AI Act pour les TPE et PME : ce qui change vraiment pour vous

En bref. L’AI Act, le règlement (UE) 2024/1689, concerne aussi la TPE qui se contente d’utiliser l’IA : le texte l’appelle « déployeur ». Selon la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex, consultée en octobre 2026, les obligations de transparence s’appliquent depuis le 2 août 2026, tandis que celles des systèmes à haut risque, comme le tri de CV, ont été repoussées au 2 décembre 2027 par l’omnibus numérique de juillet 2026. Pour la plupart des usages d’une petite entreprise (rédaction, devis, visuels, synthèse de documents), le règlement demande peu : informer, garder la main et former ses équipes.

L’IA n’est plus un sujet de grands groupes. Selon le baromètre France Num 2026 publié par la DGE le 28 septembre 2026 et consulté en octobre 2026, 40 % des TPE et PME françaises utilisent désormais l’intelligence artificielle. Beaucoup de dirigeants se demandent donc ce que l’AI Act leur impose. Les articles qu’ils trouvent parlent surtout aux éditeurs de logiciels. Ce guide prend l’autre côté : celui du dirigeant qui utilise ChatGPT, Copilot ou Mistral pour ses devis, un chatbot sur son site, et qui se demande s’il peut trier ses candidatures avec un outil. Nous nous appuyons sur le texte modifié en 2026, la CNIL et la Commission européenne.

L’AI Act en deux minutes, vu depuis une TPE

Le règlement européen sur l’intelligence artificielle classe les systèmes d’IA selon le risque qu’ils font courir aux personnes. Plus le risque est élevé, plus les obligations sont lourdes. Il distingue surtout deux rôles :

• le fournisseur : celui qui développe un système d’IA et le met sur le marché, par exemple l’éditeur d’un logiciel de recrutement ou d’un assistant conversationnel ;
• le déployeur : celui qui utilise un système d’IA « sous sa propre autorité », sauf dans le cadre d’une activité personnelle non professionnelle (article 3, point 4).

Une TPE qui se sert d’un outil d’IA pour son travail est un déployeur. Le dirigeant qui demande à ChatGPT un brouillon de relance d’impayé un dimanche soir, pour son entreprise, l’est aussi. La plupart des obligations lourdes du texte pèsent sur les fournisseurs. Celles des déployeurs sont plus légères, mais elles existent.

Un point à connaître : vous pouvez devenir fournisseur sans le vouloir. L’article 25 prévoit qu’un déployeur est traité comme fournisseur d’un système à haut risque s’il le commercialise sous son propre nom, s’il le modifie de façon substantielle ou s’il détourne un outil généraliste vers un usage à haut risque. Un prestataire qui revend à ses clients un outil d’IA à son nom doit donc relire le texte de près.

Le calendrier réel après l’omnibus de juillet 2026

Le calendrier a changé en cours de route. le règlement (UE) 2026/1744, adopté le 8 juillet 2026 et publié au Journal officiel de l’Union européenne le 24 juillet 2026, est entré en vigueur le 27 juillet 2026, d’après EUR-Lex consulté en octobre 2026. C’est le volet IA de l’« omnibus numérique ». Il repousse les obligations des systèmes à haut risque et assouplit l’article 4. Beaucoup de pages publiées avant l’été 2026 donnent encore l’ancien calendrier : vérifiez toujours la date de mise à jour de ce que vous lisez.

Voici les dates qui figurent à l’article 113 et à l’article 111 de la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex, consultée en octobre 2026, et sur la page questions-réponses de la CNIL, mise à jour le 17 août 2026.

Date	Ce qui s’applique	Ce que cela change pour une TPE
1er août 2024	Entrée en vigueur du règlement	Rien d’immédiat, le texte s’applique par étapes.
2 février 2025	Dispositions générales, dont la maîtrise de l’IA (article 4), et pratiques interdites (article 5)	Certains usages sont interdits, par exemple déduire les émotions des salariés au travail.
2 août 2025	Règles des modèles d’IA à usage général, gouvernance, sanctions	Concerne surtout les éditeurs de modèles (OpenAI, Mistral, Google…).
2 août 2026	Application générale, dont les obligations de transparence (article 50)	Informer quand un contenu réaliste est généré par l’IA et quand on parle à une machine.
2 décembre 2026	Nouvelles interdictions (images intimes non consenties, contenus pédocriminels) ; marquage des contenus par les outils déjà sur le marché avant le 2 août 2026	Les outils de génération que vous utilisez devront marquer leurs sorties.
2 décembre 2027	Obligations des systèmes à haut risque de l’annexe III (emploi, crédit, éducation…)	Si vous triez des CV ou évaluez vos salariés avec l’IA, les obligations du déployeur s’appliquent.
2 août 2028	Obligations des systèmes à haut risque intégrés dans des produits réglementés (annexe I)	Concerne les fabricants de machines, jouets, dispositifs médicaux équipés d’IA.

Avant l’omnibus, la date prévue pour les systèmes à haut risque de l’annexe III était le 2 août 2026. Si vous lisez « tout s’applique le 2 août 2026 », la page n’est pas à jour.

Les quatre niveaux de risque, avec des exemples de TPE

La Commission européenne résume le règlement en quatre niveaux sur sa page consacrée au cadre réglementaire de l’IA, consultée en octobre 2026. Les voici, traduits en situations de petite entreprise.

Risque inacceptable : ce qui est interdit

L’article 5 liste des pratiques interdites depuis le 2 février 2025. La plupart ne concernent pas une TPE (notation sociale, police prédictive, reconnaissance faciale de masse). Deux méritent votre attention :

• déduire les émotions d’une personne sur le lieu de travail, sauf raison médicale ou de sécurité (article 5, paragraphe 1, point f). Un outil qui « note l’humeur » de vos commerciaux pendant leurs appels tombe dans ce cas ;
• depuis l’omnibus, générer des images ou vidéos intimes réalistes d’une personne identifiable sans son consentement explicite (article 5, paragraphe 1, point b bis), interdiction applicable à partir du 2 décembre 2026 selon l’article 113 consulté en octobre 2026.

Haut risque : le recrutement et la gestion du personnel

C’est là qu’une TPE peut se trouver sans le savoir. L’annexe III, point 4, classe à haut risque les systèmes d’IA destinés au recrutement ou à la sélection, « en particulier » pour analyser et filtrer les candidatures et évaluer les candidats. Elle vise aussi les outils qui servent à décider d’une promotion, d’un licenciement, à attribuer des tâches selon le comportement ou à évaluer les performances des salariés.

Concrètement : un logiciel qui classe automatiquement les 80 CV reçus pour un poste d’apprenti, ou un outil qui note vos techniciens d’après leurs interventions, relève du haut risque. L’annexe III vise aussi l’évaluation de la solvabilité des personnes physiques (point 5), ce qui peut concerner un commerce qui accorde du crédit à ses clients particuliers.

L’article 6, paragraphe 3, prévoit une exception : un système de l’annexe III n’est pas à haut risque s’il accomplit une tâche procédurale étroite et n’influence pas de façon significative la décision. Reformuler une offre d’emploi avec ChatGPT n’est pas trier des candidats. Demander à l’outil de classer les candidatures l’est.

Risque de transparence : chatbots et contenus générés

Ce niveau couvre les systèmes qui dialoguent avec le public et ceux qui produisent des images, des sons, des vidéos ou des textes. C’est le niveau qui concerne le plus de TPE depuis le 2 août 2026. Nous le détaillons plus bas.

Risque minimal : la plupart de vos usages

La Commission cite les filtres anti-spam et les jeux vidéo. Pour une TPE, ce sont aussi le brouillon de devis, la synthèse d’un compte rendu de chantier, la catégorisation des dépenses, l’aide au rapprochement bancaire ou la traduction d’une fiche produit. L’AI Act n’ajoute pas d’obligation spécifique à ces usages, en dehors de la maîtrise de l’IA (article 4). Le RGPD, lui, continue de s’appliquer dès que des données personnelles passent dans l’outil.

Usage courant, niveau de risque, ce qu’il faut faire

Ce tableau classe les usages que nous rencontrons le plus souvent chez les dirigeants de TPE. Il donne une première lecture, pas un avis juridique : le classement dépend de la façon exacte dont l’outil est utilisé.

Usage courant	Niveau de risque probable	Ce qu’il faut faire
Rédiger un devis, un mail, une relance avec ChatGPT ou Copilot	Minimal	Relire avant envoi ; ne pas coller de données sensibles ; former les utilisateurs.
Résumer des documents, préparer un prévisionnel, catégoriser des dépenses	Minimal	Vérifier les chiffres ; garder la décision humaine ; RGPD si données personnelles.
Chatbot sur le site ou sur la messagerie client	Transparence	Faire apparaître clairement qu’il s’agit d’une IA dès le premier message ; prévoir un contact humain.
Visuels générés pour les réseaux sociaux	Transparence si le visuel est réaliste et peut tromper (hypertrucage)	Mentionner « image générée par IA » dès qu’elle montre une personne, un lieu ou un produit réels.
Article de blog ou newsletter rédigés avec l’IA	Transparence seulement pour les textes d’intérêt public non relus	Relecture humaine et responsabilité éditoriale assumée : l’obligation tombe.
Tri ou classement automatique de CV	Haut risque (annexe III, point 4)	Choisir un fournisseur conforme, garder un contrôle humain, informer les candidats ; obligations du déployeur à partir du 2 décembre 2027.
Notation des performances des salariés par un outil	Haut risque (annexe III, point 4)	Informer les salariés et leurs représentants avant la mise en service ; contrôle humain.
Analyse des émotions des salariés pendant leurs appels	Interdit (article 5)	Ne pas utiliser.

Article 50 : la transparence, concrètement

L’article 50 s’applique depuis le 2 août 2026, selon l’article 113 de la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex, consultée en octobre 2026. Il répartit les devoirs entre le fournisseur de l’outil et vous.

Ce que doit faire l’éditeur de l’outil

• Concevoir un assistant conversationnel de façon que les personnes sachent qu’elles parlent à une IA, sauf si c’est évident (paragraphe 1).
• Marquer les images, sons, vidéos et textes générés dans un format lisible par machine (paragraphe 2). Les outils déjà sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour s’y conformer (article 111, paragraphe 4).

Ce que doit faire la TPE qui utilise l’outil

• Hypertrucages : si vous publiez une image, un son ou une vidéo générés ou retouchés par IA qui ressemblent à des personnes, lieux ou événements réels et peuvent passer pour authentiques, vous indiquez qu’ils ont été générés ou manipulés par une IA (paragraphe 4). Pour une œuvre manifestement artistique, satirique ou fictive, une mention discrète suffit.
• Textes d’intérêt public : un texte publié pour informer le public sur une question d’intérêt public doit signaler l’usage de l’IA, sauf s’il a été relu par un humain et qu’une personne en assume la responsabilité éditoriale (même paragraphe). Une TPE qui relit et signe ses articles de blog est dans l’exception.
• Le moment : l’information est donnée « de manière claire et reconnaissable », au plus tard lors de la première interaction ou de la première exposition (paragraphe 5).

Pour le chatbot de votre site, l’obligation de conception pèse sur l’éditeur. Mais c’est vous que le client voit. Vérifiez que la mention « assistant automatique » apparaît bien dans le premier message, et ajoutez-la vous-même si l’outil le permet.

Si vous triez des CV avec l’IA : ce qui vous attend

À partir du 2 décembre 2027, selon l’article 113 de la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex consultée en octobre 2026, l’article 26 s’appliquera aux déployeurs de systèmes à haut risque de l’annexe III. Pour une TPE qui recrute avec un outil d’IA, cela veut dire :

1. utiliser l’outil conformément à sa notice d’utilisation (paragraphe 1) ;
2. confier le contrôle humain à une personne qui a la compétence, la formation et l’autorité nécessaires (paragraphe 2) ;
3. veiller à ce que les données que vous fournissez soient pertinentes, si vous les maîtrisez (paragraphe 4) ;
4. surveiller le fonctionnement et prévenir le fournisseur en cas de problème (paragraphe 5) ;
5. conserver les journaux générés par l’outil, s’ils sont sous votre contrôle, au moins six mois (paragraphe 6) ;
6. informer les salariés et leurs représentants avant d’utiliser un tel système au travail (paragraphe 7) ;
7. informer les personnes concernées, ici les candidats, qu’un système à haut risque intervient dans la décision (paragraphe 11).

Le report à 2027 ne vous dispense de rien aujourd’hui : le RGPD encadre déjà le traitement des candidatures et les décisions automatisées. Et un outil qui écarte des profils sans que personne ne regarde, c’est d’abord un risque de passer à côté du bon apprenti.

Maîtrise de l’IA : l’article 4 en quelques lignes

L’article 4 a été réécrit par l’omnibus. Dans la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex, consultée en octobre 2026, il prévoit que les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA » de leur personnel, en tenant compte de leurs connaissances, de leur expérience et du contexte d’utilisation. Le texte précise que cette obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l’IA » par une personne. La version de 2024 parlait de garantir un niveau suffisant, « dans toute la mesure du possible ».

Le même article demande à la Commission et aux États de soutenir les entreprises, « en particulier les PME », et à la Commission de publier des exemples pratiques. Retenez qu’il s’agit d’une obligation de moyens : sensibiliser, former, documenter ce que vous avez fait.

Sanctions : les montants, et ce qui change pour les PME

Les plafonds figurent à l’article 99 de la version consolidée du règlement (UE) 2024/1689 sur EUR-Lex, consultée en octobre 2026 :

• pratiques interdites (article 5) : jusqu’à 35 000 000 € ou 7 % du chiffre d’affaires annuel mondial ;
• manquement aux obligations des opérateurs, dont celles des déployeurs (article 26) et la transparence (article 50) : jusqu’à 15 000 000 € ou 3 % du chiffre d’affaires ;
• informations inexactes ou trompeuses fournies aux autorités : jusqu’à 7 500 000 € ou 1 %.

Pour une grande entreprise, on retient le montant le plus élevé des deux. Pour une PME, y compris une jeune pousse, c’est l’inverse : le paragraphe 6 retient « le chiffre le plus faible ». Pour une entreprise qui réalise 400 000 € de chiffre d’affaires, le plafond théorique d’un manquement à l’article 50 est donc de 3 % de ce chiffre, soit 12 000 €, et non 15 millions. C’est un plafond, pas un tarif.

L’omnibus a ajouté deux assouplissements. Le paragraphe 1 demande désormais aux États de tenir compte des intérêts des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation, « ainsi que de leur viabilité économique », et cite les avertissements et mesures non monétaires parmi les sanctions possibles. Un paragraphe 6 bis étend la règle du « chiffre le plus faible » aux petites entreprises à moyenne capitalisation. Enfin, l’article 99 ne fixe aucune amende chiffrée pour l’article 4 sur la maîtrise de l’IA.

Ce que l’AI Act ne change pas

L’AI Act s’ajoute aux règles existantes, il ne les remplace pas. La CNIL le rappelle dans ses questions-réponses sur le règlement, mises à jour le 17 août 2026 : le RGPD continue de s’appliquer aux traitements de données personnelles par des systèmes d’IA. Coller la liste de vos clients, un dossier de salarié ou un relevé bancaire dans un outil en ligne pose d’abord une question de RGPD et de confidentialité, pas d’AI Act. La CNIL recommande, dans ses premières précisions sur le déploiement des IA génératives, de partir d’un besoin précis, de fixer les usages autorisés et interdits, et de former les utilisateurs.

Les erreurs que nous voyons le plus

• Croire que l’AI Act ne concerne que les éditeurs. Le déployeur a ses propres devoirs, même légers.
• Se fier à un calendrier périmé. Les obligations « haut risque » ne s’appliquent pas au 2 août 2026 aux usages de l’annexe III : la date est le 2 décembre 2027 depuis l’omnibus.
• Acheter un outil de tri de CV sans poser de questions. Demandez au fournisseur comment il se prépare au règlement et quelle notice d’utilisation il fournit.
• Publier un visuel réaliste sans mention. Une fausse photo de chantier « avant / après » ou un faux client souriant posent un problème de transparence et, souvent, de pratique commerciale trompeuse.
• Confondre obligation de moyens et absence d’obligation. L’article 4 assoupli demande toujours de faire quelque chose pour former vos équipes.

Ce qu’une TPE doit faire concrètement : 5 actions

1. Faire l’inventaire de vos usages. Une liste d’une page : quel outil, qui l’utilise, pour quoi faire, avec quelles données.
2. Classer chaque usage avec le tableau ci-dessus. Repérez les deux cas qui demandent de l’attention : tout ce qui touche au recrutement ou à l’évaluation du personnel (haut risque), et tout ce qui est publié ou dialogue avec vos clients (transparence).
3. Mettre en place les mentions de transparence. « Assistant automatique » sur le chatbot, « image générée par IA » sous les visuels réalistes, relecture humaine signée pour les textes publiés.
4. Écrire trois règles d’usage et former l’équipe. Ce qu’on peut confier à l’IA, ce qu’on ne lui confie jamais (données clients nominatives, données bancaires, dossiers du personnel), qui relit quoi. Gardez une trace des sessions de formation : c’est votre réponse à l’article 4.
5. Désigner un référent et suivre les textes. Une personne qui garde la liste à jour et consulte deux fois par an le service d’assistance de la Commission sur l’AI Act et les pages de la CNIL. Le service propose un vérificateur de conformité et répond aux questions.

Ces cinq actions sont au programme du Dirigeant Augmenté, dans son bloc consacré au cadre juridique. Si vous dirigez une TPE, vérifiez ce que votre fonds peut prendre en charge.

Qui contrôle, et où trouver de l’aide

Chaque État désigne ses autorités de surveillance du marché. En France, la répartition passe par une loi nationale : le projet de loi d’adaptation au droit de l’Union européenne, discuté au Sénat en février 2026 selon la Banque des Territoires, donne un rôle central à la CNIL, avec l’Arcom, la DGCCRF et des autorités sectorielles. Le texte devait encore passer à l’Assemblée nationale : vérifiez son état avant de vous y référer. Toute personne qui estime qu’une règle a été violée peut déposer une réclamation auprès de l’autorité de surveillance du marché (article 85).

Côté aide, l’article 62 demande aux États d’organiser des actions de sensibilisation et de formation adaptées aux PME et aux déployeurs, et à la Commission de tenir une plateforme d’information unique. Pour aller plus loin sur les usages eux-mêmes, notre guide pour digitaliser sa TPE avec l’IA passe en revue la comptabilité, la trésorerie et la relation client. Pour choisir une formation qui couvre aussi le cadre juridique, lisez notre guide pour choisir une formation IA pour TPE et PME, puis les solutions pour financer la formation du dirigeant. L’usage sobre des outils rejoint aussi notre démarche de numérique responsable.

Questions fréquentes

L’AI Act s’applique-t-il à une TPE qui utilise seulement ChatGPT ?

Oui. Une entreprise qui utilise un système d’IA pour son activité est un « déployeur » au sens de l’article 3, point 4, du règlement (UE) 2024/1689. Pour un usage de rédaction ou de synthèse, le risque est minimal : le texte demande surtout de favoriser la maîtrise de l’IA de vos équipes (article 4). Le RGPD s’applique en plus dès que des données personnelles sont en jeu.

Que s’est-il passé le 2 août 2026 avec l’AI Act ?

Selon l’article 113 du règlement, version consolidée consultée sur EUR-Lex en octobre 2026, c’est la date d’application générale du texte, dont les obligations de transparence de l’article 50. Les obligations des systèmes à haut risque de l’annexe III, prévues à l’origine pour cette date, ont été repoussées au 2 décembre 2027 par le règlement (UE) 2026/1744.

Qu’est-ce que l’omnibus numérique sur l’IA ?

C’est le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, d’après EUR-Lex consulté en octobre 2026. Il reporte les obligations des systèmes à haut risque, assouplit l’article 4 sur la maîtrise de l’IA et ajoute des mesures pour les PME et les petites entreprises à moyenne capitalisation.

Le tri de CV par l’IA est-il interdit ?

Non, il n’est pas interdit, mais il est classé à haut risque par l’annexe III, point 4, du règlement. À partir du 2 décembre 2027, selon l’article 113 consulté sur EUR-Lex en octobre 2026, l’entreprise qui l’utilise devra notamment assurer un contrôle humain, conserver les journaux au moins six mois et informer les candidats (article 26). Le RGPD encadre déjà ce traitement aujourd’hui.

Faut-il signaler qu’un chatbot est une IA ?

Oui. L’article 50, paragraphe 1, impose que les personnes sachent qu’elles interagissent avec une IA, sauf si c’est évident. L’obligation de conception pèse sur l’éditeur, mais c’est votre site : vérifiez que la mention apparaît dès le premier message. L’information doit être donnée au plus tard à la première interaction (paragraphe 5).

Dois-je indiquer qu’une image de mes réseaux sociaux est générée par IA ?

Oui si l’image est réaliste et peut passer pour authentique : c’est un « hypertrucage » au sens de l’article 3, point 60, et l’article 50, paragraphe 4, impose de le signaler. Une illustration manifestement artistique ou fictive demande seulement une mention discrète. Ces règles s’appliquent depuis le 2 août 2026 selon l’article 113, consulté sur EUR-Lex en octobre 2026.

Quelles sanctions risque une PME avec l’AI Act ?

L’article 99 prévoit jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires pour les pratiques interdites, et jusqu’à 15 millions ou 3 % pour les autres manquements, dont la transparence. Pour une PME, le paragraphe 6 retient le chiffre le plus faible des deux. Depuis l’omnibus, les États doivent aussi tenir compte de la viabilité économique des PME (paragraphe 1, version consultée sur EUR-Lex en octobre 2026).

La formation des salariés à l’IA est-elle obligatoire ?

L’article 4, dans sa version modifiée par le règlement (UE) 2026/1744, demande aux déployeurs de prendre des mesures pour « favoriser » la maîtrise de l’IA de leur personnel. Il précise qu’ils ne sont pas tenus de garantir un niveau précis de maîtrise par une personne. C’est une obligation de moyens : former, sensibiliser et garder une trace de ce qui a été fait.

Qui contrôle l’application de l’AI Act en France ?

Chaque État désigne ses autorités de surveillance du marché. En France, le projet de loi d’adaptation au droit de l’Union, discuté au Sénat en février 2026, donne un rôle central à la CNIL, avec l’Arcom et la DGCCRF. La CNIL reste en tout cas compétente pour le RGPD, qui continue de s’appliquer aux systèmes d’IA selon sa page mise à jour le 17 août 2026.

Où une TPE peut-elle poser ses questions sur l’AI Act ?

La Commission européenne tient un service d’assistance sur l’AI Act, avec un vérificateur de conformité, une FAQ et un formulaire de questions. L’article 62 du règlement demande aussi aux États membres d’organiser des actions de sensibilisation et de formation adaptées aux PME et aux déployeurs. La CNIL publie des questions-réponses mises à jour après l’omnibus.