Le 2 août 2026 a marqué la grande bascule de l’AI Act, le règlement européen sur l’intelligence artificielle.
A quelques semaines de l’échéance, un texte de simplification appelé « Digital Omnibus » est venu repousser une partie des obligations.
Résultat : une confusion totale chez les dirigeants. Beaucoup en concluent « c’est repoussé, je suis tranquille ». C’est une erreur et elle peut coûter cher. Car le report ne concerne qu’une partie du règlement et certaines obligations s’appliquent bel et bien, report ou pas.
Cet article fait le tri, du point de vue qui vous intéresse : celui de la PME qui utilise l’IA au quotidien. Que recouvre vraiment le statut de « déployeur », qu’est-ce qui a été repoussé, qu’est-ce qui reste applicable, et que faut-il faire concrètement ?
« Déployeur » : ce mot qui veut dire que l’AI Act vous concerne
« L’AI Act, ce n’est pas que pour les géants de la tech qui créent les IA ? »
C’est l’idée reçue la plus répandue, et la plus risquée. L’AI Act ne vise pas seulement les entreprises qui conçoivent les modèles d’IA. Il impose aussi des obligations à celles qui se contentent de les utiliser.
Le règlement distingue plusieurs rôles :
– Le fournisseur conçoit ou met sur le marché un système d’IA.
– Le déployeur, lui, est défini par l’article 3 comme toute entité qui utilise un système d’IA dans le cadre d’une activité professionnelle.
Autrement dit : si votre entreprise utilise ChatGPT, Copilot, Gemini, un outil de tri de CV ou un logiciel de scoring client, elle est un déployeur.
90 % des PME sont des déployeurs
La grande majorité des PME entrent dans cette catégorie. Le piège consiste à se penser « simple utilisateur » et donc hors champ.
C’est faux : le statut de déployeur emporte des responsabilités opérationnelles réelles, en particulier lorsque le système d’IA affecte vos salariés ou vos clients.
Le cas du multi-rôles
Attention à une situation fréquente : si vous intégrez une IA dans un produit ou un service que vous commercialisez sous votre marque, vous pouvez basculer du statut de déployeur à celui de fournisseur, avec des obligations bien plus lourdes.
La qualification de votre rôle est donc la toute première question à trancher.
Premier réflexe : déterminer précisément votre rôle pour chaque système d’IA utilisé. C’est lui qui définit l’étendue de vos obligations. Une même entreprise peut être déployeur pour un outil et fournisseur pour un autre.
Ce qui a changé : le Digital Omnibus et le report du « haut risque »
« J’ai entendu que tout était repoussé à 2027, c’est vrai ? »
En partie seulement. Le Digital Omnibus est un paquet d’amendements destiné à simplifier et à rééchelonner l’AI Act, motivé par le constat que l’écosystème de conformité (normes, lignes directrices) n’était pas prêt à temps.
Ce que le report concerne réellement
Le Parlement européen a voté ce texte en séance plénière le 16 juin 2026. Sa conséquence la plus directe : les obligations pleines pour les systèmes à haut risque de l’Annexe III, qui devaient s’appliquer au 2 août 2026, sont reportées au 2 décembre 2027.
Les systèmes d’IA embarqués dans des produits déjà réglementés (Annexe I) sont quant à eux décalés à 2028.
Un texte qui n’est pas encore définitivement adopté
Point essentiel pour ne pas se tromper : le vote du Parlement ne suffit pas. L’adoption formelle par le Conseil de l’Union européenne est encore attendue, et ce n’est qu’après la publication au Journal officiel que les nouvelles dates deviendront définitives.
Tant que cette publication n’est pas intervenue, le calendrier légalement en vigueur reste celui du 2 août 2026.
Se reposer sur un report qui n’est pas encore définitivement acté serait imprudent. Tant que les nouveaux textes ne sont pas publiés, l’échéance du 2 août 2026 demeure la référence légale. Et même une fois le report acté, il ne couvre pas toutes les obligations.
Ce qui s’applique malgré le report : trois obligations bien réelles
« Donc concrètement, qu’est-ce qui me concerne vraiment au 2 août ? »
C’est ici que le malentendu doit être levé. Le report du « haut risque » ne vide pas l’AI Act de sa substance pour un déployeur. Trois blocs d’obligations restent pleinement applicables.
La transparence (article 50)
Les obligations de transparence de l’article 50 restent applicables au 2 août 2026. Elles imposent notamment d’informer l’utilisateur lorsqu’il interagit avec un système d’IA (un chatbot, par exemple), de signaler qu’un contenu a été généré par IA, et d’étiqueter les hypertrucages (deepfakes).
Elles concernent tout déployeur d’IA générative, quel que soit le niveau de risque du système.
Une nuance technique existe sur le marquage lisible par machine, assorti d’un délai transitoire pour les systèmes déjà sur le marché, mais le principe de transparence demeure.
La maîtrise de l’IA, ou « AI literacy » (article 4)
Cette obligation est déjà en vigueur depuis le 2 février 2025. Elle impose aux déployeurs de prendre des mesures pour garantir un niveau suffisant de compétence en IA au sein de leur personnel.
Le Digital Omnibus en allège la formulation : on passe d’un devoir de « garantir » à celui de « soutenir le développement » des compétences. Mais l’obligation est confirmée. Former ses équipes reste un pilier de la gestion du risque.
Les interdictions (article 5)
Les pratiques d’IA à risque inacceptable sont interdites depuis le 2 février 2025 : notation sociale, manipulation comportementale, certains usages biométriques.
A ces interdictions s’ajoutent, à compter du 2 décembre 2026, deux nouvelles interdictions visées par le Digital Omnibus : la génération par IA d’images intimes non consenties et de contenus pédopornographiques.
A RETENIR
✔ La transparence (art. 50) reste applicable au 2 août 2026 : information, étiquetage des contenus IA.
✔ La formation du personnel (art. 4) est déjà obligatoire depuis février 2025.
✔ Les interdictions (art. 5) sont en vigueur et s’étendent au 2 décembre 2026.
✔ Seules les obligations « haut risque » sont reportées et seulement si le texte est définitivement adopté.
Le piège du « haut risque » : pourquoi vous êtes peut-être concerné sans le savoir
« Le haut risque, c’est repoussé, donc je n’ai rien à faire d’ici 2027 ? »
Ce raisonnement est le plus dangereux. Un report d’échéance ne supprime pas l’obligation : il en décale la date d’application. La conformité, elle, reste à construire et elle prend du temps.
Les usages « haut risque » les plus fréquents en PME
Beaucoup de dirigeants ignorent qu’ils utilisent déjà des systèmes classés à haut risque par l’Annexe III.
Les plus courants en PME concernent les ressources humaines : les outils de tri et de présélection de CV, les systèmes d’évaluation des salariés, ou encore certains dispositifs de scoring client.
Dès qu’un système d’IA influence une décision affectant l’emploi ou l’accès à un service, la vigilance s’impose.
Quand la charge se déplace vers le fournisseur
Bonne nouvelle pour les PME : si vous utilisez un outil tiers (un logiciel SaaS de RH, un module de scoring, une solution de recrutement), une part importante de la charge de conformité pèse sur le fournisseur.
Votre rôle consiste alors à exiger de lui la documentation de conformité et la déclaration attestant que son système respecte le règlement.
Même reportée, l’échéance « haut risque » se prépare dès maintenant. La cartographie des usages et la qualification des risques sont des chantiers longs. Les entreprises qui s’y prennent tôt aborderont l’échéance sereinement ; celles qui attendront 2027 seront prises de court.
Les sanctions : un risque proportionné mais réel pour les PME
« Qu’est-ce que je risque, à mon échelle de PME ? »
Le régime de sanctions de l’AI Act est gradué selon la gravité du manquement, avec des plafonds élevés, mais des aménagements pour les petites structures.
| Type de manquement | Plafond de sanction |
| Pratiques interdites (art. 5) | 35 M€ ou 7 % du CA mondial |
| Manquements « haut risque » | 15 M€ ou 3 % du CA mondial |
| Manquements de transparence (art. 50) | 7,5 M€ ou 1 % du CA mondial |
Pour chaque catégorie, c’est le montant le plus élevé entre la somme fixe et le pourcentage qui s’applique, sauf pour les PME et les start-ups, pour lesquelles le règlement retient au contraire le montant le plus bas.
Cette proportionnalité spécifique atténue le risque financier à l’échelle d’une petite structure, sans le supprimer.
Le cumul avec le RGPD
Un point essentiel à ne pas négliger : l’AI Act et le RGPD ne se substituent pas l’un à l’autre, ils s’additionnent.
Dès que votre système d’IA traite des données personnelles, ce qui est quasi systématique en RH, en scoring ou en relation client. Les deux régimes s’appliquent simultanément, avec leurs sanctions respectives.
Le plan d’action du déployeur : 6 étapes à mener maintenant
« Concrètement, par où je commence, sans me ruiner ni paniquer ? »
La démarche reproduit, dans sa logique, celle que les entreprises ont menée pour le RGPD. Elle peut être conduite de façon progressive et proportionnée.
- Cartographier les usages d’IA. Recenser tous les systèmes utilisés dans l’entreprise, y compris la shadow AI. Ces outils adoptés par les équipes sans validation.
- Qualifier le niveau de risque. Classer chaque usage : interdit, haut risque, risque limité ou minimal. C’est cette qualification qui détermine vos obligations.
- Former les équipes. Répondre à l’obligation de maîtrise de l’IA, déjà en vigueur, par des actions de sensibilisation et de formation adaptées aux métiers.
- Mettre en conformité la transparence. Etiqueter les contenus générés par IA, informer les utilisateurs des chatbots, signaler les hypertrucages.
- Exiger la documentation des fournisseurs. Pour chaque outil tiers, obtenir la déclaration de conformité et la documentation technique attestant du respect du règlement.
- Formaliser une gouvernance et une charte IA. Structurer durablement les usages par une charte intégrée au règlement intérieur et une gouvernance dédiée.
Ce plan n’exige pas des moyens démesurés. Mené progressivement, avec l’appui d’un conseil, il transforme une obligation diffuse en une feuille de route claire et constitue déjà une grande partie du travail attendu pour l’échéance « haut risque ».
Deux situations concrètes de PME
« Est-ce que mon cas ressemble à l’un de ceux-là ? »
Cas 1 · La PME qui trie ses CV avec une IA
Une PME utilise un outil d’IA pour présélectionner les candidatures. Il s’agit d’un usage « haut risque » au sens de l’Annexe III.
Le report du Digital Omnibus lui donne du temps pour la conformité spécifique à ce régime. Mais attention : les obligations du RGPD, notamment l’encadrement des décisions automatisées (article 22) et l’information des candidats, s’appliquent déjà, indépendamment de l’AI Act. Le report ne met donc pas cette PME à l’abri.
Cas 2 · L’entreprise qui publie du contenu IA sur ses réseaux
Une entreprise génère et publie des contenus marketing produits par IA sur ses réseaux sociaux.
L’obligation de transparence de l’article 50 reste applicable au 2 août 2026 : ces contenus doivent être signalés comme générés par IA lorsque les conditions de l’article sont réunies. Ici, le report ne change rien : l’obligation est bien là.
L’enseignement commun : le report du « haut risque » ne signifie jamais « rien à faire ». D’autres obligations : transparence, RGPD, formation continuent de s’appliquer en parallèle.
Vos Questions – Mes Réponses : AI Act et PME déployeurs
Le report du Digital Omnibus annule-t-il mes obligations ?
Non. Il reporte l’échéance des obligations « haut risque » (Annexe III) au 2 décembre 2027, sous réserve de l’adoption définitive du texte. Les obligations de transparence, de formation du personnel et les interdictions restent applicables selon leur propre calendrier. Le report allège le calendrier, il ne supprime pas le règlement.
Suis-je un « déployeur » si j’utilise seulement ChatGPT ?
Oui. Dès lors que vous utilisez un système d’IA dans le cadre de votre activité professionnelle, vous êtes un déployeur au sens de l’article 3 de l’AI Act. Ce statut emporte des obligations, notamment de transparence et de formation, même pour un usage en apparence anodin.
Quelles obligations s’appliquent vraiment au 2 août 2026 ?
Principalement les obligations de transparence de l’article 50, qui imposent de signaler les contenus générés par IA et d’étiqueter les hypertrucages. S’y ajoutent l’obligation de formation, déjà en vigueur et les interdictions de pratiques. Les obligations « haut risque », elles, sont reportées si le Digital Omnibus est définitivement adopté.
Dois-je former mes salariés à l’IA ?
Oui. L’obligation de maîtrise de l’IA, en vigueur depuis février 2025, impose de prendre des mesures pour assurer un niveau suffisant de compétence de votre personnel. Au-delà de l’obligation, la formation est un levier essentiel de maîtrise des risques et d’adoption réussie de l’IA.
Mon outil de tri de CV est-il « à haut risque » ?
Très probablement. Les systèmes d’IA utilisés pour le recrutement, la présélection de candidatures ou l’évaluation des salariés figurent parmi les usages « haut risque » de l’Annexe III. Même si l’échéance spécifique est reportée, les obligations RGPD applicables à ces traitements, elles, ne le sont pas.
L’AI Act et le RGPD se cumulent-ils ?
Oui. Les deux règlements s’appliquent de manière cumulative : le RGPD encadre les données personnelles, l’AI Act encadre les systèmes d’IA. Dès qu’une IA traite des données personnelles, les deux régimes et leurs sanctions respectives s’additionnent.
En conclusion, le report d’une partie des obligations de l’AI Act n’est pas un feu vert pour ne rien faire. La transparence, la formation du personnel et les interdictions s’appliquent, report ou non.
Et la conformité « haut risque », même décalée, se prépare dès aujourd’hui.
Pour une PME, la bonne posture n’est ni la panique ni l’attentisme, mais l’anticipation proportionnée.
Cartographier ses usages, qualifier ses risques, former ses équipes et structurer une gouvernance : ces étapes sont accessibles, et elles transforment une contrainte réglementaire en maîtrise opérationnelle.
Dans un calendrier mouvant, le meilleur réflexe est de s’appuyer sur une analyse à jour et adaptée à votre situation. C’est précisément là qu’un accompagnement juridique fait la différence.
Votre PME utilise l’IA ? Faites le point sur vos obligations de déployeur.
Le Cabinet Nathalie Matteoda, avocat en droit du numérique à Paris, réalise un audit de conformité AI Act adapté à votre statut et à votre taille : cartographie des usages, qualification des risques, transparence, formation, gouvernance.
Prendre rendez-vous : Tél. 06 42 18 50 53 ou prenez rendez-vous en ligne.
Suivre mon actualité sur Linkedin ? Nathalie Matteoda – Avocat en droit de la propriété intellectuelle