Le calendrier et les risques réels : 2 août 2026 et après

Cette leçon est la troisième du module « Comprendre ce que la loi demande ». Elle a un objectif simple : vous permettre de répondre calmement, et avec des dates exactes, à la question qui revient dans tous les ateliers que nous animons entre Clermont-Ferrand et le Pays du Sancy — « Qu’est-ce que je risque vraiment, et à partir de quand ? »

Vous allez y trouver le calendrier officiel du règlement européen sur l’intelligence artificielle, le fonctionnement réel du régime d’amendes, et l’état de la gouvernance française. Vous y trouverez aussi une correction importante : une erreur très répandue circule sur l’obligation de formation à l’IA, et cette leçon existe en grande partie pour la démonter.

1. Pourquoi cette leçon existe : le calendrier réel contre le marketing de la peur

Ce que vous avez probablement déjà reçu

Si vous dirigez une TPE et que votre adresse professionnelle traîne dans un annuaire, vous avez reçu au moins un message de ce genre au cours des derniers mois :

« URGENT — À partir du 2 août 2026, toute entreprise utilisant l’intelligence artificielle sans avoir formé ses salariés s’expose à une amende pouvant atteindre 35 millions d’euros ou 7 % de son chiffre d’affaires mondial. Notre pack de mise en conformité à 2 400 € HT vous met à l’abri. Places limitées. »

Ce message contient une date exacte, un chiffre exact et un numéro de règlement exact. Et pourtant, l’affirmation centrale est fausse. Elle assemble des éléments vrais pris séparément pour produire une conclusion qui ne l’est pas. C’est précisément ce qui la rend efficace : elle est trop précise pour ressembler à une arnaque, et trop technique pour qu’on la vérifie.

Nous allons la vérifier ensemble, article par article. À la fin de cette leçon, vous serez capable de recevoir ce type de message, d’ouvrir le texte du règlement, et de dire en trois phrases pourquoi le raisonnement ne tient pas — sans pour autant conclure que vous n’avez rien à faire, parce que ce serait l’erreur symétrique.

Les deux erreurs à éviter, et elles sont symétriques

Dans nos accompagnements, nous rencontrons deux profils de dirigeants, et les deux se trompent.

Le premier profil panique. Il a lu que les amendes montent à 35 millions d’euros. Il dirige une entreprise de sept personnes à Issoire. Il fait le calcul, il ne dort plus, et il signe un devis à quatre chiffres pour un « audit de conformité IA » qui lui rendra un classeur de 80 pages qu’il ne lira jamais. Ce dirigeant a acheté de la tranquillité, pas de la conformité.

Le second profil hausse les épaules. Il a entendu dire que « l’Europe a tout reporté », que « de toute façon personne ne contrôle », et que « ce sont des règles pour Google et Meta ». Il continue à laisser son équipe coller des données de clients dans des outils grand public, sans consigne écrite, sans savoir qui utilise quoi. Ce dirigeant-là ne risque probablement pas une amende européenne. Il risque autre chose, et nous verrons quoi en section 7.

La position juste est entre les deux, et elle n’a rien de confortable : certaines obligations s’appliquent déjà, d’autres arrivent le 2 août 2026, d’autres ont été repoussées à 2027 et 2028, les amendes existent mais ne frappent pas ce qu’on vous dit qu’elles frappent, et le vrai risque pour une TPE auvergnate n’est presque jamais celui qu’on lui vend.

Comment lire un texte européen sans être juriste

Avant d’entrer dans le calendrier, un mot de méthode, parce qu’il vous resservira bien au-delà de cette leçon.

Un règlement européen est découpé en chapitres, eux-mêmes découpés en articles numérotés. Le règlement (UE) 2024/1689 — le nom officiel de ce qu’on appelle communément « AI Act » ou « règlement sur l’IA » — compte 113 articles répartis en 13 chapitres, plus 13 annexes.

Trois notions suffisent à s’orienter :

• Le dernier article : dans presque tous les règlements européens, le tout dernier article fixe ces dates. Ici, c’est l’article 113. Quand quelqu’un vous affirme qu’une obligation s’applique à telle date, la réponse est dans cet article-là, et nulle part ailleurs.

Retenez ce réflexe : une affirmation sur une date se vérifie à l’article 113 ; une affirmation sur une amende se vérifie à l’article 99. Deux articles, et vous pouvez arbitrer 90 % des messages alarmistes que vous recevrez.

2. Le calendrier officiel, date par date

Le principe : une application par étapes

Le règlement (UE) 2024/1689 a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 et il est entré en vigueur le 1er août 2024, soit le vingtième jour suivant sa publication, comme le prévoit la première phrase de l’article 113.

Mais le législateur européen n’a pas voulu que tout s’applique d’un coup. L’article 113 pose donc une règle générale et trois exceptions. La règle générale : le règlement s’applique à partir du 2 août 2026. Les trois exceptions déplacent certains blocs plus tôt ou plus tard.

Voici le texte, dans sa structure exacte :

• Point a) — les chapitres I et II s’appliquent à partir du 2 février 2025 ;
• Point b) — le chapitre III section 4, le chapitre V, le chapitre VII, le chapitre XII et l’article 78 s’appliquent à partir du 2 août 2025, à l’exception de l’article 101 ;
• Point c) — l’article 6, paragraphe 1, et les obligations correspondantes s’appliquent à partir du 2 août 2027.

Cela paraît abstrait. Traduisons chaque bloc en français courant.

2 février 2025 — les interdictions et la maîtrise de l’IA

Le point a) de l’article 113 fait entrer en application les chapitres I et II. Concrètement, deux choses très différentes.

Le chapitre II, c’est l’article 5 : les pratiques interdites. Certains usages de l’IA sont purement et simplement bannis dans l’Union européenne. On y trouve la notation sociale des personnes par les autorités publiques, la manipulation subliminale exploitant les vulnérabilités liées à l’âge ou au handicap, la police prédictive fondée uniquement sur le profilage, le moissonnage non ciblé d’images faciales pour constituer des bases de reconnaissance faciale, ou encore la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement.

Cette dernière mérite votre attention, parce qu’elle est la seule qui touche potentiellement une TPE. Si un fournisseur vous propose un outil qui analyse l’expression du visage ou la voix de vos salariés pour mesurer leur « engagement », leur « stress » ou leur « motivation », vous êtes en zone interdite. Pas en zone réglementée : en zone interdite. Refusez, et gardez la trace écrite de votre refus.

Le chapitre I contient l’article 4, intitulé « Maîtrise de l’IA » — on parle aussi de littératie IA, traduction de l’anglais AI literacy. C’est l’article qui fait couler le plus d’encre commerciale, et c’est le cœur de cette leçon. Retenez déjà un point qui contredit l’immense majorité des messages que vous recevez : l’article 4 s’applique depuis le 2 février 2025, pas depuis le 2 août 2026. Il est en vigueur depuis plus de dix-sept mois au moment où vous lisez ces lignes.

Nous détaillerons son contenu en section 6. Notez simplement ceci : quand un prestataire vous écrit « l’obligation de formation entre en vigueur le 2 août 2026 », il se trompe de dix-huit mois. Cette erreur seule devrait suffire à juger de son sérieux.

2 août 2025 — la gouvernance, les modèles à usage général et les sanctions

Le point b) est le plus dense, et le plus mal compris. Il fait entrer en application quatre blocs.

Le chapitre V — les modèles d’IA à usage général. Ce sont les grands modèles qui font tourner les assistants que vous utilisez : ceux d’OpenAI, d’Anthropic, de Google, de Mistral, de Meta. Depuis le 2 août 2025, leurs fournisseurs doivent tenir une documentation technique, publier un résumé suffisamment détaillé des contenus utilisés pour l’entraînement, respecter le droit d’auteur et, pour les modèles présentant un risque systémique, mener des évaluations et signaler les incidents graves.

Ces obligations ne pèsent pas sur vous. Elles pèsent sur vos fournisseurs. Mais elles vous servent : c’est grâce à elles que vous pouvez aujourd’hui exiger d’un éditeur qu’il vous dise sur quoi son modèle a été entraîné et où sont hébergées vos données. Vous êtes le bénéficiaire de cette obligation, pas son destinataire.

Le chapitre VII — la gouvernance. Il crée le Bureau européen de l’IA et le Comité européen de l’intelligence artificielle, et surtout, en son article 70, il impose aux États membres de désigner leurs autorités nationales compétentes au plus tard le 2 août 2025. Retenez cette date : nous verrons en section 8 que la France ne l’a pas tenue, et que c’est le fait le plus important de toute cette leçon pour un dirigeant auvergnat.

Le chapitre XII — les sanctions, dont l’article 99. C’est ici que se joue le malentendu principal. Le régime de sanctions n’entre pas en application le 2 août 2026 : il est applicable depuis le 2 août 2025. Ce que l’article 113 rend applicable à cette date, c’est l’obligation faite aux États membres de fixer leurs règles de sanctions et de les notifier à la Commission. L’article 101, qui concerne les amendes infligées par la Commission aux fournisseurs de modèles à usage général, est expressément exclu de cette date.

L’article 78 — la confidentialité. Il oblige les autorités à protéger le secret des affaires et la propriété intellectuelle des informations qu’elles obtiennent lors de leurs contrôles. C’est une garantie pour vous, pas une contrainte.

Le chapitre III section 4 concerne les autorités notifiantes et les organismes notifiés — l’infrastructure de certification des systèmes à haut risque. Sans objet pour une TPE utilisatrice.

2 août 2026 — la règle générale

C’est la date par défaut de l’article 113 : tout ce qui n’est pas déplacé par les points a), b) ou c) s’applique à partir du 2 août 2026. Pour une TPE, un élément domine largement : le chapitre IV, c’est-à-dire l’article 50 sur les obligations de transparence. Nous lui consacrons toute la section 3.

Deux autres blocs entrent aussi en application à cette date, et ils comptent plus qu’il n’y paraît :

• Le chapitre IX, qui organise la surveillance du marché — c’est-à-dire la machinerie concrète du contrôle : qui peut demander quoi, exiger des documents, ordonner un retrait, prononcer des mesures correctrices. C’est de là que vient l’idée, approximative mais pas absurde, que « les pouvoirs de sanction arrivent le 2 août 2026 ». Le régime d’amendes existe depuis 2025 ; l’appareil de contrôle qui permet de le mettre en œuvre, lui, s’installe en 2026.
• Le chapitre VI, qui impose à chaque État membre de mettre en place au moins un bac à sable réglementaire — un espace où les entreprises peuvent tester des systèmes d’IA sous supervision de l’autorité. C’est une opportunité, pas une contrainte, et elle est ouverte aux PME en priorité.

Le tableau récapitulatif

3. Ce qui s’applique vraiment le 2 août 2026 : l’article 50

L’obligation en une phrase

À partir du 2 août 2026, quand une machine parle à un humain ou fabrique un contenu qui pourrait passer pour humain, il faut le dire. Voilà l’article 50 en une phrase. Tout le reste n’est que la déclinaison de ce principe selon les situations.

Son titre exact est « Obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d’IA ». Deux mots à retenir : le fournisseur est celui qui met le système sur le marché ; le déployeur est celui qui l’utilise dans le cadre de son activité professionnelle. Une TPE auvergnate est presque toujours déployeur, et presque jamais fournisseur.

Les cinq paragraphes, traduits

Paragraphe 1 — les chatbots. Le fournisseur d’un système d’IA destiné à interagir directement avec des personnes doit faire en sorte que celles-ci soient informées qu’elles parlent à une IA. Exception importante : sauf si c’est évident du point de vue d’une personne raisonnablement bien informée, attentive et avisée, compte tenu des circonstances et du contexte.

Traduction pour une agence immobilière clermontoise qui installe un assistant sur son site : un encart « Assistant automatique — je peux me tromper, demandez un conseiller pour toute information contractuelle » au premier message suffit. Ce que la loi interdit, c’est le chatbot qui signe « Julie, votre conseillère » et laisse le visiteur croire pendant dix minutes qu’il échange avec une personne.

Paragraphe 2 — le marquage technique des contenus synthétiques. Les fournisseurs de systèmes générant du son, des images, des vidéos ou du texte de synthèse doivent marquer ces sorties dans un format lisible par machine et détectable comme généré ou manipulé artificiellement. Le texte précise que les solutions doivent être efficaces, interopérables, robustes et fiables, dans la mesure où c’est techniquement faisable, compte tenu des spécificités et des coûts.

Cette obligation pèse sur l’éditeur de l’outil, pas sur vous. C’est le fabricant du générateur d’images qui doit intégrer le filigrane invisible dans les métadonnées, pas la boulangère de Besse qui s’en sert. Votre seule diligence raisonnable : choisir des outils d’éditeurs sérieux, qui documentent leur conformité.

Paragraphe 3 — reconnaissance des émotions et catégorisation biométrique. Le déployeur d’un tel système doit informer les personnes qui y sont exposées de son fonctionnement, et traiter les données personnelles conformément au RGPD. Rappel de la section 2 : sur le lieu de travail et dans l’enseignement, la reconnaissance des émotions est de toute façon interdite par l’article 5, sauf motifs médicaux ou de sécurité. L’article 50 ne concerne donc que les cas résiduels autorisés.

Paragraphe 4 — les deepfakes et les textes d’information. C’est le paragraphe qui touche le plus de TPE, et il comporte deux volets.

Premier volet : le déployeur qui génère ou manipule des images, du son ou des vidéos constituant un hypertrucage — un deepfake — doit déclarer que le contenu a été généré ou manipulé artificiellement. Le texte prévoit un aménagement pour les œuvres manifestement artistiques, créatives, satiriques ou fictionnelles : l’obligation se limite alors à révéler l’existence du contenu généré d’une manière appropriée qui n’entrave pas l’exposition de l’œuvre.

Deuxième volet : le déployeur qui génère ou manipule du texte publié dans le but d’informer le public sur des questions d’intérêt public doit déclarer que le texte a été généré artificiellement. Exception majeure : cette obligation ne s’applique pas lorsque le contenu a fait l’objet d’un processus de contrôle humain ou de contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication.

Cette exception est décisive et elle est très largement ignorée dans les articles commerciaux. Retenez-la : un texte relu, corrigé et assumé par un humain identifiable n’a pas à porter de mention « généré par IA ». Nous en tirerons toutes les conséquences dans le cas pratique 1.

Paragraphe 5 — la forme de l’information. Les informations doivent être fournies aux personnes concernées de manière claire et distinguable, au plus tard au moment de la première interaction ou exposition, et respecter les exigences d’accessibilité applicables. Autrement dit : pas de mention en gris clair taille 8 en bas de page, pas de bandeau qui apparaît après trois minutes de conversation.

Ce que l’article 50 ne dit pas

Trois idées fausses circulent, et il faut les couper net.

Non, l’article 50 n’oblige pas à déclarer que vous utilisez l’IA en interne. Le cabinet comptable qui résume ses réunions avec un assistant, le kiné d’Ambert qui dicte ses comptes rendus, le restaurateur qui fait générer sa fiche de poste : aucun de ces usages n’est visé, parce qu’aucun ne consiste à publier un contenu de synthèse auprès du public ni à faire dialoguer une machine avec un tiers.

Non, l’article 50 n’oblige pas à mettre « rédigé avec l’IA » sur tous vos textes. Le paragraphe 4 vise les textes publiés dans le but d’informer le public sur des questions d’intérêt public. Un article de blog qui explique comment détartrer un chauffe-eau n’est pas un texte d’intérêt public au sens du règlement. Une page de vente non plus. Un mail commercial non plus.

Non, l’article 50 ne s’applique pas à une photo simplement retouchée. Le paragraphe 2 exclut expressément les systèmes qui remplissent une fonction d’assistance pour l’édition standard ou qui ne modifient pas substantiellement les données d’entrée. Corriger la luminosité d’une photo de votre vitrine à Riom ne fabrique pas un deepfake.

Les questions à poser à vos fournisseurs avant août 2026

Puisque l’essentiel de l’article 50 pèse sur les éditeurs, votre travail de déployeur consiste largement à choisir des fournisseurs qui font le leur. Quatre questions suffisent, et elles tiennent dans un mail :

1. Vos sorties générées sont-elles marquées dans un format lisible par machine, conformément à l’article 50, paragraphe 2, du règlement (UE) 2024/1689 ?
2. Si j’intègre votre assistant conversationnel sur mon site, fournissez-vous une mention d’information automatique conforme au paragraphe 1, ou dois-je la rédiger moi-même ?
3. Où sont hébergées et combien de temps sont conservées les données que je saisis dans votre outil ?
4. Mes saisies sont-elles utilisées pour entraîner vos modèles, et puis-je m’y opposer par un réglage ?

Conservez les réponses. En cas de contrôle, une réponse écrite d’un fournisseur vaut mieux qu’une déclaration de bonne foi — et l’absence de réponse à un mail daté est, elle aussi, une information exploitable.

4. Le « Digital Omnibus » : ce qui a été reporté, ce qui ne l’a pas été

D’où vient ce texte

Au cours de l’année 2025, les critiques se sont accumulées sur la complexité du cadre numérique européen. Industriels, États membres et une partie de la Commission ont plaidé pour une simplification. La Commission a répondu par un ensemble de textes correctifs surnommés Digital Omnibus — « omnibus » désignant en jargon européen un texte qui modifie plusieurs règlements d’un coup. Le volet consacré à l’intelligence artificielle est celui qui nous intéresse.

Son parcours législatif, à la date de rédaction de cette leçon :

• 6 mai 2026 — accord politique provisoire entre le Parlement européen et le Conseil ;
• 13 mai 2026 — confirmation par les représentants des États membres ;
• 16 juin 2026 — vote d’approbation du Parlement européen ;
• 29 juin 2026 — adoption formelle par le Conseil de l’Union européenne ;
• juillet 2026 — publication au Journal officiel de l’Union européenne, avec entrée en vigueur le troisième jour suivant.

Un point de méthode, encore : tant qu’un texte n’est pas publié au Journal officiel, il n’est pas du droit positif. L’adoption par le Conseil clôt la procédure législative, elle ne rend pas le texte obligatoire. La publication devait intervenir avant le 2 août 2026, précisément pour que le nouveau calendrier remplace l’ancien avant que celui-ci ne produise ses effets. Vérifiez l’état de publication avant de fonder une décision sur ces reports — c’est le genre d’information qui se périme en quelques semaines.

Ce qui a été reporté

Les systèmes à haut risque de l’annexe III passent au 2 décembre 2027. L’annexe III liste les systèmes à haut risque dits autonomes : ceux qui trient des candidatures et gèrent les carrières, ceux qui décident de l’accès au crédit ou à l’assurance vie et santé, ceux qui évaluent des élèves, ceux qui conditionnent l’accès aux services publics essentiels, ceux qui interviennent dans la justice, la migration ou les infrastructures critiques. Ces obligations devaient s’appliquer le 2 août 2026 ; elles sont décalées de seize mois.

Les systèmes à haut risque de l’annexe I passent au 2 août 2028. Ce sont les IA intégrées comme composant de sécurité dans des produits déjà réglementés : machines, jouets, dispositifs médicaux, ascenseurs. Le report est d’un an par rapport au 2 août 2027 initial.

Une période de grâce sur le marquage. Les systèmes génératifs mis sur le marché avant le 2 août 2026 disposent d’un délai supplémentaire, jusqu’au 2 décembre 2026, pour se conformer aux obligations de marquage et de détection du paragraphe 2 de l’article 50. Là encore, c’est une respiration accordée aux éditeurs, pas à vous.

Ce qui n’a pas bougé d’un jour

C’est ici que le message doit être net, parce que la presse professionnelle a beaucoup titré sur « le report de l’AI Act » sans préciser ce qui était reporté.

L’article 4 n’a pas bougé. Il s’applique depuis le 2 février 2025 et le Digital Omnibus ne le modifie pas. Attention à un piège de lecture : le texte crée un article 4 bis (parfois écrit « article 4a »), qui autorise sous conditions strictes le traitement de données sensibles pour détecter et corriger les biais des systèmes d’IA. C’est un article entièrement différent, sans rapport avec la formation de vos équipes. Ne les confondez pas, et méfiez-vous des articles qui les mélangent.

L’article 5 n’a pas bougé. Les pratiques interdites restent interdites depuis le 2 février 2025. Le Digital Omnibus en ajoute même deux nouvelles, applicables à partir du 2 décembre 2026 : la production de représentations intimes réalistes d’une personne identifiable sans son consentement explicite, et la production de contenus pédopornographiques au sens de la directive 2011/93/UE.

L’article 50 n’a pas bougé pour l’essentiel. Les obligations de transparence s’appliquent bien à partir du 2 août 2026. Seule la sous-obligation technique de marquage bénéficie du sursis au 2 décembre 2026, et uniquement pour les systèmes déjà commercialisés.

Le régime de sanctions n’a pas été affaibli. Il est même durci sur un point : le palier à 3 % de l’article 99, paragraphe 4, est étendu aux manquements à l’article 25, qui répartit les responsabilités le long de la chaîne de valeur — documentation technique insuffisante, non-communication des limites connues d’un système, refus d’accès technique aux acteurs en aval.

5. L’article 99 : comment fonctionne réellement le régime de sanctions

Le principe de départ, souvent oublié

Le paragraphe 1 de l’article 99 pose la règle avant les chiffres, et cette règle est plus protectrice qu’on ne le dit. Les États membres déterminent le régime des sanctions applicables aux violations du règlement ; ces sanctions doivent être effectives, proportionnées et dissuasives ; et le texte ajoute expressément qu’il faut tenir compte des intérêts des PME, y compris les jeunes pousses, et de leur viabilité économique.

Retenez « proportionnées ». Une amende qui met en faillite une entreprise de six salariés pour un manquement formel sans victime ne serait pas proportionnée, et serait annulable devant le juge. Le règlement ne prévoit aucune amende automatique, aucun barème forfaitaire, aucun tarif à la ligne.

Les trois paliers

L’article 99 organise trois niveaux de plafonds, et — c’est capital — chaque palier est rattaché à une liste fermée d’articles. Si un article n’est pas dans une des listes, aucune amende de l’article 99 ne peut le sanctionner.

Palier 1 — paragraphe 3 : jusqu’à 35 000 000 EUR ou 7 % du chiffre d’affaires annuel mondial total. Il ne vise qu’une chose : le non-respect de l’article 5, c’est-à-dire les pratiques interdites. C’est le fameux chiffre de 35 millions. Il s’applique à qui déploie de la notation sociale, de la manipulation subliminale, du moissonnage facial de masse ou de la reconnaissance des émotions au travail. Un seul article dans cette liste. Un seul.

Palier 2 — paragraphe 4 : jusqu’à 15 000 000 EUR ou 3 % du chiffre d’affaires annuel mondial total. Il vise le non-respect des obligations pesant sur les opérateurs et les organismes notifiés, et la liste est énumérée limitativement : les articles 16, 22, 23, 24, 26, 31, 33 paragraphes 1, 3 et 4, 34 et 50 — auxquels le Digital Omnibus ajoute l’article 25.

C’est le palier qui peut concerner une TPE, par un seul de ses maillons : l’article 50. Autrement dit, le manquement à la transparence est le seul manquement d’une TPE utilisatrice qui puisse déclencher une amende propre au règlement IA.

Palier 3 — paragraphe 5 : jusqu’à 7 500 000 EUR ou 1 % du chiffre d’affaires annuel mondial total. Il vise la fourniture d’informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités nationales en réponse à une demande. Traduction : mentir à l’autorité qui vous contrôle est une infraction distincte de celle qu’on vous reproche. Ce palier est presque toujours passé sous silence dans les articles commerciaux, et c’est pourtant le seul qui puisse frapper une entreprise irréprochable sur le fond mais maladroite dans sa réponse à un contrôle.

La règle du montant le plus bas pour les PME

Voici la disposition la plus importante de toute la section pour vous, et l’une des plus systématiquement omises. Le paragraphe 6 de l’article 99 prévoit que pour les PME, y compris les jeunes pousses, chaque amende visée à cet article est plafonnée aux pourcentages ou aux montants indiqués aux paragraphes 3, 4 et 5, le plus faible des deux étant retenu.

Faites bien attention au renversement. Pour une grande entreprise, la règle est « le montant le plus élevé des deux » : c’est ainsi qu’on arrive à des amendes de plusieurs centaines de millions pour un groupe mondial. Pour une PME, la règle est inversée : c’est le plus faible des deux.

Prenons une agence de communication de Clermont-Ferrand réalisant 400 000 € de chiffre d’affaires annuel, à qui l’on reprocherait un manquement caractérisé à l’article 50. Le calcul du plafond théorique :

• Plafond en valeur absolue : 15 000 000 €
• Plafond en pourcentage : 3 % de 400 000 €, soit 12 000 €
• Plafond applicable, le plus faible des deux : 12 000 €

Douze mille euros de plafond — pas d’amende. Le plafond est le maximum théorique absolu, celui qu’on n’atteint que dans le pire des cas imaginables : manquement délibéré, prolongé, refus de coopérer, préjudice massif. Une première irrégularité formelle, corrigée sans discuter, n’appelle pas une amende mais une mise en demeure.

Vous voyez immédiatement ce que devient le message commercial du début : agiter 35 millions d’euros devant une TPE, c’est ignorer à la fois le palier applicable et le paragraphe 6. Les 35 millions ne concernent que l’article 5, et le plafond en pourcentage écrase de toute façon le montant absolu dès lors que votre chiffre d’affaires est inférieur à 500 millions d’euros.

Les facteurs que l’autorité doit prendre en compte

Le paragraphe 7 énumère les éléments dont l’autorité tient compte pour décider s’il y a lieu d’infliger une amende et pour en fixer le montant. Les principaux :

• la nature, la gravité et la durée de l’infraction, et le nombre de personnes affectées ainsi que le niveau du préjudice subi ;
• le fait que des amendes ont déjà été appliquées par d’autres autorités pour la même infraction ;
• la taille de l’opérateur, son chiffre d’affaires annuel et sa part de marché ;
• tout avantage financier retiré de l’infraction, ou toute perte évitée ;
• le degré de coopération avec les autorités pour remédier à l’infraction et en atténuer les effets ;
• le degré de responsabilité de l’opérateur, compte tenu des mesures techniques et organisationnelles qu’il a mises en œuvre ;
• la manière dont l’autorité a eu connaissance de l’infraction, notamment si l’opérateur l’a notifiée spontanément ;
• le caractère intentionnel ou négligent de l’infraction ;
• toute mesure prise pour atténuer le préjudice.

Lisez cette liste avec l’œil d’un dirigeant, pas d’un juriste. Elle vous dit exactement ce qui vous protège : avoir mis en place des mesures techniques et organisationnelles, coopérer, signaler soi-même, corriger vite, et ne pas avoir tiré profit du manquement. Un dirigeant qui arrive à un contrôle avec une charte écrite, un registre d’usages et des attestations de formation datées ne se trouve pas dans la même situation que celui qui découvre le sujet le jour du contrôle. La différence ne se joue pas sur le plafond ; elle se joue sur la décision même d’infliger une amende.

6. Le cas de l’article 4 : une obligation réelle, sans amende propre

Le texte, en entier

L’article 4 est court. Le voici en substance, dans une traduction fidèle :

Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur éducation et de leur formation, ainsi que du contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et compte tenu des personnes ou des groupes de personnes à l’égard desquels ces systèmes sont destinés à être utilisés.

Décortiquons la phrase, parce que chaque membre compte.

« Les fournisseurs et les déployeurs » — donc vous, dès que vous utilisez un système d’IA dans un cadre professionnel. Aucun seuil d’effectif, aucun seuil de chiffre d’affaires. Une entreprise d’une personne est concernée.

« prennent des mesures » — obligation de faire quelque chose. Le texte ne dit pas « suivent une formation certifiante », ni « obtiennent un diplôme », ni « font appel à un organisme agréé ». Il dit : prennent des mesures.

« dans toute la mesure du possible » — c’est ce que les juristes appellent une obligation de moyens, pas de résultat. On vous demande d’agir sérieusement, pas de garantir un résultat parfait.

« un niveau suffisant » — suffisant par rapport à quoi ? La suite le dit : par rapport au contexte d’usage et aux personnes concernées. Le niveau attendu d’une équipe qui génère des visuels de plats n’est pas celui d’une équipe qui présélectionne des candidatures.

« de leur personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte » — pas seulement vos salariés. Vos stagiaires, vos alternants, votre community manager freelance, votre prestataire de saisie comptable, s’ils utilisent de l’IA pour votre compte, sont dans le périmètre.

Le fait vérifié : l’article 4 n’apparaît dans aucun palier de l’article 99

Reprenons les trois listes de la section 5, et cherchons-y l’article 4.

• Paragraphe 3 (35 M€ / 7 %) : article 5. Pas d’article 4.
• Paragraphe 4 (15 M€ / 3 %) : articles 16, 22, 23, 24, 26, 31, 33(1)(3)(4), 34, 50 — et 25 depuis le Digital Omnibus. Pas d’article 4.
• Paragraphe 5 (7,5 M€ / 1 %) : informations inexactes ou trompeuses fournies aux autorités. Pas d’article 4.

La conclusion est sans ambiguïté et elle est vérifiable par n’importe qui en trois minutes sur le texte consolidé : le règlement (UE) 2024/1689 n’attache aucune amende spécifique au manquement à l’obligation de maîtrise de l’IA.

Ce constat n’est pas une opinion, ce n’est pas une interprétation prudente, ce n’est pas « pour l’instant ». C’est la structure même de l’article 99, qui procède par listes limitatives d’articles. Un article absent des listes ne peut pas fonder une amende au titre de ce règlement.

Alors pourquoi tant d’articles affirment le contraire ?

Trois mécanismes se combinent, et il est utile de savoir les repérer.

Le glissement du général au particulier. On écrit : « Le règlement IA prévoit des amendes jusqu’à 35 millions d’euros. L’article 4 impose de former vos salariés. » Deux phrases vraies, collées. Le lecteur fait tout seul la jonction fausse. Personne n’a techniquement menti, et c’est bien le problème.

La confusion de dates. On date l’obligation de formation au 2 août 2026 pour créer une urgence commerciale, alors qu’elle est en vigueur depuis le 2 février 2025. Cette erreur est un excellent révélateur : un prestataire qui se trompe de dix-huit mois sur la date d’application de l’article qu’il prétend vous vendre n’a pas lu le règlement.

L’amalgame avec la surveillance du marché. On lit correctement que les pouvoirs de contrôle des autorités se déploient au 2 août 2026, et on en déduit qu’une amende article 4 devient possible à cette date. Le premier point est à peu près exact ; la déduction ne l’est pas.

Ce qui compte vraiment : le pouvoir de contrôle

Absence d’amende propre ne signifie pas absence de conséquence. C’est ici que le raisonnement doit devenir précis, parce que c’est là que se trouve la valeur réelle de cette leçon.

Premièrement, une autorité de surveillance du marché peut vous demander des comptes sur l’article 4. Le chapitre IX, applicable au 2 août 2026, donne aux autorités le pouvoir de demander des informations, d’exiger des documents, d’ordonner des mesures correctrices et de fixer des délais d’exécution. Une autorité peut parfaitement constater un manquement à l’article 4, vous enjoindre d’y remédier sous un délai déterminé, et vérifier ensuite. Le non-respect de l’injonction elle-même, lui, devient sanctionnable au titre du droit national qui organise ces pouvoirs.

Deuxièmement, l’article 4 pèse comme circonstance aggravante. Relisez le paragraphe 7 de l’article 99 : l’autorité tient compte du « degré de responsabilité de l’opérateur, compte tenu des mesures techniques et organisationnelles qu’il a mises en œuvre » et du « caractère intentionnel ou négligent » du manquement. Une entreprise poursuivie pour un manquement à l’article 50 et qui n’a jamais formé ni informé personne se voit opposer sa propre négligence. À manquement identique, l’absence de démarche de maîtrise de l’IA déplace le curseur vers le haut. Elle ne crée pas l’amende : elle l’aggrave.

Troisièmement, l’article 4 se combine avec d’autres régimes juridiques qui, eux, sanctionnent lourdement. C’est l’objet de la section suivante, et c’est de très loin le risque le plus concret pour une TPE auvergnate.

La formule à retenir

L’article 4 n’est pas une obligation sans conséquence. C’est une obligation sans amende propre. Il ne vous coûtera jamais une amende à lui seul — mais son absence rendra plus cher tout ce qui pourra vous être reproché par ailleurs.

C’est exactement pour cette raison que nous vous recommandons de traiter l’article 4 sérieusement, et exactement pour cette raison que nous refusons de vous le vendre par la peur.

7. Les régimes qui se combinent : où se trouve le vrai risque d’une TPE

Le RGPD, de très loin le premier risque

Le règlement général sur la protection des données s’applique depuis 2018, ses autorités sont installées et ses sanctions tombent régulièrement. Ses plafonds : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves.

Or presque tout usage professionnel de l’IA touche des données personnelles. Le cabinet comptable qui fait résumer un entretien traite des données personnelles. Le kiné d’Ambert qui dicte un compte rendu traite des données de santé, catégorie particulièrement protégée. L’agence immobilière dont le chatbot collecte des coordonnées traite des données personnelles.

Les questions posées en cas de contrôle sont concrètes : sur quelle base légale traitez-vous ces données ? Les personnes ont-elles été informées ? Le sous-traitant est-il encadré par un contrat conforme à l’article 28 du RGPD ? Les données sortent-elles de l’Union, et sur quel fondement ? Votre registre des traitements mentionne-t-il cet usage ?

Aucune de ces questions n’est nouvelle, aucune n’attend le 2 août 2026, et l’autorité qui les pose contrôle déjà des entreprises de toutes tailles. Si vous ne deviez traiter qu’un seul sujet cette année, ce serait celui-là.

Le droit du travail

Dans une entreprise d’au moins cinquante salariés, le comité social et économique doit être consulté préalablement sur l’introduction de nouvelles technologies ayant des conséquences sur l’emploi, les qualifications, la rémunération, la formation ou les conditions de travail.

Au-dessous de ce seuil, d’autres obligations demeurent : obligation générale de sécurité et de protection de la santé physique et mentale, obligation d’adaptation des salariés à l’évolution de leur emploi, interdiction de tout dispositif de surveillance mis en place à leur insu. Ajoutons un point rarement anticipé : une décision défavorable prise sur la base d’une IA sans intervention humaine réelle est contestable devant le conseil de prud’hommes.

La responsabilité contractuelle et civile

C’est le régime qui frappe le plus vite. Si vous livrez un travail comportant une erreur produite par une IA, vous en répondez intégralement : juridiquement, l’IA est un outil, et l’outil n’a pas de patrimoine. Un plombier de Riom dont le calcul de puissance a été généré et jamais vérifié engage sa responsabilité comme si le calcul venait de sa main. Une agence immobilière qui publie une surface mal recopiée s’expose à une action pour erreur ou dol.

Vérifiez aussi vos contrats d’assurance : certains contrats de responsabilité civile professionnelle comportent désormais des clauses d’exclusion relatives aux dommages liés aux systèmes automatisés. Posez la question par écrit à votre courtier — la réponse vous sera plus utile qu’un audit de conformité.

La hiérarchie réelle des risques

Lisez ce tableau à l’envers de ce que vend le marketing de la peur. Ce qu’on vous vend est en bas ; ce qui vous menace est en haut. Et les mesures qui traitent le haut — relecture humaine, consigne écrite sur les données, registre des usages, information des équipes — traitent aussi le bas.

8. Qui contrôle en France : l’état réel de la gouvernance

Ce que le règlement exige des États membres

L’article 70 impose à chaque État membre de désigner au moins une autorité notifiante et au moins une autorité de surveillance du marché, et de communiquer leur identité à la Commission. La date limite était le 2 août 2025. Le règlement laisse chaque pays libre de son architecture : autorité unique ou répartition sectorielle.

Où en est la France

La réponse honnête tient en une phrase : la France n’a toujours pas achevé la désignation formelle de ses autorités nationales compétentes, près d’un an après l’échéance européenne.

Le déroulé est instructif. Un projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne — le texte connu sous le sigle DDADUE — devait porter ces désignations. Les dispositions relatives aux autorités compétentes en matière d’IA ont d’abord été retirées de la version soumise au Parlement à l’automne 2025, avant d’être réintroduites. Le Sénat a voté le texte le 17 février 2026, et la navette parlementaire se poursuit sans que l’adoption définitive soit intervenue.

Le Sénat lui-même a critiqué l’architecture retenue, jugée éclatée entre une quinzaine d’autorités et difficile à lire pour les entreprises. C’est une critique que nous partageons du point de vue d’un dirigeant de TPE : savoir qui vous contrôle est la première condition pour savoir à qui parler.

L’architecture qui se dessine

La CNIL occupe la place centrale. Elle est pressentie pour la surveillance des pratiques interdites de l’article 5, pour la surveillance du marché de plusieurs catégories de systèmes à haut risque — biométrie, emploi, éducation, migration, justice — et pour le pouvoir de sanction correspondant. Elle a pris position publiquement en faveur de cette attribution au nom de la cohérence avec sa compétence RGPD, et a inscrit l’intelligence artificielle parmi les axes prioritaires de son programme de contrôles 2026, aux côtés de la protection des mineurs, de la cybersécurité et des usages numériques du quotidien.

La DGCCRF assurerait la coordination opérationnelle de la surveillance du marché, en cohérence avec son rôle en matière de conformité des produits, avec des compétences propres sur les jouets et la formation professionnelle. L’Arcom interviendrait sur les contenus audiovisuels et numériques, la transparence des contenus générés, les plateformes et le pluralisme.

Une quinzaine d’autorités sectorielles compléteraient le dispositif : ACPR pour les services financiers, ANSM et HAS pour les dispositifs médicaux, ANSSI pour la cybersécurité, services du ministère du Travail pour les machines. La coordination stratégique reviendrait à la Direction générale des entreprises.

Ce que cela change concrètement pour vous

Le risque de contrôle IA à court terme est objectivement faible. Une autorité qui n’est pas encore formellement désignée ne construit pas de programme de contrôle. Les premiers contrôles porteront sur les acteurs les plus visibles et les signalements les plus graves, pas sur une boulangerie de Besse.

Mais ce répit ne s’étend pas au RGPD. La CNIL est pleinement opérationnelle depuis huit ans, elle contrôle en ce moment même, et l’IA figure explicitement à son programme 2026. Le décalage entre la faiblesse du risque « règlement IA » et la réalité du risque « RGPD » est le point le plus important de cette section.

Enfin, la CNIL sera probablement votre interlocuteur unique. Si l’architecture se confirme, la même autorité examinera la licéité de votre traitement de données et la conformité de votre système d’IA. Cela signifie surtout qu’un travail sérieux sur le RGPD constitue déjà, mécaniquement, une avance sur le règlement IA.

🧭 Erreurs fréquentes et dépannage

« On m’a dit que je risquais 35 millions d’euros »

Ce plafond ne concerne que l’article 5, les pratiques interdites. Et pour une PME, c’est le montant le plus faible entre le pourcentage et la valeur absolue qui s’applique. Correctif : demandez quel paragraphe de l’article 99 est invoqué. La question met fin à la conversation dans la plupart des cas.

« L’obligation de formation arrive le 2 août 2026 »

Non : l’article 4 s’applique depuis le 2 février 2025. Correctif : vous n’êtes pas en avance, vous êtes en retard — raison de traiter le sujet calmement, pas de payer une urgence artificielle.

« L’Europe a tout reporté, on a le temps »

Les reports portent sur les systèmes à haut risque des annexes I et III. Correctif : demandez toujours « reporté pour quelle annexe ? ». Sans réponse, votre interlocuteur a lu un titre, pas un texte.

« Je dois écrire « généré par IA » sur tous mes contenus »

L’article 50 vise les hypertrucages et les textes publiés pour informer le public sur des questions d’intérêt public, avec une exception explicite en cas de relecture humaine sous responsabilité éditoriale. Correctif : relisez et assumez vos contenus ; l’obligation de mention tombe d’elle-même dans la plupart des cas.

« On ne contrôle personne, donc je ne fais rien »

Le contrôle « règlement IA » est peu probable à court terme. Mais le contrôle RGPD, le contentieux prud’homal et la réclamation client ne dépendent d’aucune désignation d’autorité. Correctif : traitez le haut du tableau de la section 7, pas le bas.

📋 Cas pratique 1 — Immobilier des Puys, agence immobilière à Clermont-Ferrand

La situation

Immobilier des Puys emploie six personnes pour 620 000 € de chiffre d’affaires annuel. L’agence utilise l’IA à trois endroits : un assistant conversationnel qui répond aux visiteurs du site sous le nom « Camille » et collecte leurs coordonnées ; un générateur de descriptifs d’annonces ; un outil qui « améliore » les photos des biens — luminosité, ciel bleu, et parfois retrait d’objets encombrants.

En mai 2026, un cogérant reçoit un appel commercial l’informant qu’il encourt 35 millions d’euros d’amende au 2 août 2026 s’il n’achète pas un pack de conformité à 3 800 € HT. Il nous appelle.

Le raisonnement, point par point

Le chatbot. Article 50, paragraphe 1. Un visiteur qui échange avec « Camille » peut légitimement croire qu’il parle à une conseillère : l’exception du caractère « évident » ne joue pas, elle est même contredite par le prénom. Manquement caractérisé à compter du 2 août 2026. Correction : renommer l’assistant, afficher au premier message « Assistant automatique de l’agence — pour toute information contractuelle, demandez un conseiller », et vérifier la mention RGPD sur la collecte des coordonnées.

Les descriptifs d’annonces. S’agit-il de textes publiés pour informer le public sur des questions d’intérêt public ? Non — une annonce immobilière est une offre commerciale. Aucune mention requise. Le risque réel est ailleurs : un descriptif mentionnant une surface, un DPE ou une année de construction erronés engage la responsabilité de l’agence et peut vicier le consentement de l’acquéreur. Correction : validation nominative de chaque annonce avant publication.

Les photos. Le paragraphe 2 exclut les fonctions d’assistance à l’édition standard qui ne modifient pas substantiellement les données d’entrée : corriger la luminosité reste dans cette exclusion. Remplacer un ciel gris et supprimer des objets modifie en revanche substantiellement l’image d’un bien vendu. Et le risque dominant n’est pas l’article 50 : c’est la pratique commerciale trompeuse, qui relève du code de la consommation et de la DGCCRF. Correction : conserver la retouche d’exposition, abandonner les modifications de contenu, archiver les originaux.

L’article 4. Personne dans l’équipe n’a reçu de consigne écrite. Aucune amende n’en découle. Mais si l’agence était contrôlée sur le chatbot, cette absence pèserait au titre du « degré de responsabilité » du paragraphe 7 de l’article 99.

Le calcul de plafond. Sur 620 000 € de chiffre d’affaires, palier de l’article 99 paragraphe 4 : 3 % soit 18 600 €, contre 15 000 000 € en valeur absolue. La règle du montant le plus faible pour les PME donne un plafond théorique de 18 600 € — dans l’hypothèse extrême d’un manquement délibéré et prolongé.

La conclusion

Le pack à 3 800 € n’a pas été acheté. L’agence a consacré une demi-journée à trois corrections concrètes et deux heures à une réunion d’équipe consignée par écrit. Coût réel : le temps de six personnes. Résultat : les manquements identifiés ont disparu, et les traces de la démarche existent.

📋 Cas pratique 2 — Fournil du Sancy, boulangerie-pâtisserie à Besse

La situation

Le Fournil du Sancy emploie quatre personnes pour 310 000 € de chiffre d’affaires. La gérante, Sophie, publie trois fois par semaine sur les réseaux sociaux. Depuis un an, elle génère ses visuels avec une IA : des images de pains et de gâteaux qui ne sont pas ses produits, mais qui « donnent envie ». En janvier 2026, elle a publié un billet intitulé « Pourquoi le levain naturel est meilleur pour la santé », entièrement généré, jamais relu, contenant deux affirmations nutritionnelles inexactes. Enfin, elle a créé une courte vidéo où un visage généré, ressemblant à un client habitué, vante ses croissants.

Le raisonnement, point par point

Les visuels de produits. Ce ne sont ni des hypertrucages au sens du paragraphe 4 — aucune personne réelle n’est représentée — ni des textes d’intérêt public. Aucune obligation de mention au titre du règlement IA. Mais montrer un pain qui n’existe pas en boutique pour attirer le client relève de la pratique commerciale trompeuse. Correction : réserver les visuels générés aux illustrations d’ambiance, et photographier les produits réellement vendus.

Le billet sur le levain. La santé est une question d’intérêt public et le sujet dépasse la simple promotion : le paragraphe 4 est mobilisable. Mais l’exception s’applique dès lors que le contenu fait l’objet d’un contrôle humain et qu’une personne assume la responsabilité éditoriale. Sophie n’a rien relu : elle devra soit mentionner la génération artificielle, soit relire et assumer. Le risque dominant reste ailleurs : deux affirmations nutritionnelles fausses publiées par un professionnel de l’alimentation relèvent des allégations de santé, contrôlées par la DGCCRF. Correction : billet retiré, réécrit, relu et signé.

La vidéo au visage généré. C’est le point le plus grave, et il n’a rien à voir avec les amendes européennes. Un visage ressemblant à une personne identifiable, utilisé sans autorisation pour vanter un produit, porte atteinte au droit à l’image. Si le client se reconnaît, il peut agir en référé et obtenir un retrait sous astreinte, plus des dommages et intérêts. S’y ajoute l’article 50 paragraphe 4 : un hypertrucage doit être déclaré comme généré artificiellement à compter du 2 août 2026. Correction : vidéo supprimée immédiatement, sans attendre.

Le calcul de plafond. Sur 310 000 € : 3 % soit 9 300 €, à comparer aux 15 000 000 €. Plafond théorique applicable pour une PME : 9 300 €. À comparer à ce que coûterait une action en référé sur le droit à l’image, ou un contrôle DGCCRF sur des allégations de santé.

La conclusion

Sophie était persuadée que son problème était le règlement européen sur l’IA. Son problème réel était le droit à l’image, les allégations de santé et la loyauté de l’information commerciale. Elle a supprimé une vidéo, réécrit un billet, et adopté une règle affichée dans le fournil : « Rien ne sort d’ici sans qu’un humain l’ait lu, et rien qui montre une personne ou un produit qui n’existe pas. » Cette phrase, appliquée, la couvre mieux que tout audit.

🏋️ Exercices

Exercice 1 — Le test de l’article

Reprenez les trois derniers messages commerciaux reçus sur la conformité IA. Pour chacun, relevez la date et le montant annoncés, puis répondez : de quel article vient la date ? de quel paragraphe de l’article 99 vient le montant ? Classez chaque message en « exact », « approximatif » ou « faux ».

Exercice 2 — Votre plafond réel

Prenez votre chiffre d’affaires annuel, calculez 3 %, comparez à 15 000 000 €, et appliquez la règle du montant le plus faible du paragraphe 6. Écrivez la phrase : « En cas de manquement caractérisé à l’article 50, mon plafond théorique est de … € », et gardez-la sous les yeux la prochaine fois qu’on vous parlera de millions.

Exercice 3 — Le mail au fournisseur

Envoyez les quatre questions de la section 3 à l’éditeur de votre outil principal. Notez la date d’envoi et la date de réponse. Une absence de réponse sous trois semaines est en soi un élément de décision.

Exercice 4 — La trace de l’article 4

Rédigez une note d’une page : outils autorisés, données interdites de saisie, obligation de relecture, personne à qui signaler un doute. Datez-la, diffusez-la, conservez la preuve de diffusion. Vous venez de traiter l’article 4.

🧩 Adapter à votre activité

Artisan du bâtiment

Devis, courriers, recherche de références techniques. L’article 50 ne vous concerne quasiment pas. Votre risque est contractuel : un dimensionnement ou un métré généré et non vérifié. Règle unique : aucun chiffre technique produit par une IA ne part sans vérification humaine.

Commerce de bouche et restauration

Vos deux risques sont la pratique commerciale trompeuse et les allégations de santé, pas le règlement IA. Ne montrez jamais un produit que vous ne vendez pas, et ne publiez aucune affirmation nutritionnelle non vérifiée.

Cabinet comptable, conseil, professions du chiffre et du droit

Vous manipulez des données confidentielles et parfois personnelles : le RGPD et le secret professionnel dominent. Exigez une offre professionnelle avec non-réutilisation des données pour l’entraînement, hébergement européen documenté, et contrat de sous-traitance conforme à l’article 28 du RGPD.

Association sportive ou culturelle

Le règlement s’applique aussi à vous dès lors que vous déployez un système d’IA. Vos points sensibles : photos de mineurs, visuels reprenant des marques, informations envoyées aux adhérents. Une consigne écrite au bureau suffit à structurer l’essentiel.

Recrutement et ressources humaines

Le tri automatisé de candidatures relève de l’annexe III, donc du haut risque, avec application repoussée au 2 décembre 2027. Le report ne vous dispense ni du RGPD, ni de l’interdiction de la décision entièrement automatisée produisant des effets juridiques, ni du droit du travail. Maintenez une décision humaine réelle et traçable.

🚀 Aller plus loin

Les sources primaires

Le texte consolidé du règlement (UE) 2024/1689 est librement accessible sur EUR-Lex, le portail officiel du droit de l’Union. Prenez l’habitude d’y vérifier vous-même un article plutôt que de faire confiance à un résumé : les articles 4, 50, 99 et 113 tiennent en quelques pages et sont lisibles sans formation juridique.

Les autorités françaises

Le site de la CNIL publie des fiches pratiques sur l’articulation entre RGPD et règlement IA, ainsi que son programme annuel de contrôles. C’est votre source la plus utile au quotidien, et elle est gratuite.

🔑 L’essentiel à retenir

• L’article 113 fixe toutes les dates ; l’article 99 fixe toutes les amendes. Deux articles suffisent à arbitrer la quasi-totalité des messages alarmistes.
• Depuis le 2 février 2025 s’appliquent l’article 4 (maîtrise de l’IA) et l’article 5 (pratiques interdites). Ce n’est pas une échéance à venir : c’est du droit en vigueur.
• Depuis le 2 août 2025 s’appliquent les obligations des modèles à usage général, la gouvernance et le chapitre XII sur les sanctions. Les États devaient désigner leurs autorités à cette date.
• Le 2 août 2026, l’article 50 sur la transparence et la surveillance du marché entrent en application. C’est la seule échéance qui concerne directement une TPE utilisatrice.
• Le Digital Omnibus reporte l’annexe III au 2 décembre 2027 et l’annexe I au 2 août 2028, avec un sursis au 2 décembre 2026 sur le marquage des systèmes déjà commercialisés. Il ne reporte ni l’article 4, ni l’article 5, ni l’essentiel de l’article 50.
• Trois paliers à l’article 99 : 35 M€ ou 7 % pour l’article 5 ; 15 M€ ou 3 % pour une liste fermée incluant l’article 50 ; 7,5 M€ ou 1 % pour les informations trompeuses fournies aux autorités.
• Pour une PME, c’est le montant le plus faible entre le pourcentage et la valeur absolue qui s’applique. Sur 400 000 € de chiffre d’affaires, le plafond du palier à 3 % est de 12 000 €, pas de 15 millions.
• L’article 4 n’apparaît dans aucun palier de l’article 99. Aucune amende propre ne sanctionne le manquement à la maîtrise de l’IA. Ce qui existe, c’est le pouvoir de contrôle et d’injonction des autorités, et l’effet aggravant de la négligence sur toute autre sanction.
• Le vrai risque d’une TPE est contractuel, puis RGPD, puis social. Le règlement IA arrive loin derrière — et les mesures qui traitent le premier traitent aussi les autres.
• En France, la désignation des autorités n’est pas achevée près d’un an après l’échéance. La CNIL est pressentie au centre, avec la DGCCRF et l’Arcom. Le risque de contrôle « IA » est faible à court terme ; le risque de contrôle RGPD ne l’est pas.

📖 Glossaire

• Règlement (UE) 2024/1689 — nom officiel du texte européen sur l’intelligence artificielle, souvent appelé « AI Act » ou « règlement IA ».
• Entrée en vigueur — date à laquelle un texte existe juridiquement. Ne signifie pas que les obligations s’appliquent.
• Application — date à laquelle une obligation devient opposable. C’est celle qui compte.
• Fournisseur — celui qui développe un système d’IA et le met sur le marché sous son nom.
• Déployeur — celui qui utilise un système d’IA dans le cadre de son activité professionnelle. C’est le statut de presque toutes les TPE.
• Maîtrise de l’IA (littératie IA) — obligation de l’article 4 de garantir un niveau suffisant de compétence des personnes qui utilisent l’IA pour votre compte.
• Annexe III — systèmes à haut risque autonomes : recrutement, crédit, éducation, justice, migration, services essentiels. Application reportée au 2 décembre 2027.
• Hypertrucage (deepfake) — contenu généré ou manipulé représentant des personnes, objets ou événements de manière à paraître authentique.
• Digital Omnibus — texte européen de 2026 modifiant le règlement IA, notamment pour reporter les échéances relatives aux systèmes à haut risque.
• PME — au sens européen, entreprise de moins de 250 salariés dont le chiffre d’affaires n’excède pas 50 M€ ou le total de bilan 43 M€. Bénéficie de la règle du montant le plus faible à l’article 99, paragraphe 6.

❓ Questions fréquentes

Le 2 août 2026, que dois-je avoir fait exactement ?

Si vous diffusez du contenu généré ou faites dialoguer une machine avec des tiers : vos chatbots doivent s’annoncer, vos hypertrucages doivent être déclarés, et vos textes d’intérêt public doivent être relus et assumés ou signalés comme générés. Si vous n’avez aucun de ces usages, cette date ne change rien pour vous.

Puis-je vraiment être condamné à 35 millions d’euros ?

Seulement pour un manquement à l’article 5, les pratiques interdites, et seulement si vous êtes une très grande entreprise. Pour une PME, le plafond retenu est le plus faible entre le pourcentage et la valeur absolue. Sur 300 000 € de chiffre d’affaires, cela donne quelques milliers d’euros de plafond théorique.

L’article 4 est-il vraiment sans sanction ?

Sans amende propre au titre du règlement, oui : il n’est cité dans aucun des trois paliers de l’article 99. Mais une autorité peut vous enjoindre de vous mettre en conformité, et votre négligence sera retenue contre vous si un autre manquement vous est reproché. C’est une obligation réelle dont l’effet se manifeste indirectement.

Faut-il un certificat ou un organisme agréé pour l’article 4 ?

Non. Le texte demande de « prendre des mesures », sans forme imposée. Une note interne diffusée et datée, une réunion d’équipe consignée, une consigne affichée : tout cela constitue des mesures. Aucun label n’est prévu par le règlement, et aucun organisme ne peut vous « certifier conforme à l’article 4 ».

Cette leçon sera-t-elle encore exacte dans six mois ?

Les dates de l’article 113 et la structure de l’article 99 sont stables. En revanche, la publication définitive du Digital Omnibus et la désignation des autorités françaises évoluent. Vérifiez ces deux points sur les sources officielles avant toute décision engageante — et n’accordez jamais votre confiance à un document, y compris celui-ci, sans regarder sa date.