AI Act et PME : ce qui s'applique vraiment, et ce que change une IA locale
Mis à jour : novembre 2026
AI Act : que doit faire une PME ?
Moins que ce qu'on lit, mais pas rien.
Pour la plupart des PME, l'AI Act demande trois choses aujourd'hui : former les équipes, éviter les usages interdits, et signaler certains contenus. Les règles lourdes visent le haut risque, comme le tri de CV, et sont reportées au 2 décembre 2027.
Une IA locale ne vous sort pas de l'AI Act. Le règlement vise l'usage que vous faites de l'IA, pas l'endroit où elle tourne. En revanche, elle simplifie une bonne partie du travail, surtout sur les données. Voici le point à jour, après le règlement omnibus publié en juillet 2026.
Le calendrier, après l'omnibus de juillet 2026
Le règlement (UE) 2026/1744 a été publié au Journal officiel le 24 juillet 2026 et il est entré en vigueur le 27 juillet. Il repousse le haut risque, avec des dates fixes. Il ne touche ni aux interdictions déjà en place ni à la transparence.
Pratiques interdites et maîtrise de l'IA par le personnel. Déjà en vigueur.
Obligations des fournisseurs de modèles à usage général. Elles ne visent pas l'entreprise qui utilise un modèle.
Transparence de l'article 50. Déjà en vigueur. Les autorités nationales peuvent aussi contrôler la maîtrise de l'IA.
Nouvelles interdictions sur les contenus intimes non consentis et le matériel pédopornographique. Fin du sursis accordé aux fournisseurs de systèmes génératifs déjà sur le marché pour le marquage.
Systèmes à haut risque de l'annexe III : emploi, crédit, éducation, biométrie.
Systèmes à haut risque intégrés à des produits réglementés (annexe I).
Vous êtes presque toujours « déployeur »
L'AI Act distingue deux rôles. Le fournisseur développe un système et le met sur le marché. Le déployeur l'utilise dans son activité. Une PME qui utilise ChatGPT, Copilot ou un modèle open source sur sa machine est déployeur.
Le fait d'installer le modèle chez vous ne fait pas de vous un fournisseur. Attention en revanche si vous revendez un outil d'IA sous votre nom, ou si vous en changez l'usage prévu : vous pouvez alors prendre des obligations de fournisseur. C'est un point à vérifier avec un juriste.
Votre usage : où se situe-t-il ?
| Usage | Niveau | Ce que cela implique |
|---|---|---|
| Résumer des documents, rédiger, traduire, chercher dans vos dossiers | Risque minimal | Pas d'obligation propre, hors maîtrise de l'IA. |
| Assistant de discussion sur votre site | Transparence | La personne doit savoir qu'elle parle à une IA. Cette obligation pèse sur le fournisseur du système. Si l'outil est fait pour vous, vérifiez qu'il l'affiche. |
| Publier une image ou une vidéo truquée réaliste | Transparence | Vous devez signaler que le contenu est généré ou manipulé. |
| Publier un texte d'intérêt public généré par IA | Transparence | À signaler, sauf relecture éditoriale sous la responsabilité d'une personne identifiée. |
| Tri de CV, décision de promotion, suivi de la performance | Haut risque | Obligations du déployeur au 2 décembre 2027, dont l'information préalable des salariés et de leurs représentants. |
| Solvabilité d'une personne, tarif d'assurance vie ou santé | Haut risque | Mêmes échéances. Une détection de fraude n'est pas concernée pour le crédit. |
| Déduire les émotions d'un salarié au travail | Interdit | Interdit depuis le 2 février 2025, sauf raison médicale ou de sécurité. |
Ce que vous devez déjà faire
Soutenir la maîtrise de l'IA de vos équipes
L'article 4 a été assoupli. Vous devez prendre des mesures pour que vos salariés comprennent l'outil, sans devoir garantir un niveau précis pour chacun. On passe d'une obligation de résultat à une obligation de moyens. Une courte formation et des consignes écrites, datées, sont un bon début.
Écarter les usages interdits
Manipulation, notation sociale, inférence d'émotions au travail, catégorisation biométrique sensible. Une PME n'y touche presque jamais, mais vérifiez les fonctions des outils RH que vous achetez.
Signaler ce qui doit l'être
Contenus truqués réalistes et textes d'intérêt public non relus. Ajoutez la mention dans vos procédures de publication.
Les sanctions, et la règle pour les PME
| Manquement | Plafond général | Pour une PME |
|---|---|---|
| Pratiques interdites | 35 M€ ou 7 % du chiffre d'affaires mondial, le plus élevé | Le plus faible des deux |
| Obligations du déployeur, transparence | 15 M€ ou 3 %, le plus élevé | Le plus faible des deux |
| Informations inexactes aux autorités | 7,5 M€ ou 1 %, le plus élevé | Le plus faible des deux |
L'omnibus n'a pas changé ces plafonds. Il a ajouté des allègements pour les PME et les petites entreprises de taille intermédiaire, surtout côté fournisseurs : documentation technique simplifiée et gestion de la qualité proportionnée. En France, la désignation des autorités de contrôle n'était pas achevée à notre dernière vérification, en octobre 2026.
Ce qu'une IA locale change, et ce qu'elle ne change pas
| Sujet | Avec un service en ligne | Avec une IA locale |
|---|---|---|
| Niveau de risque de l'usage | Dépend de l'usage | Pareil : dépend de l'usage |
| Maîtrise de l'IA par le personnel | À faire | À faire |
| Données personnelles (RGPD) | Sous-traitant, transferts à vérifier | Elles restent chez vous, moins de sous-traitance à encadrer |
| Journaux d'usage | Selon l'offre du fournisseur | Chez vous, avec la durée que vous fixez |
| Changement du modèle | Le fournisseur peut le modifier | Il ne change que si vous le décidez |
Le plan en cinq étapes
1. Listez vos usages
Chaque outil d'IA, qui s'en sert, sur quelles données. Y compris les comptes personnels de ChatGPT utilisés au travail.
2. Classez-les
Avec le tableau ci-dessus. Isolez tout ce qui touche au recrutement, aux salariés, au crédit et à l'assurance.
3. Donnez des consignes écrites
Ce qui est autorisé, ce qui ne l'est pas, quelles données ne jamais coller dans un service en ligne.
4. Formez, et gardez une trace
Date, contenu, participants. C'est votre preuve de moyens pour l'article 4.
5. Sortez le sensible du cloud
Pour les dossiers de clients, de patients ou de salariés, faites tourner l'IA chez vous. Voyez combien coûte une IA locale en entreprise.
Mettre votre IA sur votre machine
Nous installons l'IA chez vous et nous développons les outils dont vous avez besoin, matériel et logiciel. Devis gratuit, sans engagement.
Questions fréquentes
L'AI Act s'applique-t-il à une PME ?
Oui, dès qu'elle utilise un système d'IA dans son activité. Mais pour la plupart des PME, les obligations sont légères : soutenir la maîtrise de l'IA du personnel, éviter les pratiques interdites et signaler certains contenus.
Quand s'appliquent les règles sur le haut risque ?
Le 2 décembre 2027 pour les systèmes de l'annexe III, comme le recrutement, le crédit ou l'éducation. Le 2 août 2028 pour l'IA intégrée à des produits réglementés. Ces dates viennent du règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026.
Une IA locale échappe-t-elle à l'AI Act ?
Non. Le règlement vise l'usage, pas le lieu d'exécution. Une IA locale utilisée pour trier des CV reste à haut risque. Elle simplifie en revanche le traitement des données personnelles et la documentation du modèle utilisé.
Utiliser un modèle open source fait-il de moi un fournisseur ?
En règle générale, non : vous restez déployeur. Vous pouvez prendre des obligations de fournisseur si vous mettez un système sur le marché sous votre nom ou si vous changez son usage prévu. Faites vérifier ce cas par un juriste.
Quelle amende risque une PME ?
Les plafonds vont de 7,5 millions d'euros ou 1 % du chiffre d'affaires à 35 millions ou 7 %. Pour une PME, c'est le plus faible des deux montants qui s'applique.
Faut-il former tous les salariés ?
Il faut prendre des mesures adaptées pour les personnes qui utilisent l'IA. Depuis l'omnibus, le texte n'exige pas de garantir un niveau précis pour chacun. Une formation courte, des consignes écrites et une trace datée sont une base raisonnable.
Sources : Règlement (UE) 2026/1744, texte consolidé ; ActuIA, obligations en vigueur et reports ; Orrick, huit changements de l'omnibus ; Données personnelles, nouveau calendrier. Synthèse à jour en novembre 2026, sans valeur de conseil juridique.
