Le 2 août est passé. L'AI Act n'est plus une échéance qu'on repousse dans un coin du tableau de bord. Une partie du règlement est désormais opposable. Les autorités peuvent contrôler. Et pourtant, beaucoup d'entreprises de la région restent persuadées qu'elles ont encore le temps. Elles confondent deux choses : le report des obligations sur le haut risque, et ce qui s'applique vraiment dès maintenant.
On fait le tri. Sans dramatiser, sans minimiser. Ce qui est effectivement contrôlable, qui contrôle, ce que vous risquez, et la checklist à boucler si ce n'est pas déjà fait.
Où on en est vraiment dans le calendrier
Petit rappel pour se caler. Le règlement est entré en vigueur le 1er août 2024, avec une application par paliers. Les grandes dates :
- 2 février 2025 : interdictions des pratiques inacceptables et obligation de littératie IA.
- 2 août 2025 : règles sur les modèles à usage général (GPAI), désignation des autorités nationales, régime de sanctions.
- 2 août 2026 : entrée en application de la majorité des dispositions, dont les obligations de transparence de l'article 50 et les mécanismes de contrôle.
Voici le point qui change tout pour l'angle "suivi". Les obligations les plus lourdes, celles qui pèsent sur les systèmes à haut risque (recrutement, notation de crédit, éducation, biométrie), ont été repoussées. Elles n'entreront en application que le 2 décembre 2027 pour les systèmes autonomes, et le 2 août 2028 pour ceux intégrés à des produits déjà réglementés. Ce report découle du Digital Omnibus, présenté par la Commission en novembre 2025.
Autre échéance à noter : deux nouvelles interdictions arrivent le 2 décembre 2026, sur les systèmes qui génèrent du contenu intime non consenti (nudification) et ceux qui produisent des contenus pédopornographiques.
L'erreur à ne pas commettre : croire que le report du haut risque vous donne un sursis général. C'est faux. Le haut risque attend 2027 et 2028. Mais la transparence, elle, s'applique dès maintenant. Et elle touche beaucoup plus d'entreprises que le haut risque.
Ce qui est opposable maintenant : l'article 50
L'obligation phare qui vous concerne vraiment, c'est la transparence. Concrètement, l'article 50 du règlement. Il vise trois cas de figure qui se retrouvent dans énormément d'organisations, y compris les PME.
Les chatbots et assistants
Un chatbot sur votre site, un assistant interne pour vos collaborateurs : l'utilisateur doit savoir qu'il parle à une IA, pas à un humain. Vous ne pouvez plus laisser planer le doute, sauf quand c'est évident au vu du contexte. En clair, si vous avez un agent conversationnel branché sur votre support ou votre relation client, il doit se présenter comme tel.
Ce n'est pas compliqué à mettre en place. C'est souvent une mention, une phrase d'accueil, un badge. Mais encore faut-il le faire, et le documenter. Si vous voulez creuser la différence entre un vrai agent et un simple chatbot, on l'a détaillée dans cet article.
Les contenus générés
L'article 50 impose aussi que les contenus produits ou manipulés par IA soient détectables sous une forme lisible par machine. Ça vise en priorité les fournisseurs de systèmes génératifs. En pratique, cela couvre le signalement des deepfakes, les textes générés ou modifiés par IA sur des sujets d'intérêt général, et l'information des personnes exposées à un système de reconnaissance des émotions.
Si vous publiez du contenu généré ou augmenté par IA sur des sujets d'actualité ou d'intérêt public, la question du marquage vous concerne. Nos articles sur les détecteurs de contenu IA et sur la façon de vérifier une info produite par une IA donnent le contexte technique.
La littératie IA, l'oubliée des PME
Celle-là passe souvent sous le radar. Depuis février 2025, l'AI Act demande aux organisations qui utilisent des systèmes d'IA de développer les compétences de leurs équipes. Depuis le 2 août 2026, cette obligation devient pleinement contrôlable. Vous devez être capable de démontrer que vos collaborateurs ont été sensibilisés aux possibilités, aux limites et aux risques de l'IA.
Ce n'est pas un diplôme. C'est une sensibilisation traçable. Une formation courte, une charte, des sessions internes. L'essentiel, c'est de pouvoir prouver que vous l'avez fait. On propose une trame de programme minimum dans cet article, et un modèle de charte d'usage de l'IA pour cadrer les pratiques.
Qui contrôle, et ce que vous risquez
En France, la supervision est répartie entre plusieurs autorités. Le régime général des sanctions est actif. Trois acteurs sont habilités à intervenir contre les manquements : la DGCCRF, la CNIL et l'Arcom. Chacun sur son périmètre.
Au niveau européen, la Commission a récupéré des pouvoirs de contrôle renforcés sur les fournisseurs de modèles à usage général, type ChatGPT, Gemini ou Claude. Elle peut leur réclamer des informations complémentaires et prononcer des sanctions. Ça concerne d'abord les gros fournisseurs, pas votre PME. Mais ça donne le ton du climat de contrôle qui s'installe.
Le barème des sanctions, pour fixer les idées :
- Transparence et règles GPAI : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
- Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Ces plafonds font peur, mais ils visent d'abord les manquements graves des gros acteurs. Un principe de proportionnalité s'applique aux PME et aux petites entreprises à capitalisation moyenne. L'objectif n'est pas de couler une TPE lyonnaise qui a oublié un badge sur son chatbot. Mais ça n'exonère personne de faire le travail.
Le vrai chantier prioritaire : l'IA invisible
Le risque le plus fréquent en PME n'est pas celui qu'on croit. Ce n'est pas le système à haut risque bien identifié. C'est l'IA invisible. Des fonctionnalités d'IA sont déjà glissées dans vos logiciels RH, bureautiques, de recrutement ou de CRM. Parfois activées par défaut, sans que personne ait vraiment décidé de les utiliser.
Résultat : vous êtes potentiellement soumis à des obligations sans le savoir. Le premier travail, ce n'est pas de rédiger des chartes. C'est de savoir ce que vous avez déjà entre les mains. Un inventaire précis de vos usages d'IA. Le sujet rejoint celui du shadow AI, ces IA utilisées par vos équipes sans que vous le sachiez, et celui de ce qu'il faut regarder dans sa pile logicielle.
La checklist actualisée pour votre PME
Concrètement, voici ce qu'il faut boucler. Rien d'insurmontable, mais rien à négliger.
- Tenir un registre des usages IA. Chaque outil, son usage, les données traitées. C'est la base de tout. Sans inventaire, pas de conformité.
- Vérifier l'article 50 sur tout chatbot ou assistant. Client ou interne, l'utilisateur doit savoir qu'il s'adresse à une IA. Information claire, visible.
- Marquer les contenus générés par IA quand vous en publiez sur des sujets d'intérêt général ou quand vous produisez des deepfakes.
- Prouver la sensibilisation des équipes. Une action de formation traçable, une charte diffusée, des sessions documentées.
- Repérer l'IA invisible. Passez en revue vos logiciels RH, bureautiques et CRM. Coupez ou encadrez ce qui n'a pas été décidé.
- Cadrer la gouvernance. Désignez qui décide quoi sur l'IA dans l'entreprise. Même à cinquante personnes, ça se pose sur le papier.
Sur ces deux derniers points, on a détaillé la répartition des rôles dans qui décide quoi dans une entreprise de cinquante personnes. Et si votre chantier touche au traitement de données personnelles, le rappel RGPD et IA reste indispensable, car les deux réglementations se superposent.
Une nuance à garder en tête sur le haut risque
Le report du haut risque ne veut pas dire "on verra plus tard et tout ira bien". Deux raisons. D'abord, si vous utilisez ou développez un système classé haut risque (recrutement automatisé, scoring de crédit, biométrie), vous avez du temps pour vous préparer, mais le chantier est lourd. Ne l'abordez pas la veille de l'échéance.
Ensuite, les normes harmonisées ne sont pas prêtes. Les organismes CEN et CENELEC n'ont pas pu les finaliser à temps. Les consultations publiques sont attendues fin 2026 ou début 2027. Ça prive encore les fournisseurs de la présomption de conformité sur le haut risque. Autrement dit, le flou technique persiste sur ces systèmes. Raison de plus pour anticiper plutôt que d'attendre un cadre clé en main qui n'existe pas encore.
Par quoi commencer cette semaine
Si vous ne deviez faire qu'une chose : l'inventaire. Listez tous les endroits où de l'IA tourne dans votre organisation, y compris les fonctionnalités activées par défaut. Sans cette photo, vous ne pouvez ni évaluer votre exposition ni prioriser.
Ensuite, traitez le visible et l'opposable : vos chatbots et assistants doivent annoncer la couleur, vos équipes doivent avoir été sensibilisées, et vous devez pouvoir le prouver. Ce sont les trois points sur lesquels un contrôle se cale en premier.
Le reste, la gouvernance, le marquage des contenus, la préparation au haut risque, se construit dans la durée. Mais commencez maintenant. Le règlement n'est plus une projection. Il s'applique. Les entreprises de la région qui prennent une longueur d'avance transforment une contrainte en argument de sérieux vis-à-vis de leurs clients et partenaires.
Laisser un commentaire