AI Act au 2 août 2026 : le guide pratique pour les TPE et PME
Depuis l’entrée en vigueur de l’AI Act le 1er août 2024, le calendrier d’application s’égrène par paliers : interdictions en février 2025, obligations sur les modèles à usage général en août 2025, et bientôt la grande bascule. Le 2 août 2026, l’AI Act devient pleinement applicable aux systèmes d’IA à haut risque. Marquage CE, documentation technique, contrôle humain, sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial : pour les TPE et PME françaises, l’échéance est désormais une affaire opérationnelle. Ce guide pose les questions concrètes : qu’est-ce qui change, pour qui, et comment se préparer en quelques semaines.
EN BREF
- Public visé : dirigeants TPE/PME, DAF, RGPD/DPO, responsables IT.
- Enjeu central : se mettre en conformité avant le 2 août 2026 sans freiner l’innovation interne.
- Chiffre clé : jusqu’à 35 M€ ou 7 % du CA mondial de sanction pour les usages prohibés.
- Temps de lecture : 8 minutes.
1. Ce qui bascule au 2 août 2026
L’AI Act applique une logique de classification par niveau de risque. Tant qu’une entreprise n’utilise que des chatbots ou des outils bureautiques classiques (rédaction, retouche d’image), elle reste dans la catégorie « risque limité » : la seule obligation est la transparence — signaler à l’utilisateur qu’il interagit avec une IA ou qu’un contenu a été généré. C’est gérable.
La bascule du 2 août 2026 concerne en revanche tous les systèmes d’IA classés à haut risque. Et la liste est plus large qu’on ne croit. Y figurent notamment les IA utilisées en recrutement (tri de CV, analyse de candidatures), en évaluation de crédit (scoring de solvabilité), dans la gestion des employés (évaluation, mobilité interne), en santé (aide au diagnostic), dans l’éducation (notation automatisée), dans les infrastructures critiques ou dans certains usages biométriques. Une PME qui utilise un logiciel de tri de candidatures « avec IA » se retrouve concernée.
« L’AI Act ne s’applique pas à votre entreprise parce que vous développez de l’IA. Il s’applique parce que vous l’utilisez — et la responsabilité de conformité retombe sur l’utilisateur professionnel. »
2. Les six obligations clés pour un système haut risque
Le règlement impose six obligations cumulatives aux entreprises qui développent ou intègrent un système d’IA à haut risque. Aucune n’est cosmétique. Toutes nécessitent un travail interne avant le 2 août.
| Obligation | Ce que cela veut dire |
|---|---|
| 1. Système de gestion des risques | Document écrit identifiant les risques, leurs probabilités, leurs impacts, et les mesures de mitigation. Mis à jour régulièrement. |
| 2. Documentation technique | Description du système, des données d’entraînement, des performances, des limites. Fournie sur demande aux autorités. |
| 3. Contrôle humain | Un humain doit pouvoir comprendre la sortie de l’IA, l’invalider, et la corriger. Pas de « boîte noire » décisionnelle. |
| 4. Qualité des données | Données d’entraînement et de test représentatives, pertinentes, exemptes de biais évident. |
| 5. Inscription base UE | Enregistrement du système dans la base de données européenne avant mise sur le marché. |
| 6. Marquage CE | Apposition d’un marquage CE après évaluation de conformité (auto-évaluation ou tierce partie selon les cas). |
SANCTIONS — l’échelle 2026
Pour un usage prohibé (manipulation, scoring social, surveillance biométrique illégale) : jusqu’à 35 M€ ou 7 % du CA mondial. Pour un système haut risque non conforme : jusqu’à 15 M€ ou 3 % du CA. Pour un manquement de transparence (chatbot non étiqueté, image IA non signalée) : jusqu’à 7,5 M€ ou 1 % du CA. Les régulateurs nationaux — en France, la CNIL et l’Autorité de la concurrence — montent en puissance.
3. Le piège des fournisseurs : qui porte la conformité ?
L’AI Act distingue plusieurs rôles : fournisseur (celui qui développe le système), déployeur (l’utilisateur professionnel), importateur et distributeur. Une PME qui intègre un outil IA d’un éditeur étranger devient déployeur — et a, à ce titre, des obligations propres. Vérifier les paramétrages, conserver les logs, informer les personnes concernées, surveiller le fonctionnement réel.
Concrètement, trois questions à poser à chaque fournisseur d’outil IA avant signature ou renouvellement : 1) Le système est-il classé haut risque selon l’AI Act, et avez-vous la documentation correspondante ? 2) Quelle est votre procédure de mise à jour réglementaire (clause AI Act dans le contrat) ? 3) Où sont hébergées les données et qui peut y accéder ? Trois réponses floues = trois drapeaux rouges.
POINT DE VIGILANCE — Beaucoup de SaaS américains intègrent désormais de l’IA sans le mentionner clairement dans les conditions générales. Un module « assistant intelligent », « auto-completion », « scoring » ou « recommandation » peut relever de l’AI Act. La cartographie des usages IA dans votre entreprise n’est pas un confort : c’est la première marche obligatoire de la conformité.
4. Le plan d’action 90 jours pour une TPE/PME
La fenêtre est encore ouverte. Voici un plan d’action condensé sur 90 jours, calibré pour une structure de 10 à 250 salariés sans équipe juridique dédiée.
Phase 1 — Cartographier (semaines 1 à 3)
Lister tous les outils utilisés dans l’entreprise qui contiennent un module IA — y compris ceux dont l’IA n’est pas le cœur du produit. Microsoft Copilot, Google Workspace IA, ChatGPT et Claude payants, modules IA dans le CRM, le RH, la compta, le marketing. Pour chaque outil, noter : qui l’utilise, à quelle fréquence, pour quel type de décision, sur quelles données. Cette cartographie est le socle de toute la suite.
Phase 2 — Classer (semaines 4 à 6)
Pour chaque usage cartographié, déterminer le niveau de risque AI Act : minimal, limité, haut risque, inacceptable. La classification se fait à partir des cas listés en annexe III du règlement. Un tri de CV automatisé = haut risque. Un correcteur orthographique = minimal. Une analyse de sentiment client = limité. La CNIL a publié des fiches pratiques utiles. En cas de doute, demander un avis externe ou suspendre l’usage jusqu’à clarification.
Phase 3 — Documenter et corriger (semaines 7 à 12)
Pour les usages haut risque identifiés : exiger du fournisseur la documentation de conformité, mettre en place le système de gestion des risques interne, formaliser la procédure de contrôle humain (qui valide, sur quels critères, sur quelle traçabilité). Pour les usages limités : ajouter une mention de transparence côté utilisateur final. Pour le reste : tenir le registre à jour.
OPPORTUNITÉ — Au-delà de la conformité, ce travail de cartographie révèle souvent des angles morts : usages IA non maîtrisés (Shadow AI), redondance entre outils, économies possibles sur les abonnements. Les entreprises qui s’y mettent maintenant en tirent un bénéfice opérationnel net.
5. Et après le 2 août ?
L’AI Act n’est pas un point d’arrivée. Le règlement prévoit une montée en charge progressive. Les modèles à usage général soumis aux obligations renforcées (« risque systémique ») verront leur perimètre s’élargir. La CNIL annonce un programme de contrôle 2026 ciblant prioritairement les entreprises qui utilisent l’IA en RH, en finance, et dans les services publics. Côté Bruxelles, la Commission s’est dotée d’un Bureau de l’IA (AI Office) qui sera l’autorité de référence pour les modèles transverses.
Pour les PME, deux réflexes à adopter dès maintenant : intégrer l’AI Act dans tous les nouveaux contrats fournisseurs (clause de conformité, clause de réversibilité), et former une personne référente — RGPD ou DPO si vous en avez un — sur le règlement. Le coût d’un audit ponctuel pour une structure de 50 salariés se situe en 2026 entre 3 000 et 8 000 €. C’est marginal au regard des sanctions encourues.
À RETENIR
- Le 2 août 2026 rend applicables les obligations cœur de l’AI Act pour les systèmes à haut risque.
- Les usages haut risque concernent largement les PME : recrutement, crédit, RH, santé.
- Sanction maximale : 35 M€ ou 7 % du CA mondial pour un usage prohibé.
- Premier travail à faire : cartographier tous les usages IA de l’entreprise — y compris les modules cachés des SaaS.
- Exigez de vos fournisseurs une clause AI Act dans tout nouveau contrat à compter de mai 2026.
Num Compagny accompagne les TPE/PME et collectivités dans leur mise en conformité AI Act : audit des usages IA, cartographie réglementaire, formation du référent interne, accompagnement à la rédaction des clauses fournisseurs. Découvrez nos formations sur numcompagny.com.
