AI Act : ce qui a changé le 2 août 2026 pour ton entreprise

Le 2 août 2026 est passé sans qu'aucune PME ne reçoive de courrier. Et pourtant, c'est la date à laquelle le règlement européen sur l'intelligence artificielle est devenu, pour l'essentiel, applicable et sanctionnable.

Comme souvent avec les textes européens, la panique n'est pas la bonne réaction — l'ignorance non plus. On fait le point sur ce qui te concerne réellement si tu diriges une entreprise de 5 à 250 personnes, et sur ce qui ne te concerne pas du tout.

Rappel utile : le calendrier de l'AI Act

Le règlement est entré en vigueur le 1^er août 2024, avec une application par paliers pour laisser aux organisations le temps de s'adapter.

Point important souvent mal compris : dans le cadre du projet de simplification européen surnommé « AI Omnibus », les obligations sur les systèmes à haut risque ont été repoussées. En revanche, les interdictions fondamentales restent pleinement applicables, et l'échéance du 2 août 2026 n'a pas bougé.

Ce qui te concerne vraiment (les 3 obligations)

1. Dire que c'est une IA

Tout système interactif — chatbot sur ton site, assistant vocal, agent de prise de rendez-vous — doit informer clairement l'utilisateur qu'il parle à une machine, dès le début de l'échange.

Concrètement : si tu as installé un agent conversationnel sur ton site, une mention doit apparaître dans le premier message. « Bonjour, je suis l'assistant virtuel de [entreprise] » suffit. Ce qui ne suffit pas : un prénom humain, une photo de personne, et aucune mention. Ce n'est pas une nuance de style, c'est le cœur de l'obligation.

2. Marquer les contenus générés

Les images, vidéos, sons et textes générés ou modifiés par IA — les deepfakes en particulier — doivent être identifiés. Le texte prévoit deux niveaux :

• Un marquage visible pour le public (une mention « généré par IA »). Applicable immédiatement.
• Un marquage technique (filigrane numérique lisible par les machines). Un délai jusqu'au 2 décembre 2026 a été accordé pour les outils commercialisés avant août 2026.

Pour une PME, la traduction est simple : si tu publies des visuels ou des vidéos générés par IA dans ta communication, indique-le. Les principaux outils de génération intègrent désormais le marquage technique — vérifie que tu ne le désactives pas.

3. Prouver que tes équipes sont formées

C'est l'obligation la plus structurante, et la moins médiatisée. Depuis février 2025, les organisations qui utilisent des systèmes d'IA doivent développer les compétences de leurs collaborateurs pour un usage responsable. Depuis le 2 août 2026, c'est contrôlable.

Autrement dit : en cas de contrôle, tu dois pouvoir démontrer que tes équipes ont été sensibilisées aux possibilités, aux limites et aux risques de ces outils. Une attestation de formation, un support daté, une charte d'usage signée : ce sont ces pièces qui font la preuve.

Qui contrôle, et combien ça coûte

Le Bureau européen de l'IA, en coopération avec les autorités nationales, peut désormais ouvrir des enquêtes, demander l'accès aux documentations techniques, aux données d'entraînement, et si nécessaire au code source. En France, ces missions peuvent être portées par la CNIL, la DGCCRF ou l'Arcom selon le domaine.

Remettons les choses à leur place : ces plafonds visent d'abord les éditeurs et les grands déploiements. Une PME qui a oublié de mentionner son chatbot ne risque pas 15 M€. Mais le régime existe, et il crée un devoir de diligence qui, lui, s'applique à tout le monde.

Le chantier réaliste pour une PME

Trois livrables. Deux à trois jours de travail au total. Voici la séquence qu'on applique chez nos clients.

L'étape 1 est celle qui surprend le plus. Dans la quasi-totalité des inventaires qu'on mène, on découvre des usages non déclarés — le fameux shadow AI : des comptes gratuits personnels utilisés avec des documents clients. Ce n'est pas de la malveillance, c'est de la débrouille. Mais du point de vue du règlement comme du RGPD, c'est exactement le trou dans la raquette.

Trois idées fausses qui circulent

« On n'est pas concernés, on ne développe pas d'IA. » Faux. Le règlement distingue le fournisseur (qui développe) du déployeur (qui utilise). Les obligations de transparence et de formation visent les déployeurs. C'est-à-dire toi.

« Tout est reporté à 2027. » Faux aussi. Ce sont les obligations haut risque qui ont été repoussées. La transparence, les contrôles et les sanctions sont actifs depuis le 2 août 2026.

« Il faut nommer un référent IA et faire un dossier de 200 pages. » Non, pas pour une PME utilisatrice d'outils du marché. Un inventaire, une charte, une formation tracée : c'est proportionné et c'est ce qu'on attend de toi.

Le bon angle : une contrainte qui sert d'accélérateur

On peut lire l'AI Act comme une corvée. On peut aussi le lire comme le prétexte le plus légitime qu'on ait eu depuis longtemps pour mettre le sujet IA sur la table.

L'inventaire des usages, c'est une cartographie gratuite de ce que ton équipe fait déjà — et une excellente base pour identifier les cas d'usage à industrialiser. La charte, c'est ce qui permet enfin de dire « oui » officiellement au lieu de laisser faire en douce. Et la formation obligatoire, c'est justement le levier qui manquait pour embarquer les plus réticents.

Ajoute à ça le fait que cette formation est finançable via ton OPCO dès lors que l'organisme est certifié Qualiopi, et que le plan Osez l'IA cofinance les diagnostics : la conformité coûte beaucoup moins cher qu'on ne le croit.

Et la suite

Deux échéances à noter dans ton agenda. Décembre 2027 pour les systèmes à haut risque de l'annexe III : si tu utilises de l'IA dans le recrutement, l'évaluation des salariés ou l'accès à des services essentiels, tu es concerné, et le niveau d'exigence change d'échelle. Août 2028 pour l'IA embarquée dans des produits déjà réglementés.

En parallèle, la Commission a présenté en juillet 2026 un plan d'action sur la cybersécurité des systèmes d'IA, avec la création d'un dispositif indépendant d'évaluation des risques d'ici 2027. Le mouvement de fond est clair : on passe de l'expérimentation libre à un cadre documenté. Autant prendre l'habitude maintenant, tant que le chantier tient en trois jours.

Si tu veux comprendre où en est ton exposition réelle, commence par le plus simple : ouvre notre plan en 30 jours et fais l'inventaire de la semaine 1. Tu sauras en deux heures ce que tu dois traiter.

Sources

• AI Act — texte consolidé et calendrier d'application
• Commission européenne — cadre réglementaire sur l'IA
• CNIL — intelligence artificielle
• Pôle d'excellence cyber — les obligations applicables depuis le 2 août 2026

Encore une dinguerie à partager !

‍