Mise en conformité AI Act : ce que votre PME doit faire depuis le 2 août 2026

Le 2 août 2026 est une date structurante du calendrier AI Act mais pas pour la raison qu’on lit partout.

Le Digital Omnibus, adopté définitivement par le Parlement européen le 16 juin et par le Conseil le 29 juin 2026, a modifié le calendrier initial. Les obligations pour les déployeurs de systèmes à haut risque ne s’appliquent plus au 2 août 2026.

Le calendrier est désormais le suivant :

• Systèmes à haut risque relevant de l’annexe III (RH, scoring crédit, éducation, services essentiels) : 2 décembre 2027
• Systèmes à haut risque intégrés à des produits réglementés relevant de l’annexe I (dispositifs médicaux, équipements de sécurité) : 2 août 2028

Soit un report de 16 mois pour l’annexe III. Vous avez du temps mais pas un répit.

Ce qui entre en vigueur aujourd’hui en revanche n’a pas bougé : les obligations GPAI pour les fournisseurs de modèles et les obligations de transparence de l’article 50. Ces deux blocs s’appliquent au 2 août 2026, report ou pas.

C’est pour cela qu’agir maintenant est stratégique. Pas sous la pression d’une sanction imminente, mais parce que la préparation prend du temps, et que l’écosystème commercial n’attend pas les autorités de surveillance.

Voici ce sur quoi votre PME doit porter son attention ce mois-ci.

Ce qui entre réellement en vigueur le 2 août 2026

Ce mois-ci, ce sont les fournisseurs de modèles d’IA à usage général (GPAI) qui basculent dans un nouveau régime d’obligations : OpenAI, Google, Anthropic, Mistral et les autres doivent désormais publier une documentation technique sur leurs modèles, respecter le droit d’auteur européen dans leurs données d’entraînement, et communiquer un résumé des données utilisées pour entraîner le modèle.

Pour votre PME, ce basculement crée trois effets concrets.

Vos fournisseurs doivent abattre leurs cartes

Vous avez désormais le droit d’exiger une documentation claire sur les modèles qui font tourner vos outils SaaS. Si votre fournisseur ne peut pas vous la fournir, c’est un signal d’alerte contractuel et le moment de revoir vos DPA.

L’obligation de littératie IA est déjà active

Depuis le 2 février 2026, l’article 4 de l’AI Act impose à tout employeur déployant de l’IA de s’assurer que ses collaborateurs disposent d’un niveau suffisant de compétence pour utiliser ces outils. Ce n’est pas une obligation de formation formelle mais de vigilance documentée. Si des outils à fort enjeu décisionnel sont entre des mains non sensibilisées, vous êtes déjà en défaut.

Le compte à rebours 2027 est lancé

Les obligations formelles pour les déployeurs de systèmes haut risque arrivent en août 2027 mais cartographier vos usages, mettre en place une supervision humaine documentée, former vos équipes : ça ne se fait pas en une semaine. Les PME qui commencent en août 2026 arriveront prêtes. Les autres subiront.

Pour comprendre la trajectoire réglementaire complète, calendrier 2025-2027, distinction provider/déployeur, articulation RGPD/AI Act, consultez le dossier de référence : AI Act et entrepreneurs : obligations concrètes en 2026.

Ici, concentrons-nous sur ce que votre PME doit faire ce mois-ci.

Ce que l’AI Act impose déjà à votre PME

Avant même l’échéance 2027, deux obligations s’appliquent dès maintenant à toute entreprise qui utilise l’IA professionnellement.

La littératie IA (art. 4)

Tout employeur qui déploie des systèmes d’IA doit veiller à ce que les personnes qui les utilisent comprennent leurs capacités, leurs limites et les risques associés.

En pratique : identifier qui dans vos équipes utilise des outils IA dans des contextes décisionnels, et documenter les mesures de sensibilisation mises en place.

Ce n’est pas une obligation de résultat sur le niveau de compétence mais de diligence sur la démarche. Un collaborateur qui utilise un outil de présélection RH ou de scoring commercial sans en comprendre les biais potentiels et les limites expose déjà votre entreprise.

La transparence sur les systèmes d’IA (art. 50)

C’est l’obligation la plus large et la plus immédiatement opérationnelle pour les PME. Elle couvre quatre situations concrètes :

1. Chatbot ou agent conversationnel en contact avec des clients ou prospects : ces personnes doivent être informées qu’elles interagissent avec un système d’IA, de façon claire, au moment de l’interaction, pas dans une note de bas de page.
2. Synthèse vocale ou clonage de voix dans vos communications : l’origine artificielle du contenu doit être signalée.
3. Images, vidéos ou contenus audio générés par IA pour vos communications marketing, vos réseaux sociaux, vos supports commerciaux : ces contenus doivent être marqués comme tels. Le watermarking n’est pas encore une obligation technique uniformisée, mais l’exigence de signalement est applicable maintenant.
4. Manipulation de l’image ou de la voix d’une personne réelle dans du contenu publicitaire, une vidéo de témoignage reconstituée, un avatar : vous entrez dans le périmètre des deepfakes au sens de l’AI Act. L’obligation de signalement est stricte, avec des exceptions limitées aux usages journalistiques ou artistiques clairement encadrés.

Ces obligations s’appliquent indépendamment du niveau de risque de vos systèmes. Une PME qui n’utilise aucun outil haut risque au sens de l’annexe III peut tout à fait avoir des obligations actives au titre de l’article 50.

Ce qui arrive en 2027 et pourquoi vous préparer maintenant

En décembre 2027, les obligations complètes pour les déployeurs de systèmes à haut risque (annexe III) entreront en vigueur. Ces systèmes couvrent notamment les outils RH (recrutement, présélection, évaluation des performances), les systèmes de scoring crédit ou de solvabilité, et les outils de décision dans les services essentiels.

Pour ces systèmes, quatre obligations s’appliqueront aux déployeurs :

Supervision humaine documentée. La décision finale ne peut pas reposer uniquement sur la sortie du système. Un collaborateur compétent doit examiner le résultat, être en mesure de le contester, et avoir l’autorité réelle de passer outre. Une validation systématique sans examen réel ne satisfait pas l’exigence.

Information des personnes concernées. Candidats, collaborateurs, clients : lorsqu’une décision les affectant est influencée par un système automatisé, ils doivent en être informés. Clairement, pas noyé dans des CGU de quarante pages.

Registre d’utilisation. Vos usages des systèmes à haut risque doivent être documentés : quand, comment, par qui, pour quelles décisions.

Coopération avec les autorités. En cas de contrôle, vous devez pouvoir présenter votre cartographie des usages, vos mesures de supervision, vos contrats fournisseurs. Ce qui n’est pas tracé n’existe pas.

Ces obligations demandent une architecture organisationnelle et pas seulement une action de dernière minute. Un an, ça paraît long. En pratique, entre la cartographie des usages, la revue des DPA, la mise en place de la supervision humaine et la formation des équipes, ce délai est juste.

Les trois erreurs à ne pas commettre

« Mon fournisseur est conforme, donc je n’ai rien à faire. » La conformité du provider ne se transfère pas au déployeur. Vos obligations vous appartiennent en propre et elles ne peuvent pas être sous-traitées à OpenAI ou Microsoft, même contractuellement.

« Mes usages sont trop modestes pour être dans le radar. » Ce qui détermine vos obligations, c’est la nature de l’usage, pas la taille de votre structure. Un freelance RH qui utilise un outil automatisé de présélection de candidatures est soumis aux mêmes exigences qu’une grande entreprise. Et la vraie cartographie IA d’une PME révèle presque toujours des outils oubliés : un CRM avec scoring, un outil de support avec routage algorithmique, une solution RH avec présélection automatique.

« Je verrai quand les sanctions tomberont. » La vraie exposition à court terme ne vient pas des autorités de surveillance, mais de vos clients et partenaires. Un client grands comptes qui demande une attestation de gouvernance IA avant de signer, un investisseur qui conditionne sa due diligence à une documentation structurée : ces situations arrivent dès maintenant, bien avant toute sanction réglementaire formelle.

Par où commencer : quatre actions pour août 2026

Sensibiliser et documenter (Littératie IA)

Assurez-vous que les collaborateurs utilisant des outils IA (même Canva, ChatGPT ou votre CRM) comprennent les consignes de sécurité (pas de données personnelles confidentielles saisies) et les limites de l’outil. Conservez une preuve de cette note interne ou de ce temps d’échange.

Auditer vos DPA fournisseurs

Le basculement GPAI du 2 août est le meilleur prétexte pour passer en revue vos contrats avec vos principaux fournisseurs IA. Cinq points à contrôler : clause d’opt-out entraînement, durée de rétention des données, droit d’audit ou d’accès à des rapports tiers, limitation de responsabilité, liste des sous-traitants avec garanties de transfert.

Cartographier vos usages IA

Tous, y compris les informels. Pour chaque outil : est-ce qu’il influence des décisions affectant des personnes dans un contexte RH, crédit, éducation ou services essentiels ? Qui l’utilise, dans quelles conditions, avec quel niveau de supervision ? Cette cartographie est le point de départ de tout le reste.

Documenter dans un cadre centralisé

Cartographie des usages et niveau de risque, scoring fournisseurs, registre de suivi, politique interne IA formalisée. Quatre éléments suffisent pour la grande majorité des PME, à condition qu’ils existent, soient à jour, et soient accessibles en cas de contrôle ou de demande client.

Ce que cet article ne fait pas à votre place

Lire vos DPA, identifier vos outils à risque, formaliser votre supervision humaine, rédiger votre politique interne IA : ce sont des actions qui demandent une analyse de votre situation spécifique.

C’est l’objet du Pack Gouvernance IA : un espace Notion opérationnel pour cartographier vos usages et scorer vos fournisseurs, des modèles juridiques prêts à l’emploi, et une session de validation avec une juriste pour s’assurer que rien d’essentiel n’a été manqué. Un cadre complet pour arriver à l’échéance 2027 sans précipitation.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain