AI Act : ce qui devient obligatoire demain, 2 août 2026, pour votre TPE (et ce qui est reporté à fin 2027)

Demain, l'IA de votre entreprise entre dans le droit commun

Le 2 août 2026, le règlement européen sur l'intelligence artificielle — le règlement (UE) 2024/1689, plus connu sous le nom d'AI Act — devient pleinement applicable. La date était inscrite dans le texte depuis son adoption en 2024. Elle arrive demain.

La réaction habituelle du dirigeant de TPE, quand je lui en parle : « Je ne fais pas d'IA, ça ne me concerne pas. » Réponse courte : si vous avez un chatbot sur votre site, si vous publiez des visuels générés par IA sur vos réseaux, si vous utilisez un assistant pour rédiger vos newsletters ou trier vos candidatures, vous êtes concerné. Pas comme fournisseur d'IA — comme déployeur. Et le règlement impose des obligations aux déployeurs.

Bonne nouvelle : ces obligations sont infiniment plus légères que ce qu'on a raconté. Mauvaise nouvelle : elles ne sont pas nulles, et le régime de sanctions, lui, est bien réel.

Ce qui a été reporté (et qui a semé la confusion)

Commençons par démêler le calendrier, parce que l'actualité de ces derniers mois l'a considérablement brouillé.

Le paquet dit Digital Omnibus a fait l'objet d'un accord politique le 7 mai 2026, d'un vote du Parlement européen le 16 juin, puis d'un feu vert final du Conseil le 29 juin 2026. Il modifie l'AI Act sur un point majeur : les obligations relatives aux systèmes à haut risque sont décalées de seize mois.

• Systèmes autonomes relevant de l'annexe III (recrutement, gestion des travailleurs, accès au crédit, éducation, services essentiels…) : application repoussée du 2 août 2026 au 2 décembre 2027.
• IA intégrée dans des produits déjà réglementés au titre de l'annexe I : report au 2 août 2028.
• Obligation de marquage lisible par machine des contenus générés, pour les systèmes déjà sur le marché : sursis jusqu'au 2 décembre 2026.

C'est ce report qui a nourri les titres du type « l'Europe recule sur l'IA ». Sauf que le reste du calendrier n'a pas bougé d'un jour. Le report vise les obligations lourdes — système de gestion des risques documenté, marquage CE, enregistrement dans la base de données européenne — qui pèsent surtout sur les fournisseurs et les grands déployeurs.

L'article 50 : les quatre obligations qui vous concernent

L'article 50 est la disposition qui touche le plus grand nombre d'entreprises, parce qu'elle s'applique indépendamment du niveau de risque. Peu importe que votre outil soit anodin : si vous êtes dans l'un des quatre cas ci-dessous, la transparence est due.

1. L'interaction avec un système d'IA doit être signalée

Un chatbot, un agent conversationnel, un assistant vocal : l'utilisateur doit savoir qu'il s'adresse à une machine. Cette obligation pèse d'abord sur le fournisseur du système, qui doit le concevoir en ce sens. Mais si vous déployez un chatbot sur votre site sous votre marque, vérifiez que l'information apparaît clairement.

Une exception de bon sens existe : quand le caractère artificiel est évident pour une personne normalement informée compte tenu du contexte. Un widget baptisé « Assistant virtuel » avec une icône de robot remplit déjà largement la condition. Un chatbot prénommé « Julie » qui répond avec un ton humain, beaucoup moins.

2. Les contenus générés doivent être marqués

Les systèmes qui produisent du son, de l'image, de la vidéo ou du texte synthétiques doivent intégrer un marquage lisible par machine. C'est une obligation du fournisseur — vous n'avez pas à bricoler des métadonnées vous-même. Votre rôle : ne pas supprimer volontairement ce marquage lors de vos retouches.

3. Les deepfakes doivent être signalés

Si vous diffusez une image, un son ou une vidéo générés ou manipulés par IA qui ressemblent à des personnes, lieux ou événements réels et pourraient être pris pour authentiques, vous devez le mentionner. C'est une obligation de déployeur, donc la vôtre.

Un cas très concret pour une TPE : la vidéo de présentation où le dirigeant est doublé par une voix de synthèse, ou la photo de chantier « améliorée » par IA pour montrer un résultat qui n'existe pas encore. Le second cas, courant dans le bâtiment et l'immobilier, relève clairement de l'obligation. Une mention visible du type « visuel généré par intelligence artificielle » suffit.

Les usages artistiques, créatifs ou satiriques bénéficient d'un régime allégé : la mention reste due, mais sans nuire à l'affichage ou à la jouissance de l'œuvre.

4. Les textes d'information au public générés par IA

Un texte publié pour informer le public sur des questions d'intérêt général et généré par IA doit être signalé comme tel. L'exception est large et importante : si le contenu a fait l'objet d'un contrôle éditorial humain et qu'une personne physique ou morale en assume la responsabilité, l'obligation tombe.

Autrement dit, un article de blog rédigé avec l'aide d'un assistant puis relu, corrigé et assumé par un humain n'a pas à porter de mention. Un flux d'articles générés en série et publiés sans relecture, si. La ligne de partage est le contrôle éditorial réel, pas l'outil utilisé.

Et la reconnaissance des émotions

Cinquième cas, plus rare mais à connaître : si vous exploitez un système de reconnaissance des émotions ou de catégorisation biométrique, vous devez informer les personnes exposées. Et là, le RGPD s'ajoute immédiatement à l'AI Act. Ce type de système dans un contexte de travail relève par ailleurs des pratiques interdites de l'article 5 dans plusieurs configurations. Prudence maximale.

Les sanctions, et la protection accordée aux PME

Le manquement aux obligations de transparence de l'article 50 expose à une amende administrative pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les pratiques interdites de l'article 5, le plafond grimpe à 35 millions d'euros ou 7 % du chiffre d'affaires.

Ces chiffres font peur, et c'est leur rôle. Mais le règlement contient une disposition trop peu connue : pour les PME, y compris les jeunes pousses, c'est le montant le plus bas des deux qui s'applique, et non le plus élevé. Pour une TPE réalisant 800 000 € de chiffre d'affaires, le plafond théorique redescend donc à 24 000 €. Toujours dissuasif, mais loin des millions agités dans la presse.

Ajoutons que les autorités doivent tenir compte de la taille de l'entreprise, de la gravité du manquement et de la bonne foi. Une TPE qui a documenté ses usages et corrige rapidement ne risque pas grand-chose. Une entreprise qui ignore délibérément la réglementation après signalement, c'est autre chose.

Le flou français sur les autorités de contrôle

Voilà une particularité qu'il faut connaître : à la veille de l'entrée en application des pouvoirs de sanction, la France n'a toujours pas achevé la désignation formelle de ses autorités compétentes. Le schéma proposé par le gouvernement depuis septembre 2025 n'a pas terminé son parcours législatif.

L'architecture envisagée est sectorielle : la DGCCRF comme coordinateur et point de contact unique au sens de l'article 70 du règlement, la CNIL en position centrale sur les données personnelles et la biométrie, l'Arcom sur les deepfakes et les contenus, l'ACPR et l'AMF pour la finance, l'ANSSI pour la cybersécurité, la HAS et l'ANSM pour la santé.

Résultat ? Dans les prochaines semaines, une entreprise française qui se pose une question de conformité n'aura pas toujours d'interlocuteur clairement identifié. Ne prenez pas ce flou institutionnel pour une dispense. Le règlement est directement applicable, il n'attend aucune transposition. Le retard porte sur le « qui contrôle », pas sur le « quoi respecter ».

Votre plan de conformité en quatre étapes

Ce que je recommande aux dirigeants de TPE et PME tient en une demi-journée de travail. Vraiment.

Étape 1 : l'inventaire des usages

Le chantier prioritaire n'est pas de changer d'outils, c'est de savoir ce que vous avez déjà entre les mains. Listez, service par service, tous les outils utilisant de l'IA : chatbot du site, assistant de rédaction, générateur d'images, outil de tri de CV, transcription de réunions, détection de fraude, prévision de stocks.

La surprise est presque toujours la même : la liste est deux fois plus longue que prévu, parce que l'IA s'est glissée dans des logiciels métier existants sans que personne ne l'ait décidé.

Étape 2 : classer chaque usage

Pour chacun, posez trois questions. Est-ce un usage interdit au titre de l'article 5 ? Est-ce un usage relevant de l'annexe III, donc haut risque à horizon décembre 2027 ? Est-ce un usage déclenchant l'article 50 ?

Le tri de CV et l'évaluation des salariés relèvent de l'annexe III. Vous avez jusqu'au 2 décembre 2027 pour les obligations complètes, mais le RGPD, lui, s'applique déjà pleinement à ces traitements. Ne vous endormez pas sur le report.

Étape 3 : ajouter les mentions manquantes

Concrètement, ça donne : une phrase d'accueil explicite sur le chatbot, une mention « contenu généré par IA » sous les visuels synthétiques, une ligne dans les mentions légales décrivant vos usages d'IA. Coût : zéro euro et une heure de travail avec votre prestataire web.

Étape 4 : la littératie en IA

L'article 4 impose depuis février 2025 aux fournisseurs et aux déployeurs de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes pour leur compte. Pour une TPE, cela ne veut pas dire financer un master. Une note interne de deux pages et une réunion d'équipe d'une heure, tracées par écrit, répondent à l'obligation.

Mon avis : profitez-en pour faire le ménage

À mon sens, l'erreur serait de traiter ce sujet comme une contrainte administrative de plus. L'inventaire des usages d'IA, quand on le fait sérieusement, révèle souvent des choses utiles : des abonnements payés en double, des outils utilisés par un seul salarié, des données d'entreprise envoyées vers des services dont personne n'a lu les conditions.

L'expérience montre que les dirigeants qui font cet exercice en ressortent avec deux ou trois décisions concrètes qui n'ont rien à voir avec la conformité : rationaliser les abonnements, encadrer ce qui peut être envoyé dans un outil externe, former l'équipe sur les usages qui font vraiment gagner du temps.

Ce n'est pas tout. La transparence sur l'IA devient un argument commercial. Les acheteurs publics et les grands donneurs d'ordre commencent à intégrer des clauses IA dans leurs appels d'offres. Une PME capable de produire son inventaire et ses mentions en dix minutes prend une longueur d'avance sur celle qui découvre le sujet en remplissant le questionnaire.

Bref, quatre heures de travail cette semaine valent mieux qu'un dossier bâclé dans six mois. Et pendant que vous y êtes, notez la date du 2 décembre 2027 dans votre agenda : c'est le prochain rendez-vous sérieux.