EU AI Act 2026 : ce que les PME françaises doivent mettre en place avant la fin de l'année
Le règlement européen sur l'IA entre en vigueur progressivement en 2026. Voici les obligations concrètes pour les PME françaises qui utilisent ChatGPT, Make.com ou des outils IA dans leurs processus métier.
L'EU AI Act n'est plus une loi future. Depuis août 2024, les dispositions relatives aux systèmes IA interdits sont en vigueur. Depuis février 2025, les règles sur les modèles d'IA générale s'appliquent. Et d'ici août 2026, les obligations concernant les systèmes à haut risque entrent en application. Pour les PME françaises qui ont adopté des outils IA ces deux dernières années, le compte à rebours a commencé.
Ce qui s'applique déjà
Depuis août 2024, certains usages de l'IA sont strictement interdits en Europe :
- Les systèmes de notation sociale généralisée des citoyens
- La reconnaissance biométrique en temps réel dans les espaces publics (sauf exceptions)
- Les systèmes de manipulation subliminale
Ces interdictions ne concernent pas directement la majorité des PME. Mais depuis février 2025, les obligations sur les modèles d'IA générale (GPT, Claude, Gemini) s'appliquent. Si vous utilisez ces modèles via API dans vos produits ou processus, vous êtes concerné.
Ce qui arrive avant fin 2026
Avant août 2026, les systèmes IA à risque limité doivent respecter des obligations de transparence. C'est là que la plupart des PME sont directement touchées.
Selon une étude Bpifrance (2026), 67% des PME françaises utilisent au moins un outil d'IA générative dans leurs opérations. Parmi elles, moins de 12% ont mis en place des mentions de transparence conformes à l'EU AI Act.
Concrètement, si votre PME utilise :
- Un chatbot client alimenté par ChatGPT ou Claude → obligation d'informer les utilisateurs qu'ils interagissent avec une IA
- Un système de tri automatique de CV → obligation de documentation et d'information des candidats
- Un outil de scoring commercial → documentation des critères de décision requise
Le cas des PME "déployeurs"
L'EU AI Act distingue les fournisseurs (qui créent les systèmes IA) des déployeurs (qui les utilisent dans leurs processus). La quasi-totalité des PME sont des déployeurs. Leurs obligations sont moins lourdes que celles des fournisseurs, mais existent.
Pour un déployeur utilisant un système IA à risque limité (chatbot, génération de contenu, recommandation produit) :
- Informer les utilisateurs : mention claire que le contenu est généré ou filtré par une IA
- Tenir un registre : documenter l'usage prévu et réel du système IA
- Désigner un référent IA : pas obligatoire sous 50 salariés, recommandé au-dessus
Pour un déployeur utilisant un système IA à haut risque (recrutement automatisé, scoring crédit, décisions RH affectant l'emploi) :
- Documentation complète du système (fournisseur ou auto-documentée)
- Surveillance humaine des décisions
- Évaluation des risques documentée
Plan d'action en 3 étapes pour les PME
Étape 1 : Inventaire (1 journée)
Listez tous les outils IA utilisés dans votre entreprise : ChatGPT, Copilot, Make.com avec modules IA, outils RH, CRM avec scoring, chatbots. Classifiez chaque outil : interdit / haut risque / risque limité / risque minimal.
Étape 2 : Mise en conformité des usages à risque limité (1 semaine)
Pour chaque outil en contact avec des tiers (clients, candidats), ajoutez une mention de transparence visible. Exemple pour un chatbot : "Ce service est assisté par une intelligence artificielle." Documentez dans un registre simple : nom de l'outil, fournisseur, usage, date de déploiement.
Étape 3 : Évaluation des usages à haut risque (2 à 4 semaines)
Si vous utilisez l'IA pour des décisions affectant des personnes (recrutement, crédit fournisseur, scoring client), faites réaliser une évaluation de conformité. Gartner estime à 25 000-40 000€ le coût d'une mise en conformité complète pour une PME de 50 salariés, contre 200 000-500 000€ en cas de sanction.
Ce que vous pouvez faire dès maintenant
La majorité des PME françaises n'ont pas encore entamé leur mise en conformité AI Act. C'est une fenêtre d'opportunité : les entreprises qui agissent maintenant évitent la précipitation de la dernière heure et peuvent utiliser la conformité comme argument commercial différenciant.
Questions fréquentes
Mon entreprise est-elle concernée par l'EU AI Act si j'utilise seulement ChatGPT ?
Oui, si vous utilisez ChatGPT dans des processus qui affectent des décisions sur des personnes (recrutement, crédit, notation client). Vous êtes alors 'déployeur' d'un système IA à usage limité et des obligations de transparence s'appliquent dès août 2026.
Qu'est-ce qu'un système IA à 'risque limité' ?
Les chatbots clients, les outils de génération de contenu, les systèmes de recommandation produit sont en risque limité. L'obligation principale est la transparence : informer les utilisateurs qu'ils interagissent avec une IA.
Y a-t-il des amendes pour les PME en cas de non-conformité ?
Oui. Les sanctions vont de 7,5M€ ou 1% du CA mondial (usage interdit) à 15M€ ou 3% du CA (non-respect des obligations). Pour une PME à 2M€ de CA, l'amende maximale courante serait de 60 000€. La CNIL est l'autorité de contrôle en France.
Par où commencer pour se mettre en conformité AI Act ?
Trois étapes : (1) Inventoriez tous les outils IA utilisés dans votre entreprise, (2) classifiez-les par niveau de risque, (3) mettez en place les obligations de transparence pour les outils en contact avec des tiers. Un audit de 2 à 3 jours suffit pour la plupart des PME.