AI Act : ce qui change pour une petite entreprise

L'AI Act est le règlement européen sur l'intelligence artificielle. Il vise surtout ceux qui conçoivent et vendent des systèmes d'IA. Mais une petite structure qui utilise ChatGPT, Copilot ou Canva est aussi concernée, sur deux points simples : former son équipe et être transparente sur certains contenus.

En bref

• Le texte : règlement (UE) 2024/1689 du 13 juin 2024, publié au Journal officiel de l'Union européenne le 12 juillet 2024, entré en vigueur le 1er août 2024.
• Il a été modifié par l'omnibus numérique sur l'IA, le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet 2026.
• Quand vous utilisez une IA dans votre activité professionnelle, vous êtes un « déployeur » au sens du règlement (article 3) : une personne ou une organisation qui utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel.

Le calendrier exact

• 1er août 2024Entrée en vigueur du règlement.
• 2 février 2025Interdiction de certaines pratiques (article 5) et obligation de maîtrise de l'IA (article 4).
• 2 août 2025Obligations des fournisseurs de modèles d'IA à usage général (ceux qui font tourner ChatGPT, Gemini, Claude, Mistral…) et règles de gouvernance.
• 2 août 2026Application générale, dont les règles de transparence de l'article 50 ; contrôles et sanctions par les autorités.
• 2 décembre 2026Fin du délai accordé pour le marquage technique des contenus générés, pour les systèmes déjà sur le marché avant le 2 août 2026.
• 2 décembre 2027Systèmes d'IA à haut risque de l'annexe III (recrutement, éducation, biométrie, accès aux services essentiels…), reportés par l'omnibus.
• 2 août 2028Systèmes à haut risque intégrés à des produits réglementés (annexe I), reportés par l'omnibus.

Ce que l'omnibus de 2026 a changé

Proposé par la Commission le 19 novembre 2025 et adopté en 2026, l'omnibus sur l'IA :

• reporte les obligations des systèmes à haut risque (au 2 décembre 2027 et au 2 août 2028) : elles sont décalées, pas supprimées ;
• allège l'article 4 : les entreprises doivent toujours prendre des mesures pour développer la maîtrise de l'IA de leur personnel, mais sans l'exigence d'atteindre un « niveau suffisant » ;
• ajoute une interdiction visant les systèmes qui génèrent des contenus sexuels intimes non consentis ou pédocriminels (applications dites de « nudification »), applicable à partir de décembre 2026 ;
• étend certaines facilités réservées aux PME aux petites entreprises de taille intermédiaire, et élargit l'accès aux « bacs à sable » réglementaires.

L'article 50 sur la transparence, lui, n'a pas été reporté.

Pour une TPE qui utilise ChatGPT : la maîtrise de l'IA (article 4)

La Commission européenne le dit explicitement dans ses questions-réponses : une entreprise qui utilise ChatGPT pour rédiger des publicités ou traduire est un déployeur et doit prendre des mesures de maîtrise de l'IA pour son personnel. Concrètement :

• les personnes qui utilisent l'IA savent ce qu'elle fait bien, ce qu'elle fait mal, et les risques propres à votre usage (par exemple les hallucinations) ;
• la formation est adaptée à votre activité et au niveau de chacun : pas besoin d'un cours d'ingénieur ;
• aucun certificat n'est exigé : la Commission indique qu'il suffit de garder une trace interne des formations et actions menées.

Transparence et deepfakes (article 50)

Depuis le 2 août 2026 :

• les fournisseurs doivent faire en sorte que les personnes sachent qu'elles parlent à une IA (un agent conversationnel), sauf si c'est évident, et marquer techniquement les contenus générés ;
• un déployeur qui diffuse un hypertrucage (image, son ou vidéo générés ou manipulés qui ressemblent à des personnes, lieux ou événements réels) doit indiquer que le contenu est artificiel ;
• un texte généré publié pour informer le public sur des questions d'intérêt public doit être signalé, sauf s'il a été relu par une personne qui en assume la responsabilité éditoriale.

En pratique : si vous mettez un agent conversationnel sur votre site, dites qu'il s'agit d'une IA. Si vous publiez une vidéo ou une photo réaliste générée, dites-le.

Contrôles et sanctions

• En France, le schéma annoncé en septembre 2025 confie la coordination à la DGCCRF, avec la DGE, la CNIL, l'Arcom et d'autres autorités selon les sujets. La loi qui désigne formellement ces autorités n'était pas promulguée au 28/10/2026.
• L'article 4 est contrôlé par les autorités nationales ; ses sanctions relèvent du droit national.
• Les amendes prévues par l'article 99 sont exprimées en pourcentage du chiffre d'affaires annuel mondial (jusqu'à 7 % pour les pratiques interdites, 3 % pour la plupart des autres obligations) ou en montant fixe ; pour les PME, c'est le plus bas des deux qui s'applique. Une éventuelle modification de ces plafonds par l'omnibus est non confirmé par l'éditeur à la date du 28/10/2026, faute d'avoir pu lire la version consolidée.

Ce que je fais concrètement avec une petite structure

1. Lister les outils d'IA utilisés, et par qui (y compris ceux installés « en douce »).
2. Vérifier qu'aucun usage ne tombe dans les pratiques interdites ou à haut risque (recrutement automatisé, notation de personnes…). Si c'est le cas, on va voir un juriste.
3. Former l'équipe et garder la trace.
4. Signaler les contenus générés réalistes et les agents conversationnels.

Pour aller plus loin

• Commission européenne : le cadre réglementaire de l'IA (en anglais)
• Commission européenne : questions-réponses sur la maîtrise de l'IA (en anglais)
• Le texte du règlement 2024/1689 sur EUR-Lex
• entreprises.gouv.fr : les autorités compétentes en France