Règlement européen sur l'IA : obligations des PME et calendrier

Le règlement européen sur l'IA, souvent appelé AI Act, est le premier texte au monde à encadrer l'intelligence artificielle par le risque. Pour une PME française qui utilise déjà un assistant, un agent ou un outil de synthèse, les questions sont simples : quelles obligations, et à quelle échéance ? Cet article répond avec le calendrier officiel, la classification par risque, les obligations réelles d'un utilisateur professionnel, et un plan en six étapes que nous appliquons avec nos clients. Il ne remplace pas l'avis d'un conseil juridique sur votre situation ; il vous permet d'arriver au rendez-vous avec les bonnes questions.

Le calendrier d'application

Ce calendrier tient compte du règlement (UE) 2026/1744, dit omnibus sur l'IA, entré en vigueur le 27 juillet 2026.

Ce que change l'omnibus de juillet 2026

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet 2026, modifie le règlement sur l'IA sur quatre points qui concernent une PME.

• Le report des obligations à haut risque : 2 décembre 2027 pour les systèmes de l'annexe III, 2 août 2028 pour les systèmes intégrés à des produits réglementés. Le report laisse du temps aux fournisseurs ; il ne change pas la liste des usages concernés.
• Une obligation de littératie allégée : la Commission et les États membres prennent un rôle plus actif pour promouvoir la maîtrise de l'IA. Former les personnes qui utilisent l'IA reste la façon la plus simple de réduire les erreurs et de répondre aux questions des clients.
• Deux interdictions nouvelles, à partir du 2 décembre 2026 : les systèmes qui génèrent des images, des vidéos ou des sons intimes d'une personne identifiable sans son consentement, et ceux qui génèrent des contenus pédocriminels.
• Des simplifications étendues : certaines mesures réservées jusque-là aux PME s'appliquent aussi aux petites entreprises de taille intermédiaire.

La classification par risque

Le règlement classe les systèmes d'IA en quatre niveaux, et les obligations dépendent du niveau.

Pour la plupart des PME, l'essentiel des usages relève du risque minimal ou du risque de transparence. Les cas à examiner de près sont ceux qui touchent aux personnes : recrutement, évaluation des salariés, décisions de crédit ou d'accès à un service essentiel.

Fournisseur ou déployeur

Le règlement distingue le fournisseur, qui développe ou fait développer un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans le cadre de son activité professionnelle. Une PME qui utilise un assistant du marché ou un agent construit sur un modèle existant est, dans la grande majorité des cas, un déployeur.

Les obligations d'un déployeur, résumées :

• Maîtrise de l'IA (littératie). Prévue depuis le 2 février 2025 pour le personnel qui utilise des systèmes d'IA, et allégée par l'omnibus de 2026. Une formation courte, adaptée au métier et documentée, reste la meilleure réponse : ce que l'outil fait, ses limites, les risques, le rôle de la relecture humaine.
• Transparence. Informer les personnes qu'elles interagissent avec une IA quand ce n'est pas évident, et signaler les contenus générés quand le règlement l'impose.
• Pour un usage à haut risque, à partir du 2 décembre 2027 : utiliser le système conformément à la notice du fournisseur, assurer une surveillance humaine par des personnes formées, conserver les journaux, informer les salariés et leurs représentants avant la mise en service, et réaliser dans certains cas une analyse d'impact sur les droits fondamentaux.
• Attention à la requalification. Une PME qui modifie substantiellement un système à haut risque, ou qui met sur le marché sous son nom un système qu'elle a fait développer, peut devenir fournisseur, avec les obligations qui vont avec.

Le RGPD continue de s'appliquer en parallèle : base légale, information des personnes, contrat de sous-traitance avec chaque prestataire, analyse d'impact quand le traitement le justifie. Les deux textes se cumulent ; ils ne se remplacent pas. Pour les professions soumises au secret, notre article IA et secret professionnel ajoute la couche déontologique.

Effets sur les outils du quotidien

La ligne de partage est nette : tant que l'IA prépare et qu'un humain décide, l'usage reste dans le risque minimal dans la plupart des entreprises. C'est la façon dont nous construisons les agents IA que nous livrons : validation humaine sur les décisions sensibles, journal des actions, accès aux données limité.

Le plan en six étapes pour une PME

1. Inventorier. Lister tous les usages d'IA de l'entreprise, y compris les usages officieux : assistants personnels, extensions de navigateur, fonctions IA intégrées aux logiciels du marché.
2. Qualifier. Pour chaque usage, déterminer le niveau de risque et votre rôle (déployeur, éventuellement fournisseur). Isoler les usages qui touchent à des décisions sur des personnes.
3. Former. Organiser la maîtrise de l'IA : une session adaptée au métier, un cadre d'usage écrit, une trace de qui a été formé et quand. Notre Formation IA d'une journée est construite pour ce besoin.
4. Documenter. Un registre des usages d'IA, les notices des fournisseurs, les contrats, les journaux des agents. Ce registre sert aussi au RGPD.
5. Informer. Les personnes qui interagissent avec une IA, les salariés concernés par un usage à haut risque, et les clients quand la transparence l'impose.
6. Surveiller. Une revue par trimestre : nouveaux usages, incidents, évolutions du texte et des lignes directrices, dont celles attendues de la Commission et des autorités françaises.

Les sanctions prévues

Le règlement prévoit des amendes administratives pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, 15 millions d'euros ou 3 % pour les autres manquements, et 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes, le montant le plus élevé étant retenu, avec des plafonds adaptés pour les PME et les jeunes entreprises. L'enjeu pratique pour une PME est moins l'amende que la capacité à répondre à un client, un partenaire ou un appel d'offres qui demande, de plus en plus souvent, comment l'IA est encadrée dans l'entreprise.

Intervention type

Un inventaire des usages, une qualification par niveau de risque, une charte d'usage d'une page, une journée de formation à la maîtrise de l'IA, et des agents construits avec les garde-fous décrits ci-dessus. Le tout tient dans un Diagnostic Express pour l'état des lieux, puis dans une journée de formation. Notre page conseil, stratégie et conformité décrit l'accompagnement complet.