AI Act : ce que l'échéance du 2 août 2026 change concrètement pour une PME française
Publié le 2026-08-24 · Jérôme Denis — JDENIS Consulting, Toulouse. Expert Collège Numérique France 2030.
Photo : SEBASTIEN PROUVOST — Pexels
Au 2 août 2026, le règlement européen sur l'intelligence artificielle, communément appelé AI Act, entrera pleinement en application pour la majorité des entreprises de l'Union européenne. Pour une petite ou moyenne entreprise française, cette transition réglementaire majeure ne signifie pas l'interdiction d'utiliser les technologies d'automatisation ou de génération de contenu au quotidien. Elle impose en revanche un cadre d'analyse précis pour identifier le niveau de risque des outils numériques exploités et le rôle exact de l'organisation dans la chaîne de valeur technologique. L'objectif de cette réglementation est de garantir la sécurité, la transparence et le respect des droits fondamentaux sans bloquer le développement économique des structures de taille intermédiaire.
Comprendre son rôle : fournisseur ou déployeur de système d'intelligence artificielle
Pour aborder sereinement cette nouvelle réglementation, un dirigeant de petite ou moyenne entreprise doit d'abord déterminer la qualification juridique de son activité vis-à-vis de chaque outil utilisé. L'AI Act distingue principalement deux statuts qui emportent des responsabilités très différentes : le fournisseur et le déployeur. Le fournisseur est l'entité physique ou morale qui développe un système d'intelligence artificielle ou le fait développer en vue de le mettre sur le marché ou de le mettre en service sous son propre nom ou sa propre marque. À l'inverse, le déployeur est toute personne physique ou morale qui utilise un système d'intelligence artificielle sous son autorité dans le cadre d'une activité professionnelle.
Dans l'immense majorité des cas, les petites et moyennes entreprises françaises agissent exclusivement en tant que déployeurs. C'est le cas lorsqu'un cabinet d'architecture utilise un générateur d'images pour illustrer un projet, lorsqu'une agence de communication utilise un agent conversationnel pour rédiger des brouillons d'articles, ou lorsqu'un service de comptabilité s'appuie sur un module d'extraction automatique de données de facturation. Les obligations du déployeur s'avèrent nettement moins lourdes que celles du fournisseur, car l'essentiel de la conformité technique et de la certification de sécurité pèse sur le concepteur de la technologie.
Cependant, une vigilance particulière s'impose si l'entreprise modifie de manière substantielle un outil existant ou s'il décide de l'intégrer dans un produit final destiné à ses propres clients sous sa propre marque. Dans cette situation précise, la PME peut être requalifiée en fournisseur et devoir assumer la totalité des obligations techniques, juridiques et financières associées à ce statut. Pour évaluer précisément votre situation et éviter une requalification involontaire, vous pouvez utiliser le vérificateur de risque AI Act mis à disposition pour guider les choix stratégiques des dirigeants.
La classification des risques au cœur de l'AI Act
Photo : Pixabay — Pexels
Le texte législatif européen adopte une approche proportionnée fondée sur le niveau de risque présenté par les technologies utilisées. Cette classification comporte quatre niveaux distincts qui déterminent l'intensité des obligations légales applicables à partir du 2 août 2026.
Le premier niveau concerne les risques inacceptables. Les systèmes d'intelligence artificielle qui entrent dans cette catégorie sont purement et simplement interdits au sein de l'Union européenne. Cela comprend par exemple les outils de notation sociale par les États, les systèmes de surveillance de masse en temps réel dans l'espace public, ou les technologies qui manipulent le comportement humain pour causer un préjudice.
Le deuxième niveau concerne les systèmes à haut risque. Ce sont ces outils qui concentrent l'essentiel de l'attention réglementaire pour l'échéance de l'été 2026. Sont classés dans cette catégorie les systèmes utilisés dans des domaines sensibles comme l'éducation, la gestion des ressources humaines, l'évaluation de la solvabilité financière, ou l'accès aux services publics essentiels. Si votre entreprise utilise un logiciel d'aide à la décision pour recruter des collaborateurs ou évaluer les performances des salariés, vous manipulez un système à haut risque.
Le troisième niveau englobe les risques limités. Ces systèmes sont soumis à des obligations de transparence spécifiques. L'utilisateur final doit être clairement informé qu'il interagit avec une machine et non avec un être humain. C'est le cas des agents conversationnels de support client ou des générateurs de contenus visuels ou textuels synthétiques qui doivent apposer un marquage indiquant l'origine artificielle du contenu.
Le quatrième niveau concerne les risques minimaux ou nuls. Cette catégorie regroupe la grande majorité des applications d'intelligence artificielle actuellement en service dans les entreprises, telles que les filtres anti-indésirables pour les courriels, les outils de traduction automatique de base ou les jeux vidéo. Ces outils ne font l'objet d'aucune obligation supplémentaire sous le régime de l'AI Act. Pour analyser précisément la situation de vos différents outils logiciels, vous pouvez consulter la grille de classification des risques AI Act qui détaille chaque cas de figure de manière opérationnelle.
Les obligations concrètes qui pèsent sur les PME d'ici août 2026
Pour une entreprise française identifiée comme déployeur de systèmes d'intelligence artificielle, l'échéance du 2 août 2026 impose la mise en œuvre de plusieurs chantiers internes de mise en conformité. Le premier chantier concerne l'obligation de formation et de sensibilisation des collaborateurs, désignée sous le terme d'acculturation à l'intelligence artificielle. Les dirigeants doivent veiller à ce que leur personnel, en particulier les employés qui manipulent ou supervisent des outils d'intelligence artificielle, possèdent un niveau de connaissances suffisant pour comprendre le fonctionnement de ces technologies, leurs limites techniques et les risques de biais ou d'erreurs qu'elles peuvent générer.
Le deuxième chantier réside dans le respect strict des conditions d'utilisation fournies par le concepteur du système. L'entreprise utilisatrice doit s'assurer que l'outil est déployé conformément aux instructions techniques et opérationnelles prévues par le fournisseur. Cela implique de ne pas détourner l'outil de sa fonction initiale et de respecter les consignes de sécurité édictées.
Le troisième chantier concerne la conservation et la gestion des données de journalisation. Pour les systèmes qualifiés à haut risque, le déployeur doit conserver les journaux d'activité générés automatiquement par l'outil pendant une période adaptée aux pratiques du secteur, afin de permettre un contrôle a posteriori en cas d'incident ou de contestation.
Enfin, l'articulation avec le Règlement Général sur la Protection des Données est un aspect fondamental de cette transition. La Commission Nationale de l'Informatique et des Libertés rappelle régulièrement que l'usage de l'intelligence artificielle ne dispense pas du respect des règles relatives à la collecte et au traitement des données personnelles. Les données d'apprentissage ou de requêtage saisies dans les outils d'intelligence artificielle ne doivent pas enfreindre la confidentialité des informations des clients ou des salariés de l'entreprise.
Cas pratique : la mise en conformité d'une PME de recrutement étape par étape
Photo : Bako Harry R. — Pexels
Pour illustrer l'application pratique de ces règles, étudions le cas d'un cabinet de conseil en recrutement comptant vingt-cinq salariés. Ce cabinet souhaite moderniser ses processus en intégrant une solution logicielle externe qui analyse automatiquement les lettres de motivation et les curriculums vitae reçus afin de proposer une première sélection de candidats aux consultants.
Dans un premier temps, la direction du cabinet consulte la liste des systèmes à haut risque définie par le règlement européen. Elle constate que l'usage de l'intelligence artificielle pour le recrutement et la sélection de candidats relève effectivement de la catégorie à haut risque. Ce constat impose d'engager une démarche de vérification rigoureuse auprès de l'éditeur du logiciel choisi.
Dans un deuxième temps, le cabinet demande à l'éditeur de lui fournir la preuve de sa conformité. L'éditeur doit présenter la déclaration de conformité de l'Union européenne, justifier du marquage CE apposé sur son produit et confirmer l'enregistrement de son système dans la base de données officielle de l'Union européenne. Sans ces garanties, le cabinet s'exposerait à de lourdes sanctions en utilisant un outil non conforme à partir du 2 août 2026.
Dans un troisième temps, le cabinet organise une session de formation obligatoire pour l'ensemble de ses consultants en recrutement. Cette formation permet d'expliquer le fonctionnement de l'algorithme de tri, de sensibiliser les équipes aux risques de discrimination algorithmique et de définir la méthode de supervision humaine. Les consultants apprennent qu'ils ne doivent jamais rejeter une candidature sur la seule base de la recommandation de l'outil informatique, sans qu'un œil humain n'ait validé la décision.
Dans un quatrième temps, le cabinet met à jour sa politique de confidentialité et ses mentions légales. Chaque candidat qui soumet son dossier sur le site internet du cabinet est informé de manière claire et transparente qu'un système d'intelligence artificielle intervient dans le processus de présélection, et qu'il dispose du droit de demander une révision humaine de sa candidature. Les données de connexion et d'usage de l'outil sont configurées pour être conservées de manière sécurisée pendant une durée de six mois, conformément aux recommandations professionnelles. Cette rigueur opérationnelle permet d'éviter les erreurs d'évaluation et de sécuriser juridiquement l'activité de l'entreprise, de la même manière qu'une analyse minutieuse des processus industriels permet de détecter et de corriger des coûts de non-qualité majeurs au sein d'une organisation de production.
Limites, objections et réalités du terrain pour les dirigeants
L'annonce de ces nouvelles contraintes suscite régulièrement des objections de la part des dirigeants de petites et moyennes entreprises, qui y voient une source potentielle de complexité administrative et un frein à l'adoption technologique. Une objection courante repose sur le coût financier et temporel de la mise en conformité, perçu comme disproportionné par rapport aux ressources disponibles dans une structure de taille modeste.
Il convient de tempérer cette inquiétude en rappelant que le législateur européen a conçu l'AI Act de manière à faire peser la quasi-totalité de l'effort technique et documentaire sur les concepteurs des modèles d'intelligence artificielle. Les PME qui se contentent d'acheter des solutions prêtes à l'emploi n'ont pas à réaliser d'analyses de risques complexes ni à rédiger de volumineux dossiers techniques. Leur rôle se limite à un devoir de vigilance, de formation et de transparence.
Une autre limite souvent soulevée concerne la rapidité de l'évolution technologique face à la lenteur relative des processus réglementaires. Certains craignent que les interdictions ou les obligations de l'AI Act ne deviennent obsolètes avant même leur pleine application en août 2026. Pour répondre à ce défi, la Commission européenne a prévu des mécanismes de mise à jour régulière des annexes du règlement afin d'adapter les règles aux innovations futures sans avoir à réécrire l'ensemble du texte législatif.
Plan d'action immédiat pour sécuriser votre transition
Pour aborder l'échéance du 2 août 2026 avec sérénité, les dirigeants d'entreprises françaises doivent structurer leur démarche dès aujourd'hui autour de trois actions prioritaires.
La première action consiste à réaliser une cartographie exhaustive de l'ensemble des logiciels et services en ligne utilisés au sein de l'entreprise. Cette cartographie doit répertorier les outils de chaque service, du marketing à la comptabilité, en passant par la relation client et la production. Pour chaque application identifiée, il convient de vérifier la présence de fonctionnalités d'intelligence artificielle et de déterminer son niveau de risque associé.
La deuxième action consiste à engager un dialogue formel avec vos fournisseurs de solutions numériques. Vous devez leur adresser un questionnaire écrit pour leur demander de clarifier leur feuille de route de conformité vis-à-vis de l'AI Act et d'obtenir des garanties contractuelles concernant le respect des futures obligations européennes. Cette démarche permet de sécuriser vos investissements technologiques à long terme et d'éviter de devoir remplacer en urgence un outil devenu non conforme.
La troisième action consiste à rédiger et à diffuser en interne une charte d'utilisation responsable des outils d'intelligence artificielle. Ce document simple doit fixer les règles du jeu pour les salariés : quels outils sont autorisés, quelles données confidentielles ou personnelles ne doivent jamais être soumises aux modèles d'intelligence artificielle publics, et comment s'organise la validation humaine des contenus ou des décisions générés par ces technologies.
Sources
CNIL — Intelligence artificielle : la CNIL accompagne les acteurs du numérique
Commission européenne — Cadre réglementaire de l'UE sur l'IA
France Num — Portail de la transformation numérique des entreprises
À propos de l'auteur
Jérôme Denis — JDENIS Consulting, Toulouse. Expert Collège Numérique France 2030. Références : Production au Carrousel du Louvre (salon Art Shopping) ; 277 000 € de non-qualité analysés chez SPELEM ; saisie divisée par 30. Automatisez ce qui vous ralentit. Anticipez ce qui vous attend. Démonstration de 15 minutes — jdenis@jaydenis.com · 06 59 24 20 05
Questions fréquentes
Qu'est-ce que l'AI Act change pour une PME qui achète des logiciels tiers ?
Une PME qui utilise des logiciels tiers agit en tant que déployeur. Elle doit s'assurer que ses fournisseurs respectent le règlement, former ses équipes à l'usage de ces outils et respecter les obligations de transparence envers ses clients.
Une PME peut-elle être considérée comme fournisseur d'intelligence artificielle ?
Oui, si la PME développe son propre modèle d'intelligence artificielle, ou si elle modifie de manière substantielle un outil existant pour le commercialiser sous sa propre marque. Dans ce cas, elle doit assumer l'ensemble des obligations techniques et de certification du fournisseur.
Quelles sont les sanctions prévues en cas de non-respect de l'AI Act ?
Le règlement prévoit des amendes administratives proportionnées au chiffre d'affaires mondial de l'entreprise. Pour les PME, les montants sont plafonnés à des pourcentages spécifiques ou à des montants fixes définis par le texte européen, selon la gravité de l'infraction.
Comment savoir si un outil d'IA utilisé dans mon entreprise est à haut risque ?
Les systèmes à haut risque concernent des domaines sensibles comme le recrutement, la gestion du personnel, l'évaluation de crédit ou l'accès à des services publics. Vous pouvez consulter l'annexe III du règlement ou utiliser la grille de classification officielle pour évaluer vos outils.
L'AI Act remplace-t-il le RGPD pour la gestion des données personnelles ?
Non, l'AI Act s'ajoute au RGPD sans le remplacer. Les entreprises doivent continuer de respecter les règles de protection des données personnelles édictées par la CNIL lors de la collecte, de l'apprentissage ou du traitement des données par leurs systèmes d'intelligence artificielle.