AI Act et PME : ce qui change vraiment le 2 août 2026 (et ce qui vient d'être reporté)

Le 2 août 2026 est la date la plus citée — et la plus mal comprise — du règlement européen sur l'intelligence artificielle. Entre-temps, le « Digital Omnibus » a rebattu les cartes : une partie des obligations vient d'être reportée, une autre s'applique bel et bien dans quelques semaines. Voici le calendrier réel, sans approximation, et ce que votre PME doit faire concrètement.

Mis à jour le 22 juillet 2026 par Julien Amodeo. Information générale, non conseil juridique ; vérifiez la qualification exacte de vos systèmes avec un professionnel compétent.

Par Julien Amodeo, fondateur de Novaria — opérateur e-commerce depuis 5 ans. Publié le 7 juillet 2026.

L'AI Act en 60 secondes

Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1ᵉʳ août 2024 avec une application progressive. Il classe les systèmes d'IA en quatre niveaux : risque inacceptable (interdit : notation sociale, manipulation exploitant la vulnérabilité…), haut risque (encadré strictement : recrutement, accès au crédit, éducation…), risque limité (obligations de transparence : chatbots, contenus générés) et risque minimal (libre : la grande majorité des usages en PME). La plupart des PME ne sont pas « fournisseurs » de systèmes d'IA mais déployeurs — c'est-à-dire utilisatrices — ce qui allège considérablement leurs obligations.

Ce qui s'applique déjà (et que beaucoup ignorent)

Depuis le 2 février 2025, deux choses sont en vigueur : l'interdiction des pratiques inacceptables, et — c'est le point que presque tout le monde a manqué — l'obligation d'alphabétisation à l'IA (article 4). Toute entreprise qui utilise des systèmes d'IA doit s'assurer que son personnel dispose d'un niveau suffisant de maîtrise de l'IA. Concrètement : si vos équipes utilisent ChatGPT, Copilot ou un chatbot client, vous êtes déjà censé les avoir formées et encadrées. Depuis le 2 août 2025, les obligations des modèles d'IA à usage général (GPAI) s'appliquent également — elles concernent surtout les fournisseurs de modèles, pas les PME utilisatrices.

Ce qui change le 2 août 2026 : la transparence devient obligatoire

À compter du 2 août 2026, les obligations de transparence de l'article 50 s'appliquent. Pour une PME, trois cas concrets :

• Votre chatbot doit se déclarer. Tout système d'IA qui interagit directement avec des personnes (chatbot de support, assistant commercial) doit informer clairement l'utilisateur qu'il parle à une machine.
• Les contenus générés par IA doivent être identifiables. Textes, images ou vidéos générés et publiés dans certains contextes (notamment l'information du public) doivent être signalés comme tels ; les deepfakes doivent être étiquetés.
• Le régime de sanctions devient pleinement opposable, avec les autorités nationales de surveillance désignées et opérationnelles.

Une nuance issue du Digital Omnibus : l'obligation de marquage technique des contenus (article 50, paragraphe 2) ne s'appliquera aux systèmes déjà sur le marché qu'à partir du 2 décembre 2026 — un sursis pour l'existant, pas pour les nouveaux déploiements.

Ce qui vient d'être reporté : le haut risque attendra décembre 2027

C'est le changement majeur que la plupart des contenus en ligne n'ont pas encore intégré. L'application des obligations pour les systèmes à haut risque de l'annexe III — initialement prévue le 2 août 2026 — a été reportée au 2 décembre 2027 par l'accord provisoire du Digital Omnibus (7 mai 2026, adoption formelle en cours). Pour l'IA embarquée dans des produits réglementés (annexe I), l'échéance glisse au 2 août 2028.

Attention toutefois : reporté ne veut pas dire annulé. Si vous utilisez un outil de tri de CV, un scoring d'accès au crédit ou tout système listé à l'annexe III, les obligations lourdes (gestion des risques, supervision humaine, journalisation, documentation) arriveront — et le recrutement assisté par IA est précisément le cas de haut risque le plus répandu en PME, souvent sans que l'entreprise en ait conscience.

Les amendes prévues

Pour les PME, le règlement prévoit que c'est le montant le plus faible des deux plafonds qui s'applique. Cela reste, dans tous les cas, des montants sans commune mesure avec le coût d'une mise en conformité anticipée.

Le vrai risque immédiat de votre PME n'est pas l'AI Act — c'est le shadow AI

Pendant que tout le monde regarde le calendrier bruxellois, le risque déjà réalisé est ailleurs : environ 68 % des salariés français utilisent ChatGPT sans en informer leur hiérarchie, et 77 % d'entre eux y collent des données de l'entreprise — fichiers clients, contrats, données personnelles. Ce n'est pas l'AI Act qui sanctionne cela : c'est le RGPD, applicable depuis 2018, avec transfert de données non maîtrisé vers des serveurs tiers. La réponse n'est pas d'interdire (cela ne fonctionne jamais), mais d'encadrer : charte d'usage, formation (obligation article 4, déjà en vigueur), et pour les données sensibles, une IA locale souveraine — un modèle déployé sur votre infrastructure ou un cloud européen, où vos documents ne quittent jamais votre périmètre.

La checklist PME — 7 points, par ordre de priorité

1. Cartographier vos usages IA réels — y compris ceux que la direction ne connaît pas (shadow AI). C'est le point de départ de tout.
2. Former vos équipes et formaliser une charte d'usage — l'obligation d'alphabétisation IA est déjà en vigueur.
3. Faire parler vos chatbots : mention claire « vous échangez avec une IA » avant le 2 août 2026.
4. Signaler les contenus générés quand le contexte l'exige (communication au public, deepfakes).
5. Identifier vos éventuels systèmes à haut risque (tri de CV en tête) et planifier leur mise en conformité pour décembre 2027 — sans attendre novembre 2027.
6. Traiter le RGPD en même temps : registre des traitements, données collées dans les outils IA, sous-traitants.
7. Documenter : en matière réglementaire, ce qui n'est pas écrit n'existe pas.

E-commerçants : une double exposition à ne pas dissocier

Si vous vendez en ligne, l'AI Act s'ajoute à un terrain réglementaire déjà miné : les contrôles DGCCRF sur les allégations et les pratiques commerciales, les prix barrés encadrés par la directive Omnibus, et les suspensions Google Merchant Center qui tombent sans préavis. Les descriptions produits générées par IA sans relecture sont d'ailleurs un accélérateur de risque sur ces trois fronts à la fois : une allégation thérapeutique hallucinée par un modèle reste une allégation interdite. Un seul chantier de conformité, mené sérieusement, couvre l'ensemble.