AI Act : ce qui s'applique vraiment à une PME en septembre 2026

Un éditeur vous envoie un mail : « L'AI Act est en vigueur depuis août, il vous faut notre module de conformité. » C'est à moitié vrai, et c'est pour ça que ça marche. Le règlement (UE) 2024/1689 s'applique bien. Mais quoi, pour qui, et à quelle date : ça dépend de votre usage, pas du slogan commercial.

En juillet 2026, le règlement (UE) 2026/1744 — le « Digital Omnibus on AI » — a reporté une partie des obligations high-risk. Ce texte n'est pas un article d'avocat. C'est la lecture que je fais avec les PME : chatbot, RAG interne, outil RH, copilote déjà payé.

Le piège : tout mettre dans le même sac

« On a de l'IA » ne veut rien dire pour le règlement. Un résumé de réunion dans Copilot, un chatbot de FAQ, un outil qui classe des CV, une caméra qui reconnaît des visages : quatre régimes différents. La première question n'est pas « sommes-nous conformes ? ». C'est : quel système, pour quelle décision, sur qui ?

Trois rôles du règlement, à ne pas confondre (article 3) :

• Fournisseur (provider) — vous mettez un système d'IA sur le marché ou en service sous votre nom. Rare pour une PME de services, fréquent si vous vendez un produit « boosté à l'IA ».
• Déployeur (deployer) — vous utilisez un système sous votre autorité. C'est le cas le plus courant : vous branchez ChatGPT, un SaaS RH, un copilote.
• Importateur / distributeur — vous faites entrer ou revendez un système venu de l'extérieur de l'UE. Utile à connaître si vous achetez un outil américain « clé en main » pour le revendre à vos clients.

La plupart des PME que j'accompagne sont déployeurs. Le devoir n'est pas le même que celui d'OpenAI, Mistral ou Microsoft. Si un commercial amalgamé les deux, demandez-lui de montrer l'article.

Le calendrier réel, pas celui de 2024

Les dates initiales ont bougé. Voici ce qui compte en septembre 2026, d'après le règlement tel que modifié :

• 2 février 2025 — pratiques interdites (article 5) et acculturation à l'IA (article 4) : déjà applicables.
• 2 août 2025 — obligations des modèles d'IA à usage général (GPAI, chapitre V) : déjà applicables pour les fournisseurs de modèles. Pas pour une PME qui appelle une API.
• 2 août 2026 — application générale, dont la transparence (article 50) : chatbot, contenus synthétiques dans les cas prévus.
• 2 décembre 2027 — exigences high-risk du chapitre III (sections 1 à 3) pour les systèmes de l'annexe III (recrutement, crédit, éducation…). Initialement le 2 août 2026, reporté par l'Omnibus.
• 2 août 2028 — mêmes exigences pour l'IA high-risk dans des produits de l'annexe I (machines, dispositifs médicaux…).

Source : article 113 du règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 (JOUE, 24 juillet 2026). Le PDF marketing d'un éditeur n'est pas une source. Le texte consolidé sur EUR-Lex l'est.

Trois situations que je vois tout le temps

1. Le chatbot de FAQ (site, intranet, SAV)

En général : pas high-risk. Obligations utiles dès maintenant : dire que c'est une IA (article 50), ne pas faire croire qu'un humain a répondu, cadrer les données envoyées au prestataire (RGPD). Si le bot « décide » d'un remboursement, d'un refus d'assurance ou d'un tri de dossier sensible, on sort du simple FAQ — on reclasse.

2. L'assistant interne (RAG sur vos procédures)

Brancher un LLM sur le drive ou le wiki : presque jamais de l'annexe III. Le vrai sujet, c'est le RGPD et le contrat du prestataire, plus l'usage fantôme si les équipes collent les mêmes docs dans un compte perso.

3. L'outil RH « qui gagne du temps sur les CV »

Là, l'annexe III peut entrer en jeu : filtrage ou évaluation de candidats, évaluation de salariés. Le report à décembre 2027 n'efface pas le sujet. Il vous donne le temps de documenter : quelles données, quelle marge humaine, qui assume la décision. Un scoring automatique présenté comme « avis du manager » reste un usage à traiter sérieusement — y compris côté droit du travail et CNIL, indépendamment de l'AI Act.

Ce qui s'applique déjà, concrètement

Acculturation (article 4) — depuis février 2025

Ceux qui fournissent ou déploient un système d'IA doivent veiller à ce que le personnel concerné comprenne suffisamment le système. En pratique, pour une PME : une heure, des exemples de votre métier, une page de règles. Pas un certificat européen. Si personne n'a jamais dit « un modèle peut inventer une clause », vous n'êtes pas à jour — même sans chatbot public.

Transparence (article 50) — depuis le 2 août 2026

Trois cas fréquents :

• Conversation avec une IA — le dire, sauf si c'est évident (une fenêtre qui s'appelle « Assistant automatique »).
• Contenus générés (texte, image, voix) dans les cas prévus par le texte — notamment quand on pourrait croire à un contenu authentique.
• Deepfake / image ou voix qui imite une personne — des règles de marquage spécifiques existent. Si vous faites de la pub ou de la com avec des visages générés, lisez l'article 50 avant de publier.

Le bandeau « Vous échangez avec un assistant automatique » n'est pas du folklore. Inventer qu'un conseiller a répondu, si, c'est un problème.

Pratiques interdites (article 5) — depuis février 2025

Scoring social généralisé, constitution d'une base de reconnaissance faciale par moissonnage non ciblé, exploitation de vulnérabilités : ce n'est pas le quotidien d'une PME de services. En revanche, un SaaS qui vend de la « détection d'émotion » en entretien, ou une caméra qui note l'attention des salariés, mérite une question écrite avant le bon de commande. L'Omnibus a aussi ajusté certaines interdictions : encore une raison de relire le texte consolidé, pas un article de 2024.

GPAI : vous n'êtes (presque) jamais le fournisseur du modèle

Depuis août 2025, les obligations du chapitre V pèsent sur ceux qui mettent un modèle à usage général sur le marché (documentation, résumé des données d'entraînement, politique de copyright, etc.). Utiliser Claude, GPT ou Mistral via API ne fait pas de vous un fournisseur GPAI. Ça ne vous dispense pas de lire le DPA, le lieu d'hébergement, et si les prompts servent à l'entraînement — mais ce n'est pas le même chapitre.

Quand le high-risk vous concerne vraiment

Vous êtes plus exposé si l'IA sert notamment à :

• filtrer ou classer des candidatures, évaluer des salariés ;
• décider ou fortement influencer un crédit, une assurance, une prestation sociale ;
• décider d'une admission en formation ;
• identifier des personnes par biométrie dans l'espace public.

Dans ces cas, décembre 2027 n'est pas une invitation à attendre. C'est le temps de poser : gestion des risques, données, logs, supervision humaine. Ces exigences n'ont pas disparu. Leur date d'application a glissé — notamment parce que les normes et autorités n'étaient pas prêtes, ce que le considérant de l'Omnibus dit noir sur blanc.

Ce que je ne vous vendrai pas

Un « pack conformité AI Act » à cinq chiffres pour un chatbot de FAQ. Ça n'existe pas comme obligation. Le règlement prévoit des allègements de documentation pour les PME. L'Omnibus en étend une partie aux « small mid-caps » (moins de 750 salariés, recommandation (UE) 2025/1099). Si on vous facture la peur, changez d'interlocuteur.

Comment parler à un éditeur (cinq questions)

1. Êtes-vous fournisseur ou déployeur de ce système au sens de l'article 3 ?
2. Classez-vous ce système en annexe III ? Sur quel usage exact ?
3. Que mettez-vous en œuvre pour l'article 50 (transparence) ?
4. Où sont traitées les données, et servent-elles à l'entraînement ?
5. Que se passe-t-il si on coupe l'IA : un humain peut-il encore décider ?

Un prestataire sérieux répond sans slide « révolution conforme ». Un prestataire pressé change de sujet.

La checklist de septembre 2026

1. Lister les outils réellement utilisés — officiel et shadow.
2. Pour chacun : usage courant, ou annexe III (RH, crédit, etc.) ?
3. Votre rôle : déployeur, ou fournisseur d'un produit vendu avec de l'IA ?
4. Informer quand on parle à une IA.
5. Former ceux qui s'en servent (même 45 minutes).
6. RGPD : quelles données, quel prestataire, quel contrat.
7. Si high-risk : ouvrir le dossier maintenant, pas en novembre 2027.

Conclusion

L'AI Act n'est plus un horizon. Une partie s'applique. Le high-risk a été décalé — c'est le texte, pas une rumeur LinkedIn. Pour la majorité des PME, le travail utile s'appelle inventaire, transparence, formation, RGPD. Le reste, on le cadre si le cas d'usage le justifie. Pas l'inverse.