Une PME qui utilise des outils d’IA du commerce doit aujourd’hui trois choses : former ses équipes à l’IA, ne pas tomber dans les usages interdits, et signaler les contenus qu’elle publie en les ayant fait générer. Le reste, les fameuses obligations haut risque, a été repoussé à décembre 2027.
Pendant des mois, les articles sur l’AI Act ont annoncé la même chose : le 2 août 2026, tout s’applique. Ce n’est plus vrai. Un règlement adopté le 8 juillet 2026 et entré en vigueur le 27 a repoussé la partie la plus lourde du texte. La Commission donne la raison sans détour : les normes harmonisées que devaient produire le CEN et le CENELEC n’étaient pas prêtes, et appliquer des obligations sans les normes qui disent comment s’y conformer n’avait pas de sens.
Si vous avez un dossier de mise en conformité daté d’avant l’été, son calendrier est périmé. C’est la première chose à vérifier.
La bonne nouvelle, pour une entreprise qui se contente d’utiliser des outils du marché, c’est que la liste est courte. Le règlement distingue celui qui fabrique un système d’IA et celui qui l’utilise. Vous êtes du second côté, et il pèse beaucoup moins.
Depuis le 2 février 2025, toute organisation qui utilise de l’IA doit prendre des mesures pour que les gens qui s’en servent sachent ce qu’ils font. Le texte ne réclame aucun niveau précis ni aucun certificat : il demande des mesures proportionnées à votre contexte. Une demi-journée documentée, une note de cadrage et une liste de ce qu’on ne fait pas avec ces outils suffisent à montrer que vous avez agi.
Deux cas touchent les entreprises ordinaires : la reconnaissance des émotions sur le lieu de travail, en dehors des raisons médicales ou de sécurité, et la notation sociale des personnes. Si un logiciel de recrutement ou de centre d’appels promet de mesurer l’état émotionnel de quelqu’un, c’est interdit depuis février 2025.
Depuis le 2 août 2026, un contenu fabriqué par IA doit être signalé : une image, un son ou une vidéo qui imite le réel, et un texte publié pour informer le public sur un sujet d’intérêt général. Le règlement prévoit une exception nette pour le texte relu par un humain qui en assume la responsabilité éditoriale.
Les obligations sur les systèmes à haut risque sont celles qui demandent de la documentation, de la surveillance humaine, des journaux conservés et des procédures. Ce sont elles qui coûtent cher. Elles ne s’appliqueront aux usages listés à l’annexe III, comme le tri de candidatures ou l’évaluation des salariés, qu’à partir du 2 décembre 2027. Pour l’IA embarquée dans des machines ou des dispositifs médicaux, ce sera le 2 août 2028.
Le règlement prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour un usage interdit, et jusqu’à 15 millions ou 3 % pour un manquement aux obligations de transparence. Ces chiffres font les gros titres, et ils ne vous concernent pas tels quels.
Pour une PME, le texte inverse la règle : c’est le plus bas des deux montants qui s’applique, pas le plus élevé. Une entreprise à cinq millions de chiffre d’affaires s’expose donc à 350 000 euros sur le cas le plus grave, pas à 35 millions. Les autorités doivent par ailleurs tenir compte de la taille et de la viabilité économique de l’entreprise quand elles fixent une amende.
Nous utilisons l’IA tous les jours pour nos propres projets, et nous en installons chez nos clients. Ce que ce règlement change dans notre travail tient en une phrase : il rend obligatoire ce qui était déjà une bonne pratique. Dire à l’utilisateur qu’il parle à un programme, savoir ce que l’outil fait de ses données, garder une personne responsable de ce qui est publié. Un assistant bien construit coche ces cases sans effort supplémentaire.
Le vrai risque, pour une PME, n’est pas l’amende. C’est de découvrir en 2027 que l’outil de tri de candidatures acheté en 2026 est devenu un système à haut risque et que son éditeur n’a rien prévu. La question à poser aujourd’hui n’est pas « suis-je conforme », c’est « mon fournisseur le sera-t-il ».
Oui, mais légèrement. Vous êtes utilisateur, pas éditeur : vous devez former vos équipes, éviter les usages interdits et signaler les contenus générés que vous publiez. Aucune documentation technique ni certification n’est exigée de vous.
Seulement s’ils informent le public sur un sujet d’intérêt général et qu’aucun humain n’en assume la responsabilité éditoriale. Un texte relu et assumé par une personne identifiée échappe à l’obligation, et c’est explicitement prévu par le règlement.
Une liste fermée d’usages, dont le recrutement, l’évaluation des salariés, l’accès au crédit ou à l’éducation, et l’IA embarquée dans des produits soumis à certification. Un assistant de rédaction ou un outil de reporting n’en fait pas partie.
Non, pour une raison pratique : si un de vos outils bascule en haut risque, c’est votre fournisseur qui devra produire la documentation, et vous découvrirez tard s’il ne l’a pas prévu. L’inventaire se fait maintenant, la mise en conformité suivra.
Non. Nous construisons des outils, nous ne sommes pas avocats. Cet article résume des sources officielles à la date du 16 octobre 2026 et vous donne de quoi poser les bonnes questions à votre conseil.
Un premier échange qui n’engage à rien, et une réponse franche : si ce n’est pas pour nous, nous le disons.
Publié le 16 octobre 2026. Écrit par Steve Tiambo, fondateur de TiDI, à Lyon.