AI Act : ce qui s'applique vraiment à votre PME le 2 août 2026 (et ce qui a été reporté à 2027)

Juillet 2026 | Par Franck Sauvage, Fondateur de L’Agence Sauvage, spécialiste déploiement systèmes IA pour PME françaises

Dans quelques jours, le 2 août 2026, une vague d’obligations de l’AI Act européen entre en application. Si vous avez lu la presse ces derniers mois, vous pensez sans doute que c’est la date où les systèmes d’IA à haut risque deviennent réglementés. C’est faux depuis le 27 juillet 2026.

Un règlement de dernière minute, le Digital Omnibus, a rebattu les cartes. Ce qui s’applique réellement le 2 août 2026, c’est la transparence : signaler vos chatbots, marquer vos contenus générés par IA, divulguer vos deepfakes. Des obligations concrètes qui touchent la quasi-totalité des PME, bien plus que les règles sur le haut risque.

Voici exactement ce qui change, ce qui a été reporté, ce que vous risquez, et la feuille de route pour vous mettre en conformité sans y passer vos vacances.

Que se passe-t-il exactement le 2 août 2026 pour votre PME ?

Le 2 août 2026, ce sont les obligations de transparence de l’article 50 du règlement (UE) 2024/1689 qui deviennent applicables, en même temps que le régime de sanctions et la gouvernance. Les obligations les plus lourdes, celles qui pèsent sur les systèmes d’IA à haut risque, ont été reportées quelques jours plus tôt par un règlement modificatif.

C’est le contresens le plus répandu du moment. La date du 2 août 2026 était initialement prévue pour l’entrée en application des règles sur le haut risque (recrutement, scoring de crédit, biométrie). Le Digital Omnibus les a décalées. Ce qui reste au 2 août, c’est un bloc plus discret mais qui concerne beaucoup plus de monde : la transparence.

Et ce monde, c’est le vôtre. Selon le Baromètre France Num 2025 publié par la Direction générale des Entreprises, 26 % des TPE et PME utilisent désormais l’IA, un taux qui a doublé en un an. Un chatbot de service client, un générateur de visuels, un assistant de rédaction : chacun de ces usages tombe sous le coup de l’article 50.

Le calendrier consolidé de l’AI Act, à jour après le Digital Omnibus :

Ce tableau est à jour au 28 juillet 2026. La plupart des contenus publiés avant cette date affichent encore le haut risque au 2 août 2026 : c’est devenu inexact.

Autrement dit : si votre PME n’exploite pas un système d’IA à haut risque (et la plupart n’en exploitent pas), votre vrai chantier du 2 août 2026 s’appelle transparence.

Transparence IA : les 4 obligations concrètes de l’article 50

L’article 50 de l’AI Act désigne l’ensemble des obligations qui imposent de rendre visible l’usage de l’IA : une personne doit savoir quand elle parle à une machine, et un contenu doit être identifiable comme généré par une IA. L’objectif est simple : lutter contre la tromperie et la désinformation.

Avant d’entrer dans le détail, une distinction structure tout le règlement. Le fournisseur est celui qui développe et met sur le marché un système d’IA. Le déployeur est celui qui l’utilise dans un cadre professionnel. Une PME qui intègre un chatbot acheté à un éditeur est un déployeur. Selon l’obligation, la responsabilité pèse sur l’un, sur l’autre, ou sur les deux.

Le test F-D-H : êtes-vous fournisseur, déployeur ou hors champ ?

Avant de vous demander quelles mentions ajouter, qualifiez votre situation. Répondez par oui ou non :

1. Revendez-vous un outil d’IA sous votre propre marque, ou y apposez-vous votre nom ? Si oui, vous êtes fournisseur au sens de l’article 25, et vous héritez des obligations complètes, même sans avoir écrit une ligne de code.
2. Exploitez-vous un chatbot, un assistant vocal ou un agent conversationnel en contact avec vos clients ?
3. Publiez-vous des images, vidéos ou voix générées par IA ?
4. Diffusez-vous des textes rédigés par IA pour informer le public ?

Si vous répondez oui à l’une des questions 2 à 4, vous êtes déployeur et l’article 50 s’applique à vous. Si vous n’utilisez l’IA qu’en interne, sans exposer de contenu ni d’interaction au public, vous êtes hors champ de la transparence (mais pas des autres obligations du règlement).

Le piège le plus fréquent est la question 1. Une agence web ou un intégrateur qui installe un chatbot chez un client sous sa propre marque bascule dans le statut de fournisseur, avec des obligations bien plus lourdes qu’un simple utilisateur. C’est un point de vigilance majeur pour les TPE du numérique.

Voici les quatre obligations de transparence, traduites en situations concrètes.

1. Les chatbots et assistants doivent se signaler. Tout système d’IA qui interagit directement avec une personne doit l’informer qu’elle s’adresse à une machine, dès le début de l’échange et de façon claire, sauf si c’est évident. Un chatbot de support sur votre site, un agent téléphonique qui prend vos réservations : la mention doit être explicite. L’obligation pèse d’abord sur le fournisseur, mais en pratique vous devez vérifier qu’elle est respectée sur vos canaux.

2. Les contenus générés par IA doivent être marqués. Les images, sons, vidéos et textes produits par une IA doivent porter un marquage lisible par machine (filigrane, métadonnées) permettant de les détecter comme synthétiques. Ce marquage technique incombe au fournisseur du système génératif : votre rôle de déployeur est de ne pas le retirer et de vous assurer qu’il reste actif. Une simple mention dans vos conditions générales ne suffit pas. Bonne nouvelle pour l’existant : pour les systèmes déjà sur le marché avant le 2 août 2026, cette obligation de marquage ne s’applique qu’à partir du 2 décembre 2026.

3. Les deepfakes doivent être divulgués. Un contenu qui ressemble à des personnes, lieux ou événements réels au point de passer pour authentique doit être signalé comme artificiel, de façon visible ou audible, dès la première exposition. Cette obligation pèse sur le déployeur, c’est-à-dire vous si vous diffusez ce contenu. Une exception existe pour les œuvres manifestement artistiques ou satiriques.

4. Le texte d’intérêt public doit être labellisé. Un texte généré par IA et publié pour informer le public sur des sujets d’intérêt général (santé, politique, sécurité, environnement) doit être signalé comme tel. L’exception est importante pour les PME : si le texte a fait l’objet d’une revue éditoriale humaine, avec une personne qui en assume la responsabilité, le label n’est pas requis.

À cela s’ajoute une obligation d’information pour les systèmes de reconnaissance des émotions et de catégorisation biométrique, plus rares dans les PME.

La matrice de transparence : qui fait quoi, et qui vous contrôle en France

Voici un point que presque aucun article ne précise, et qui change tout pour une PME française : ce n’est pas la CNIL qui contrôlera l’application de l’article 50. La France a choisi une gouvernance à plusieurs autorités. Selon la Direction générale des Entreprises, la CNIL est référente sur les pratiques interdites (article 5), mais la transparence relève de la DGCCRF et de l’Arcom.

Retenez ce principe : dès qu’un contenu ou une interaction peut faire croire à une intervention humaine, l’AI Act veut que le doute soit levé.

Le grand report : ce que le Digital Omnibus a changé (et pourquoi ne pas relâcher)

Le Digital Omnibus est le règlement (UE) 2026/1744, un texte de simplification adopté en urgence, entré en vigueur le 27 juillet 2026, qui reporte les obligations les plus lourdes de l’AI Act. Il a été publié au Journal officiel de l’Union européenne le 24 juillet, avec un délai d’entrée en vigueur accéléré à trois jours pour passer avant l’échéance du 2 août.

Ce qu’il décale :

• Les systèmes à haut risque de l’annexe III (recrutement, évaluation de crédit, biométrie, éducation, accès aux services essentiels) passent du 2 août 2026 au 2 décembre 2027.
• Les systèmes à haut risque de l’annexe I (IA intégrée à des produits déjà réglementés) sont repoussés à août 2028.

Ce qu’il modifie aussi, plus discrètement : l’article 4 sur la maîtrise de l’IA passe d’une obligation de résultat (« garantir un niveau suffisant ») à une obligation de moyens (« soutenir le développement des compétences »). Former vos équipes reste nécessaire et protecteur, mais l’exigence est désormais formulée en termes d’efforts engagés. Nous détaillons ce volet dans notre article dédié à la formation IA obligatoire et son financement. Le texte ajoute par ailleurs une nouvelle interdiction (article 5) visant les images intimes non consenties et les contenus pédocriminels, avec une période de transition jusqu’en décembre 2026.

Faut-il relâcher la pression pour autant ? Non, et pour trois raisons. D’abord, la transparence, elle, n’a pas bougé : elle s’applique bien le 2 août 2026. Ensuite, les pratiques interdites et les obligations sur les modèles à usage général sont déjà en vigueur depuis 2025. Enfin, si vous utilisez déjà l’IA pour trier des CV ou évaluer des dossiers, vous avez désormais un calendrier clair pour vous préparer sereinement à 2027, au lieu de subir l’échéance.

Ce qui est déjà obligatoire depuis 2025 (et que beaucoup ignorent)

Contrairement à une idée reçue, l’AI Act ne « commence » pas le 2 août 2026. Deux blocs d’obligations sont déjà applicables, et les ignorer expose une PME dès aujourd’hui.

Depuis le 2 février 2025, deux dispositions sont en vigueur :

• Les pratiques interdites (article 5). Certains usages de l’IA sont purement bannis : notation sociale, manipulation subliminale, exploitation des vulnérabilités, certaines formes de reconnaissance des émotions au travail. Une PME n’y est généralement pas exposée, mais un outil de surveillance des salariés mal choisi peut basculer dans cette catégorie.
• La maîtrise de l’IA (article 4). Vous devez soutenir la montée en compétence de vos équipes qui utilisent l’IA. C’est la porte d’entrée la plus concrète de l’AI Act pour une PME, et elle est finançable. Nous l’expliquons en détail dans notre guide sur les dispositifs OPCO pour financer la formation IA.

Depuis le 2 août 2025, les obligations sur les modèles d’IA à usage général (les grands modèles de langage type ChatGPT, Claude ou Gemini), la gouvernance et le régime de sanctions sont également entrées en application. Un point qui rassure : ces obligations pèsent sur les fournisseurs de ces modèles (OpenAI, Anthropic, Google), pas sur vous qui les utilisez. Votre responsabilité de déployeur porte sur l’usage que vous en faites, jamais sur le modèle lui-même.

La supervision humaine des systèmes d’IA, elle, reste un principe transverse. Pour aller plus loin sur ce point, notre article sur la gouvernance des agents IA en PME détaille les garde-fous concrets à mettre en place.

Sanctions : combien risque réellement une PME ?

L’AI Act prévoit trois paliers de sanctions, dont un seul concerne réellement l’article 50 : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Mais les PME bénéficient d’un plafond protecteur. Ces montants font peur ; la réalité pour une PME est plus nuancée.

Source : article 99 du règlement (UE) 2024/1689.

Deux nuances essentielles pour une TPE ou PME. D’une part, pour les PME et les start-up, l’AI Act plafonne l’amende au montant le plus bas des deux (le pourcentage ou la somme fixe), l’inverse du principe applicable aux grands groupes. D’autre part, les autorités appliquent un principe de proportionnalité : une entreprise de bonne foi, qui a documenté ses efforts, ne sera pas traitée comme un acteur négligent.

Concrètement : une TPE réalisant 500 000 euros de chiffre d’affaires ne risque pas 15 millions d’euros pour un chatbot non signalé, mais au maximum 3 % de son chiffre d’affaires, soit 15 000 euros, puisque c’est le montant le plus bas des deux. L’amende maximale théorique de 15 millions ne vise, en pratique, que les grandes entreprises.

Le vrai risque n’est donc pas l’amende maximale, très improbable pour une PME. C’est le cumul : un manquement à la transparence qui se double d’une violation du RGPD, par exemple un chatbot qui aspire des données personnelles sans information ni base légale. C’est là que les autorités additionnent les griefs.

Votre feuille de route conformité en 5 étapes

Se mettre en conformité avec l’article 50 est à la portée d’une PME en quelques heures de travail, à condition de procéder dans l’ordre. Voici la marche à suivre.

Étape 1 : cartographier vos usages IA. Listez tous les points où l’IA touche vos clients ou le public : chatbot, formulaire intelligent, génération de visuels, rédaction assistée, voix de synthèse. Cette cartographie prend une à deux heures et révèle souvent des usages oubliés, notamment le « Shadow AI » utilisé par vos équipes sans validation.

Étape 2 : identifier les obligations applicables. Pour chaque usage, appliquez la matrice de transparence : faut-il signaler, marquer, ou divulguer ? Distinguez ce qui relève de votre fournisseur (le marquage technique) et ce qui relève de vous (l’information visible de vos utilisateurs).

Étape 3 : rendre l’IA visible. Ajoutez les mentions manquantes : « Vous échangez avec un assistant virtuel » sur votre chatbot, un signalement clair sur vos contenus générés, un label sur vos visuels de synthèse. Ce sont des correctifs simples et peu coûteux.

Étape 4 : documenter vos décisions. Tenez un registre léger de vos systèmes d’IA, de leurs usages et des mesures de transparence prises. En cas de contrôle de la DGCCRF ou de l’Arcom, cette traçabilité fait la différence entre une entreprise diligente et une entreprise négligente.

Étape 5 : former et articuler avec le RGPD. La transparence de l’AI Act et la protection des données du RGPD se recouvrent largement. Former vos équipes traite les deux risques d’un seul geste, et sécurise vos usages pour l’échéance de 2027 sur le haut risque.

La bonne nouvelle, c’est que ces cinq étapes sont aussi une occasion de faire le tri dans vos outils et de professionnaliser vos usages IA. La conformité n’est pas une contrainte de plus : c’est l’inventaire que vous auriez dû faire de toute façon.

Vous voulez savoir précisément où en est votre entreprise avant le 2 août ? Réservez votre audit IA gratuit de 30 minutes. Nous cartographions ensemble vos usages, vos obligations de transparence et vos risques, sans engagement.

Sources et références

• Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act), EUR-Lex, Parlement européen et Conseil de l’UE, 2024
• Règlement (UE) 2026/1744 (Digital Omnibus sur l’IA), EUR-Lex, publié au JOUE le 24 juillet 2026
• Transparency obligations under Article 50 of the AI Act, Commission européenne, 2026
• Les autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle, Direction générale des Entreprises, 2026
• Article 99 : Sanctions, EU Artificial Intelligence Act
• Baromètre France Num 2025 : le numérique et l’intelligence artificielle dans les TPE et PME, Direction générale des Entreprises, septembre 2025
• Intelligence artificielle : ce qui change vraiment le 2 août 2026 avec le règlement européen, Touteleurope.eu, 2026