L’AI Act concerne votre PME dès lors qu’elle utilise un système d’IA (ChatGPT, Copilot, un chatbot, un outil de tri de CV), pas seulement ceux qui en développent. Le règlement s’applique dans sa plus grande partie depuis le 2 août 2026, et le Digital Omnibus de juillet 2026 a reporté ses obligations les plus lourdes (haut risque) à fin 2027. Mais une obligation s’applique déjà depuis le 2 février 2025 : la maîtrise de l’IA par vos équipes (Article 4). Autrement dit, se mettre en conformité, c’est aussi former ses salariés.

Ce guide fait ce que la plupart des articles oublient : il relie noir sur blanc la conformité réglementaire à l’obligation de montée en compétence. Aucun seuil d’effectif ne vous exonère. Voici, étape par étape, ce que l’AI Act impose à une PME française, ce qui change en 2026, les sanctions réelles (et leurs allègements PME), et par où commencer concrètement.

Qu’est-ce que l’AI Act et qui est concerné ?

L’AI Act est le règlement (UE) 2024/1689, présenté par la Commission européenne comme le premier cadre juridique complet sur l’intelligence artificielle. Il s’applique à toute entreprise qui développe ou utilise un système d’IA dans l’Union, quel que soit son secteur. Une PME qui se sert de ChatGPT, de Copilot ou d’un chatbot est un « déployeur » et entre dans le champ du texte. Aucun seuil d’effectif ni de chiffre d’affaires ne conditionne son application.

Le règlement distingue deux rôles qui intéressent directement une PME. Le fournisseur (« provider ») est l’éditeur qui met le système sur le marché. Le déployeur (« deployer ») est l’entreprise qui l’utilise dans son activité professionnelle. La plupart des PME sont des déployeurs : elles n’entraînent pas de modèle, mais elles intègrent des outils d’IA dans leur quotidien.

C’est ce point que beaucoup de dirigeants sous-estiment. Selon la CNIL (2025), le règlement ne prévoit aucune exemption fondée sur la taille de l’entreprise : il s’applique uniformément selon le rôle et le niveau de risque du système (source : CNIL, premières questions-réponses). Une TPE de trois personnes peut donc être concernée, là où elle pensait passer sous les radars.

Le texte prévoit en revanche de vrais allègements pour les PME et start-ups. Documentation technique simplifiée (Article 11(1)), accès prioritaire aux bacs à sable réglementaires et frais de conformité réduits proportionnellement à la taille (Article 62), amendes calculées sur le plafond le plus bas (Article 99(6)). La règle est claire : pas d’exemption d’application, mais une application proportionnée.

Comment l’AI Act classe-t-il les systèmes d’IA ?

L’AI Act établit quatre catégories de risque, et plus le risque est élevé, plus les obligations sont lourdes. Cette grille détermine ce que votre PME doit faire pour chaque outil. La majorité des usages bureautiques relèvent des deux derniers niveaux, mais certains usages RH basculent en haut risque à partir du 2 décembre 2027.

Voici les quatre catégories, selon la Commission européenne (2025, source : cadre réglementaire de l’IA) :

  • Risque inacceptable (Article 5) : pratiques interdites depuis le 2 février 2025 (notation sociale, manipulation, certaines surveillances biométriques). Rare en PME, mais à vérifier.
  • Haut risque : systèmes très encadrés. L’Annexe III vise notamment l’emploi et les RH (tri de candidatures, évaluation), l’éducation, l’accès aux services. Obligations applicables au 2 décembre 2027, après le report voté en juillet 2026.
  • Risque de transparence (Article 50) : chatbots, contenus générés par IA. Obligation d’informer l’utilisateur qu’il interagit avec une IA ou lit un contenu généré, applicable depuis le 2 août 2026. Seul délai accordé par le Digital Omnibus : les éditeurs d’IA générative déjà sur le marché ont jusqu’au 2 décembre 2026 pour marquer les contenus produits.
  • Risque minimal : la majorité des systèmes (assistants de rédaction, traduction, productivité). Aucune obligation spécifique au titre de l’AI Act, mais le RGPD et vos contrats continuent de s’appliquer.

Calendrier AI Act : qu’est-ce qui s’applique, et quand ?

Depuis le 2 août 2026, l’AI Act est applicable dans sa plus grande partie. Mais le règlement (UE) 2026/1744, dit Digital Omnibus, publié au Journal officiel le 24 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque listés à l’Annexe III : biométrie, infrastructures critiques, éducation, emploi et RH, accès aux services. Pour une PME, la date pivot devient le 2 décembre 2027, en particulier si elle utilise un outil de recrutement ou d’évaluation des salariés assisté par IA.

Le règlement s’applique par étapes successives, depuis son entrée en vigueur le 1er août 2024 (vingt jours après sa publication au Journal officiel de l’UE le 12 juillet 2024, source : A&O Shearman).

Voici le calendrier de référence à retenir, tel que modifié par le Digital Omnibus (2026) :

  • 1er août 2024 : entrée en vigueur du règlement.
  • 2 février 2025 : application des Chapitres I et II, soit les pratiques interdites (Article 5) et l’obligation de maîtrise de l’IA (Article 4). Déjà en vigueur.
  • 2 août 2025 : règles de gouvernance, obligations sur les modèles d’IA à usage général (GPAI) et désignation des autorités nationales compétentes.
  • 27 juillet 2026 : entrée en vigueur du règlement Digital Omnibus (UE) 2026/1744, qui réécrit l’Article 4 et reporte les échéances haut risque (texte officiel : EUR-Lex, CELEX 32026R1744).
  • 2 août 2026 : date d’application générale du règlement, hors systèmes à haut risque.
  • 2 décembre 2027 : systèmes à haut risque de l’Annexe III (RH, éducation, services).
  • 2 août 2028 : systèmes à haut risque intégrés à des produits déjà réglementés par l’UE (Annexe I : jouets, dispositifs médicaux, ascenseurs). Les machines sortent de ce calendrier : le Digital Omnibus les renvoie au règlement machines (UE) 2023/1230. Calendrier fixé par l’Article 113 du règlement, modifié par le Digital Omnibus (texte d’origine : EUR-Lex, CELEX 32024R1689).

Le message pour une PME est simple. Deux obligations vous concernent déjà : ne pas utiliser de pratique interdite, et prendre des mesures pour développer la maîtrise de l’IA de vos équipes. Le reste se prépare avant décembre 2027. Attendre la dernière minute, c’est arriver en retard sur un sujet qui réclame de la documentation et de la pédagogie internes.

Article 4 : l’AI Act impose-t-il de former ses salariés à l’IA ?

Oui, sous une forme assouplie. L’Article 4 de l’AI Act, applicable depuis le 2 février 2025, a été réécrit par le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026. Il oblige désormais fournisseurs et déployeurs à prendre des mesures pour « favoriser le développement de la maîtrise de l’IA » (AI literacy) de leurs salariés et de toute personne utilisant ces systèmes pour leur compte. Pour une PME qui déploie des outils d’IA, la formation reste la mesure la plus simple à démontrer.

Le texte en vigueur est clair sur le périmètre, et sur sa limite : « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte […]. Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. » (source : règlement (UE) 2026/1744, EUR-Lex). Le mot « déployeurs » place toute entreprise utilisatrice dans le champ, pas seulement les éditeurs de logiciels. La version d’origine exigeait « un niveau suffisant » de maîtrise : cette exigence de résultat a disparu, l’obligation d’agir demeure.

C’est le point que personne ne fait, et c’est le cœur de ce guide. La conformité à l’AI Act passe par une montée en compétence. On ne peut pas démontrer un usage maîtrisé de l’IA si les équipes ne savent pas reconnaître une hallucination, protéger une donnée confidentielle ou vérifier une sortie de modèle. Se mettre en conformité et former ses salariés ne sont pas deux chantiers distincts : c’est le même.

L’Article 4 n’impose pas un format unique. Il exige des « mesures », adaptées au contexte, aux connaissances techniques et à l’expérience des personnes concernées, et demande à la Commission et aux États membres d’aider les PME à s’y conformer. En pratique, les autorités attendent une action documentée et adaptée aux outils réellement utilisés. Une formation courte, ciblée sur vos outils, traçable, est la réponse la plus solide.

« L’AI Act transforme la formation d’un coût optionnel en preuve de conformité. Une PME qui forme ses équipes sur ses outils réels, et qui le documente, ne coche pas une case : elle construit la démonstration qu’on lui demandera. C’est plus simple, et plus rentable, de le faire avant le contrôle qu’après. » Théo Lacazale, fondateur d’OMIA

Concrètement, une formation IA structurée et adaptée à vos métiers répond à deux besoins en une fois : elle constitue la mesure attendue par l’Article 4, et elle accélère l’adoption utile de l’IA dans l’entreprise. Pour le persona RH, c’est aussi l’argument central du financement : la formation devient un investissement de conformité, pas une dépense de confort.

AI Act vs RGPD : quelle différence, faut-il cumuler les deux ?

L’AI Act et le RGPD sont deux régimes distincts qui se cumulent. Le RGPD encadre le traitement des données à caractère personnel ; l’AI Act encadre la conception, la mise sur le marché et l’usage des systèmes d’IA selon leur risque. Selon la CNIL (2025), le règlement IA ne remplace pas les exigences du RGPD : dès qu’un système d’IA traite des données personnelles, les deux s’appliquent simultanément.

La différence d’objet est nette. Le RGPD répond à la question « comment traitez-vous des données personnelles, sur quelle base légale, avec quels droits pour les personnes ? ». L’AI Act répond à « ce système d’IA présente-t-il un risque, et avez-vous les garde-fous, la transparence et les compétences correspondants ? ». Un outil d’IA peut donc être conforme RGPD mais soulever des obligations AI Act, et inversement.

Pour une PME, le point pratique est le suivant : en phase de déploiement, le déployeur d’un système d’IA qui traite des données personnelles en est le plus souvent responsable de traitement au sens du RGPD (source : CNIL, 2025). Si vos commerciaux collent des fichiers clients dans un assistant IA, vous engagez votre responsabilité RGPD et votre conformité AI Act au même moment.

La bonne nouvelle, c’est que les deux chantiers se nourrissent l’un l’autre. Le registre de vos usages IA recoupe votre registre de traitements RGPD. Une charte IA interne claire traite à la fois les données autorisées (RGPD) et les usages encadrés (AI Act). Cadrer une fois, proprement, sert les deux régimes.

Quelles sanctions en cas de non-conformité à l’AI Act ?

L’AI Act prévoit trois paliers de sanctions selon la gravité du manquement, pouvant aller jusqu’à 35 000 000 € ou 7 % du chiffre d’affaires annuel mondial. Mais pour une PME, un mécanisme spécifique change tout : l’amende est plafonnée au montant le plus bas entre la somme en euros et le pourcentage du chiffre d’affaires, et non le plus élevé comme pour les grands groupes.

Voici les trois paliers, selon l’Article 99 du règlement (texte consolidé : Article 99, AI Act ; texte officiel à recouper : EUR-Lex, CELEX 32024R1689) :

  • Palier 1 (Article 99(3)) : violation des pratiques interdites (Article 5). Jusqu’à 35 000 000 € ou 7 % du CA annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
  • Palier 2 (Article 99(4)) : non-respect des autres obligations (déployeurs Article 26, fournisseurs Article 16, transparence Article 50, etc.). Jusqu’à 15 000 000 € ou 3 % du CA mondial annuel, le plus élevé retenu.
  • Palier 3 (Article 99(5)) : informations inexactes, incomplètes ou trompeuses fournies aux autorités ou organismes notifiés. Jusqu’à 7 500 000 € ou 1 % du CA mondial annuel, le plus élevé retenu.

L’allègement PME est inscrit noir sur blanc à l’Article 99(6) : « In the case of SMEs, including start-ups, each fine… shall be up to the percentages or amount referred to in paragraphs 3, 4 and 5, whichever thereof is lower ». Traduction : pour une PME, on retient le montant le plus bas, ce qui rend la sanction proportionnée à sa taille réelle. Le plafond en euros n’est pas conçu pour pulvériser une TPE. Depuis le Digital Omnibus de juillet 2026, ce plafond le plus bas vaut aussi pour les « petites entreprises à moyenne capitalisation », la catégorie juste au-dessus des PME.

Cela ne doit pas faire baisser la garde pour autant. Le risque le plus probable pour une PME n’est pas une amende record sur une pratique interdite, mais un manquement aux obligations de transparence ou de maîtrise de l’IA, le jour où un client, un partenaire ou une autorité demande à voir vos garde-fous. La meilleure protection reste documentaire : savoir ce que vous utilisez, l’avoir encadré, et pouvoir le prouver.

Que doit faire concrètement une PME pour se mettre en conformité ?

Une PME doit suivre cinq étapes : cartographier ses usages d’IA, classer chaque usage par niveau de risque, vérifier les garanties de ses fournisseurs, encadrer les usages par une charte et une supervision humaine, puis former ses équipes. Aucune de ces étapes ne suppose une équipe juridique dédiée. L’enjeu n’est pas la conformité d’un modèle que vous n’avez pas développé, mais la conformité de vos usages.

Voici la marche à suivre, dans l’ordre :

  1. Cartographier les usages réels. Listez tous les outils d’IA utilisés, y compris ceux adoptés sans validation (le « shadow AI »). Pour chacun : qui l’utilise, pour quoi, avec quelles données. C’est souvent l’étape la plus révélatrice.
  2. Classer chaque usage par risque. Interdit, haut risque, transparence, ou minimal (voir la grille plus haut). Repérez en priorité tout usage RH ou d’évaluation, candidat au haut risque à partir du 2 décembre 2027.
  3. Vérifier les fournisseurs. Pour chaque outil : où sont traitées les données, quelle rétention, quels sous-traitants, quelles options de confidentialité, quelle documentation fournie. Conservez une fiche par outil.
  4. Encadrer et superviser. Rédigez une règle « données autorisées / interdites », posez une charte IA opérationnelle, désignez un responsable, et garantissez une supervision humaine sur les décisions sensibles. Activez la transparence quand l’IA interagit avec des utilisateurs (Article 50).
  5. Former les équipes. C’est la réponse la plus directe à l’Article 4, déjà applicable. Une formation courte, ciblée sur vos outils et tracée, transforme l’obligation en compétence.

Un fil conducteur relie ces cinq étapes : la preuve. Un registre des cas d’usage (un tableau suffit pour démarrer), des fiches fournisseurs, une charte signée, des attestations de formation. Le jour où une question tombe, c’est ce dossier qui fait la différence entre une PME sereine et une PME prise au dépourvu. Pour le détail opérationnel, notre guide AI Act 2026 : ce qui change pour les entreprises détaille les actions concrètes à mener.

Par où commencer pour se mettre en conformité ?

Commencez par un diagnostic de vos usages, puis enchaînez sur la formation des équipes : ce sont les deux chantiers à plus fort effet, et l’Article 4 demande déjà d’agir sur le second. Le diagnostic vous donne l’état des lieux (quels outils, quels risques, quelles données, quelles preuves manquantes). La formation comble l’écart de compétence et produit la trace de conformité attendue.

L’ordre compte. Sans cartographie, on forme à l’aveugle et on encadre des usages qu’on n’a pas identifiés. Un diagnostic de conformité IA pose la photographie de départ : il révèle le shadow AI, classe vos usages par risque, et hiérarchise les actions selon votre échéance réelle. Pour une PME, c’est la façon la plus rapide d’éviter de tout traiter en même temps.

Vient ensuite la montée en compétence. Une formation IA pensée pour les équipes de PME répond directement à l’Article 4, et OMIA est un organisme de formation certifié Qualiopi, ce qui ouvre l’accès aux financements OPCO, FIF PL ou AGEFICE selon votre situation. Pour le persona RH, c’est l’occasion d’inscrire la conformité IA au plan de formation, avec un dossier de financement à l’appui.

L’essentiel est de ne pas attendre décembre 2027 pour démarrer. Deux obligations vous concernent déjà depuis février 2025, et la documentation interne, la pédagogie et l’encadrement des usages prennent du temps à installer proprement. Mieux vaut un cadre simple en place tôt qu’une mise en conformité dans l’urgence.