Conformité AI Act pour les PME : ce qu’il faut faire
Voir un exemple de dossier rempli (gratuit, 32 pages) →
Cinq actions, dans l'ordre, et le calendrier exact de ce qui s'applique déjà — ou pas encore.
À jour au 14 septembre 2026 — AI Act & PME
Faites le point en 3 minutes
Dix questions, réponse immédiate, aucune adresse e-mail demandée et rien ne quitte ce site. Vous obtenez la liste de vos points à régler, dans l’ordre.
Ou consultez directement la check-list des 10 points, à cocher et à imprimer.
Pour une PME qui utilise l’IA sans la développer, la conformité AI Act peut s’organiser en cinq actions. Trois concernent des obligations déjà applicables, une prépare l’échéance de décembre 2027, et la première, l’inventaire, sert de base à toutes les autres.
Les quatre documents, prêts à compléter. Politique d’usage de l’IA, registre des systèmes d’IA, journal des usages sensibles et note au personnel : vous saisissez vos informations, le kit met en forme vos documents. Remboursé sous 14 jours. Voir le kit — 199 € →
Ou l’essayer d’abord : remplissez le formulaire, le document se compose sous vos yeux →
Avant de commencer, une précision qui évite beaucoup d’inquiétudes inutiles : la grande majorité des obligations lourdes du règlement pèsent sur ceux qui fabriquent les systèmes d’IA, pas sur ceux qui les utilisent.
Êtes-vous concerné ?
Le règlement distingue le fournisseur, qui développe et met sur le marché un système d’IA, et le déployeur, qui l’utilise dans le cadre de son activité professionnelle.
Si votre entreprise utilise un outil qui contient de l’IA, vous êtes déployeur. Et c’est plus fréquent qu’on ne le pense : un assistant de rédaction, un CRM qui note vos prospects, un logiciel de recrutement qui classe les candidatures, un chatbot sur votre site, un outil de détection de fraude. Vous n’avez pas besoin d’avoir « fait de l’IA » pour être concerné.
Le calendrier exact
C’est le point le plus mal rapporté dans les contenus disponibles. Voici ce qui s’applique, et depuis quand.
Depuis le 2 février 2025 — pratiques interdites (article 5). Certains usages sont purement et simplement interdits, sans exception commerciale.
Depuis le 2 février 2025 — littératie IA (article 4). Réécrit par le règlement (UE) 2026/1744, dit Digital Omnibus, en vigueur depuis le 27 juillet 2026.
Depuis le 2 août 2026 — transparence (article 50). Informer qu’on interagit avec une IA, signaler certains contenus générés. Ces obligations n’ont pas été reportées par l’Omnibus.
À partir du 2 décembre 2027 — systèmes à haut risque de l’annexe III (article 26 pour les déployeurs). Recrutement, évaluation des salariés, notation de crédit des particuliers, notamment. Reporté de seize mois par le même règlement.
Action 1 — Faire l’inventaire de vos outils
Tout le reste en dépend : on ne peut pas encadrer ce qu’on n’a pas recensé.
Listez chaque outil, et pour chacun notez quatre choses : le nom de l’outil, l’offre souscrite (gratuite ou professionnelle), ce à quoi il sert chez vous, et qui l’utilise.
Cherchez l’IA là où elle se cache :
les assistants intégrés à votre bureautique et à votre messagerie ;
le CRM et les outils marketing (scoring, segmentation, génération de textes) ;
le logiciel de recrutement et le logiciel RH ;
le support client (chatbot, tri automatique des demandes) ;
les outils utilisés par vos salariés à titre personnel, souvent les plus nombreux et les moins visibles.
C’est la finalité qui compte, pas l’outil : le même logiciel peut être anodin pour rédiger un courrier et à haut risque pour classer des candidats.
Action 2 — Écarter tout usage interdit
C’est la vérification la plus rapide et la plus importante, parce qu’aucune mesure ne rattrape un usage interdit : il faut le cesser.
Parmi les pratiques interdites par l’article 5, celle qui concerne le plus directement les entreprises est la reconnaissance des émotions sur le lieu de travail, à partir de données biométriques comme le visage ou la voix, sauf motif médical ou de sécurité. Vérifiez les options « analyse d’engagement » ou « analyse d’émotions » de vos outils de visioconférence, de centre d’appels et d’entretien vidéo.
Sont aussi interdites la notation sociale, la manipulation subliminale, l’exploitation des vulnérabilités liées à l’âge ou au handicap, et la catégorisation biométrique fondée sur des données sensibles.
Action 3 — Respecter les obligations de transparence
L’article 50 s’applique depuis le 2 août 2026. Pour une PME, trois situations reviennent souvent :
Un chatbot sur votre site. Le visiteur doit savoir qu’il échange avec une IA et non avec une personne. L’obligation d’informer prévue à l’article 50, paragraphe 1, pèse sur le fournisseur de l’outil, mais c’est votre site : vérifiez que la mention apparaît clairement.
Des images, vidéos ou voix générées qui paraissent authentiques. Si elles représentent des personnes, des lieux ou des événements réels de façon trompeuse, il faut indiquer qu’elles ont été générées ou modifiées. Cette obligation-là pèse sur le déployeur, c’est-à-dire sur l’entreprise qui publie le contenu (article 50, paragraphe 4) ; l’éditeur de l’outil a, de son côté, ses propres obligations de marquage des contenus générés (paragraphe 2).
Des textes générés publiés pour informer le public sur des sujets d’intérêt général. Mention obligatoire, sauf si un humain les a relus et en assume la responsabilité éditoriale.
Un article de blog commercial relu par vous, ou un courrier rédigé avec un assistant, n’entrent pas dans ces cas.
Action 4 — Promouvoir la littératie IA de vos équipes
L’article 4, dans sa version réécrite, impose aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l’IA de leur personnel, en tenant compte des compétences, de l’expérience, de la formation et du contexte d’utilisation. Le texte précise désormais que cela n’oblige pas à garantir un niveau de compétence précis pour chaque personne.
Il n’impose pas de résultat chiffré, mais il reste une obligation. Concrètement, ces mesures peuvent être :
Une règle écrite qui dit quels outils sont autorisés, quelles données ne doivent jamais y être transmises, et qui relit quoi.
Une formation adaptée aux usages réels, plus poussée pour ceux qui utilisent l’IA sur des sujets sensibles comme le recrutement.
Une trace : qui a été formé, quand, sur quoi.
Sur la règle écrite et le piège qui la rend souvent inopposable, voyez notre article Politique d’usage de l’IA en entreprise : modèle et guide.
Action 5 — Préparer les usages à haut risque avant décembre 2027
Si l’inventaire fait apparaître un usage relevant de l’annexe III, typiquement le tri de candidatures ou l’évaluation des salariés (sauf exceptions de l’article 6, paragraphe 3), vous avez jusqu’au 2 décembre 2027 pour mettre en place ce que l’article 26 exigera :
utiliser le système conformément à la notice du fournisseur ;
confier la supervision à des personnes compétentes et formées ;
informer au préalable les salariés et les personnes concernées par les décisions ;
conserver les journaux générés par le système pendant au moins six mois ;
signaler les incidents graves.
Attention au faux répit. Le report de l’AI Act ne reporte pas le RGPD. L’article 22 du RGPD, qui encadre les décisions fondées exclusivement sur un traitement automatisé, s’applique déjà — et le recrutement fait partie des priorités de contrôle de la CNIL en 2026. Détails dans Trier des candidatures avec l’IA : est-ce autorisé ?
Qui contrôle, et quel est le risque réel
En France, la désignation des autorités de surveillance n’est pas encore définitive : le projet de loi d’adaptation au droit de l’Union qui l’organise était toujours en cours d’examen au 15 septembre 2026. La Commission cite la DGCCRF comme interlocuteur principal, en précisant que cette liste n’est pas définitive.
Les amendes sont fixées par les États membres dans les plafonds de l’article 99 du règlement, qui prévoit un traitement plus favorable pour les PME.
Soyons honnêtes sur le risque : pour une PME en 2026, le scénario le plus probable n’est pas un contrôle spécifique AI Act, mais une plainte — d’un candidat, d’un salarié, d’un client — qui déclenche un contrôle portant à la fois sur le RGPD et sur l’usage de l’IA. C’est à ce moment-là qu’un dossier daté fait la différence.
Ce que vous n’avez pas à faire
Pour un usage courant de l’IA, le règlement n’impose pas à une PME déployeuse :
d’obtenir une certification ;
d’enregistrer ses outils auprès d’une autorité ;
de nommer un « responsable IA » dédié ;
de faire réaliser un audit externe.
Méfiez-vous des offres qui vous vendent l’un de ces éléments comme une obligation. Ce qui vous protège, c’est un inventaire, des règles écrites, des équipes formées et des traces.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Des modèles pour documenter les actions 1 et 4. Vous renseignez votre raison sociale, votre effectif et vos outils, et vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met en forme votre registre des systèmes d’IA, votre politique d’usage de l’IA, votre journal des usages sensibles et une note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Règlement (UE) 2024/1689 sur l’intelligence artificielle, articles 4, 5, 26, 50, 99 et annexe III, modifié par le règlement (UE) 2026/1744
Law & Technology — Le Digital Omnibus réécrit l’article 4 (en anglais)
Gibson Dunn — Report des échéances du haut risque (en anglais)
Commission européenne — Questions-réponses sur l’article 50 (en anglais)
DGCCRF — Coordination des autorités de surveillance de l’IA en France
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.
