Le 2 août 2026 est passé. Dans les semaines qui l'ont précédé, une petite musique a circulé : l'IA Act aurait été « reporté ». C'est faux, et la confusion coûte cher.

Ce qui a été repoussé ne concernait déjà pas la majorité des PME. Ce qui est entré en application le 2 août les concerne presque toutes.

Un rappel avant d'entrer dans le détail. L'IA Act est le règlement européen qui encadre l'usage de l'intelligence artificielle. Son principe : plus un usage présente de risques pour les personnes, plus les obligations sont lourdes. Il ne vise pas que ceux qui fabriquent de l'IA. Il vise aussi, et surtout, ceux qui s'en servent dans leur activité professionnelle.

Ce qui a changé cet été

Le 24 juillet 2026, un nouveau texte européen a été publié : le règlement 2026/1744, que tout le monde appelle « l'omnibus ». Le mot désigne simplement une loi fourre-tout, qui modifie plusieurs textes existants d'un seul coup. Il est entré en vigueur trois jours plus tard, le 27 juillet.

Ce texte modifie l'IA Act lui-même. Le compromis trouvé en mai entre le Parlement européen et le Conseil, dont on parlait encore au conditionnel au printemps, est ainsi devenu définitif une semaine avant l'échéance du 2 août.

Son objet : repousser les obligations les plus lourdes, celles qui pèsent sur les usages classés à risque élevé. La raison invoquée est très concrète. Pour prouver qu'on respecte ces obligations, il faut des normes techniques communes, sorte de mode d'emploi officiel de la conformité. Elles n'étaient pas prêtes. Un détail compte : les nouvelles dates sont fermes, elles ne dépendent plus de la publication de ces normes.

Le calendrier, après l'omnibus

Échéance Ce qui s'applique
2 août 2026 (déjà en vigueur) Les règles de transparence : dire quand une IA parle, marquer ce qu'elle produit, signaler les contenus truqués. Les autorités peuvent désormais contrôler et sanctionner.
2 décembre 2026 Tout outil d'IA générative doit marquer ses productions, y compris ceux déjà commercialisés avant le 2 août. Deux pratiques rejoignent la liste des usages purement interdits.
2 août 2027 Ouverture des espaces d'expérimentation encadrés, où une entreprise peut tester une IA sous le regard du régulateur.
2 décembre 2027 Les usages classés à risque élevé : recrutement, évaluation des salariés, décision d'accorder un crédit, éducation, assurance.
2 août 2028 Les IA intégrées dans des produits déjà encadrés par d'autres règles : machines, dispositifs médicaux, véhicules.
2 août 2030 Les systèmes destinés aux administrations et déjà en service.

Regardez la première ligne. C'est celle qui vous concerne aujourd'hui, et c'est précisément celle qui n'a pas bougé d'un jour.

Quelle ligne vous concerne ? Un cabinet comptable qui rédige ses comptes rendus avec une IA et publie des visuels générés sur son site : première ligne, tout de suite. Un garage qui fait trier ses candidatures par un logiciel de recrutement : première ligne aussi, plus la quatrième en décembre 2027. Un fabricant de machines-outils qui embarque une IA dans ses équipements : première ligne, plus la cinquième en août 2028. Dans les trois cas, la première ligne s'applique déjà. Elle n'épargne personne.

Ce qui s'applique à votre PME depuis le 2 août

Les règles de transparence, que les juristes appellent l'article 50, tiennent en une idée simple : une personne doit pouvoir savoir quand elle a affaire à une machine. Elles visent quatre familles de systèmes, dont trois sont banales dans une entreprise.

Un robot conversationnel doit se présenter comme tel. Si un visiteur de votre site discute avec un assistant automatique, il doit savoir qu'il ne parle pas à un humain. Seule exception : quand c'est évident.

Attention à qui porte cette obligation : le règlement la met à la charge de l'éditeur du logiciel, pas de vous. C'est à lui de concevoir l'assistant pour qu'il annonce sa nature. Votre rôle, en tant qu'entreprise qui l'installe, est de vérifier qu'il le fait réellement. Avec une réserve importante : si vous rebaptisez cet assistant à votre nom, ou si vous modifiez sensiblement son fonctionnement, vous pouvez devenir vous-même son fournisseur au sens du règlement, et hériter de l'obligation.

Les contenus fabriqués par une IA doivent sortir marqués. Images, sons, vidéos, textes : ils doivent contenir un marquage que les logiciels savent lire, le plus souvent invisible à l'œil nu. Il peut s'agir d'un filigrane, d'informations glissées dans le fichier ou d'une empreinte numérique. L'objectif : qu'un outil de détection puisse dire « ceci a été fabriqué par une IA ».

Ici encore, l'obligation ne pèse pas sur vous mais sur l'éditeur de l'outil qui produit le contenu. Si vous générez vos visuels avec un outil aux normes, le marquage est déjà là. Votre rôle est double : vérifier que votre fournisseur s'en acquitte, et ne pas effacer ce marquage en retouchant le fichier.

Le règlement prévoit d'ailleurs plusieurs exceptions, souvent oubliées. Une fonction d'édition classique qui ne transforme pas vraiment le contenu, comme un correcteur orthographique, n'est pas concernée. Pas davantage le code informatique, les échanges automatiques entre machines, ou certains usages purement internes en environnement industriel.

Les deepfakes (hypertrucages) doivent être signalés de façon visible. Un deepfake, c'est un contenu où une IA fait dire ou faire à une personne réelle ce qu'elle n'a jamais dit ni fait. Si vous en publiez un, la mention doit être claire et visible du public. La même règle vaut pour un texte publié pour informer sur un sujet d'intérêt général, comme les élections, la santé, la finance, la justice ou l'environnement, s'il a été produit par une IA sans qu'un humain le relise vraiment.

Exemple concret : une PME de services publie sur son site un billet écrit avec l'aide d'une IA, illustré par une image générée, et son site accueille les visiteurs avec un assistant automatique. Le billet est un conseil commercial, relu et validé par un humain : il n'a pas à être étiqueté. L'image doit sortir marquée de l'outil qui l'a produite, et l'assistant doit annoncer qu'il est une IA : dans ces deux cas, c'est l'éditeur de l'outil qui porte l'obligation, et vous qui devez vérifier qu'elle est tenue. Trois éléments sur une même page, trois traitements différents : le tri se fait au cas par cas, pas en bloc.

Deux documents publiés cet été rendent tout cela applicable. D'abord un code de bonnes pratiques sur le marquage des contenus générés par IA, paru le 10 juin 2026 et officiellement approuvé début juillet. C'est le cadre pratique de référence à l'échelle européenne, mais il reste volontaire : le suivre facilite grandement la démonstration de conformité, ne pas y adhérer n'est pas une infraction. Une entreprise qui s'en écarte doit simplement pouvoir prouver sa conformité par d'autres moyens, et s'expose à davantage de questions des autorités. Ensuite des lignes directrices de la Commission européenne, publiées le 20 juillet 2026, qui précisent qui doit faire quoi.

Former vos équipes : une obligation allégée, mais bien réelle

Depuis février 2025, le règlement demande que les personnes qui utilisent l'IA pour votre compte sachent s'en servir correctement, et en connaissent les limites. La version d'origine exigeait de garantir ce niveau de compétence. L'omnibus demande désormais de prendre des mesures pour le développer.

La nuance paraît subtile, elle est en réalité très favorable. Vous n'avez plus à prouver un résultat, seulement à démontrer que vous avez fait quelque chose. Une note interne, une réunion de sensibilisation d'une heure, une charte d'usage : cela suffit. Ne rien faire du tout, en revanche, reste une infraction. Les contrôles sur ce point ont commencé le 3 août 2026.

À quoi ça ressemble concrètement : une entreprise de travaux de dix salariés réunit son équipe un mardi matin pendant une heure. Au programme : quels outils d'IA sont autorisés, pourquoi on ne colle jamais un devis client complet dans ChatGPT, et le rappel qu'une réponse d'IA peut être fausse tout en paraissant sûre d'elle. Le gérant rédige ensuite une note de dix lignes reprenant ces points, la date, et la liste des présents. Cette feuille, rangée dans un dossier, suffit à démontrer la démarche.

La prochaine échéance : le 2 décembre 2026

Deux choses se produisent à cette date.

D'abord, le marquage des contenus générés devient obligatoire sans aucune exception. Un outil déjà commercialisé avant le 2 août ne pouvait pas être modifié du jour au lendemain pour ajouter ce marquage : le législateur lui a laissé quatre mois de plus. Les outils lancés après le 2 août, eux, devaient être aux normes immédiatement. Au 2 décembre, ce sursis disparaît.

Autrement dit : le générateur d'images que votre graphiste utilise depuis deux ans a bénéficié d'un sursis jusqu'au 2 décembre pour ajouter son marquage. Celui qui est sorti en septembre 2026, lui, devait marquer ses images dès le premier jour. À partir du 2 décembre, les deux sont logés à la même enseigne. Pour vous, la question à poser à votre fournisseur est la même dans les deux cas : « vos images sortent-elles marquées ? »

Ensuite, deux pratiques rejoignent la courte liste des usages totalement interdits, ceux qu'aucune précaution ne peut rendre acceptables : les applications qui déshabillent une personne sur une photo sans son accord, et celles qui produisent des images pédocriminelles. Aucun sursis n'est prévu pour les outils existants, et ces usages relèvent de la sanction maximale prévue par le règlement, soit 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Le régime allégé des petites structures

Le règlement n'applique pas aux PME la même rigueur qu'aux grands groupes. Contrairement à ce qu'on lit souvent, ces allègements ne datent pas de l'omnibus : ils figuraient déjà dans l'IA Act de 2024. Ce que l'omnibus a fait, c'est les étendre aux entreprises de taille moyenne. Ils méritent d'être connus, car ils changent l'échelle du risque :

  • des dossiers techniques simplifiés, sur un modèle type que la Commission doit mettre à disposition ;
  • un accès prioritaire aux espaces d'expérimentation encadrés, avec des canaux de conseil dédiés ;
  • des frais d'évaluation de conformité réduits en proportion de la taille de l'entreprise ;
  • surtout, une règle qui change tout sur les amendes, expliquée juste en dessous.

Les sanctions du règlement sont annoncées sous la forme « tant de millions d'euros ou tel pourcentage du chiffre d'affaires ». Pour une grande entreprise, c'est le montant le plus élevé des deux qui s'applique. Pour une PME, le règlement retient le plus bas.

Le calcul, en clair : une PME réalise 2 millions d'euros de chiffre d'affaires et manque à ses obligations de transparence. La sanction prévue par le texte est de « 15 millions d'euros ou 3 % du chiffre d'affaires mondial ». Pour un grand groupe, on retiendrait le plus élevé des deux. Pour cette PME, on retient le plus bas : 3 % de 2 millions, soit 60 000 euros. Sérieux, mais sans commune mesure avec les 15 millions que certains titres agitent.

C'est précisément là qu'intervient l'omnibus : il étend ce bénéfice aux entreprises de taille moyenne, définies par un effectif de moins de 750 salariés et un chiffre d'affaires ne dépassant pas 150 millions d'euros. Jusqu'ici, seules les PME au sens européen y avaient droit.

Le point aveugle français

Voici une information que peu d'articles mentionnent, et qui compte pour une entreprise française : le dispositif français n'est pas encore complètement inscrit dans notre droit national. Les autorités chargées de faire appliquer ce règlement chez nous ne sont pas toutes officiellement désignées.

Attention, il ne s'agit pas d'un vide. Le schéma est arrêté, débattu au Parlement et largement documenté. Plutôt que de créer un gendarme unique de l'IA, la France répartit le travail entre les autorités existantes, chacune sur son domaine :

  • la répression des fraudes (la DGCCRF) en chef d'orchestre, et interlocuteur unique des entreprises ;
  • la CNIL, déjà gardienne des données personnelles, sur la reconnaissance biométrique et sur les usages liés à l'emploi ;
  • l'Arcom, le régulateur de l'audiovisuel et du numérique, sur la fiabilité de l'information ;
  • une quinzaine d'autres autorités sur leurs secteurs respectifs.

Mais ces dispositions, d'abord inscrites dans un projet de loi d'adaptation au droit européen en novembre 2025, en ont été retirées. Elles attendent toujours un vote du Parlement.

Ce que ça donne en pratique : vous utilisez un logiciel qui analyse les émotions de vos candidats pendant un entretien vidéo. Qui vient vous contrôler ? La CNIL, parce qu'il s'agit de données personnelles et d'un usage lié à l'emploi. Votre assistant en ligne ne dit pas qu'il est une IA et trompe vos clients ? La répression des fraudes. Un contenu généré par IA circule et brouille une campagne électorale ? L'Arcom. Une répartition claire sur le papier, qui attend d'être entièrement gravée dans la loi française.

Il serait tentant d'y voir un répit. Ce serait une erreur, pour deux raisons. D'une part, vos obligations, elles, sont bien entrées en application : l'absence de contrôleur désigné ne suspend pas la règle, elle retarde seulement le contrôle. D'autre part, une mise en conformité ne s'improvise pas le jour où le contrôleur arrive. Faire la liste de ses outils d'IA et documenter ses usages prend des semaines, pas des heures.

Six choses à faire dans les prochaines semaines

  • Faites la liste de vos outils d'IA, y compris ceux que personne n'a déclarés : l'abonnement ChatGPT payé sur la carte bancaire d'un associé, la fonction de rédaction automatique du logiciel commercial, le générateur d'images utilisé par le marketing. On ne met pas en conformité ce qu'on ignore.
  • Occupez-vous de votre assistant en ligne. Si votre site en héberge un, vérifiez qu'il annonce sa nature dès le premier message. C'est l'action la plus rapide et la plus visible de cette liste.
  • Vérifiez le marquage de vos contenus publiés. Pour chaque outil qui produit des images ou des vidéos que vous diffusez, demandez à son éditeur comment il applique la règle de marquage. Et vérifiez que vos retouches ne l'effacent pas au passage.
  • Écrivez noir sur blanc ce que vous faites pour former vos équipes. Une note d'une page ou une réunion de sensibilisation, datée et conservée. C'est l'obligation la moins coûteuse du règlement.
  • Désignez un référent. Une personne, pas un comité. Dans une PME, c'est souvent le dirigeant ou le responsable informatique. Son rôle : tenir la liste à jour et savoir répondre si on l'interroge.
  • Anticipez décembre 2027 si vous touchez au recrutement ou au crédit. Le tri automatisé de candidatures et l'évaluation des salariés font partie des usages à risque élevé. Le report vous laisse quinze mois : c'est confortable, ce n'est pas infini.

Ce qu'une IA installée chez vous simplifie, et ce qu'elle ne dispense pas de faire

Soyons précis, parce que le sujet se prête aux raccourcis commerciaux.

Une IA installée sur vos propres serveurs ne vous exonère d'aucune obligation de transparence. La règle porte sur l'usage, pas sur l'endroit où tourne la machine. Un assistant hébergé dans vos locaux doit annoncer qu'il est une IA exactement comme un assistant hébergé chez un éditeur américain.

Ce qu'elle simplifie, en revanche, ce sont les deux points les plus laborieux de la liste ci-dessus.

D'abord la liste des outils. Quand tous les usages passent par une plateforme unique que vous administrez, cette liste cesse d'être un travail d'enquête : elle est sous vos yeux.

Ensuite la traçabilité. Savoir qui a utilisé quel outil, sur quelles données et à quelle date revient à consulter vos propres journaux de connexion. Vous ne dépendez pas de ce qu'un fournisseur extérieur accepte de vous montrer. Et du côté du RGPD, la réglementation sur les données personnelles qui continue de s'appliquer en parallèle, vous n'avez ni prestataire supplémentaire à encadrer par contrat, ni envoi de données hors d'Europe à justifier.

La différence, sur un cas réel : un client vous demande si le compte rendu que vous lui avez remis a été produit par une IA, et à partir de quels documents. Avec des abonnements dispersés chez trois éditeurs différents, il faut écrire à chacun, attendre, et espérer que l'historique remonte assez loin. Avec une IA installée dans vos locaux, la réponse est dans vos journaux : quel collaborateur, quel jour, quels fichiers. Vous répondez le jour même.

Ce qu'il faut retenir

L'IA Act n'a pas été reporté. Ses obligations les plus lourdes l'ont été, et elles ne visaient pas la majorité des PME.

Précisons pour être juste : le règlement ne se résume pas aux règles de transparence. Les usages purement interdits et l'obligation de former ses équipes s'appliquent depuis février 2025, les règles visant les grands modèles d'IA depuis août 2025. Mais pour une PME qui utilise l'IA sans en fabriquer, la nouveauté de cet été tient en une phrase : dire quand c'est une IA qui parle, et vérifier que ce qu'elle produit sort marqué.

C'est peu de chose sur le papier. Encore faut-il savoir ce que vos outils font, et pouvoir le montrer. Si vous découvrez le sujet, notre article sur les fondamentaux de l'IA Act pour les PME explique qui est concerné et à quel titre.

Pour aller plus loin

Questions fréquentes

Qu'est-ce que l'IA Act ?

C'est le règlement européen qui encadre l'usage de l'intelligence artificielle, en vigueur depuis août 2024 et applicable par vagues successives jusqu'en 2030. Son principe : plus un usage présente de risques pour les personnes, plus les obligations sont lourdes. Il vise autant ceux qui fabriquent de l'IA que ceux qui s'en servent dans leur activité.

Mon entreprise est-elle concernée si elle utilise simplement ChatGPT ?

Oui. Le règlement distingue le fournisseur, qui conçoit le système, et le déployeur, qui l'utilise dans son activité professionnelle. Une PME qui utilise un assistant IA est déployeur, avec des obligations réelles mais proportionnées. Attention toutefois : en rebaptisant un outil à votre nom ou en modifiant sensiblement son fonctionnement, vous pouvez devenir fournisseur, avec les obligations qui vont avec.

L'IA Act a-t-il été reporté ?

Non. Le règlement (UE) 2026/1744 a repoussé les seules obligations pesant sur les usages à risque élevé, à décembre 2027. Les règles de transparence, celles qui concernent la plupart des PME, s'appliquent depuis le 2 août 2026.

Quelles sont les dates à retenir ?

Les règles de transparence s'appliquent depuis le 2 août 2026. Le 2 décembre 2026, le marquage des contenus générés devient obligatoire sans exception et deux pratiques rejoignent la liste des interdictions. Les usages à risque élevé suivent le 2 décembre 2027, puis le 2 août 2028 pour l'IA intégrée à des produits déjà réglementés.

Qu'est-ce qu'un usage à risque élevé ?

Ce sont les usages qui pèsent directement sur la vie des personnes : tri de candidatures, évaluation des salariés, décision d'accorder un crédit, éducation, certains contrats d'assurance. Ils déclenchent des obligations lourdes, comme la documentation technique et l'évaluation de conformité, applicables au 2 décembre 2027.

Quels usages sont totalement interdits ?

Une courte liste s'applique depuis février 2025 : notation sociale des individus, manipulation exploitant la vulnérabilité des personnes, ou encore reconnaissance des émotions au travail et à l'école. Deux s'y ajoutent le 2 décembre 2026 : les applications qui déshabillent une personne sans son accord et celles produisant des images pédocriminelles. Ces usages relèvent de la sanction maximale, 35 millions d'euros ou 7 % du chiffre d'affaires mondial.

Mon assistant en ligne doit-il annoncer qu'il est une IA ?

Oui, depuis le 2 août 2026, sauf si sa nature est évidente. Le règlement met cette obligation à la charge de l'éditeur du logiciel : votre rôle est de vérifier qu'il la respecte. Si vous rebaptisez l'assistant à votre nom ou modifiez sensiblement son fonctionnement, elle peut vous revenir directement.

Faut-il marquer les images générées par IA que je publie ?

Elles doivent sortir marquées de l'outil qui les génère, avec une marque que les logiciels savent lire. Mais l'obligation pèse sur l'éditeur de cet outil, pas sur vous : votre rôle est de vérifier qu'il l'applique, et que vos retouches ne l'effacent pas. Plusieurs exceptions existent, notamment pour les fonctions d'édition classiques.

Dois-je signaler que mes articles sont rédigés avec une IA ?

Pas systématiquement. L'obligation ne vise que les textes publiés pour informer le public sur des sujets d'intérêt général, comme les élections, la santé ou la justice, et seulement si aucun humain ne les a réellement relus. Un contenu commercial ou pédagogique, relu et validé avant publication, n'a pas à être étiqueté. C'est la relecture qui fait la différence.

Dois-je former mes équipes à l'intelligence artificielle ?

Oui, mais l'obligation est légère : il s'agit de prendre des mesures pour développer cette maîtrise, pas d'en garantir le résultat. Une note interne, une réunion de sensibilisation ou une charte d'usage, datée et conservée, suffit à démontrer la démarche. Ne rien faire du tout reste un manquement.

Quelle amende une PME risque-t-elle vraiment ?

La sanction prévue est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour une grande entreprise, on retient le montant le plus élevé ; pour une PME, le plus bas. Sur 2 millions d'euros de chiffre d'affaires, cela fait 60 000 euros, pas 15 millions.

Qui contrôle l'application de l'IA Act en France ?

La France a choisi de répartir le travail entre les autorités existantes plutôt que de créer un régulateur unique de l'IA : la répression des fraudes en coordination et interlocuteur unique, la CNIL sur la biométrie et les usages liés à l'emploi, l'Arcom sur l'intégrité de l'information, et une quinzaine d'autres sur leurs secteurs. Ce schéma attend encore son inscription complète en droit français.

L'IA Act remplace-t-il le RGPD ?

Non, les deux s'appliquent en parallèle. Si vous traitez des données personnelles avec une IA, vous devez respecter les deux textes : l'IA Act pour l'usage du système, le RGPD pour les données elles-mêmes. Un outil conforme à l'un ne l'est pas automatiquement à l'autre.

Une IA installée dans mes locaux me dispense-t-elle de l'IA Act ?

Non. Les obligations portent sur l'usage, pas sur l'endroit où tourne la machine : un assistant hébergé chez vous doit annoncer sa nature exactement comme un service en ligne. En revanche, une infrastructure locale simplifie deux points concrets de la mise en conformité : la liste de vos outils et la traçabilité des usages.