AI Act et entreprise : les obligations réelles d'une TPE/PME en 2026
Par Fabien ARELPublié le 25 août 2026 • Mis à jour le 25 août 2026
Depuis le 2 août 2026, le règlement européen sur l'intelligence artificielle est entré dans sa phase sanctionnable, et une bonne partie du contenu français disponible sur le sujet raconte encore un calendrier qui n'existe plus. Le résultat est prévisible : des dirigeants de TPE persuadés d'avoir une échéance immédiate sur le tri de CV, et d'autres convaincus que tout a été repoussé, donc qu'ils peuvent ne rien faire. Les deux se trompent. Cet article établit l'état du droit vérifié au 25 août 2026, sépare ligne par ligne ce qui est applicable de ce qui est reporté, et donne le chemin opérationnel pour une entreprise de 3 à 50 salariés qui utilise déjà ChatGPT sans l'avoir jamais formalisé.
Formateur certifié Qualiopi spécialisé en intelligence artificielle pour les TPE et PME. J'anime en Gironde et en Nouvelle-Aquitaine des sessions de sensibilisation aux risques, à la confidentialité des données et aux usages métier de l'IA, dans un format compatible avec l'obligation de maîtrise de l'IA du règlement européen.
En bref : Le règlement (UE) 2024/1689 dit AI Act concerne toute entreprise qui met un outil d'IA entre les mains de ses salariés, sans seuil d'effectif. Au 25 août 2026, deux obligations s'appliquent réellement à une TPE/PME généraliste : la maîtrise de l'IA par le personnel (article 4, applicable depuis le 2 février 2025) et la transparence envers les personnes concernées (article 50, applicable depuis le 2 août 2026). Le régime de sanctions national est en place depuis le 2 août 2026. En revanche, le règlement Digital Omnibus entré en vigueur le 27 juillet 2026 a reporté les obligations des systèmes à haut risque de l'annexe III, dont le tri de CV, au 2 décembre 2027, et l'IA embarquée dans les produits régulés de l'annexe I au 2 août 2028. Pour une entreprise de 3 à 50 salariés, le chemin tient en cinq étapes : recenser les usages, classer le risque, former les équipes, écrire la charte, tracer la preuve.
Deux dirigeants girondins nous ont appelés la même semaine d'août 2026. Le premier voulait savoir en urgence comment mettre son logiciel de tri de candidatures en conformité avant une échéance qu'il croyait imminente. Le second venait de lire que l'AI Act avait été repoussé et voulait confirmation qu'il pouvait classer le dossier jusqu'en 2027. Les deux avaient tort, et pour la même raison : le calendrier européen a bougé le 27 juillet 2026, et les contenus qu'ils avaient lus dataient d'avant. Cet article remet les dates à leur place et donne le chemin concret pour une TPE ou une PME de Nouvelle-Aquitaine.
Cet article présente l'état du droit vérifié le 25 août 2026, à partir du texte du règlement (UE) 2024/1689 et du règlement Digital Omnibus. FJ Digital est un organisme de formation certifié Qualiopi, pas un cabinet juridique. Nous formons vos équipes à un usage maîtrisé de l'IA, nous ne certifions pas la conformité de votre entreprise. Pour une analyse de votre situation particulière, consultez un avocat spécialisé.
Qu'est-ce que l'AI Act et qui est concerné dans une TPE/PME ?
En bref : L'AI Act, règlement (UE) 2024/1689, encadre la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle dans l'Union européenne. Toute entreprise qui met un outil d'IA entre les mains de ses salariés en est un déployeur, sans seuil d'effectif ni exemption pour les petites structures : une TPE de cinq personnes utilisant la version gratuite de ChatGPT est concernée au même titre qu'un groupe de mille salariés. Le texte distingue le fournisseur, qui développe ou met un système sur le marché, du déployeur, qui l'utilise sous sa propre autorité. Il classe ensuite les usages en quatre niveaux de risque : pratiques interdites, haut risque, risque limité soumis à transparence, risque minimal. Pour la majorité des TPE et PME généralistes de Nouvelle-Aquitaine, les usages bureautiques courants relèvent du risque limité. Deux obligations dominent alors : la maîtrise de l'IA par le personnel et la transparence envers les personnes concernées.
L'AI Act, ou règlement (UE) 2024/1689, encadre la mise sur le marché et l'utilisation des systèmes d'intelligence artificielle dans l'Union européenne. Toute entreprise qui met un outil d'IA entre les mains de ses salariés en est un déployeur, sans seuil d'effectif. Ses obligations principales sont la maîtrise de l'IA par le personnel et la transparence envers les personnes concernées.
La distinction structurante du texte oppose le fournisseur, qui développe ou met sur le marché un système d'IA, et le déployeur, qui l'utilise sous sa propre autorité dans un cadre professionnel. Une PME bordelaise qui ouvre un abonnement ChatGPT pour son équipe commerciale n'est pas fournisseur, elle est déployeur. Cette qualification suffit à déclencher des obligations propres, et elle ne se négocie pas : le règlement ne prévoit ni plancher d'effectif, ni exemption pour les très petites entreprises.
Le second axe de lecture est le niveau de risque. Le texte distingue quatre catégories : les pratiques interdites, les systèmes à haut risque, les systèmes à risque limité soumis à transparence, et le risque minimal. Pour l'immense majorité des TPE et PME généralistes, les usages bureautiques courants relèvent du risque limité, ce qui allège considérablement la charge par rapport aux idées reçues.
Un point souvent manqué : un modèle généraliste comme ChatGPT, Copilot ou Gemini bascule dans le régime haut risque en fonction de l'usage qu'on en fait. Trier des candidatures avec ChatGPT, ce n'est pas un usage bureautique, c'est un usage annexe III. Le régime suit la finalité, pas l'outil.
Le calendrier réel au 25 août 2026 : ce qui s'applique, ce qui est reporté
En bref : Le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026, a reporté les obligations des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles de l'annexe I du 2 août 2027 au 2 août 2028. Tout le reste tient le calendrier initial. L'article 4 sur la maîtrise de l'IA est applicable depuis le 2 février 2025, en même temps que les pratiques interdites de l'article 5. Les règles sur les modèles à usage général s'appliquent depuis le 2 août 2025. L'article 50 sur la transparence et le régime de sanctions national sont applicables depuis le 2 août 2026, date d'entrée en application générale du règlement. Conclusion pratique pour un dirigeant de TPE : le report de juillet 2026 ne concerne que le haut risque, et il ne dispense d'aucune des obligations déjà en vigueur.
C'est ici que se joue l'essentiel, parce que c'est ici que le marché du contenu français se trompe. Le règlement Digital Omnibus, entré en vigueur le 27 juillet 2026, a bien reporté quelque chose, mais pas ce que beaucoup de pages laissent entendre. Il a déplacé les obligations des systèmes à haut risque, et uniquement celles-là. L'application générale du règlement, elle, est restée fixée au 2 août 2026. Autrement dit, un dirigeant qui conclut de ce report qu'il n'a rien à faire avant décembre 2027 se trompe de plus d'un an sur ses vraies échéances.
Calendrier AI Act vérifié au 25 août 2026
1
2 février 2025 : maîtrise de l'IA (article 4)
Applicable
Obligation de garantir un niveau suffisant de maîtrise de l'IA chez le personnel et chez toute personne utilisant les systèmes pour le compte de l'entreprise. Applicable depuis plus de dix-huit mois, non touchée par le Digital Omnibus. Les pratiques interdites de l'article 5 sont entrées en application à la même date.
2
2 août 2025 : gouvernance et modèles à usage général
Applicable
Entrée en application des règles relatives aux modèles d'IA à usage général et mise en place de la structure de gouvernance européenne. Étape peu visible pour une TPE, qui concerne d'abord les éditeurs de modèles.
3
27 juillet 2026 : entrée en vigueur du Digital Omnibus
Bascule
Ce règlement modifie le calendrier de l'AI Act. C'est cette date qui rend factuellement fausses la plupart des pages françaises publiées entre janvier et juillet 2026.
4
2 août 2026 : transparence et sanctions
Applicable
Application générale du règlement. L'article 50 impose d'informer les personnes lorsqu'elles interagissent avec une IA ou lorsqu'un contenu a été généré artificiellement. Le régime de sanctions national devient applicable, ce qui rend l'article 4 contrôlable en pratique.
5
2 décembre 2027 : haut risque, annexe III
Reporté
Recrutement, éducation, accès au crédit, tarification d'assurance, services essentiels. Report depuis le 2 août 2026. Attention : le RGPD, l'information des candidats et l'interdiction de discrimination continuent de s'appliquer dès aujourd'hui sur ces usages.
6
2 août 2028 : haut risque, annexe I
Reporté
IA embarquée dans des produits déjà régulés par une législation d'harmonisation de l'Union : dispositifs médicaux, machines industrielles, jouets. Report depuis le 2 août 2027.
Deux confusions circulent et méritent d'être nommées. La première consiste à croire que l'article 4 date du 2 août 2026 : il est en réalité applicable depuis le 2 février 2025, c'est seulement le régime de sanctions qui a pris effet en août 2026. La seconde consiste à annoncer une échéance haut risque au 2 août 2026 : cette date a été déplacée au 2 décembre 2027. Les pages qui l'affichent encore ont été écrites avant le 27 juillet 2026 et n'ont pas été mises à jour.
Les obligations qui s'appliquent réellement à une TPE/PME aujourd'hui
En bref : Pour une entreprise généraliste aux usages bureautiques, quatre chantiers concentrent l'essentiel des obligations AI Act applicables en 2026. Former les équipes au titre de l'article 4, applicable depuis le 2 février 2025, sans format ni durée imposés mais avec une charge de la preuve qui pèse sur l'entreprise. Informer les personnes au titre de l'article 50, applicable depuis le 2 août 2026 : un agent conversationnel doit signaler qu'il n'est pas humain, un contenu généré destiné au public doit être identifiable. Tenir un registre des usages, qui n'est pas imposé nommément hors haut risque mais rend tout le reste démontrable : outil, utilisateur, tâche, données traitées, date de formation. Vérifier enfin qu'aucun usage ne bascule en annexe III sans décision explicite, typiquement dans le recrutement. Les trois premiers chantiers se traitent en interne, le quatrième demande souvent un regard extérieur.
Une fois le bruit du calendrier écarté, la liste des choses à faire est courte. Sur les diagnostics que nous avons menés en Gironde entre février et août 2026, le même scénario revient presque à chaque fois : les équipes utilisent déjà l'IA quotidiennement, souvent depuis plus d'un an, et le dirigeant découvre l'ampleur réelle des usages au moment du recensement. Le sujet n'est donc jamais de lancer l'IA dans l'entreprise, il est de reprendre la main sur une pratique déjà installée.
Les quatre chantiers d'une TPE/PME face à l'AI Act, du plus immédiat au plus structurant
Former les équipes (article 4). C'est l'obligation la plus large, celle qui touche toutes les entreprises sans exception. Le texte exige un niveau suffisant de maîtrise de l'IA, apprécié au regard des connaissances techniques, de l'expérience et du contexte d'usage. Aucun format n'est imposé, mais la charge de la preuve pèse sur l'entreprise.
Informer les personnes (article 50). Applicable depuis le 2 août 2026. Concrètement, un agent conversationnel sur votre site doit indiquer qu'il n'est pas humain, et un contenu généré artificiellement destiné à informer le public doit être identifiable comme tel. Pour une TPE, cela se règle en une demi-journée de vérification sur les points de contact client.
Tenir un registre des usages. Aucun article ne l'impose nommément à un déployeur hors haut risque, et c'est pourtant la pièce qui rend tout le reste démontrable. Un tableur avec cinq colonnes suffit : outil, utilisateur, tâche, type de données traitées, date de la dernière formation.
Vérifier les bascules haut risque. C'est le point aveugle. Un usage anodin peut relever de l'annexe III sans que personne ne l'ait décidé, typiquement quand l'IA entre dans le processus de recrutement ou dans une décision affectant directement un client.
Que risque concrètement une TPE qui ne fait rien ?
En bref : Aucune amende n'est attachée en propre à l'article 4 dans l'article 99 du règlement : le manquement à l'obligation de formation ne déclenche pas, à lui seul, une sanction dédiée. Le risque pour une TPE est donc indirect, et il se matérialise de trois façons. Le régime de sanctions national est applicable depuis le 2 août 2026, ce qui rend l'absence de mesure de formation opposable dès qu'un autre manquement est constaté, typiquement sur la transparence de l'article 50 ou sur le RGPD. Le plafond général applicable aux manquements des déployeurs atteint 15 millions d'euros ou 3 pour cent du chiffre d'affaires mondial. Pour les PME et les start-up, l'article 99 paragraphe 6 retient le plus bas des deux montants, et non le plus élevé. Le coût réel se joue toutefois ailleurs : sur l'incident de données et sur la charge de la preuve.
Beaucoup de contenus français agitent des montants sans dire à quoi ils se rattachent, ce qui produit l'effet inverse de celui recherché : un dirigeant de TPE qui lit quinze millions d'euros classe l'information dans la catégorie des menaces invraisemblables et passe à autre chose. Le raisonnement utile est plus terre à terre.
Ce qui pèse vraiment lors d'un contrôle : le dossier de preuve, pas la déclaration d'intention
Dans une entreprise de moins de cinquante salariés, le scénario réaliste ne commence presque jamais par un contrôle AI Act. Il commence par un incident : une donnée client retrouvée dans un outil grand public, un contenu généré publié avec une erreur factuelle, un candidat qui conteste un refus. À ce moment-là, la question posée à l'entreprise n'est pas théorique : qu'aviez-vous mis en place pour éviter cela ? Une entreprise qui peut produire un registre des usages, un programme de formation et une charte signée répond en trois minutes. Une entreprise qui n'a rien répond par une déclaration d'intention.
C'est aussi pour cela que traiter la conformité IA et la conformité RGPD séparément est une erreur de méthode. Les deux régimes se recouvrent largement sur les usages d'une TPE, et l'interlocuteur le plus probable en cas de difficulté, la CNIL, les regarde ensemble. Notre article sur ce qu'un salarié ne doit jamais coller dans ChatGPT détaille cette zone de recouvrement côté données.
Combien de formation faut-il vraiment ? La grille de proportionnalité
En bref : Le règlement ne fixe aucun volume horaire de formation et ne prescrit ni certification ni organisme : il raisonne en proportionnalité au regard de la nature du système, du profil des personnes et du contexte d'usage. À partir des sessions menées en Gironde entre février et août 2026, quatre profils se dégagent, chacun associé à un volume défendable et à une trace documentaire attendue. Un usage occasionnel et bureautique se couvre par une demi-journée de sensibilisation documentée. Un usage régulier et quotidien demande d'ajouter une journée d'application métier. Un usage intégré à un processus client ou à un outil interne impose en plus la gouvernance des données et la traçabilité des décisions. Un usage relevant du haut risque sort de cette logique : c'est le régime complet de l'annexe III qui s'applique à partir du 2 décembre 2027. Ce qui compte devant un contrôle reste la preuve, pas le nombre d'heures.
C'est la première question posée en session, et c'est aussi celle à laquelle aucune source française ne répond, parce que le texte reste volontairement muet sur les volumes. L'absence de réponse officielle ne dispense pas de se donner un repère. La grille ci-dessous est celle que nous utilisons en diagnostic. Elle n'a aucune valeur réglementaire, elle traduit une lecture de proportionnalité et elle a le mérite de donner un point de départ défendable plutôt qu'une improvisation.
Grille de proportionnalité : volume de formation par profil d'usage
Critère
Usage occasionnel
Usage régulier
Usage intégré au process
Usage haut risque
Situation type
Rédaction ponctuelle de courriels ou de comptes-rendus
IA utilisée chaque jour par plusieurs fonctions
IA branchée sur un outil interne ou un parcours client
Recrutement, crédit, assurance, éducation
Volume défendable
Une demi-journée de sensibilisation
Une demi-journée plus une journée métier
Ajouter gouvernance des données et traçabilité
Le volume n'est plus le sujet, régime annexe III complet
Trace attendue
Feuille d'émargement et programme
Programme, émargement, supports remis
Registre des usages tenu et charte signée
Documentation technique et analyse d'impact
Échéance applicable
Article 4 depuis le 2 février 2025
Article 4 depuis le 2 février 2025
Articles 4 et 50
Annexe III au 2 décembre 2027
Format FJ Digital
Risques et opportunités, 3h30
Risques et opportunités plus usages métier
Parcours sur mesure intra-entreprise
Accompagnement conjoint avec un conseil juridique
Pour une TPE de Nouvelle-Aquitaine aux usages bureautiques, la demi-journée de sensibilisation documentée est le point d'entrée au meilleur rapport effort sur preuve produite.
Un point mérite d'être souligné, parce qu'il change la façon de choisir. Ce qui compte devant un contrôle n'est pas le nombre d'heures, c'est la capacité à montrer que la mesure a été prise, qu'elle était adaptée aux usages réels et qu'elle a laissé une trace. Une session de trois heures et demie tracée par un programme, une feuille d'émargement et un support remis pèse plus lourd qu'une journée entière de tutoriels visionnés en autonomie, qui ne produit aucune preuve opposable.
Le plan en 5 étapes pour se mettre en règle en six semaines
En bref : Cinq étapes suffisent à une entreprise de 3 à 50 salariés pour passer d'une situation informelle à une conformité AI Act démontrable, en environ six semaines. Recenser les usages réels sur trois à cinq jours, comptes personnels ouverts sans validation compris, car c'est là que se trouvent les surprises. Classer ensuite le niveau de risque de chaque usage en une journée : risque minimal, risque limité soumis à transparence, ou annexe III. Former les équipes concernées, étape la plus longue du fait du montage du dossier OPCO, soit trois à cinq semaines. Formaliser une charte d'usage courte en une journée, annexée au règlement intérieur et passée en CSE lorsqu'il existe. Archiver enfin la preuve en une demi-journée : registre, programme et émargement de formation, charte signée. L'essentiel du temps réel du dirigeant se concentre sur la première étape.
Ce plan est celui que nous déroulons en diagnostic. Il est conçu pour une entreprise qui part de zéro documentaire tout en ayant déjà des usages installés, ce qui est le cas de figure le plus fréquent. Le temps réel demandé au dirigeant est plus faible qu'il n'y paraît : l'essentiel de la charge se concentre sur le recensement, qui est aussi l'étape la plus révélatrice.
De l'usage informel à la conformité démontrable
0/5 étapes complétées
Checklist de conformité AI Act pour une TPE/PME
0/8 complétés
Pourquoi la formation est le maillon qui rend tout le reste applicable
En bref : Une charte que personne n'a lue ne protège de rien, et un registre que personne ne sait remplir cesse d'être tenu dès le premier trimestre chargé. C'est la limite du document acheté seul : il produit une pièce, pas une pratique. La formation est le seul chantier qui produit à la fois la conformité à l'article 4, applicable depuis le 2 février 2025, et la capacité des équipes à faire vivre les autres dispositifs dans la durée. C'est aussi le seul des cinq chantiers finançable par un OPCO, souvent à hauteur de la totalité du coût pédagogique pour une TPE de Nouvelle-Aquitaine, ce qui change l'équation économique. Le recensement, la charte et l'archivage restent à la charge de l'entreprise en temps interne. Autant faire porter le budget sur la brique qui peut l'être, et traiter le reste en interne.
Les cabinets d'avocats vendent le document, et ils le font bien. Le point que nous observons sur le terrain est ailleurs : le document seul ne tient pas. Une charte rédigée par un tiers, distribuée par courriel et jamais expliquée devient un objet mort au bout de trois semaines. Un registre des usages confié à quelqu'un qui n'a pas compris pourquoi il existe cesse d'être mis à jour au premier trimestre chargé. Ce qui fait tenir un dispositif, c'est que les personnes qui l'appliquent comprennent le risque qu'il couvre.
C'est aussi pour cela que l'article 4 est l'obligation la plus intelligemment écrite du règlement. En exigeant la compétence plutôt qu'un formalisme, il vise le seul levier qui produise un effet durable. Une équipe qui sait pourquoi une donnée client n'a rien à faire dans un outil grand public n'a pas besoin qu'on le lui rappelle par une note de service.
Notre formation IA en entreprise : risques, confidentialité et opportunités par métier dure 3h30 en intra, à Bordeaux ou dans vos locaux en Nouvelle-Aquitaine, pour dix participants maximum. Elle couvre les risques concrets, la confidentialité des données et les usages par métier, et elle produit la trace documentaire attendue au titre de l'article 4. Certifiée Qualiopi, elle est finançable par votre OPCO. Voir le programme et demander un devis
Un dernier argument, purement économique. La formation est le seul des cinq chantiers finançable par un OPCO, souvent à hauteur de la totalité du coût pédagogique pour une TPE. Le recensement, la charte et l'archivage restent à votre charge en temps interne. Autant faire porter le budget sur la brique qui peut l'être, et traiter le reste avec vos propres ressources. Les dirigeants que nous accompagnons à Bordeaux découvrent presque tous que le poste le plus visible de la conformité est aussi celui qui leur coûte le moins.
Ce qu'il faut retenir
L'AI Act ne demande pas à une TPE de Nouvelle-Aquitaine de devenir un service juridique. Il lui demande de savoir ce que ses équipes font avec l'IA, de s'assurer qu'elles savent ce qu'elles font, de le dire à ses clients quand une machine intervient, et de pouvoir le démontrer. Quatre exigences, dont trois se traitent en interne.
Le vrai risque, en août 2026, n'est pas la sanction immédiate. Il est de rester sur une information périmée : croire qu'une échéance haut risque tombe cette année, ou à l'inverse croire que le report de juillet dispense de tout. Le calendrier a bougé une fois, il peut bouger encore. Datez vos sources, vérifiez-les, et faites porter votre effort sur ce qui s'applique déjà depuis février 2025.
