AI Act : mettre votre PME en conformité (guide 2026)

L'essentiel à retenir

L'AI Act — officiellement le Règlement (UE) 2024/1689 — est le premier cadre juridique mondial encadrant l'intelligence artificielle. Entré en vigueur le 1er août 2024, il s'applique par paliers : les interdictions (février 2025) et les obligations des modèles à usage général (août 2025) sont déjà applicables. Les obligations complètes des systèmes à haut risque, initialement prévues au 2 août 2026, viennent d'être reportées au 2 décembre 2027 par le paquet de simplification européen approuvé fin juin 2026 — mais les obligations de transparence (chatbots, contenus générés) s'appliquent bien depuis le 2 août 2026 (le détail du report et de ce qui reste dû). Contrairement à une idée reçue, il ne concerne pas uniquement les grandes entreprises technologiques : toute organisation qui utilise, déploie ou distribue des systèmes d'IA sur le territoire européen est concernée, y compris les PME.

Selon Eurostat, 20 % des entreprises européennes utilisaient l'IA en 2025 — contre 13,5 % un an plus tôt. Et la réalité en PME dépasse souvent les déclarations : Copilot dans Microsoft 365, filtres intelligents, CRM enrichis… beaucoup d'IA est déjà là sans être recensée. Si votre entreprise utilise ChatGPT, Copilot, un chatbot client ou un outil de scoring, vous êtes concerné.

Les 4 niveaux de risque de l'AI Act

Le règlement adopte une approche proportionnelle basée sur le risque. Plus le risque d'un système IA est élevé, plus les obligations sont strictes.

Risque inacceptable — Systèmes interdits

Certains usages de l'IA sont purement et simplement interdits depuis février 2025 :

• Le scoring social (notation des citoyens par les pouvoirs publics)
• La manipulation subliminale ou exploitant les vulnérabilités
• La reconnaissance faciale en temps réel dans l'espace public (sauf exceptions judiciaires)
• La catégorisation biométrique fondée sur des données sensibles

Impact PME : si vous utilisez un outil qui catégorise automatiquement des personnes selon des critères biométriques ou émotionnels, il est potentiellement illégal.

Haut risque — Obligations strictes

Les systèmes à haut risque sont soumis aux obligations les plus lourdes :

• Secteurs concernés : ressources humaines (recrutement, évaluation), crédit et assurance, santé, éducation, justice, infrastructures critiques
• Obligations : système de gestion des risques, gouvernance des données, documentation technique, transparence envers les utilisateurs, supervision humaine, robustesse et cybersécurité
• Enregistrement dans la base de données européenne avant mise sur le marché

Distinction importante : ces obligations lourdes pèsent sur le fournisseur (celui qui développe ou commercialise l'outil). Une PME qui utilise un outil du marché est déployeur (art. 26) : ses obligations réelles sont la supervision humaine, la qualité des données d'entrée, l'information des personnes concernées et l'usage conforme à la notice du fournisseur — plus légères, mais bien réelles. Attention toutefois : personnaliser fortement un outil peut vous requalifier en fournisseur.

Impact PME : si vous utilisez un outil IA pour le tri de CV, le scoring client ou l'évaluation de risque crédit, vous êtes probablement déployeur d'un système à haut risque.

Risque limité — Obligations de transparence

Les systèmes à risque limité doivent respecter des obligations de transparence :

• Les chatbots doivent indiquer clairement qu'ils sont des systèmes IA
• Les deepfakes et contenus générés par IA doivent être étiquetés
• Les systèmes de reconnaissance d'émotions doivent informer les personnes concernées

Impact PME : si vous avez un chatbot sur votre site ou si vous générez du contenu avec l'IA, vous devez le signaler.

Risque minimal — Pas d'obligations spécifiques

La majorité des usages courants en PME tombent dans cette catégorie :

• Assistants de rédaction (ChatGPT, Claude, Gemini)
• Outils d'automatisation de workflows (Zapier, Make)
• Filtres anti-spam, correcteurs orthographiques IA

Bonne nouvelle : ces outils ne nécessitent pas de conformité spécifique à l'AI Act, mais restent soumis au RGPD pour les données personnelles.

Le calendrier de l'AI Act (2025-2028)

L'AI Act s'applique de manière progressive — et les trois premières marches sont déjà en vigueur. Les échéances « haut risque » ont été reportées fin juin 2026 par le paquet de simplification européen (« digital omnibus ») ; la transparence, elle, s'applique bien depuis le 2 août 2026 : votre chatbot doit se déclarer comme IA, vos contenus générés doivent être identifiables. Seule souplesse : le marquage technique des contenus générés (art. 50(2)) bénéficie d'un sursis au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026.

Le report soulage le dossier le plus lourd, il ne l'annule pas : une mise en conformité « haut risque » se prépare sur plusieurs mois — ce qui reste obligatoire malgré le report, et par où commencer.

Les sanctions de l'AI Act : jusqu'à 35 M€

L'AI Act prévoit des sanctions dissuasives, proportionnelles au chiffre d'affaires mondial :

• Jusqu'à 35 millions d'euros ou 7 % du CA pour les pratiques interdites
• Jusqu'à 15 millions d'euros ou 3 % du CA pour les autres infractions
• Jusqu'à 7,5 millions d'euros ou 1 % du CA pour les informations inexactes

En principe, l'amende retenue est le montant le plus élevé entre le pourcentage du chiffre d'affaires et le montant fixe. Par exception, pour les PME et startups, c'est le montant le plus faible des deux qui s'applique (article 99 du règlement).

AI Act : les actions prioritaires pour votre PME

Quelle que soit la taille de votre organisation, voici les 5 actions prioritaires :

1. Inventorier vos systèmes IA

Dressez la liste de tous les outils IA utilisés dans votre organisation. N'oubliez pas les IA "cachées" : Copilot dans Microsoft 365, les fonctionnalités IA de votre CRM, les outils utilisés de manière informelle par vos équipes (shadow AI). Cet inventaire IA est aussi la première étape d'une stratégie IA d'ensemble — et pour voir la démarche appliquée sur le terrain, l'exemple d'un cabinet comptable en 3 mois.

2. Classifier chaque système par niveau de risque

Pour chaque outil, déterminez s'il relève du risque minimal, limité, haut ou inacceptable. En cas de doute, consultez les lignes directrices de la Commission européenne.

3. Documenter les données et les décisions

Pour les systèmes à haut risque, documentez les données utilisées, les décisions prises par le système, et les mesures de supervision humaine en place.

4. Former vos équipes

L'article 4 de l'AI Act impose une obligation de culture IA (AI literacy) : les personnes utilisant des systèmes IA doivent avoir un niveau suffisant de compréhension. Découvrez mes formations adaptées aux PME.

5. Désigner un responsable conformité IA

Identifiez une personne référente — votre DPO peut endosser ce rôle — qui supervisera la conformité IA au même titre que la conformité RGPD.

AI Act et RGPD : quelle articulation ?

L'AI Act ne remplace pas le RGPD. Les deux règlements se complètent :

• Le RGPD protège les données personnelles utilisées par les systèmes IA
• L'AI Act encadre les systèmes IA eux-mêmes, indépendamment des données
• Une violation peut relever des deux règlements simultanément

Si vous êtes déjà en conformité RGPD, vous avez une longueur d'avance : les processus de documentation, de gouvernance des données et de désignation d'un DPO sont directement réutilisables.

FAQ

L'AI Act concerne-t-il les PME qui utilisent simplement ChatGPT ?

Oui, mais de manière limitée. L'utilisation de ChatGPT ou Claude pour la rédaction relève du risque minimal et ne nécessite pas de conformité spécifique à l'AI Act. En revanche, l'obligation de culture IA (article 4) s'applique : vos collaborateurs doivent comprendre les limites de ces outils.

Mon entreprise est belge. L'AI Act s'applique-t-il ?

Oui. L'AI Act est un règlement européen d'application directe. Il s'applique dans tous les États membres de l'UE sans transposition nationale. En Belgique, l'Autorité de protection des données (APD) et le SPF Économie coordonnent la mise en œuvre.

Quelles sont les différences entre l'AI Act et le RGPD ?

Le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'IA. Un système IA qui traite des données personnelles doit respecter les deux. L'AI Act ajoute des obligations spécifiques : classification des risques, transparence sur l'usage de l'IA, supervision humaine.

Existe-t-il des exemptions pour les PME ?

Oui. L'AI Act prévoit des allègements pour les PME : bacs à sable réglementaires (regulatory sandboxes), plafonds de sanctions réduits, et des obligations simplifiées de documentation. Cependant, les obligations fondamentales (interdictions, transparence) s'appliquent à tous.

---

Envie d'y voir clair pour votre organisation ? Parlons-en — réponse sous 48h.

Cet article est un outil d'orientation, pas un avis juridique. Pour une analyse adaptée à votre situation, consultez un professionnel qualifié.