AI Act du 2 août 2026 : ce que toute PME française doit faire dès maintenant

À qui s'applique l'AI Act ?

L'AI Act distingue plusieurs rôles. Une même entreprise peut cumuler plusieurs rôles selon ses cas d'usage :

• Fournisseur (provider) : vous développez ou faites développer un système d'IA mis sur le marché sous votre nom
• Déployeur (deployer) : vous utilisez un système d'IA dans votre activité professionnelle (rôle majoritaire des PME)
• Importateur ou distributeur : vous importez ou distribuez un système d'IA développé hors UE

Concrètement : si votre PME utilise ChatGPT, Copilot, Mistral, Claude, Gemini, ou un agent IA personnalisé pour ses opérations, vous êtes un déployeur et vous êtes concerné.

Quels sont les niveaux de risque ?

Calendrier d'application — les dates clés

Ce que vous devez faire d'ici le 2 août 2026

Pour toutes les PME — peu importe l'usage IA

✅ 1. Formation obligatoire des équipes (art. 4) — déjà en vigueur depuis février 2025
L'article 4 impose à tous les déployeurs et fournisseurs de s'assurer que leurs personnels utilisant l'IA ont un niveau suffisant de connaissance et de compétences. C'est opposable en cas de contrôle ou de contentieux.

Action : organiser une formation IA pour vos équipes (1 à 3 jours selon le niveau). Finançable à 100 % par votre OPCO pour les PME.

✅ 2. Inventaire de vos usages IA
Cartographiez tous les systèmes IA utilisés dans votre entreprise (officiels et "shadow IT"). ChatGPT en personnel, Copilot, DeepL, Otter.ai, Midjourney, etc.

✅ 3. Politique IA interne
Définir ce qui est autorisé / interdit / encadré dans l'entreprise. Rédiger une charte IA opposable aux salariés.

Pour les PME utilisant l'IA dans les domaines à haut risque (Annexe III)

Si votre PME utilise l'IA pour le tri de CV, l'évaluation des salariés, le scoring crédit, l'aide à la décision en justice, le contrôle d'accès biométrique ou autres domaines Annexe III, ajoutez :

• 4. Documentation technique (art. 11 + Annexe IV) — obligation 2 août 2026
• 5. Évaluation de conformité (art. 43)
• 6. Marquage CE + enregistrement (art. 48 + 49)
• 7. Système de management de la qualité (art. 17)
• 8. Plan de monitoring post-mise sur le marché (art. 72)

Pour les PME utilisant des chatbots ou génération de contenu IA

✅ 9. Transparence utilisateurs (art. 50) — obligation 2 août 2026
Indiquer clairement à l'utilisateur qu'il interagit avec une IA. Pour les contenus générés, apposer une mention identifiable ou un marquage technique.

Sanctions encourues

Les sanctions de l'AI Act sont calquées sur le RGPD mais montent plus haut :

• Violation des interdictions (art. 5) : jusqu'à 35 M€ ou 7 % du CA mondial
• Non-conformité haut risque : jusqu'à 15 M€ ou 3 % du CA mondial
• Informations fausses aux autorités : jusqu'à 7,5 M€ ou 1 % du CA mondial

Le piège des données : pourquoi le cloud américain devient problématique

Beaucoup de PME utilisent ChatGPT, Copilot, ou Gemini sans se rendre compte qu'elles transfèrent leurs données vers les États-Unis à chaque requête. Cela pose deux problèmes simultanés :

1. Conformité RGPD : les transferts vers les États-Unis nécessitent un fondement juridique fragile
2. Conformité AI Act : documentation quasi impossible à tenir, exposition au Cloud Act

La voie la plus simple pour une PME : déployer son IA localement, sur son propre serveur, avec des modèles open-source européens (Mistral, Llama, Qwen, DeepSeek). Aucune donnée ne sort de l'entreprise.

Comment IAPRO vous accompagne

Chez IAPRO, nous proposons une formule dédiée Conformité AI Act & RGPD-IA qui comprend :

• Cartographie complète de vos usages IA
• Classification par niveau de risque AI Act
• Rédaction de votre dossier de documentation technique
• Système de management qualité (art. 17)
• Plan de monitoring post-déploiement (art. 72)
• Charte IA interne opposable
• Formation des équipes (art. 4)

Les pièges à éviter

• ❌ Penser que l'AI Act ne concerne que les développeurs IA (les déployeurs sont aussi concernés)
• ❌ Attendre août 2026 pour s'y mettre (la documentation prend plusieurs mois)
• ❌ Croire qu'un disclaimer "généré par IA" suffit pour les systèmes haut risque
• ❌ Sous-traiter à un outil cloud sans contrat clair
• ❌ Confondre AI Act et RGPD (ce sont deux règlementations complémentaires)

Sources officielles

• Règlement UE 2024/1689 — texte officiel
• CNIL — Intelligence artificielle
• Commission européenne — AI Office