AI Act pour TPE et PME : le guide pratique 2026
Depuis le 2 août 2026, l'AI Act s'applique pleinement sur la transparence et les sanctions, mais les obligations lourdes sur les systèmes à haut risque ont été repoussées à décembre 2027. Pour une TPE ou une PME qui utilise ChatGPT, un chatbot ou un outil no-code, le travail réel tient en une demi-journée.
La confusion vient de la masse de contenus publiés avant l'été 2026, qui datent encore l'entrée en vigueur du haut risque au 2 août 2026 et vendent une obligation de formation assortie de 15 millions d'euros d'amende. Le paquet Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a changé les deux. Cet article fait le tri entre ce qui vous oblige aujourd'hui et ce qui peut attendre. Pour le cadre complet, y compris les associations, le guide de conformité AI Act pour PME et associations sert de base.
Ce qui s'applique vraiment à votre entreprise aujourd'hui
Trois blocs seulement sont applicables et sanctionnables en septembre 2026 : les pratiques interdites, la transparence de l'article 50, et les règles sur les modèles d'IA à usage général. Tout le reste concerne soit des dates futures, soit des acteurs que vous n'êtes probablement pas.
Voici le calendrier consolidé publié par la Commission européenne sur son portail AI Act Service Desk, après amendement par le Digital Omnibus sur l'IA :
| Date | Ce qui s'applique | Vous concerne si |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5), définitions, maîtrise de l'IA (article 4) | Toujours |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance nationale | Vous entraînez ou distribuez un modèle |
| 2 août 2026 | Transparence (article 50), démarrage effectif des contrôles et sanctions | Vous exposez de l'IA à des clients, salariés ou visiteurs |
| 2 décembre 2026 | Nouvelles interdictions (deepfakes sexuels non consentis, contenus pédocriminels) et fin du délai de grâce sur le marquage machine des contenus générés | Vous fournissez un système génératif mis sur le marché avant août 2026 |
| 2 décembre 2027 | Haut risque autonome, annexe III | Recrutement, notation de crédit, éducation, infrastructures critiques |
| 2 août 2028 | Haut risque intégré à des produits réglementés, annexe I | Dispositifs médicaux, machines, jouets |
Le détail article par article est traité dans le calendrier AI Act complet de 2024 à 2030. Le point à retenir : si votre PME fait du recrutement assisté par IA, vous avez jusqu'au 2 décembre 2027, pas jusqu'à l'été 2026. Cela change l'ordre de priorité, pas la trajectoire.
Déployeur ou fournisseur : la question qui change tout
Dans la quasi-totalité des cas, une TPE ou une PME est déployeur, pas fournisseur, et les obligations lourdes pèsent sur son éditeur. Un déployeur utilise un système d'IA sous sa propre autorité dans un cadre professionnel. Un fournisseur développe le système et le met sur le marché sous son nom.
Le piège est ailleurs : un déployeur bascule en fournisseur dans quatre situations précises. Il appose sa marque sur le système, il le modifie substantiellement, il change sa finalité prévue, ou il intègre un système existant dans un usage classé haut risque.
C'est là que les projets no-code posent problème. Une PME qui assemble un agent IA de présélection de CV à partir d'un LLM du commerce, avec ses propres règles de scoring et son propre nom commercial, ne se voit plus comme un simple utilisateur d'API par le règlement. Elle coche deux critères sur quatre : finalité modifiée et usage annexe III. À partir de décembre 2027, elle devra une documentation technique, une évaluation de conformité et un enregistrement en base européenne.
Concrètement, la règle de tri que nous appliquons en audit : tant que vous utilisez un outil SaaS tel quel, avec ses paramètres d'origine, vous restez déployeur. Dès que vous construisez quelque chose que vous vendez ou présentez comme le vôtre, posez-vous la question du basculement. Le périmètre d'application détaillé reprend chaque cas de figure.
Les quatre niveaux de risque appliqués à de vrais outils de PME
La très grande majorité des usages d'une TPE ou d'une PME relève du risque limité ou minimal, où la seule contrainte réelle est d'informer. Classer vos outils prend une heure si vous partez de la liste de vos abonnements logiciels.
- Risque inacceptable, interdit depuis février 2025 : notation sociale des salariés, reconnaissance des émotions au travail hors sécurité et santé, extraction non ciblée d'images faciales. Rare en PME, mais la reconnaissance d'émotions dans un outil de centre d'appel ou d'entretien vidéo n'est pas une hypothèse d'école. La liste des 8 pratiques IA interdites mérite une lecture rapide.
- Haut risque, applicable au 2 décembre 2027 : présélection de candidatures, évaluation de la performance, décisions d'accès à la formation, scoring de crédit. Les critères sont détaillés dans l'article sur les systèmes IA à haut risque.
- Risque limité, applicable depuis le 2 août 2026 : chatbot IA sur votre site, visuels et textes produits par IA générative, voix de synthèse. Obligation : informer.
- Risque minimal : correcteur orthographique, filtre antispam, suggestions de réponses dans votre messagerie, rédaction interne assistée. Aucune obligation spécifique.
Un cas fréquent tranche mal : ChatGPT utilisé en interne pour rédiger un devis ou reformuler un mail relève du risque minimal. Le même contenu publié sur votre site ou envoyé à un client sous forme d'image générée bascule dans le champ de l'article 50.
Transparence article 50 : ce qu'il faut afficher, concrètement
L'article 50 impose d'informer les personnes qu'elles interagissent avec une IA ou qu'un contenu a été généré par une IA, sauf lorsque c'est évident pour un observateur raisonnablement averti. C'est la seule obligation qui touche vraiment toutes les PME depuis le 2 août 2026.
Trois situations reviennent en permanence :
- Un chatbot ou assistant sur votre site. La mention doit apparaître dans l'interface elle-même, au premier message, pas seulement dans les mentions légales. Une phrase suffit : "Vous échangez avec un assistant automatisé. Un conseiller peut prendre le relais."
- Des visuels ou vidéos générés. Si le contenu représente des personnes, lieux ou événements réels de façon susceptible d'induire en erreur, il doit être signalé comme généré artificiellement. Une illustration abstraite de bannière ne pose pas ce problème.
- Des textes publiés sur des sujets d'intérêt public. L'obligation vise la publication d'information au public, pas votre newsletter commerciale relue par un humain.
À cela s'ajoute l'obligation de marquage machine, à la charge du fournisseur du modèle et non du déployeur, avec un délai transitoire au 2 décembre 2026 pour les systèmes déjà sur le marché avant août 2026. Vous n'avez pas à implémenter ce marquage vous-même. La rédaction de vos mentions est traitée pas à pas dans l'article sur la notice d'information IA.
Formation IA : ce que l'Omnibus a réellement changé
L'article 4 sur la maîtrise de l'IA existe toujours, mais l'AI Omnibus a transformé l'exigence de niveau "suffisant" pesant sur les entreprises en une incitation non contraignante, la Commission et les États membres prenant la main sur la promotion. Autrement dit, il n'existe pas d'amende dédiée à un défaut de formation.
C'est un point où nous nous écartons volontairement du discours dominant du secteur. Beaucoup d'organismes de formation continuent de vendre l'AI Act comme une obligation ferme assortie de 15 millions d'euros d'amende. C'était déjà discutable avant l'Omnibus, c'est faux depuis juillet 2026.
Deux nuances tiennent toujours. D'une part, l'obligation de formation subsiste pour les déployeurs de systèmes à haut risque, via l'article 26 qui impose un contrôle humain effectif : on ne supervise pas sérieusement un système que l'on ne comprend pas. D'autre part, la supervision par les autorités nationales de surveillance du marché a démarré le 2 août 2026, dans un régime proportionné.
Notre position : former parce que les équipes produisent des résultats médiocres et prennent des risques de confidentialité sans cadre, pas parce qu'un régulateur menace. L'analyse complète est dans l'article Article 4 AI Act : la formation IA est-elle obligatoire.
Ce que vous risquez vraiment : le plafond inversé pour les PME
Pour une PME ou une start-up, l'amende est plafonnée au montant le plus bas entre le pourcentage du chiffre d'affaires et la somme fixe, alors que la règle est inverse pour les grandes entreprises. C'est l'article 99(6) du règlement, et c'est probablement l'information la moins relayée du texte.
| Manquement | Plafond général | Plafond PME |
|---|---|---|
| Pratique interdite (article 5) | 35 M€ ou 7 % du CA mondial, le plus élevé | Le plus bas des deux |
| Autres obligations opérateurs | 15 M€ ou 3 % du CA mondial, le plus élevé | Le plus bas des deux |
| Informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial, le plus élevé | Le plus bas des deux |
Pour une PME à 2 millions d'euros de chiffre d'affaires, un manquement aux obligations opérateurs est donc plafonné à 60 000 euros, pas à 15 millions. Le montant reste dissuasif, mais l'ordre de grandeur brandi dans la plupart des articles ne correspond pas à votre situation. Le détail des barèmes figure dans l'article sur les sanctions AI Act en 2026.
Le paquet PME : les allègements dont personne ne parle
Le règlement prévoit un ensemble de mesures spécifiquement destinées aux PME et start-ups, que la plupart des guides passent sous silence. Ils ne suppriment pas les obligations, ils en réduisent le coût.
L'article 62 impose aux États membres d'accorder aux PME établies dans l'Union un accès prioritaire aux bacs à sable réglementaires, d'organiser des actions de sensibilisation adaptées à leurs besoins et d'ouvrir des canaux de conseil dédiés. Il prévoit aussi que les frais d'évaluation de conformité soient réduits proportionnellement à la taille de l'entreprise. La France doit disposer d'au moins un bac à sable opérationnel au 2 août 2027.
Les PME peuvent par ailleurs fournir la documentation technique de l'annexe IV sous forme simplifiée, sur un formulaire type que la Commission doit établir pour les petites et micro-entreprises, formulaire que les organismes notifiés sont tenus d'accepter. L'article 63 ajoute des dérogations sur le système de gestion de la qualité pour les micro-entreprises.
Ces dispositions ne servent que si vous devenez fournisseur d'un système à haut risque. Elles méritent d'être connues avant de renoncer à un projet par crainte du coût de conformité.
La méthode en quatre étapes, sur une demi-journée
Pour une PME de moins de 250 salariés qui n'opère aucun système à haut risque, la mise en conformité tient en une demi-journée de travail, pas en un projet trimestriel.
- Inventorier. Listez tous les outils qui embarquent de l'IA, y compris ceux arrivés par une mise à jour de votre CRM ou de votre suite bureautique. La méthode et un modèle de tableau sont dans l'article cartographier ses systèmes IA.
- Classer. Attribuez un niveau de risque à chaque usage. Notez pour chacun si vous êtes déployeur ou fournisseur.
- Afficher. Corrigez les mentions manquantes sur les interfaces exposées au public. C'est l'action la plus urgente et la plus visible en cas de contrôle.
- Cadrer. Rédigez une note d'une à deux pages sur ce qui est autorisé, avec quels outils et quelles données. Un modèle de politique IA en entreprise est disponible en téléchargement.
Deux limites à avoir en tête. Cette méthode ne suffit pas si vous utilisez de l'IA en recrutement, en évaluation des salariés ou en scoring financier : l'échéance de décembre 2027 impose alors une évaluation de conformité réelle, qui se prépare sur plusieurs mois. Et elle ne traite pas la question des données personnelles, régie par le RGPD, qui s'applique en parallèle et non à la place : le sujet est détaillé dans AI Act et RGPD, quelles différences.
Questions fréquentes
Une TPE de 5 salariés qui utilise ChatGPT est-elle concernée par l'AI Act ? Oui, mais très légèrement. L'usage interne de ChatGPT pour rédiger ou reformuler relève du risque minimal et n'entraîne aucune obligation spécifique. Les obligations apparaissent dès que la production IA est exposée à des tiers, par exemple via un chatbot ou une image générée publiée.
Faut-il déclarer ses systèmes d'IA à une autorité française ? Non, sauf pour les fournisseurs de systèmes à haut risque, qui devront s'enregistrer dans la base de données européenne à partir de décembre 2027. Un déployeur de PME n'a aucune déclaration préalable à effectuer.
L'obligation de former ses équipes à l'IA a-t-elle disparu ? Elle a été allégée. L'AI Omnibus, entré en vigueur le 27 juillet 2026, a remplacé l'exigence contraignante de l'article 4 par une incitation. La formation reste requise en pratique pour les déployeurs de systèmes à haut risque, au titre du contrôle humain de l'article 26.
Mon prestataire a développé un outil IA sur mesure pour moi : qui est responsable ? Cela dépend du nom sous lequel l'outil est exploité et du degré de personnalisation. Si l'outil porte votre marque ou si vous en avez modifié la finalité, vous risquez d'être qualifié de fournisseur. C'est un point à trancher contractuellement, idéalement avant le développement.
Quel budget prévoir pour la conformité AI Act d'une PME ? Pour une PME sans usage à haut risque, le coût est essentiellement du temps interne, de l'ordre d'une demi-journée à une journée. Les postes qui coûtent vraiment apparaissent plus loin : évaluation de conformité si vous devenez fournisseur d'un système à haut risque, et documentation technique. Le règlement prévoit d'ailleurs que les frais d'évaluation de conformité soient réduits proportionnellement pour les PME.
Les associations sont-elles soumises aux mêmes règles ? Oui. Le règlement raisonne par rôle, fournisseur ou déployeur, et non par statut juridique. Une association qui déploie un chatbot sur son site a les mêmes obligations de transparence qu'une société commerciale.
Que se passe-t-il si je ne fais rien avant un contrôle ? Les autorités nationales de surveillance du marché exercent leurs pouvoirs depuis le 2 août 2026, dans un régime gradué qui privilégie la mise en demeure avant la sanction. L'absence de mention sur un chatbot se corrige en quelques minutes ; l'absence totale de cartographie est plus difficile à rattraper sous délai.
Comment GrowthPerf accompagne les TPE et PME sur l'AI Act
Nous ne sommes ni avocats ni cabinet de conformité. Nous intervenons sur ce que la conformité implique côté outils et côté équipes : cartographier les usages IA réels, y compris ceux que la direction ignore, corriger les mentions de transparence sur les interfaces, et former les équipes à un usage cadré.
Notre parcours Acculturation IA pour les entreprises intègre un module de cadrage réglementaire, et la formation IA Opérationnelle pour PME traite les questions de confidentialité et de traçabilité sur des cas concrets. GrowthPerf est certifié Qualiopi, ce qui ouvre les financements OPCO.
Si vous voulez d'abord savoir où vous en êtes, l'audit gratuit de 30 minutes permet de faire le tri entre ce qui vous oblige aujourd'hui et ce qui peut attendre décembre 2027. Le guide de conformité AI Act pour PME et associations reste la référence pour approfondir chaque point abordé ici.