La réponse en trente secondes
L’AI Act est un règlement européen qui ne classe pas les technologies, mais les usages. Plus un usage peut nuire à une personne, plus les obligations sont lourdes. La grande majorité des PME se situe tout en bas de l’échelle : utiliser ChatGPT, un correcteur automatique ou un chatbot de service client n’entraîne, aujourd’hui, qu’une seule obligation concrète — dire quand c’est une IA qui parle ou qui a produit le contenu.
Les quatre niveaux, dans l’ordre
Interdit. Une courte liste de pratiques est purement interdite depuis février 2025 : la notation sociale, la manipulation qui exploite une vulnérabilité, la reconnaissance des émotions sur le lieu de travail et dans les écoles, l’extraction massive d’images de visages pour constituer des bases de reconnaissance faciale. Deux interdictions s’y ajoutent le 2 décembre 2026, visant les contenus intimes non consentis et les contenus pédocriminels générés par IA.
Haut risque. Les usages qui décident du sort d’une personne : recruter, accorder un crédit, noter un élève, trier l’accès à un service essentiel — c’est l’annexe III. Et l’IA embarquée dans des produits déjà réglementés, des machines aux dispositifs médicaux — c’est l’annexe I. Les obligations correspondantes n’entrent en application qu’en décembre 2027 et août 2028.
Risque de transparence. Les chatbots, les contenus générés, les hypertrucages. Il faut le signaler. C’est applicable depuis le 2 août 2026, et c’est de très loin le cas le plus fréquent en entreprise.
Risque minimal. Tout le reste, sans obligation particulière : filtres anti-spam, suggestions de produits, correcteurs.
Qui est concerné
Le règlement ne parle pas d’« entreprises » mais de rôles, et c’est cette distinction qui change tout. Le fournisseur développe le système ou le met sur le marché sous son nom. Le déployeur l’utilise dans le cadre de son activité professionnelle. Une PME qui utilise des outils du commerce est déployeur : ses obligations sont infiniment plus légères. Mais elle devient fournisseur si elle appose sa marque sur un outil d’IA, ou si elle en modifie substantiellement la finalité — et beaucoup l’ignorent.
Un exemple concret
Une agence de six personnes utilise un assistant génératif pour rédiger, un chatbot sur son site et un outil de tri de candidatures. Aujourd’hui, elle doit : signaler son chatbot comme automatique, indiquer que ses contenus publiés d’intérêt général sont générés par IA lorsqu’ils ne sont pas relus par un humain identifié, et prendre des mesures raisonnables pour que ses équipes sachent se servir de ces outils. Son outil de tri de CV est bien à haut risque — mais elle a jusqu’à décembre 2027 pour s’y préparer.
Les amendes, sans exagération
Les plafonds sont élevés : 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres obligations dont la transparence, 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités.
Mais un paragraphe change tout pour une PME, et il est presque systématiquement passé sous silence. L’article 99, paragraphe 6, dit mot pour mot : « Dans le cas des PME, y compris les jeunes pousses, chaque amende visée au présent article s’élève au maximum aux pourcentages ou montants visés aux paragraphes 3, 4 et 5, le chiffre le plus faible étant retenu. » Pour une petite entreprise, c’est donc le montant le plus faible qui s’applique, et non le plus élevé. Autrement dit : les chiffres qui circulent partout ne sont pas ceux qui vous concernent.
Ce que vous pouvez faire dès demain
- Lister vos outils d’IA — y compris ceux que personne n’a déclarés.
- Vérifier que votre chatbot dit qu’il est un chatbot.
- Écrire une page de règles internes sur ce qu’on peut, et ne peut pas, mettre dans un outil génératif.
- Noter la date du 2 décembre 2026, puis celle du 2 décembre 2027 si vous touchez au recrutement.
Les erreurs qu’on lit partout
« Depuis le 2 août 2026, tout le règlement s’applique. » Non : c’est la date d’application générale, mais les obligations « haut risque » ont justement été reportées à décembre 2027 et août 2028 par le Digital Omnibus, entré en vigueur le 27 juillet 2026.
« Le 2 août 2027, les systèmes à haut risque intégrés aux produits. » Cette date existe encore, mais pour les bacs à sable réglementaires nationaux et les modèles d’IA à usage général les plus anciens. Le haut risque intégré aux produits, c’est le 2 août 2028.
« 15 millions d’amende si vos salariés ne sont pas formés. » Voir la fiche consacrée à l’usage de ChatGPT au travail : l’obligation a été réécrite, et elle est bien plus douce qu’annoncé.
Votre prochaine action
Confrontez cette fiche à votre usage réel puis posez votre question à la communauté si un point reste incertain.
Interroger la communauté →Sources de référence
Pour aller plus loin
Fiche rédigée à partir du texte consolidé du règlement (UE) 2024/1689 dans sa version du 27 juillet 2026. Vérifiée le 26 août 2026. Information générale : elle ne constitue pas un conseil juridique individualisé.