Vous dirigez une PME. Vous utilisez ChatGPT pour des mails, des comptes rendus, des posts LinkedIn. Et depuis quelques mois, un client, un comptable ou un confrère vous demande : « et vous êtes conformes à l’AI Act ? »
Bonne nouvelle : l’ia act entrée en vigueur ne vous transforme pas en juriste. Le règlement s’applique depuis le 1er août 2024, l’application générale arrive le 2 août 2026, et le règlement Omnibus 2026/1744 a décalé plusieurs échéances depuis le 27 juillet 2026. Voici ce qui vous concerne vraiment – et ce qui ne vous concerne pas.
L’AI Act en 3 phrases
L’AI Act est le règlement européen qui encadre la mise sur le marché et l’usage de l’intelligence artificielle dans l’Union. Il ne juge pas si l’IA est bonne ou mauvaise : il répartit des obligations selon le niveau de risque de chaque usage. Il s’applique à toute entreprise qui fournit ou utilise un système d’IA en Europe, sans seuil de salariés ni de chiffre d’affaires.
Quatre rôles, et vous en avez au moins un
Le règlement (UE) 2024/1689 distingue quatre acteurs :
- fournisseur – celui qui développe un système d’IA ou le fait développer pour le mettre sur le marché sous son nom ;
- déployeur – celui qui utilise un système d’IA dans un cadre professionnel (c’est le rôle de la plupart des PME) ;
- importateur – celui qui place sur le marché européen un système venant d’un pays tiers ;
- distributeur – celui qui rend un système disponible dans la chaîne commerciale sans être fournisseur ni importateur.
Un même acteur peut cumuler les rôles. Une PME qui achète un outil et l’intègre dans son produit devient fournisseur sur cette brique.
La logique du risque, en clair
Quatre niveaux : risque inacceptable (interdit, article 5), haut risque (article 6 et annexes I et III), risque de transparence (article 50 : contenu synthétique, chatbots, deepfakes), risque minimal (le reste, sans obligation spécifique). Plus une catégorie à part : les modèles d’IA à usage général, qui relèvent du chapitre V.
Vous n’avez pas de juriste interne ? → Ce n’est pas bloquant. La bonne question n’est pas « comment tout lire », c’est « quel rôle je joue et sur quels usages ».
Le calendrier à jour après l’Omnibus
L’essentiel est déjà en vigueur, mais les échéances qui pèsent sur les PME s’étalent jusqu’en 2028. Deux textes à garder sous la main : le règlement (UE) 2024/1689 et le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’UE le 24 juillet 2026 et entré en vigueur le 27 juillet 2026.
| Date | Ce qui se passe | Base légale |
|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement | Règl. 2024/1689, art. 113 |
| 2 février 2025 | Interdictions (art. 5) et obligations de maîtrise de l’IA (art. 4) | Règl. 2024/1689, art. 113(a) |
| 2 août 2025 | Modèles d’IA à usage général, gouvernance, sanctions | Règl. 2024/1689, art. 113(b) |
| 27 juillet 2026 | Entrée en vigueur du règlement Omnibus | Règl. 2026/1744, art. 4 |
| 2 août 2026 | Application générale du règlement | Règl. 2024/1689, art. 113(c) |
| 2 décembre 2026 | Article 50.2 pour les systèmes génératifs mis sur le marché avant le 2 août 2026 ; nouvelles interdictions de l’art. 5 | Règl. 2026/1744, art. 1(39)(b) et 1(40)(a) |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III | Règl. 2026/1744, art. 1(40)(b) |
| 2 août 2028 | Systèmes à haut risque de l’annexe I | Règl. 2026/1744, art. 1(40)(b) |
Deux lectures utiles de ce tableau. D’abord, les obligations qui vous touchent déjà sont peu nombreuses : depuis février 2025, elles portent sur les usages interdits et la maîtrise de l’IA. Ensuite, le report du haut risque à décembre 2027 ne vous dispense de rien si vous n’êtes pas fournisseur d’un système à haut risque.
Le calendrier bouge encore ? → Le texte de 2026 est récent. Considérez cette liste comme le bon relevé au 21 octobre 2026, pas comme un dogme pour 2028.
Une PME qui utilise ChatGPT est-elle concernée ?
Oui. Dès qu’une entreprise utilise un système d’IA dans un cadre professionnel, elle est déployeur au sens du règlement (UE) 2024/1689 – et le texte ne prévoit aucun seuil de taille. Mais « concernée » ne veut pas dire « écrasée de formalités » : ce qui s’applique à vous dépend de l’usage que vous faites de l’outil.
Ce que vous n’avez pas à faire
Soyons précis, parce que c’est là que les cabinets d’audit font peur pour rien. Une PME qui utilise ChatGPT pour rédiger, résumer, traduire ou brainstormer n’a pas à :
- réaliser une évaluation de conformité ;
- apposer un marquage CE ;
- produire la documentation technique du fournisseur ;
- tenir un système de management de la qualité.
Ces obligations pèsent sur le fournisseur d’un système à haut risque. Vous utilisez un modèle généraliste pour de la rédaction interne : vous êtes en risque minimal ou de transparence, pas en haut risque.
Ce qui vous engage vraiment
Trois blocs, et ils sont concrets.
La maîtrise de l’IA (article 4) : vous devez prendre des mesures pour que vos collaborateurs aient le niveau de compréhension nécessaire à un usage éclairé de l’outil. Le règlement 2026/1744 a reformulé cet article, j’y reviens plus bas.
La transparence (article 50) : prévenez qu’un contenu est généré par IA quand le contexte l’exige, et ne faites pas passer un chatbot pour un humain. C’est aussi un sujet de visibilité : les moteurs génératifs citent plus volontiers les contenus dont l’origine est claire. C’est exactement le terrain du GEO.
Les usages interdits (article 5) : notation sociale des personnes, techniques manipulatoires exploitant une vulnérabilité, identification biométrique dans certains contextes. Aucune PME saine ne fait ça. Mais un outil de recrutement qui trie des CV sur des critères opaques peut basculer vers le haut risque, c’est un autre sujet.
Où est la frontière ? → Elle passe par la finalité, pas par l’outil. Le même ChatGPT utilisé pour un compte rendu et pour décider d’un licenciement ne relève pas du même régime.
Les 4 actions concrètes en 2026
Voilà le programme que je propose aux dirigeants. Quatre actions, aucune ne demande un budget logiciel, toutes laissent une trace écrite – c’est ça qui compte le jour où quelqu’un vous pose la question.
1. Inventaire des outils IA
Quoi : listez tous les outils IA utilisés dans l’entreprise, y compris ceux que personne n’a validés. ChatGPT, Copilot, un générateur d’images, un plugin de CRM, un outil de transcription en réunion.
Livrable : un tableau à quatre colonnes – outil, usage réel, service concerné, données injectées. Une page suffit.
Effort : une matinée de travail avec les responsables d’équipe. L’inventaire révèle souvent des usages que la direction ne soupçonnait pas.
2. Charte d’usage
Quoi : trois pages maximum, en français compréhensible. Ce qu’on peut faire, ce qu’on ne fait pas, ce qu’on ne met jamais dans un prompt (données clients identifiantes, secrets industriels, données de santé), et qui valide un nouvel outil.
Livrable : une charte signée par les collaborateurs, plus une règle simple de validation d’un nouvel outil.
Effort : une demi-journée de rédaction. C’est le document qui vous protège le plus vite.
3. Formation des équipes
Quoi : une sensibilisation réelle, pas un webinaire d’une heure. Les gens doivent savoir ce que fait l’outil, ce qu’il ne fait pas, et comment vérifier une sortie. Une formation IA générative bien construite traite les prompts, la vérification factuelle et les limites – trois compétences qui servent aussi la conformité.
Livrable : une liste de présences, un support daté, et deux ou trois réflexes ancrés.
Effort : une journée pour un groupe, à refaire à chaque nouvel arrivant.
4. Suivi
Quoi : une revue deux fois par an. Nouveaux outils ? Nouveaux usages ? Nouveaux collaborateurs ? Et veille sur les échéances du texte, qui bougent encore.
Livrable : un compte rendu d’une page, daté, avec les décisions prises.
Effort : une heure tous les six mois. Si personne en interne ne peut le tenir, un référent IA externalisé fait très bien l’affaire pour ce rythme.
Ce que l’Omnibus allège pour les PME
Le règlement (UE) 2026/1744 ne supprime pas d’obligations, mais il desserre la contrainte à trois endroits – et il faut être honnête : cela ne change pas grand-chose pour une PME qui utilise ChatGPT.
Le report du haut risque. Les systèmes de l’annexe III passent au 2 décembre 2027, ceux de l’annexe I au 2 août 2028 (art. 1(40)(b) du règlement 2026/1744). Vous gagnez du temps, à condition d’être concerné – ce qui n’est pas le cas d’un usage bureautique de l’IA.
La documentation technique simplifiée. Les PME et petites entreprises de moyenne capitalisation peuvent désormais fournir la documentation de l’annexe IV sous forme simplifiée (art. 1(10), qui touche l’article 11(1) du règlement 2024/1689). Utile si vous développez un système à haut risque. Inutile si vous achetez ChatGPT.
Le système qualité élargi. La possibilité d’un système de management de la qualité simplifié, réservée aux micro-entreprises, est étendue à toutes les PME (art. 1(26), sur l’article 63). Même remarque : cela concerne les fournisseurs.
L’article 4 reformulé. C’est le point qui vous concerne directement. L’article 4 ne parle plus d’une « obligation de garantir » un niveau suffisant de maîtrise de l’IA, mais de mesures de soutien à la maîtrise de l’IA (art. 1(5) du règlement 2026/1744). Autrement dit : vous devez agir, mais aucun texte ne vous impose un niveau certifié à atteindre. La formulation exacte et ses conséquences pratiques restent à préciser par les autorités de surveillance – considérez ce point comme non stabilisé à la date du 21 octobre 2026.
FAQ
L’AI Act s’applique-t-il à une entreprise de cinq salariés qui utilise ChatGPT ? Oui. Le règlement ne fixe aucun seuil de taille : dès qu’un système d’IA est utilisé dans un cadre professionnel, l’entreprise est déployeur. Les obligations sont proportionnées à l’usage, pas à l’effectif.
Faut-il un marquage CE pour utiliser ChatGPT en entreprise ? Non. Le marquage CE et l’évaluation de conformité concernent les fournisseurs de systèmes à haut risque. Un déployeur qui utilise un outil généraliste pour de la rédaction n’y est pas soumis.
Quand l’AI Act entre-t-il vraiment en vigueur pour une PME ? Le règlement est en vigueur depuis le 1er août 2024, les interdictions s’appliquent depuis le 2 février 2025 et l’application générale arrive le 2 août 2026. Pour un usage bureautique de l’IA, l’essentiel est donc déjà là.
Que se passe-t-il le 2 décembre 2026 ? Les systèmes génératifs mis sur le marché avant le 2 août 2026 doivent se conformer à l’article 50.2 à cette date (règlement 2026/1744, art. 1(39)(b)). Cette échéance vise d’abord les fournisseurs, pas les PME utilisatrices.
L’Omnibus supprime-t-il des obligations pour les PME ? Non. Il décale le calendrier du haut risque et simplifie la documentation pour les PME, mais il ne retire aucune obligation de transparence ni de maîtrise de l’IA.
Sources consultées le 21 octobre 2026 :
- Règlement (UE) 2024/1689 – EUR-Lex, CELEX:32024R1689
- Règlement (UE) 2026/1744 du 8 juillet 2026, JO L du 24.07.2026 – texte publié sur publications.europa.eu
Le sujet n’est pas de savoir si vous êtes « en règle » – c’est de savoir quels outils tournent chez vous, pour quoi faire, et ce que vos équipes en comprennent. Si vous voulez qu’on regarde ça ensemble, on part de votre inventaire et on ne garde que ce qui sert vraiment.
