AI Act 2 août 2026 :nouvelles obligations pour votre PME

Mise à jour du 4 octobre 2026 : l’article tient compte du règlement « Omnibus numérique » (UE 2026/1744), en vigueur depuis le 27 juillet 2026, qui reporte les règles « à haut risque » ; il est corrigé sur les autorités françaises et sur les plafonds d’amende applicables aux PME.

L’échéance AI Act 2 août 2026 marque un tournant pour toutes les entreprises françaises qui utilisent l’intelligence artificielle. Depuis cette date, plusieurs volets majeurs du règlement européen deviennent réellement contraignants. Concrètement, votre PME doit désormais se conformer à des obligations de transparence sur les chatbots. Elle doit aussi marquer les contenus générés par IA et documenter les usages internes.

Pour les dirigeants, formateurs et responsables RH, ces exigences ne relèvent plus de l’anticipation. Elles s’appliquent aujourd’hui, avec des contrôles possibles depuis le 2 août, même si la France n’a pas encore désigné toutes ses autorités de surveillance. Par ailleurs, la taille de l’entreprise n’exonère de rien. Une TPE avec un simple chatbot sur son site est concerné au même titre qu’un grand groupe. Voici, très concrètement, ce que couvre l’AI Act au 2 août 2026 et comment aligner votre organisation.

AI Act 2 août 2026 : ce qui devient obligatoire

Le règlement européen sur l’intelligence artificielle a été adopté en juin 2024 (Règlement UE 2024/1689). Il applique ses obligations par étapes successives. Le 2 août 2026 constitue une échéance charnière : elle active deux volets, et un troisième a été repoussé.

D’abord, les obligations de transparence de l’article 50 s’imposent. Elles visent l’ensemble des systèmes d’IA destinés au grand public. Ensuite, la Commission européenne peut désormais sanctionner les fournisseurs de modèles à usage général (GPAI). Enfin, les règles applicables aux systèmes dits « à haut risque » (documentation technique, supervision humaine, traçabilité des décisions) devaient s’appliquer à cette date, mais le règlement « Omnibus numérique » (UE 2026/1744, en vigueur depuis le 27 juillet 2026) les a reportées : au 2 décembre 2027 pour la plupart d’entre eux, au 2 août 2028 pour ceux intégrés à des produits réglementés.

Pour les PME, l’article 50 est celui qui impacte immédiatement le quotidien. Il concerne toute organisation qui déploie un chatbot ou diffuse des visuels générés par IA. Les contenus fortement retouchés par un modèle génératif entrent également dans le périmètre. Ainsi, un cabinet d’expertise-comptable qui a intégré un assistant conversationnel sur son site relève directement de ces exigences. L’analyse détaillée du calendrier est désormais bien documentée par les cabinets juridiques spécialisés.

L’article 50, ou la transparence pour tous

L’article 50 de l’AI Act impose quatre obligations principales, sans seuil de chiffre d’affaires. Concrètement, elles s’appliquent aussi bien à une multinationale qu’à une entreprise de moins de dix salariés. Le texte cible les usages orientés utilisateur final, quelle que soit leur criticité.

• Les chatbots et agents conversationnels doivent informer clairement l’utilisateur qu’il interagit avec une machine, dès le début de l’échange.
• Les contenus générés par IA (images, vidéos, sons, textes) doivent être identifiables comme tels. Le marquage technique incombe aux éditeurs des outils ; l’entreprise qui publie un texte généré pour informer le public doit le signaler, sauf s’il a été relu et validé par une personne.
• Les deepfakes désignent les contenus imitant une personne, un lieu ou un événement réel. Ils doivent désormais être signalés de façon explicite.
• Les systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées.

Le manquement à ces obligations peut coûter jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Pour une PME, c’est le plus bas des deux montants qui sert de plafond. En pratique, la mise en place technique reste souvent triviale. Une bannière sur un chatbot ou une mention en pied de visuel généré suffit. La difficulté réside plutôt dans le repérage exhaustif de tous les outils d’IA déjà utilisés en interne. Un audit rapide met souvent en lumière une dizaine d’outils non recensés dans une PME classique. Les extensions de navigateur, les modules intégrés aux CRM et les fonctions IA des suites bureautiques sont particulièrement oubliés lors du premier inventaire.

Un inventaire de vos usages d’IA à formaliser

Toute stratégie de conformité commence par un inventaire précis des systèmes d’IA en usage. Ce registre, désormais recommandé par la plupart des juristes spécialisés, doit couvrir chaque outil déployé. Il inclut aussi bien les logiciels externes que les développements internes.

Un registre utile pour une PME contient six champs minimaux : nom de l’outil, fournisseur, usage métier, données traitées, service utilisateur, responsable identifié. Cette cartographie sert plusieurs objectifs. Elle permet d’identifier les systèmes à haut risque. Elle facilite aussi la documentation en cas de contrôle et la rationalisation d’abonnements souvent redondants.

Plusieurs éditeurs proposent aujourd’hui des solutions de cartographie des usages IA. L’offre va du simple tableur partagé jusqu’aux plateformes dédiées de gouvernance IA. Pour une TPE ou une PME, un tableur bien tenu suffit dans la majorité des cas. L’important reste la rigueur de mise à jour, pas la sophistication de l’outil.

De plus, l’AI Act prévoit une obligation de formation des équipes utilisatrices. Depuis février 2025, l’article 4 impose déjà aux organisations une exigence de « littératie IA ». Assouplie par l’Omnibus numérique en juillet 2026, elle leur demande de prendre des mesures pour développer la maîtrise de l’IA de leurs collaborateurs. Nous avions détaillé cet aspect dans un article dédié à l’obligation de formation IA prévue par l’AI Act. Cette exigence se combine désormais avec les obligations de transparence pour former un socle de conformité minimum.

CNIL, sanctions, GPAI : le cadre français en construction

En France, la désignation des autorités chargées de l’AI Act passe par un projet de loi d’adaptation au droit européen, adopté par le Sénat en février 2026 et toujours en attente à l’Assemblée nationale. Il prévoit une répartition par secteur : la DGCCRF en coordination, la CNIL pour la plupart des usages sensibles, l’Arcom pour les deepfakes, d’autres autorités pour la finance ou la santé.

Cependant, la France n’a pas encore adopté de texte général formalisant l’ensemble du régime de sanctions national. Les pouvoirs de sanction de la Commission européenne sont, eux, activés depuis le 2 août 2026, mais ils ne visent que les fournisseurs de modèles à usage général. Pour les entreprises utilisatrices, le règlement fixe les plafonds que les autorités nationales appliqueront : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements à l’article 50, le plus bas des deux montants pour une PME.

Les fournisseurs de modèles d’usage général (GPAI) — OpenAI, Anthropic, Google, Mistral — sont désormais soumis à leurs propres obligations. Ils doivent produire une documentation technique, un résumé des données d’entraînement et respecter le droit d’auteur. Cette pression amont facilite la conformité aval des entreprises utilisatrices. Ces dernières peuvent s’appuyer sur les documents fournis par ces éditeurs. Toutefois, la responsabilité finale de l’usage reste celle du déployeur. Les premiers retours d’expérience convergent sur un point : la conformité repose autant sur la gouvernance interne que sur la technique.

Ce que ça change pour vous

Concrètement, cinq actions permettent d’aligner rapidement une PME sur ces nouvelles obligations. Aucune ne demande de budget significatif. En revanche, elles supposent une posture proactive et une documentation rigoureuse, qui pourra être demandée lors d’un contrôle.

• Recenser tous les outils d’IA utilisés dans l’entreprise, du chatbot du site jusqu’aux plugins intégrés dans les suites bureautiques.
• Ajouter une mention claire sur chaque chatbot orienté client, indiquant qu’il s’agit d’une IA.
• Signaler les deepfakes et les textes générés par IA publiés pour informer le public ; par prudence, mentionner aussi l’IA sur les visuels générés.
• Documenter la formation IA de vos collaborateurs, avec un plan de sensibilisation daté et les participants recensés.
• Désigner un référent IA en interne, chargé de tenir le registre à jour et de piloter les évolutions réglementaires.

Par ailleurs, les contrôles sont possibles depuis le 2 août 2026, même si les autorités françaises ne sont pas encore toutes en place. Anticiper reste la meilleure protection contre les sanctions. Pour former vos collaborateurs, notre formation IA à Perpignan tient en une journée, en petit groupe, et vous laisse une trace datée pour votre registre. Enfin, ces obligations créent aussi une opportunité. Les organismes de formation qui bâtissent dès aujourd’hui une offre « littératie IA » se positionnent sur un marché en accélération.

ChatGPT gratuit, en mieux

Le livret gratuit : 8 fonctions que vous n’utilisez pas, où les trouver dans ChatGPT, Claude et Mistral, et un exercice de cinq minutes pour chacune.

Recevoir le livret