Règlement européen sur l’IA : ce qui s’applique vraiment à votre PME

Depuis le 2 août 2026, on vous explique que votre entreprise doit se mettre en conformité avec le règlement européen sur l’intelligence artificielle. On vous propose des audits, des certifications, des formations obligatoires. La réalité est plus simple, et beaucoup moins coûteuse : pour une PME qui utilise ChatGPT, un chatbot et un outil de tri de CV, trois obligations s’appliquent aujourd’hui. Les autres attendront décembre 2027.

Cet article dit ce qui est en vigueur, ce qui a été reporté, et ce qu’on vous vend à tort comme une obligation. Les dates viennent du Journal officiel de l’Union européenne, pas d’un argumentaire commercial.

Le calendrier réel après le report de juillet 2026

Le règlement (UE) 2024/1689, appelé AI Act, est entré en vigueur le 1^er août 2024. Son application est échelonnée sur trois ans. Jusqu’à l’été 2026, la date qui inquiétait tout le monde était le 2 août 2026 : les obligations lourdes sur les systèmes à haut risque devaient s’appliquer ce jour-là.

Elles ne s’appliquent pas. Le règlement (UE) 2026/1744 du 8 juillet 2026, connu sous le nom de train de mesures omnibus numérique sur l’IA, a été publié au Journal officiel le 24 juillet et est entré en vigueur le 27 juillet 2026. Il repousse les sections 1, 2 et 3 du chapitre III de l’AI Act.

Le législateur européen donne trois raisons dans le texte lui-même : les normes harmonisées ne sont pas prêtes, les spécifications communes non plus, et les autorités nationales compétentes ne sont pas toutes en place. Maintenir la date d’août 2026 aurait fait exploser les coûts de mise en conformité sans bénéfice réel.

Retenez le mécanisme : le report porte sur des dates calendaires fixes. Il n’est pas conditionné à la publication des normes. Il n’y a pas de clause qui ramènerait l’échéance plus tôt si les travaux avançaient.

Fournisseur ou déployeur : votre rôle décide de tout

Avant de lire une seule obligation, répondez à une question : éditez-vous le système d’IA, ou l’utilisez-vous ? Le règlement ne traite pas ces deux situations de la même façon, et la quasi-totalité des PME se trouve du côté le plus léger.

Attention à un raccourci qui circule beaucoup : « déployeur, donc rien à faire ». C’est vrai pour un système à risque minimal ou limité. Ça ne l’est pas pour un système à haut risque. Un déployeur de système à haut risque doit, à partir de décembre 2027, confier la supervision à des personnes compétentes et formées, s’assurer que les données d’entrée sont pertinentes, conserver les journaux au moins six mois et informer les représentants du personnel avant la mise en service.

Un dernier cas à connaître : vous devenez fournisseur si vous apposez votre marque sur un système d’IA existant, si vous en modifiez la finalité, ou si vous modifiez substantiellement un système à haut risque. Une PME qui revend un outil sous sa propre marque bascule dans la colonne de gauche.

Les quatre niveaux de risque, traduits en langage PME

L’AI Act ne régule pas l’IA en général. Il régule des usages, classés en quatre catégories. Votre travail de dirigeant consiste à ranger chacun de vos outils dans la bonne case. C’est tout ce que demande le texte à ce stade.

Un exemple concret. Une PME de 40 salariés utilise ChatGPT pour rédiger des offres commerciales, un chatbot sur son site, et un logiciel de paie avec suggestion automatique. Résultat du classement : risque minimal pour le premier usage, risque limité pour le deuxième, risque minimal pour le troisième. Aucune obligation lourde. Le jour où la DRH branche un outil qui classe automatiquement les candidatures, elle passe en haut risque.

Les trois obligations qui s’appliquent à vous aujourd’hui

1. Ne pas utiliser une pratique interdite

Huit pratiques sont interdites depuis le 2 février 2025. Une seule concerne réellement les PME : l’analyse des émotions des salariés par un système d’IA sur le lieu de travail. Cela vise les outils qui prétendent mesurer l’engagement, la fatigue ou le stress d’une équipe à partir de la voix, du visage ou de la frappe au clavier. Les exceptions sont étroites : raison médicale ou sécurité.

Deux pratiques ont été ajoutées à cette liste par le règlement de juillet 2026, applicables le 2 décembre 2026 : les systèmes qui génèrent des images intimes non consenties et ceux qui produisent du matériel d’abus sexuel sur mineur. Elles relèvent du même article 5, donc du même plafond de sanction.

Cette interdiction est la seule dont le non-respect déclenche l’amende maximale. Si un éditeur vous propose un outil de mesure du climat social par analyse faciale ou vocale, la réponse est non, quelle que soit la promesse commerciale.

2. Soutenir la montée en compétence de vos équipes

L’article 4 impose depuis février 2025 une obligation de littératie IA. Le règlement de juillet 2026 l’a entièrement réécrit, et le changement compte pour vous.

Dans la version d’origine, fournisseurs et déployeurs devaient garantir un niveau suffisant de maîtrise chez les personnes qui utilisent leurs systèmes. Depuis le 27 juillet 2026, ils doivent prendre des mesures pour soutenir le développement de cette littératie. Le texte précise en outre qu’il n’exige pas de garantir un niveau spécifique pour chaque personne.

Le juriste appellera ça le passage d’une obligation de résultat à une obligation de moyens. Le dirigeant retiendra ceci : vous devez pouvoir montrer que vous avez fait quelque chose, pas prouver que chacun de vos salariés a atteint un niveau mesuré.

Alors pourquoi former ? Pour une raison qui n’a rien à voir avec l’amende. Un salarié qui colle un fichier client dans un outil grand public crée un problème RGPD réel, celui-là sanctionné. Bpifrance Le Lab relève que 33 % des dirigeants interrogés citent les mauvais usages, dont le partage de données confidentielles, parmi leurs freins à l’adoption. La formation de vos équipes à l’IA se justifie par ce risque-là et par la qualité des usages, pas par une sanction imaginaire.

Un vendeur qui vous annonce une amende pour défaut de formation vous cite un texte qui n’existe pas, dans une version qui a changé il y a un mois.

3. Dire quand c’est une IA qui parle

L’article 50 s’applique depuis le 2 août 2026. Il pose quatre règles, dont deux vous concernent directement en tant qu’utilisateur professionnel.

• Votre chatbot doit se présenter comme une machine. Une phrase au premier message suffit. L’obligation tombe seulement si le caractère artificiel est évident pour une personne normalement attentive.
• Vos deepfakes doivent être signalés. Si vous publiez une image, une vidéo ou un enregistrement audio qui ressemble à une personne, un lieu ou un évènement réel sans l’être, vous devez le dire. Pour une œuvre artistique ou satirique, la mention peut être discrète.

Ce qui arrive en décembre 2027

Le régime haut risque est le vrai morceau du règlement. Il s’appliquera aux systèmes de l’annexe III le 2 décembre 2027. Pour une PME, quatre familles d’usage sont concernées.

1. Emploi et gestion des travailleurs : publication ciblée d’offres, tri et classement des candidatures, décisions de promotion ou de rupture, répartition des tâches, suivi et évaluation des performances.
2. Accès aux services essentiels : évaluation de solvabilité, notation de crédit, tarification en assurance vie et santé.
3. Éducation et formation professionnelle : admission, évaluation des acquis, surveillance des examens.
4. Infrastructures critiques : sécurité de la fourniture d’eau, de gaz, d’électricité, du trafic routier.

Si vous tombez dans l’une de ces cases, les obligations qui vous attendent en tant que déployeur sont substantielles : contrôle humain confié à des personnes compétentes et formées, données d’entrée pertinentes et représentatives, conservation des journaux pendant au moins six mois, information des représentants du personnel et des salariés concernés avant la mise en service.

Cette dernière obligation mérite d’être anticipée. Elle vous impose d’informer votre CSE et vos salariés avant de brancher un outil de tri de CV, pas après. Elle relève de la même section reportée, donc elle n’est pas encore exigible, mais la préparer prend des semaines, pas des heures. Si votre PME envisage d’automatiser une partie de son recrutement, lisez d’abord ce que l’IA change vraiment côté RH.

Ce que le règlement prévoit pour les PME

Le règlement de juillet 2026 n’a pas fait que reporter des échéances. Il a aussi élargi les mesures en faveur des petites structures. Quatre méritent d’être connues.

Un point d’honnêteté sur ces allègements : les deux premiers ne concernent que le rôle de fournisseur. Une PME qui utilise ChatGPT et un chatbot n’a ni documentation technique ni système de gestion de la qualité à produire, ni avant ni après simplification. Vous les lirez pourtant présentés comme des cadeaux faits à toutes les PME, ce qui laisse croire à une contrainte qui n’a jamais existé pour vous.

Le troisième, en revanche, vous concerne directement. Et le quatrième mérite une note au calendrier : en France, aucun bac à sable n’est encore ouvert, et l’échéance a elle-même été repoussée d’août 2026 à août 2027.

Quatre choses qu’on vous vend à tort comme obligatoires

Sanctions : les vrais montants

L’article 99 fixe trois niveaux. Les plafonds circulent partout, souvent sans préciser à quoi ils correspondent.

Deux précisions qui changent la lecture. D’abord, le montant retenu est le plus élevé des deux, sauf pour les PME et les jeunes entreprises, pour lesquelles c’est le plus faible qui s’applique. Une PME de 4 M€ de chiffre d’affaires ne risque pas 35 M€ : elle risque 7 % de son chiffre d’affaires, soit 280 000 €, ce qui reste sérieux.

Ensuite, les autorités doivent tenir compte de la taille de l’entreprise et de sa situation économique. Le plafond est un maximum théorique, pas un tarif.

Qui contrôle en France

À la fin août 2026, la France n’a pas encore adopté sa loi d’adaptation. Le schéma présenté par le gouvernement en septembre 2025 prévoit une supervision répartie : la DGCCRF en coordinatrice et point de contact unique, la CNIL sur les données personnelles et la biométrie, l’Arcom sur l’audiovisuel et les deepfakes, l’ACPR sur la finance, l’ANSSI, la HAS et l’ANSM sur leurs champs respectifs.

Ce schéma attend son vote. Le retard n’est pas anecdotique : c’est l’une des raisons que la Commission européenne invoque pour justifier le report de décembre 2027. Concrètement, pour une PME, cela signifie qu’aucun contrôle massif n’est à craindre dans les mois qui viennent. Cela ne signifie pas que les obligations n’existent pas.

Cinq vérifications à faire cette semaine

Autrement dit : le règlement européen n’est pas ce qui vous empêche d’avancer. Il vous demande de savoir ce que vous utilisez et de le dire quand un client parle à une machine. Le reste de votre énergie mérite d’aller sur la question qui compte, celle de savoir par où commencer sans DSI ni budget.

Questions fréquentes

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, articles 4, 5, 26, 50, 63, 99 et annexe III.
• Règlement (UE) 2026/1744 du 8 juillet 2026, train de mesures omnibus numérique sur l’IA. Voté par le Parlement européen le 16 juin 2026, approuvé par le Conseil le 29 juin, publié au JO L du 24 juillet, entré en vigueur le 27 juillet 2026. Considérant 40 pour le report du chapitre III, réécriture de l’article 4, mesures en faveur des PME et report des bacs à sable nationaux au 2 août 2027.
• Bpifrance Le Lab, « L’IA dans les PME et ETI françaises », enquête auprès de 1 209 dirigeants et plus de 40 entretiens qualitatifs, publiée en juin 2025, mise à jour en mars 2026.
• Schéma de désignation des autorités françaises compétentes, présenté par le gouvernement en septembre 2025, en attente d’adoption parlementaire.

Chiffres et dates vérifiés le 27 août 2026, après l’entrée en vigueur du règlement omnibus. Ce texte donne des repères de lecture, il ne remplace pas l’avis d’un avocat sur votre situation.

Pour aller plus loin : financer votre projet d’intelligence artificielle, ou voir l’IA appliquée à vingt-cinq métiers.