IA Act et PME : ce qui s'applique vraiment depuis le 2 août 2026 (et ce qui est reporté à 2027)

Vous rédigez vos devis avec ChatGPT, votre équipe utilise Copilot, et peut-être qu'un chatbot répond aux visiteurs de votre site. Depuis quelques semaines, les titres se contredisent : « l'IA Act entre en application le 2 août 2026 », « l'IA Act est reporté »... Si vous dirigez une entreprise en Normandie, dans la Manche, le Calvados ou l'Orne, difficile d'y voir clair sur le sujet IA Act et PME. Une précision d'emblée : au fil de vos lectures, vous croiserez les deux appellations, IA Act et AI Act, pour désigner ce règlement. Et ce texte change moins de choses pour votre entreprise que ce que les titres alarmistes laissent croire, mais pas rien non plus.

Cet article fait le tri en trois piles : ce qui s'applique déjà, ce qui vient d'entrer en vigueur le 2 août 2026, et ce qui a été reporté à 2027 et 2028. Le tout du strict point de vue d'une entreprise qui utilise l'IA sans en développer, avec une checklist d'une heure pour démarrer. Un point important avant de commencer : le calendrier du règlement a été modifié en juillet 2026, et beaucoup d'articles publiés avant l'été sont donc partiellement périmés.

L'IA Act est-il reporté ? Ce que le Digital Omnibus a vraiment changé

Réponse courte : non, l'IA Act n'est ni annulé ni reporté en bloc. Le règlement européen sur l'intelligence artificielle est en vigueur depuis août 2024 et s'applique par étapes successives. Ce qui a changé, c'est un texte correctif : le règlement dit Digital Omnibus IA (règlement UE 2026/1744), adopté par le Parlement européen le 16 juin 2026 et entré en vigueur le 27 juillet 2026. Sa mesure centrale ne touche qu'une seule famille d'obligations : celles des systèmes d'IA à « haut risque » (le reste du texte se limite à des clarifications de périmètre et à des allègements ciblés).

• Reporté : les obligations des systèmes à haut risque listés à l'annexe III (recrutement, évaluation des salariés, crédit, éducation...) passent du 2 août 2026 au 2 décembre 2027.
• Reporté : celles de l'annexe I (IA intégrée à des produits déjà réglementés, comme les dispositifs médicaux ou les machines) passent au 2 août 2028.
• Pas reporté : les pratiques interdites et l'obligation de littératie IA (applicables depuis février 2025), les règles sur les grands modèles type ChatGPT (août 2025), et tout le palier du 2 août 2026 : transparence, sanctions, gouvernance nationale, bacs à sable réglementaires.

Côté petites structures, l'IA Act prévoyait déjà deux allègements pour les PME : une documentation technique simplifiée, et des amendes plafonnées au montant le plus bas quand le règlement prévoit une alternative entre un forfait et un pourcentage du chiffre d'affaires. Le Digital Omnibus les étend aux petites entreprises de taille intermédiaire (moins de 750 salariés). Attention donc quand vous vous documentez : tout article écrit avant le vote du 16 juin 2026 présente un calendrier partiellement faux, et les premiers résultats de recherche en sont encore pleins.

IA Act et PME : le calendrier trié, palier par palier

Voici le calendrier complet, remis dans l'ordre et traduit en langage courant. Pour une PME qui se contente d'utiliser l'IA, seuls le premier et le troisième palier concernent directement le quotidien ; le quatrième est à anticiper si vous touchez aux outils RH.

1. 2 février 2025 : interdictions et littératie IA

   Les pratiques interdites (manipulation, notation sociale des personnes, reconnaissance des émotions au travail) sont bannies, et l'article 4 impose à toute entreprise qui utilise l'IA de s'assurer que ses équipes savent s'en servir correctement.

2. 2 août 2025 : grands modèles d'IA (GPAI)

   Les obligations des fournisseurs de modèles généralistes, ceux qui font tourner ChatGPT, Gemini ou Copilot, entrent en application. Elles pèsent sur les éditeurs, pas sur votre PME.

3. 2 août 2026 : transparence, sanctions, gouvernance

   L'article 50 s'applique : signaler qu'on parle à une IA, marquer certains contenus générés. Le régime de sanctions devient pleinement applicable, les autorités nationales de surveillance et les bacs à sable réglementaires se mettent en place.

4. 2 décembre 2027 : haut risque de l'annexe III

   Tri de candidatures, évaluation des salariés, scoring de crédit... Ces obligations, initialement prévues pour août 2026, ont été reportées par le Digital Omnibus.

5. 2 août 2028 : haut risque de l'annexe I

   L'IA embarquée dans des produits soumis à une réglementation sectorielle (dispositifs médicaux, machines, jouets) ferme la marche du calendrier.

Votre PME n'utilise que ChatGPT ou Copilot : êtes-vous concernée ?

Le règlement distingue deux rôles : le fournisseur, qui développe et commercialise un système d'IA, et le déployeur, qui l'utilise dans un cadre professionnel. Une PME qui se sert de ChatGPT, de Copilot ou d'un chatbot est déployeuse : la grande majorité des obligations lourdes ne la concerne pas. Il en reste trois, réelles mais gérables.

• La littératie IA : les personnes qui utilisent l'IA dans votre entreprise doivent être sensibilisées à ses limites (erreurs possibles, confidentialité des données saisies), de façon proportionnée à l'usage.
• La transparence : quand une IA interagit directement avec vos clients, par exemple un chatbot, ils doivent pouvoir le savoir ; certains contenus générés doivent être signalés.
• La vigilance sur les usages sensibles : les ressources humaines surtout, où certaines pratiques sont interdites dès aujourd'hui et d'autres classées à haut risque pour fin 2027.

Trois situations normandes, à trois échelles différentes, pour rendre cela concret :

• Un artisan de Coutances qui rédige ses devis et ses e-mails avec ChatGPT : quasiment rien à faire au-delà d'une sensibilisation de base, ne pas y coller de données clients sensibles et relire avant d'envoyer.
• Une PME industrielle de Cherbourg-en-Cotentin qui teste un chatbot SAV sur son site : concernée par la transparence de l'article 50, le chatbot doit annoncer clairement qu'il est une IA.
• Un cabinet de Saint-Lô ou de Caen qui utilise un outil d'IA pour trier des candidatures : zone sensible, à la frontière entre pratiques interdites et haut risque reporté à décembre 2027 (on y consacre une section plus bas).

Et si vous envisagez d'aller plus loin qu'un usage bureautique, par exemple déployer un agent IA ou un assistant interne dans votre TPE ou PME, ces trois obligations ne sont pas un frein : elles forment simplement un cahier des charges à intégrer dès la conception du projet. Pour le chiffrer sans mauvaise surprise, nous avons détaillé le budget d'un agent IA pour une PME, coûts récurrents compris.

Chatbot, textes et images générés par IA : les règles de transparence sur votre site

C'est l'obligation la plus visible pour un site vitrine ou une boutique en ligne, et pourtant presque personne ne la traduit concrètement. L'article 50, applicable depuis le 2 août 2026, repose sur une idée simple : personne ne doit être trompé sur le fait qu'il a affaire à une machine ou à un contenu fabriqué. Voici ce qui doit être signalé.

• Un chatbot ou assistant conversationnel : l'utilisateur doit comprendre qu'il échange avec une IA, sauf si c'est évident au vu du contexte. Dans le doute, affichez-le.
• Les contenus type deepfake : toute image, voix ou vidéo générée ou manipulée qui pourrait passer pour authentique doit être signalée comme artificielle.
• Les textes générés par IA publiés pour informer le public sur des sujets d'intérêt général, sauf s'ils ont fait l'objet d'une relecture et d'une validation humaine avec une vraie responsabilité éditoriale.

Ce que cela veut dire honnêtement pour vos contenus marketing : une fiche produit ou une page rédigée avec l'aide de ChatGPT, puis relue, corrigée et assumée par un humain, n'a pas à porter d'étiquette « généré par IA ». Le texte ne l'exige pas, et il serait exagéré de vous dire le contraire. La ligne rouge, c'est le contenu publié tel quel sans contrôle humain, et le contenu qui fait croire à une réalité qui n'existe pas.

Côté mise en œuvre, l'affichage propre de cette mention (visible dès l'ouverture de la fenêtre, lisible sur mobile, sans casser le design) relève du b.a.-ba d'un développement web sur-mesure. Si votre outil de chatbot actuel ne permet pas de l'ajouter simplement, c'est d'ailleurs un signal sur sa qualité générale.

Trier des CV ou évaluer des salariés avec l'IA : interdit, haut risque ou autorisé ?

Le cas RH est celui qui concentre les vrais risques juridiques en PME, et c'est aussi celui où la confusion est la plus fréquente. Le règlement distingue trois niveaux, qu'il faut garder en tête avant d'adopter le moindre outil.

• Interdit depuis février 2025 : la reconnaissance des émotions sur le lieu de travail, la notation sociale des personnes, les systèmes qui manipulent ou exploitent des vulnérabilités. Aucun report ne s'applique à ces pratiques.
• Haut risque, reporté au 2 décembre 2027 : les outils qui trient des candidatures, évaluent des salariés ou pèsent sur les promotions. Ils seront soumis à des exigences lourdes : surveillance humaine, documentation, information des personnes concernées.
• Autorisé sans régime particulier : la grande majorité des usages bureautiques, comme rédiger une offre d'emploi, préparer une trame d'entretien ou résumer des notes.

Attention : « reporté » ne veut pas dire « open bar » jusqu'en 2027. Le RGPD et le droit du travail s'appliquent déjà, aujourd'hui, à tout traitement de données de candidats ou de salariés. Et un outil de tri de CV choisi en 2026 devra être conforme fin 2027 : la capacité de l'éditeur à s'y préparer est donc un critère de choix immédiat, pas une question pour plus tard.

Sanctions : ce que risque réellement une PME

Le régime de sanctions est applicable depuis le 2 août 2026. Les plafonds du règlement impressionnent : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour les autres manquements. Mais ces montants sont calibrés pour les grands acteurs et les violations graves, pas pour l'artisan qui utilise ChatGPT.

• Régime allégé : les amendes des PME sont plafonnées au montant le plus bas entre le forfait et le pourcentage, une règle prévue dès l'IA Act ; le Digital Omnibus étend cet allègement, avec la documentation simplifiée, aux petites entreprises de taille intermédiaire.
• Gouvernance en rodage : en France, la montée en charge des autorités de contrôle est progressive et la doctrine répressive n'est pas encore stabilisée. Rien n'indique une vague de sanctions visant les petites entreprises utilisatrices.
• Le vrai risque à court terme n'est pas l'amende : c'est l'usage non maîtrisé. Des données clients collées dans un outil grand public, un contenu faux publié sous votre marque, une décision RH indéfendable font plus de dégâts qu'un contrôle.

Par où commencer cette semaine : la checklist d'une heure

Pas besoin de juriste ni de consultant pour faire l'essentiel. Voici cinq étapes réalisables par un dirigeant non technique, en une heure environ au total.

1. Inventoriez vos usages IA (20 minutes)

   Listez qui utilise quoi : ChatGPT, Copilot, mais aussi l'IA cachée dans vos outils existants (CRM, suite bureautique, logiciel de recrutement). Un tableau à trois colonnes suffit : outil, usage, données saisies.

2. Vérifiez les zones sensibles (10 minutes)

   Passez la liste au crible : aucun usage ne doit toucher une pratique interdite, ni concerner le tri de candidatures ou l'évaluation de salariés sans précaution. En cas de doute, suspendez l'usage le temps de vous renseigner.

3. Posez la mention IA sur votre chatbot (10 minutes)

   Si votre site a un assistant conversationnel, ajoutez la phrase type dès l'ouverture de la fenêtre. C'est l'obligation la plus visible du palier du 2 août 2026.

4. Planifiez une sensibilisation interne (15 minutes)

   Une session d'une heure sur les bons réflexes (confidentialité, relecture systématique, limites de l'outil) couvre l'essentiel de la littératie IA pour un usage bureautique. Gardez une trace simple : le support et une feuille de présence.

5. Interrogez vos prestataires (5 minutes par e-mail)

   Demandez à chaque éditeur d'outil IA et à votre agence web quel modèle est utilisé, ce que deviennent vos données, et comment la conformité de décembre 2027 est anticipée.

Ces questions ne sont pas un piège : un professionnel sérieux y répond en quelques lignes. C'est notre conviction en matière d'intégration IA : un projet bien conçu embarque la transparence, la maîtrise des données et l'anticipation réglementaire dès le départ, pas en rustine après coup.

Se faire accompagner en Normandie

Vous n'êtes pas seul face au sujet, et les relais existent près de chez vous, que vous soyez dans la Manche, le Calvados ou l'Orne. Ils ont l'avantage d'être neutres : personne n'y a d'outil à vous vendre.

• La CCI Normandie et les antennes territoriales (Caen, Cherbourg-en-Cotentin, Saint-Lô, Alençon...) proposent régulièrement des ateliers et des permanences sur le numérique et l'IA : renseignez-vous auprès de votre antenne sur les sessions du moment.
• France Num, le dispositif public d'accompagnement à la transformation numérique des TPE et PME, publie des guides pratiques et référence des activateurs, y compris en Normandie.
• Les réseaux d'entreprises locaux (clubs d'entreprises, associations de zones d'activité) restent le meilleur endroit pour échanger des retours d'expérience concrets entre dirigeants.

Les dispositifs et le calendrier des ateliers évoluent vite : nous préférons vous renvoyer vers ces interlocuteurs plutôt que de citer un programme qui aura changé dans six mois. Pour le volet technique (un chatbot conforme, une IA intégrée proprement à vos outils), une agence peut prendre le relais ; mais soyons clairs, l'essentiel de la checklist ci-dessus ne demande aucun prestataire.

Questions fréquentes sur l'IA Act en PME

L'AI Act est-il reporté ou annulé ?

Non. Seules les obligations « haut risque » ont été reportées par le règlement Digital Omnibus de juillet 2026 : au 2 décembre 2027 pour l'annexe III (RH, crédit, éducation...) et au 2 août 2028 pour l'annexe I (produits réglementés). Les pratiques interdites, la littératie IA, la transparence et les sanctions s'appliquent selon le calendrier initial.

Un agent IA pour TPE ou PME (chatbot, assistant interne) est-il concerné par l'IA Act ?

Oui, comme tout système d'IA utilisé en entreprise : transparence si l'agent parle à vos clients, littératie pour l'équipe qui le pilote, vigilance renforcée si le cas d'usage touche aux ressources humaines. Pour la plupart des agents (SAV, qualification de demandes, tâches internes), la mise en conformité tient dans la checklist de cet article : c'est un cahier des charges, pas un obstacle.

Mes automatisations n8n ou Make qui appellent de l'IA sont-elles concernées ?

Le scénario d'automatisation en lui-même n'est pas visé par le règlement, mais dès qu'une étape appelle un modèle d'IA (génération de texte, analyse de documents), les mêmes règles s'appliquent : littératie de la personne qui conçoit le scénario et vigilance sur les données qui y transitent. C'est typiquement le genre de point que nous cadrons dans nos solutions techniques sur-mesure, avant d'écrire la moindre automatisation.

Dois-je former mes salariés à l'IA, et comment prouver la littératie IA de l'article 4 ?

L'article 4 demande un niveau de maîtrise « suffisant », proportionné à l'usage et au profil des équipes. Pour un usage bureautique, une sensibilisation interne d'une heure, avec un support conservé et une feuille de présence, constitue déjà un début de preuve raisonnable. Le texte n'exige ni certification ni formation longue : ne laissez personne vous vendre l'inverse.

Quelles dates retenir ? Le calendrier de l'AI Act en cinq lignes

2 février 2025 : pratiques interdites et littératie IA. 2 août 2025 : obligations des grands modèles (côté éditeurs). 2 août 2026 : transparence, sanctions, gouvernance nationale. 2 décembre 2027 : haut risque de l'annexe III. 2 août 2028 : haut risque de l'annexe I.

Qui contrôle l'application en France, et quelles sanctions pour une PME ?

La gouvernance nationale se met en place depuis le 2 août 2026, avec plusieurs autorités mobilisées selon les domaines ; la CNIL reste incontournable dès que des données personnelles sont en jeu. La doctrine de contrôle est encore jeune, et les PME bénéficient d'un régime de sanctions allégé (amendes plafonnées au montant le plus bas). La meilleure protection reste de documenter simplement vos usages.

Y a-t-il d'autres obligations numériques à anticiper pour ma PME en 2026 ?

Oui, et la plus pressante n'est pas l'IA : la réception de factures électroniques devient obligatoire pour toutes les entreprises assujetties à la TVA dès le 1er septembre 2026. Deux échéances différentes, mais une même méthode : inventorier ses outils, prioriser, s'y mettre tôt plutôt que dans l'urgence.

Conclusion : trois choses à retenir (et à vérifier avant fin 2027)

• Rien de paniquant pour une PME utilisatrice : trois obligations réelles (littératie des équipes, transparence quand l'IA parle à vos clients, vigilance sur les usages RH), toutes gérables sans juriste.
• Le haut risque est reporté au 2 décembre 2027 : ce n'est pas une raison d'attendre, c'est un critère à intégrer dès maintenant dans le choix de vos outils, en particulier côté recrutement et évaluation.
• Commencez par l'inventaire d'une heure : savoir qui utilise quoi, avec quelles données, c'est 80 % du chemin vers la conformité, et 100 % du chemin vers un usage maîtrisé.

Un doute sur la conformité de votre chatbot, un projet d'IA à cadrer proprement avant de signer avec un éditeur ? Parlons-en : le devis est gratuit, détaillé et envoyé sous 24 heures. Et si ce point réglementaire vous a semblé digeste, c'est exactement le but : vous permettre de décider en connaissance de cause, sans jargon ni survente.