et II s’appliquent depuis le 2 février 2025 et le règlement « est applicable à partir du 2 août 2026 » (article 113). Seules les sections 1 à 3 du chapitre III attendent 2027 ou 2028.
« L’omnibus a tout reporté. » Le règlement 2026/1744 n’a modifié que les points a) et c) du troisième alinéa de l’article 113 et ajouté un point d) (article 1er, point 40). L’article 50 n’a pas changé de date ; seul le marquage des contenus (paragraphe 2) bénéficie, pour les systèmes mis sur le marché avant le 2 août 2026, d’un délai au 2 décembre 2026 (article 111, paragraphe 4).
« Les PME sont dispensées. » Le règlement s’applique « aux déployeurs de systèmes d’IA qui ont leur lieu d’établissement ou sont situés dans l’Union » (article 2, paragraphe 1, point b), sans seuil d’effectif. Les PME obtiennent un plafond d’amende plus bas (article 99, paragraphe 6) et des mesures de soutien (article 62), pas une dispense.
« Tant que la France n’a pas désigné ses autorités, rien ne s’applique. » Le règlement est « directement applicable dans tout État membre » (article 113). Le retard français porte sur qui peut sanctionner, pas sur ce qui est obligatoire.
« Mon logiciel de recrutement acheté avant décembre 2027 est définitivement hors champ. » Il n’échappe aux sections 1 à 3 du chapitre III que tant que sa conception ne subit pas « d’importantes modifications » après le 2 décembre 2027 (article 111, paragraphe 2). C’est en général l’éditeur qui en décide ; mais un déployeur qui modifie substantiellement le système ou en change la destination devient lui-même fournisseur (article 25, paragraphe 1). Les articles 4, 5 et 50 s’appliquent dans tous les cas.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit vous permet de fixer noir sur blanc, dans votre politique d’usage, la relecture obligatoire des réponses publiques et la liste des informations qui ne doivent jamais y figurer.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Attestation de conformité AI Act : que répondre à un client qui la demande ? — ce qui existe vraiment, et les cinq pièces à envoyer à sa place.
Sanctions de l’AI Act : ce que risque vraiment une PME — les plafonds de l’article 99 et les textes qui s’appliquent déjà.
Chatbot sur un site : ce que la loi impose depuis août 2026 — l’article 50 en pratique.
Trier des candidatures avec l’IA : est-ce autorisé ? — le cas type de l’annexe III.
Politique d’usage de l’IA en entreprise : modèle et guide — la règle d’usage.
Registre des systèmes d’IA : modèle et mode d’emploi — la liste des usages.
Image générée par IA : la mention est-elle obligatoire ? — l’autre volet de l’article 50.
Sources
Règlement (UE) 2024/1689 (AI Act), texte consolidé au 27 juillet 2026, articles 2, 3, 4, 5, 6, 26, 50, 57, 62, 70, 99, 111 et 113, annexes I et III — EUR-Lex, consulté le 18 septembre 2026.
Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 (train de mesures omnibus numérique sur l’IA), JO L 2026/1744 du 24 juillet 2026, considérants 1, 39, 40 et 46, article 1er, points 5, 39 et 40 — EUR-Lex, consulté le 18 septembre 2026.
Commission européenne, « AI Omnibus enters into force », 27 juillet 2026 (en anglais), consulté le 18 septembre 2026.
Commission européenne, page « AI Act » (mise à jour le 3 août 2026), FAQ « Navigating the AI Act » (mise à jour le 7 août 2026) et « The enforcement framework of the AI Act » (mise à jour le 24 août 2026), en anglais, consultées le 18 septembre 2026.
Commission européenne, « Market Surveillance Authorities under the AI Act », mise à jour le 7 septembre 2026, et « AI Literacy – Questions & Answers », en anglais, consultées le 18 septembre 2026.
AI Act Service Desk (qui héberge la plateforme d’information unique prévue à l’article 62), « Timeline for the Implementation of the EU AI Act », en anglais, consulté le 18 septembre 2026.
Direction générale des Entreprises, « Les autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle », 9 septembre 2025, consulté le 18 septembre 2026.
Assemblée nationale, dossier législatif du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (texte n° 2518), et Sénat, dossier législatif pjl25-118, consultés le 18 septembre 2026.
CNIL, « Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL », mise à jour le 17 août 2026, consulté le 18 septembre 2026.
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 18 septembre 2026 ; il ne constitue pas un conseil juridique.
