L’AI Act s’applique-t-il à ma TPE ? Ce qui compte depuis le 2 août 2026

L’AI Act s’applique-t-il vraiment à une entreprise de trois personnes ?

Oui. L’AI Act, le règlement européen sur l’intelligence artificielle, ne prévoit aucun seuil de salariés ni de chiffre d’affaires. Il dépend du rôle que vous tenez, pas de votre taille.

Le texte prévoit deux rôles. Vous êtes fournisseur si vous proposez un outil d’IA sous votre nom. Vous êtes déployeur dès que vous en utilisez un dans votre activité. Par exemple : un assistant pour vos e-mails, un outil qui trie des candidatures, un chatbot (un robot qui répond aux questions) sur votre site. Presque toutes les TPE, les très petites entreprises, sont déployeurs.

Un déployeur a bien moins d’obligations : la charge pèse d’abord sur ceux qui construisent et vendent les outils. Vous diffusez sous votre marque un assistant IA qui agit à votre place ? Vérifiez votre rôle avant la mise en ligne.

Qu’est-ce qui s’applique déjà, et qu’est-ce qui a été reporté ?

Trois dates comptent déjà :

• Depuis le 2 février 2025, certains usages de l’IA sont interdits (article 5). Vos équipes doivent aussi apprendre à s’en servir : c’est l’obligation de « maîtrise de l’IA ».
• Depuis le 2 août 2025, chaque pays de l’Union doit avoir fixé ses sanctions. Un usage interdit peut donc être puni depuis cette date.
• Depuis le 2 août 2026, il faut prévenir les gens quand ils ont affaire à une IA.

Cet été, un nouveau règlement européen a reporté deux échéances :

• les obligations des outils « à haut risque », comme ceux qui trient des candidatures, passent au 2 décembre 2027 ;
• celles des outils intégrés à des produits qui ont déjà leurs propres règles européennes passent au 2 août 2028.

Il n’a pas reporté l’obligation de prévenir les gens.

Ce texte du 8 juillet 2026, publié au Journal officiel de l’UE le 24 juillet, est en vigueur depuis le 27 juillet (règlement (UE) 2026/1744).

Il assouplit aussi la maîtrise de l’IA. Vous n’avez plus à garantir un niveau de compétence, mais à prendre des mesures pour le favoriser.

Quels usages de l’IA sont purement et simplement interdits ?

Huit usages de l’IA sont interdits dans l’Union européenne (article 5). Le règlement de juillet 2026 en ajoute deux à partir du 2 décembre 2026 : fabriquer des images intimes ou sexuelles d’une personne sans son accord, et des images pédocriminelles. Deux des huit premiers peuvent concerner une PME ordinaire : deviner les émotions des gens au travail, et noter des personnes d’une façon qui finit par les désavantager.

La première est la plus piégeuse. Un outil qui analyse la voix ou le visage de vos salariés pour deviner leur état émotionnel est interdit. Seules exceptions : des raisons médicales ou de sécurité. Des logiciels vendus aux employeurs pour « mesurer l’engagement » des salariés entrent dans cette description.

Les amendes vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour ces usages interdits. Pour un manquement à la transparence (ne pas dire qu’une IA est à l’œuvre), c’est 15 millions ou 3 %. Pour les PME, on retient le plus faible des deux montants.

Faut-il annoncer qu’un chatbot est une IA ?

Oui, et c’est la nouveauté du 2 août 2026. Une personne qui échange avec une IA doit le savoir dès le début, en termes clairs (article 50). Seule exception : quand c’est évident pour une personne normalement attentive.

La loi confie ce devoir au fournisseur du chatbot. Pour un outil du marché, c’est l’entreprise qui le vend. Pour un chatbot fait pour vous et mis en service sous votre nom, c’est vous. Dans les deux cas, vérifiez que la phrase d’accueil le dit.

Pour les contenus, le devoir est bien le vôtre. Une image, une vidéo ou une voix fabriquée par une IA, et qui pourrait passer pour vraie (une personne, un lieu ou un événement réels), doit être signalée. C’est aussi le cas d’un texte écrit par une IA et publié pour informer le public sur un sujet d’intérêt général, sauf si une personne l’a relu et en répond.

Deux vérifications suffisent, et elles prennent une heure :

• Votre chatbot. Une phrase d’accueil qui annonce un assistant automatique, et un moyen de joindre un humain. Un assistant IA bien conçu le fait par défaut.
• Vos images fabriquées par IA. Site, réseaux sociaux, avatars : signalez ce qui est produit par une IA et pourrait passer pour vrai.

Suis-je concerné par les outils « à haut risque » ?

Un seul cas touche souvent les PME : le recrutement. Le texte classe à haut risque les outils d’IA qui servent à publier des offres d’emploi, trier des candidatures ou évaluer des candidats (annexe III). Il vise aussi ceux qui aident à prendre des décisions sur la relation de travail.

Un logiciel qui note ou classe des CV en fait partie. Ses obligations arrivent le 2 décembre 2027 : c’est un délai, pas une dispense.

Le RGPD, lui, s’applique déjà. Trier des candidatures automatiquement suppose trois choses : une raison que la loi admet, l’information des candidats et une vraie intervention humaine. Notre Focus RGPD et IA détaille les points à contrôler chez un fournisseur.

Le reste de la liste (reconnaissance des personnes par leur visage ou leur corps, réseaux d’eau ou d’électricité, éducation, services essentiels, police, migration, justice) ne croise pas les usages courants d’un artisan, d’un cabinet comptable ou d’un hôtel.

Par quoi commencer, concrètement ?

Par un inventaire, pas par un projet. Dans une structure de moins de vingt personnes, trois actions couvrent l’essentiel.

1. Listez les outils d’IA vraiment utilisés. Une ligne par outil : qui s’en sert, pour quelle tâche, avec quelles données.
2. Écrivez une règle d’usage d’une page. Ce qui est permis, ce qui ne l’est pas, quelles données ne sortent jamais. Elle sert aussi de base à la formation de vos équipes, la vraie réponse à l’obligation de maîtrise de l’IA.
3. Vérifiez où vont vos données. L’AI Act encadre les usages, le RGPD encadre les données. Le Classeur est un assistant installé sur un seul ordinateur : ses données n’en sortent jamais. Nous l’avons construit pour nous, pas pour un client.

Sans outil d’IA, l’AI Act ne vous demande rien. Avec, se mettre en règle se compte en heures pour une TPE. Méfiez-vous des offres qui vendent une « certification AI Act » : elle n’existe pas pour un déployeur. En cas de doute, notre Repère sur vos données et l’IA donne les bons réflexes.