AI Act 2026 : le guide de conformité complet pour PME et associations
L'AI Act, ou règlement UE 2024/1689, s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application. Ce guide détaille le calendrier réel, mis à jour après l'omnibus numérique adopté en juin 2026, et une feuille de route en 6 étapes pour vous mettre en conformité sans sur-investir.
Beaucoup de contenus publiés en 2024 et 2025 annonçaient l'application intégrale des obligations « haut risque » au 2 août 2026. Ce n'est plus exact : le paquet omnibus numérique voté par le Parlement européen puis approuvé par le Conseil fin juin 2026 a décalé une partie du calendrier. Ce qui reste vrai, et que trop d'entreprises ignorent : plusieurs obligations sont déjà en vigueur aujourd'hui, dont l'obligation de former ses équipes à l'IA, et le régime de sanctions s'active bien le 2 août 2026.
L'AI Act en bref : qui est concerné et pour quoi
Toute organisation qui développe, commercialise ou simplement utilise un système d'IA dans l'Union européenne entre dans le champ de l'AI Act, quelle que soit sa taille : PME, TPE, association ou grand groupe. Le règlement UE 2024/1689, publié au Journal officiel de l'Union européenne le 12 juillet 2024 et entré en vigueur le 1er août 2024, est le premier cadre juridique complet au monde sur l'intelligence artificielle. Contrairement à une idée reçue tenace, il ne vise pas que les éditeurs de logiciels.
Le texte distingue plusieurs rôles, et le vôtre détermine vos obligations :
- Le fournisseur développe un système d'IA ou le met sur le marché sous son propre nom. Si votre PME a fait développer un chatbot maison ou un outil de scoring, vous êtes probablement fournisseur.
- Le déployeur utilise un système d'IA sous sa propre autorité dans un cadre professionnel. C'est le cas de la quasi-totalité des PME et associations : utiliser ChatGPT, Claude, Copilot ou un module d'IA intégré à votre CRM fait de vous un déployeur.
- L'importateur et le distributeur mettent à disposition sur le marché européen des systèmes conçus ailleurs.
Pour une PME française type, le scénario le plus courant est simple : vous êtes déployeur de systèmes d'IA générative grand public. Vos obligations sont alors limitées mais réelles : former vos équipes, informer les personnes qui interagissent avec l'IA, et vérifier que vos usages ne tombent pas dans les catégories interdites ou à haut risque. Une association qui utilise l'IA pour trier des candidatures de bénévoles ou pour accompagner des publics fragiles doit en revanche se poser plus de questions qu'un cabinet qui rédige ses comptes rendus avec un LLM.
Le règlement s'applique aussi aux organisations établies hors de l'UE dès lors que le résultat produit par le système d'IA est utilisé dans l'Union. Un prestataire suisse ou britannique qui sert des clients français est donc concerné.
Le calendrier réel de l'AI Act après l'omnibus de juin 2026
Le calendrier initial de l'AI Act a été modifié en juin 2026 par le paquet omnibus numérique : les obligations « haut risque » sont reportées à fin 2027 et 2028, mais tout le reste s'applique comme prévu. C'est le point qui génère le plus de confusion, y compris dans la presse spécialisée. Voici les échéances telles qu'elles s'appliquent en juillet 2026 :
- 1er août 2024 : entrée en vigueur du règlement UE 2024/1689.
- 2 février 2025 : application des pratiques interdites (article 5) et de l'obligation de maîtrise de l'IA pour le personnel (article 4). Ces deux blocs sont en vigueur depuis 18 mois : ils concernent déjà votre organisation.
- 2 août 2025 : application des règles sur les modèles d'IA à usage général (GPAI) et mise en place de la gouvernance européenne, dont le Bureau de l'IA.
- 2 août 2026 : application générale du règlement, notamment les obligations de transparence de l'article 50 (informer qu'on parle à une IA, marquer les contenus générés) et l'activation du régime de sanctions par les autorités nationales.
- 2 décembre 2027 : nouvelles obligations pour les systèmes à haut risque de l'annexe III (recrutement, scoring, éducation, accès aux services essentiels), initialement prévues au 2 août 2026 et reportées par l'omnibus.
- 2 août 2028 : obligations pour les systèmes à haut risque de l'annexe I, c'est-à-dire l'IA intégrée à des produits déjà réglementés (dispositifs médicaux, machines, jouets).
Concrètement, pour une PME utilisatrice, deux dates comptent : aujourd'hui (articles 4 et 5, déjà applicables) et le 2 août 2026 (transparence et sanctions). Le report du haut risque à décembre 2027 est une bouffée d'oxygène pour les entreprises concernées, pas une dispense : les chantiers de mise en conformité haut risque sont longs, et 17 mois passent vite.
À noter : ce calendrier résulte d'un texte adopté fin juin 2026. Si votre dernier point de situation date d'avant l'été, faites-le mettre à jour avant d'arbitrer votre budget conformité.
Les 4 niveaux de risque : où se situent vos outils
L'AI Act classe chaque usage de l'IA dans l'un de quatre niveaux de risque, et vos obligations découlent directement de ce classement, pas de la taille de votre entreprise. Le même outil peut d'ailleurs relever de niveaux différents selon l'usage : un LLM qui rédige vos newsletters est à risque minimal ; le même LLM utilisé pour présélectionner des CV bascule en haut risque.
| Niveau de risque | Exemples concrets | Vos obligations | Échéance |
|---|---|---|---|
| Inacceptable (interdit) | Notation sociale, manipulation exploitant la vulnérabilité, reconnaissance des émotions au travail | Cesser tout usage, sans exception | Déjà en vigueur (2 février 2025) |
| Haut risque | Tri de CV, scoring crédit, affectation de tâches par algorithme, évaluation d'apprenants | Gestion des risques, surveillance humaine, registre, documentation | 2 décembre 2027 (annexe III) |
| Risque de transparence | Chatbots clients, contenus générés (textes, images, deepfakes), agents conversationnels | Informer les personnes, marquer les contenus générés | 2 août 2026 |
| Risque minimal | Aide à la rédaction, traduction, filtres anti-spam, correcteurs, brainstorming | Aucune obligation spécifique au-delà de l'article 4 | Sans objet |
Dans notre pratique d'audit IA auprès de PME d'Île-de-France, la répartition est presque toujours la même : 80 à 90 % des usages relèvent du risque minimal, quelques usages relèvent de la transparence (un chatbot sur le site, des visuels générés pour les réseaux sociaux), et un ou deux usages RH méritent une vraie analyse haut risque. Le piège classique : le module de « matching » de candidats activé par défaut dans un logiciel RH, que personne n'a identifié comme de l'IA.
Ce qui est déjà en vigueur depuis 2025 : formation des équipes et pratiques interdites
Depuis le 2 février 2025, votre organisation doit garantir un niveau suffisant de maîtrise de l'IA à toute personne qui utilise des systèmes d'IA pour son compte : c'est l'article 4, et il n'a été ni reporté ni allégé par l'omnibus. Cette obligation dite de « AI literacy » s'applique aux fournisseurs comme aux déployeurs, donc à la PME de 12 salariés dont trois utilisent ChatGPT comme au groupe industriel.
Le texte n'impose pas un format unique : le niveau de formation doit être adapté au contexte technique, à l'expérience des équipes et aux usages réels. Pour une équipe qui utilise l'IA générative en bureautique, une journée d'acculturation structurée couvre l'essentiel : fonctionnement et limites des modèles, hallucinations et vérification des sorties, données confidentielles, cadre interne d'usage. Nous avons détaillé le sujet dans notre article sur l'article 4 et l'obligation de formation, ainsi que les modalités pratiques dans ce que change l'échéance d'août 2026 pour les PME.
Point souvent négligé : la traçabilité. En cas de contrôle ou de litige, c'est à vous de démontrer que vos équipes ont été formées. Conservez les programmes, les émargements et les attestations de formation. Une formation dispensée par un organisme certifié Qualiopi présente ici un double avantage : la preuve documentaire est native, et le coût peut être pris en charge par votre OPCO, comme expliqué dans notre guide du financement OPCO.
L'article 5, lui, interdit purement et simplement certaines pratiques depuis la même date : notation sociale, exploitation des vulnérabilités de publics fragiles, inférence des émotions sur le lieu de travail ou dans l'enseignement (hors raisons médicales ou de sécurité), certaines formes d'identification biométrique. La plupart des PME ne sont pas concernées, mais vérifiez les fonctionnalités annexes de vos outils : un logiciel de visioconférence qui prétend analyser « l'engagement émotionnel » des participants en réunion vous ferait entrer dans une zone interdite.
Ce qui change le 2 août 2026 : transparence et sanctions
À partir du 2 août 2026, vous devez informer clairement toute personne qui interagit avec une IA ou consulte un contenu généré par IA, et les autorités nationales peuvent prononcer des sanctions. C'est la vraie bascule de l'été 2026 pour les PME et associations.
L'article 50 impose quatre obligations de transparence principales :
- Chatbots et agents conversationnels : la personne doit savoir qu'elle parle à une machine, sauf si c'est évident au vu du contexte. Un bandeau clair en début de conversation suffit.
- Contenus générés ou manipulés : les textes, images, sons et vidéos générés par IA doivent être identifiables comme tels, avec un marquage lisible par machine lorsque c'est techniquement possible.
- Deepfakes : toute image, audio ou vidéo générée représentant des personnes, lieux ou événements réels doit être explicitement signalée comme artificielle.
- Textes d'information publique : un texte généré par IA et publié pour informer le public sur des sujets d'intérêt général doit mentionner son origine artificielle, sauf s'il a fait l'objet d'une relecture humaine avec responsabilité éditoriale assumée.
Ce dernier point mérite attention pour toute organisation qui publie du contenu : une relecture humaine réelle, avec un responsable éditorial identifié, vous place dans l'exception. Un blog entièrement automatisé sans contrôle humain, non.
Côté sanctions, l'article 99 fixe trois plafonds : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ; jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres manquements ; jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes aux autorités. Pour les PME et startups, le règlement prévoit explicitement que le montant retenu est le plus faible des deux plafonds, et les autorités doivent tenir compte de la taille et de la viabilité économique de l'entreprise. Nous avons détaillé les mécanismes dans notre article sur ce que risquent les entreprises non conformes.
Il ne faut ni dramatiser ni banaliser. Personne ne viendra fermer votre PME le 3 août 2026. Mais le risque réel est ailleurs : un salarié licencié qui invoque une décision assistée par IA non conforme aux prud'hommes, un appel d'offres perdu faute de pouvoir documenter votre conformité, un client grand compte qui exige des garanties contractuelles. La conformité AI Act devient un critère de sélection fournisseur, comme le RGPD l'est devenu après 2018.
Systèmes à haut risque : reportés à fin 2027, mais à préparer dès maintenant
Si vous utilisez l'IA pour recruter, évaluer, noter ou affecter des personnes, vous entrez probablement dans la catégorie haut risque de l'annexe III, dont les obligations s'appliqueront le 2 décembre 2027. Le report décidé en juin 2026 vous donne du temps ; il ne change rien au périmètre.
Les cas haut risque les plus fréquents en PME et association :
- Recrutement et RH : tri automatisé de CV, matching de candidats, outils d'évaluation de la performance, affectation algorithmique des tâches ou des plannings.
- Accès à des services essentiels : scoring crédit, tarification de certaines assurances, priorisation de l'accès à des prestations sociales (un point de vigilance réel pour les associations du secteur social).
- Éducation et formation : notation automatisée d'apprenants, surveillance d'examens.
Pour ces usages, le déployeur devra notamment garantir une surveillance humaine effective (l'IA propose, un humain décide et peut passer outre), utiliser des données d'entrée pertinentes, conserver les journaux du système, informer les personnes concernées et signaler les incidents graves au fournisseur. Les fournisseurs, eux, portent le gros de la charge : gestion des risques documentée, gouvernance des données, documentation technique, enregistrement dans la base de données européenne.
Notre recommandation pratique : ne lancez pas un chantier haut risque théorique. Commencez par cartographier vos usages réels (la plupart des PME découvrent 2 à 3 fois plus d'usages d'IA qu'elles n'en imaginaient), qualifiez chaque usage selon les quatre niveaux, et concentrez l'effort sur les rares usages réellement à haut risque. Si un module RH vous fait basculer en haut risque pour un bénéfice marginal, la décision la plus rationnelle est parfois de le désactiver.
Votre feuille de route conformité en 6 étapes
Une PME ou une association peut atteindre une conformité solide en 4 à 8 semaines de travail réparti, sans recruter ni exploser son budget. Voici la séquence que nous appliquons chez nos clients :
- Cartographier vos usages d'IA (semaine 1). Recensez tous les outils : abonnements assumés (ChatGPT, Claude, Copilot), fonctions IA embarquées dans vos logiciels métier, usages officieux des équipes. Interrogez chaque service, pas seulement la direction.
- Qualifier chaque usage par niveau de risque (semaine 2). Interdit, haut risque, transparence, minimal. Pour 90 % des usages, la qualification prend quelques minutes. Documentez le raisonnement pour les cas limites.
- Former vos équipes (semaines 2 à 4). C'est l'obligation déjà en vigueur, et le meilleur retour sur investissement : une équipe formée fait moins d'erreurs, utilise mieux les outils et applique naturellement les règles de transparence. Une formation finançable par votre OPCO couvre l'obligation de l'article 4 avec un reste à charge souvent nul pour les PME de moins de 50 salariés.
- Mettre en conformité la transparence (avant le 2 août 2026). Bandeau sur votre chatbot, mention sur les contenus générés publiés sans relecture, signalement des visuels artificiels représentant des personnes réelles. Une journée de travail suffit dans la plupart des cas.
- Rédiger votre politique IA interne. Un document de 2 à 4 pages : outils autorisés, données interdites en saisie, circuit de validation des contenus, référent IA désigné. Ce document est aussi votre preuve de diligence en cas de contrôle.
- Traiter les usages à haut risque (d'ici décembre 2027). Pour chaque usage confirmé haut risque : contact avec le fournisseur pour obtenir la documentation, organisation de la surveillance humaine, registre des décisions. Planifiez ce chantier au premier semestre 2027 pour garder de la marge.
Pour les structures associatives, la démarche est identique mais le financement diffère : voyez notre article dédié à la formation IA des associations via Uniformation. Et pour une vue d'ensemble condensée, notre checklist de conformité AI Act pour PME reprend ces étapes en format actionnable.
Questions fréquentes
Ma PME utilise seulement ChatGPT : suis-je vraiment concernée par l'AI Act ?
Oui, comme déployeur. Vos obligations restent légères : former les utilisateurs (article 4, déjà en vigueur), respecter la transparence si vous publiez des contenus générés sans relecture humaine, et vérifier qu'aucun usage ne relève des pratiques interdites. Pas de dossier technique ni d'enregistrement européen pour ce profil.
L'AI Act est-il reporté, oui ou non ?
Partiellement. L'omnibus numérique adopté en juin 2026 reporte les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. Tout le reste suit le calendrier initial : les articles 4 et 5 s'appliquent depuis février 2025, la transparence de l'article 50 et le régime de sanctions s'appliquent au 2 août 2026.
Quelles sanctions risque concrètement une PME ?
Les plafonds vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour les autres manquements. Pour les PME, le règlement retient le plus faible des deux montants et impose de tenir compte de la viabilité économique. Le risque le plus probable à court terme reste indirect : contentieux prud'homal, perte d'appels d'offres, exigences contractuelles des grands comptes.
Qui contrôle l'application de l'AI Act en France ?
Chaque État membre désigne ses autorités de surveillance du marché, coordonnées au niveau européen par le Bureau de l'IA de la Commission. En France, le dispositif s'appuie sur les régulateurs sectoriels existants, la CNIL restant compétente dès qu'un traitement de données personnelles est en jeu. Ces autorités peuvent prononcer des sanctions à partir du 2 août 2026.
Quelle différence entre l'AI Act et le RGPD ?
Le RGPD protège les données personnelles ; l'AI Act encadre les systèmes d'IA eux-mêmes, y compris quand ils ne traitent aucune donnée personnelle. Les deux se cumulent : un outil RH d'analyse de CV doit respecter le RGPD pour les données des candidats et l'AI Act pour la logique algorithmique. Une gouvernance commune (registre unique, référent commun) évite de faire le travail deux fois.
Former mes équipes suffit-il pour être conforme ?
Non, mais c'est le socle. La formation couvre l'article 4 et conditionne le reste : des équipes formées appliquent la transparence, repèrent les usages à risque et alimentent votre cartographie. Restent ensuite la mise en conformité transparence, la politique IA interne et, le cas échéant, le chantier haut risque.
Une association est-elle traitée différemment d'une entreprise ?
Non sur le fond : le règlement vise les organisations, pas leur statut juridique. Une association employeuse a les mêmes obligations qu'une PME. Deux spécificités tout de même : les usages sociaux (accompagnement de publics fragiles, priorisation d'aides) peuvent relever du haut risque, et le financement de la formation passe par Uniformation plutôt que par un OPCO classique.
Comment GrowthPerf accompagne votre mise en conformité
GrowthPerf est un organisme de formation certifié Qualiopi spécialisé en IA, no-code et automatisation pour PME et associations. Sur l'AI Act, notre approche est volontairement pragmatique :
- Formation article 4 clé en main. Nos programmes d'acculturation IA et d'IA opérationnelle pour PME intègrent le socle de maîtrise de l'IA exigé par le règlement, avec attestations nominatives à l'appui. Financement OPCO monté avec vous, sans surcoût.
- Cartographie et qualification des usages. En une demi-journée, nous recensons vos usages réels d'IA et les qualifions par niveau de risque, avec un plan d'action priorisé.
- Mise en conformité transparence. Bandeaux, mentions, marquage des contenus : nous traitons avec vous les obligations du 2 août 2026 sur vos supports réels.
Vous voulez savoir où vous en êtes ? Réservez un audit conformité AI Act gratuit de 30 minutes : nous passons en revue vos usages, identifions les 2 ou 3 actions prioritaires et le montage de financement adapté. Pas d'engagement, pas de rapport de 40 pages, juste un état des lieux clair.
Aller plus loin : tous nos articles AI Act
Ce guide pose le cadre général. Chaque point ci-dessous est traité en détail dans un article dédié.
Périmètre et calendrier
- Qui est concerné par l'AI Act et à quel titre, fournisseur ou déployeur.
- Le calendrier complet des dates d'application, de 2024 à 2030.
- L'AI Act pour les TPE et PME : le guide pratique.
- L'AI Act pour une startup qui développe ou intègre de l'IA.
- AI Act et open source : où se situe exactement la frontière.
Les articles clés du règlement
- L'article 4 et l'obligation de compétence IA de vos équipes.
- Les 8 pratiques IA interdites de l'article 5.
- Les systèmes à haut risque de l'article 6 et leurs obligations.
- Les sanctions encourues en 2026 et leur graduation.
- Les différences entre AI Act et RGPD pour une PME.
Se mettre en conformité
- Cartographier vos systèmes IA : méthode et template.
- Mener l'évaluation de conformité étape par étape.
- Rédiger votre politique IA interne à partir d'un modèle.
- Rédiger une notice d'information IA et savoir quand elle est obligatoire.
- Nommer un référent IA dans votre organisation.
Outils et situations concrètes
- Utiliser ChatGPT de façon conforme en entreprise.
- La conformité de Microsoft Copilot 365 en pratique.
- Les règles d'usage de l'IA générative grand public par vos salariés.
- Le traitement des données salariés au croisement AI Act et RGPD.
- L'information de vos clients et ce qui change dans la relation client.
Article rédigé par Romain Bellaïche, fondateur de GrowthPerf, organisme de formation certifié Qualiopi spécialisé en IA, no-code et automatisation pour PME et associations. Sources officielles : règlement UE 2024/1689 sur l'intelligence artificielle (AI Act), en particulier ses articles 4, 5, 50 et 99 et son annexe III ; paquet omnibus numérique adopté par le Parlement européen et le Conseil en juin 2026 ; Commission européenne (Bureau de l'IA).