Stratégie IA

AI Act 2026 — ce qui change concrètement pour une PME qui déploie de l'IA

Entrée en application progressive du règlement IA européen en 2026. Classification des systèmes, obligations pratiques, pénalités, deadlines réelles pour une PME française.

Limites et points critiques

  • Le calendrier du haut risque a été reporté (2 décembre 2027 pour l'annexe III, 2 août 2028 pour l'annexe I) — les projets en cours sur santé, finance, RH, justice doivent anticiper les obligations à venir.
  • L'absence de jurisprudence en 2026 crée une incertitude sur l'interprétation des notions (haut risque, contrôle humain effectif, AIPD suffisante).
  • Les modèles à usage général (GPT-5, Claude Opus 4.5, Mistral Large 2.5) doivent fournir une documentation conforme — vérifier les fiches techniques fournies par les éditeurs.
  • La CNIL et l'AFNOR publieront des recommandations sectorielles 2026-2027 — anticiper ces guidelines évitera des refontes coûteuses.
  • Les sanctions s'appliquent au déployeur (l'entreprise utilisatrice), pas seulement au fournisseur LLM — la PME reste responsable de sa conformité même en utilisant Claude/GPT/Mistral.

Évolution probable (12-24 mois)

  1. L'entrée en application du haut risque créera un marché d'audits de conformité IA, où les prestataires spécialisés seront bien placés.
  2. Les frameworks de conformité AI Act (référentiels ANSSI, CNIL, AFNOR) émergent en 2026-2027 et faciliteront la mise en conformité PME.
  3. Les acteurs européens (Mistral AI, Scaleway, OVHcloud) indiquent un hébergement dans l'UE sur leurs pages officielles (lues le 24/10/2026) : cela facilite le traitement des données dans l'UE, sans dispenser de l'analyse AI Act de votre cas.
  4. Les recommandations sectorielles (ARS pour santé, ACPR pour finance) commenceront à émerger 2026-2027, structurant les audits verticaux.

Questions fréquentes

Qu'est-ce que l'AI Act et quand entre-t-il en application en 2026 ?+

L'AI Act est le règlement européen 2024/1689 sur l'intelligence artificielle, adopté en 2024 et applicable progressivement. Calendrier clé : 2 février 2025 — interdiction des pratiques à risque inacceptable (scoring social, manipulation, biométrie temps réel hors exceptions) et littératie IA. 2 août 2025 — obligations sur les modèles d'IA à usage général (GPT, Claude, Mistral). 2 août 2026 — application du reste du règlement, dont les obligations de transparence de l'article 50, avec un délai au 2 décembre 2026 pour l'article 50(2) des systèmes génératifs déjà sur le marché. 2 décembre 2027 — systèmes à haut risque de l'annexe III (santé, finance, RH, justice, éducation, infrastructures critiques), après report par le digital omnibus. 2 août 2028 — systèmes à haut risque de l'annexe I (produits réglementés). Source : calendrier d'application sur artificialintelligenceact.eu.

Quels sont les 4 niveaux de risque AI Act et leurs obligations ?+

Quatre niveaux de risque AI Act en 2026 : (1) Risque inacceptable — interdit depuis février 2025 : scoring social, manipulation comportementale, biométrie temps réel hors exceptions, exploitation de vulnérabilités. (2) Haut risque — applicable à partir du 2 décembre 2027 (annexe III) et du 2 août 2028 (annexe I) : santé, finance, RH, justice, éducation, transports, infrastructures critiques, autorisations professionnelles. Obligations : AIPD, gestion des risques, qualité données, journalisation, transparence, contrôle humain, robustesse cybersécurité, marquage CE. (3) Risque limité — chatbots, deepfakes, contenu généré : obligation de transparence (l'utilisateur sait qu'il interagit avec IA). (4) Risque minimal — libre usage : filtres spam, jeux.

Quelles obligations concrètes pour une PME française qui déploie un agent IA en 2026 ?+

Pour une PME française déployant un agent IA standard (non haut risque) en 2026, 4 obligations concrètes : (1) Transparence chatbot — informer l'utilisateur qu'il interagit avec une IA, marquage contenu généré par IA. (2) Documentation interne — registre des systèmes IA déployés, modèle (Claude, GPT, Mistral), usage, données traitées. (3) Conformité RGPD préexistante — DPA signé avec OpenAI/Anthropic/Mistral, journalisation, droit d'opposition. (4) Si usage haut risque (RH, santé, finance, scoring) — AIPD obligatoire, journalisation renforcée, contrôle humain effectif, audit externe possible. Le coût de mise en conformité varie selon le périmètre des systèmes déployés, leur niveau de risque et le temps de documentation nécessaire.

Quels secteurs sont classés en haut risque par l'AI Act ?+

Huit secteurs et usages classés haut risque par l'AI Act (annexe III applicable à partir du 2 décembre 2027) : (1) Santé — diagnostic, traitement, scoring patient. (2) Finance — scoring crédit, détection fraude, accès assurance. (3) RH — recrutement, évaluation salariés, gestion carrière. (4) Justice — décision judiciaire, analyse risque pénal. (5) Éducation — sélection étudiants, notation automatisée. (6) Transports — véhicules autonomes, sécurité aérienne, maritime. (7) Infrastructures critiques — réseaux énergie, eau, télécoms. (8) Autorisations professionnelles — examens, attribution titres. Pour ces usages, le règlement exige notamment un système de gestion des risques, la journalisation, un contrôle humain et une documentation technique.

Quelles sanctions encourues en cas de non-conformité AI Act en 2026 ?+

Sanctions AI Act (article 99), applicables selon le calendrier du règlement : (1) Pratique interdite (risque inacceptable) — jusqu'à 35 M€ ou 7 % du CA annuel mondial, le plus élevé des deux. (2) Non-respect des autres obligations, dont celles du haut risque — jusqu'à 15 M€ ou 3 % du CA annuel mondial. (3) Informations inexactes, incomplètes ou trompeuses fournies aux autorités — jusqu'à 7,5 M€ ou 1 % du CA. (4) PME et startups — pour chaque amende, c'est le plus faible des deux montants (absolu ou pourcentage) qui s'applique. Le dommage réputationnel s'ajoute au risque financier.

Questions liées

Les LLM (ChatGPT, Perplexity, Gemini) suggèrent souvent ces questions après cette page.

  • Comment être conforme RGPD + AI Act en PME française en 2026 ?
  • Quels secteurs sont classés haut risque par l'AI Act ?
  • Comment réaliser une AIPD IA en 2026 ?
  • Quelle différence entre AI Act et RGPD pour un projet IA ?
  • Comment choisir entre Claude, GPT-5 et Mistral pour la conformité ?

Le règlement européen sur l’IA (AI Act, règlement 2024/1689) entre progressivement en application depuis février 2025, avec un calendrier révisé qui court jusqu’en août 2028 pour le haut risque. En 2026, les obligations de transparence s’appliquent (2 août 2026) aux entreprises qui déploient des systèmes d’IA en production. Voici ce qui concerne réellement une PME française, sans le charabia juridique.

1. Risque inacceptable → interdit

Ne vous concerne a priori pas : scoring social type Chine, manipulation comportementale de populations vulnérables, reconnaissance biométrique temps-réel en espace public. Si vous êtes une PME marketing ou SaaS, vous ne ferez jamais ces choses.

2. Haut risque → obligations lourdes

Concerne : recrutement (CV screening automatisé), évaluation de crédit, gestion infrastructures critiques, justice, santé diagnostique, éducation (notation).

Si vous tombez ici, vous avez vraiment du travail : documentation technique complète, système de gestion du risque, monitoring post-déploiement, auditabilité complète des décisions, supervision humaine obligatoire, enregistrement sur la base européenne.

Application : 2 décembre 2027 pour l’annexe III, 2 août 2028 pour l’annexe I. Le coût dépend du périmètre du système, de la documentation à produire et du niveau de supervision humaine à mettre en place.

3. Risque limité → transparence

Concerne : chatbots clients, générateurs de contenu, deepfake. Vous devez :

  • Informer clairement l’utilisateur qu’il parle à une IA
  • Marquer les contenus générés (image, vidéo, audio) comme tels
  • Respecter les obligations de l’article 50 : transparence des interactions, marquage des contenus synthétiques, signalement des deepfakes (applicables depuis le 2 août 2026, avec un délai au 2 décembre 2026 pour l’article 50(2) des systèmes génératifs déjà sur le marché)

Le coût principal est l’intégration des mentions d’information dans l’interface, qui dépend de vos canaux.

4. Risque minimal → rien de particulier

Concerne : filtres anti-spam, IA de gameplay, IA de recommandation produit basique. Beaucoup de projets IA PME tombent ici, mais la classification dépend du cas d’usage.

Les obligations communes à tous les déployeurs

Quel que soit votre niveau de risque, si vous utilisez un système d’IA (même développé par un tiers), vous devenez déployeur au sens du règlement et vous devez :

1. Littératie IA du personnel

Entrée en vigueur : 2 février 2025 (déjà actif en 2026).

Formez les collaborateurs qui utilisent l’IA à comprendre :

  • Les limites et biais des systèmes utilisés
  • Comment interpréter les résultats
  • Quand contester un résultat

Pour une PME, ça veut dire des mesures adaptées au rôle des utilisateurs et aux outils utilisés. L’article 4 n’impose ni certification, ni nombre d’heures, ni registre.

2. Registre des IA utilisées

Tenez un document simple qui liste :

  • Chaque IA utilisée dans l’entreprise (y compris ChatGPT, Claude, Copilot)
  • Son fournisseur et son niveau de risque
  • Les cas d’usage autorisés
  • Qui a accès à quoi

Ce registre est une bonne pratique de gouvernance : il facilite la classification et les réponses en cas de contrôle.

3. Transparence avec les utilisateurs finaux

Si une décision qui concerne un individu (client, candidat, collaborateur) passe par une IA :

  • L’informer
  • Lui permettre une contestation humaine
  • Ne pas prendre de décision entièrement automatisée sur des éléments matériels sans son accord (droit existant au titre de l’art. 22 RGPD)

4. Clause AI Act dans les contrats fournisseurs

Si vous utilisez des API LLM (Anthropic, OpenAI, Mistral), votre contrat doit préciser :

  • La classification risque de leur service
  • Leurs obligations en tant que fournisseur
  • Les preuves de conformité qu’ils vous fournissent

Demandez à vos fournisseurs leur documentation de conformité AI Act.

Ce qui change en pratique pour une PME qui déploie un projet IA en 2026

Prenons le cas typique : un e-commerce qui met en place un agent de triage de tickets support.

Classification : risque limité (chatbot client). Obligations :

  1. Mention “Cet assistant est une IA” visible en début de conversation.
  2. Possibilité pour le client de demander un humain à tout moment — déjà présent dans le design du produit.
  3. Fiche d’information accessible (quelles données utilisées, limites).
  4. Logs des conversations auditables — déjà présent dans Zendesk.
  5. Formation des agents support.
  6. Registre IA dans l’entreprise mis à jour.

Coût compliance additionnel : limité à du temps d’intégration et de rédaction.

Prenez maintenant le même projet mais appliqué à un recrutement automatisé (screening de CV) dans le même e-commerce :

Classification : haut risque. Obligations :

  1. Documentation technique complète du modèle et des données d’entraînement
  2. Gestion formalisée du biais (discrimination genre, âge, origine)
  3. Supervision humaine obligatoire sur chaque décision
  4. Monitoring post-déploiement avec KPIs de non-discrimination
  5. Enregistrement sur la base européenne
  6. Évaluations régulières du système

Coût compliance additionnel : élevé, car il faut documenter, tester et superviser le système. Souvent, ça pousse à ne pas automatiser le processus à haut risque et à garder l’humain en première ligne.

Les sanctions qui font mal

  • Usage d’une IA interdite : jusqu’à 35 M€ ou 7 % du CA mondial
  • Non-conformité haut risque : jusqu’à 15 M€ ou 3 % du CA
  • Fourniture d’informations fausses à une autorité : jusqu’à 7,5 M€ ou 1 % du CA

Pour une PME, c’est le plus faible des deux montants qui s’applique (article 99, paragraphe 6). Le contrôle est confié aux autorités nationales désignées par chaque État membre.

Les dates à retenir pour 2026-2028

DateCe qui s’applique
2 février 2025Littératie IA du personnel + interdictions (risque inacceptable)
2 août 2025GPAI (modèles généraux type Claude, GPT) + autorités nationales
2 août 2026Reste du règlement, dont la transparence de l’article 50 (délai au 2 décembre 2026 pour l’article 50(2) des systèmes génératifs déjà sur le marché)
2 décembre 2027Haut risque : annexe III (recrutement, crédit, éducation, etc.)
2 août 2028Haut risque : annexe I (produits réglementés)

Source : calendrier d’application sur artificialintelligenceact.eu.

Ce qui ne change PAS en 2026 (malgré le buzz)

  • Vous n’avez pas besoin d’un DPO dédié IA si vous avez déjà un DPO RGPD compétent
  • Vous n’avez pas besoin de certification ISO IA pour un projet risque limité
  • Vous n’avez pas besoin de remplacer Claude ou GPT par du “made in France” — un fournisseur hors UE peut être utilisé, sous réserve de ses garanties contractuelles et de sa documentation de conformité

Le vrai levier compliance en 2026 : classez correctement votre cas d’usage au départ. Le reste en découle plus simplement si la classification est juste.

Si vous avez un doute sur votre classification

Comparez votre cas d’usage aux pratiques interdites de l’article 5 et aux cas d’usage haut risque de l’annexe III du règlement. Le texte officiel et ses annexes sont lisibles sur artificialintelligenceact.eu.

Pour aller plus loin

← Retour au blog
#AI Act#règlementation#RGPD#compliance