L’AI Act s’applique-t-il à ma TPE ? Ce qui compte depuis le 2 août 2026

L’AI Act s’applique-t-il vraiment à une entreprise de trois personnes ?

Oui. Le règlement européen sur l’intelligence artificielle, dit AI Act, ne prévoit aucun seuil d’effectif ni de chiffre d’affaires : il s’applique selon le rôle que vous tenez, pas selon la taille.

Deux rôles existent, et la quasi-totalité des TPE tient le second. Vous êtes fournisseur si vous mettez un système d’IA sur le marché sous votre nom. Vous êtes déployeur dès que vous en utilisez un dans votre activité : un assistant conversationnel pour vos e-mails, un outil qui trie des candidatures, un chatbot posé sur votre site.

Les obligations d’un déployeur sont sans commune mesure avec celles d’un fournisseur : la charge pèse d’abord sur ceux qui construisent et vendent les modèles. Si vous diffusez un agent sous votre marque, la question du rôle se pose avant la mise en ligne.

Qu’est-ce qui s’applique déjà, et qu’est-ce qui a été reporté ?

Deux blocs sont en vigueur aujourd’hui. Depuis le 2 février 2025 : les pratiques interdites de l’article 5 et l’obligation de maîtrise de l’IA. Depuis le 2 août 2026 : les obligations de transparence de l’article 50, la surveillance du marché et le régime de sanctions au niveau national.

Le calendrier a bougé cet été. Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l’Union européenne le 24 juillet et entré en vigueur le 27 juillet, reporte les obligations des systèmes à haut risque de l’annexe III au 2 décembre 2027, et celles des systèmes intégrés à des produits déjà réglementés au 2 août 2028. Le même texte assouplit l’obligation de maîtrise de l’IA : il ne s’agit plus de garantir un niveau de compétence, mais de prendre des mesures pour le favoriser.

Un report n’est pas une annulation : une entreprise qui trie des candidatures a jusqu’à décembre 2027, pas une dispense.

Quelles pratiques sont purement et simplement interdites ?

L’article 5 interdit huit usages de l’IA dans l’Union européenne, quelle que soit la taille de l’entreprise. Deux croisent la route d’une PME ordinaire : la reconnaissance des émotions au travail, et la notation des personnes conduisant à un traitement défavorable.

La première est la plus piégeuse. Un outil qui analyse la voix ou le visage de vos salariés pour en déduire leur état émotionnel est interdit, sauf raisons médicales ou de sécurité. Des solutions de « mesure de l’engagement » vendues aux employeurs entrent dans cette description.

Les amendes atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements à la transparence. Pour les PME, c’est le plus faible des deux montants qui est retenu.

Faut-il annoncer qu’un chatbot est une IA ?

Oui, et c’est la nouveauté du 2 août 2026. L’article 50 impose d’informer l’utilisateur d’un système conversationnel dès le début de l’échange, en termes clairs, sauf si la situation est manifestement évidente pour un utilisateur normalement attentif.

La même logique s’applique aux contenus. Une image, une vidéo ou une voix générée qui imite une personne réelle doit être signalée, tout comme un texte d’information publié sans relecture humaine.

Deux vérifications suffisent, et elles prennent une heure :

• Votre chatbot. Une phrase d’accueil qui annonce l’assistant automatisé, et un moyen d’atteindre un humain. Un agent IA bien conçu le fait par défaut.
• Vos visuels générés. Site, publications sociales, avatars : signalez ce qui est produit par une IA et met en scène une personne.

Suis-je concerné par les systèmes « à haut risque » ?

Un seul cas concerne fréquemment les PME : le recrutement. L’annexe III classe à haut risque les systèmes d’IA utilisés pour publier des offres, filtrer des candidatures, évaluer des candidats ou prendre des décisions affectant la relation de travail.

Un logiciel qui note ou classe des CV entre dans cette catégorie, avec des obligations applicables au 2 décembre 2027. Le RGPD, lui, s’applique déjà : trier des candidatures automatiquement suppose une base légale, une information des candidats et une intervention humaine réelle. Notre Focus RGPD et IA, ce qu’une TPE doit vérifier avant de se lancer détaille les points à contrôler chez un fournisseur.

Le reste de l’annexe III vise la biométrie, les infrastructures critiques, l’éducation, l’accès aux services essentiels, la police, la migration et la justice : rien qu’un artisan, un cabinet comptable ou un hôtel croise dans ses usages courants.

Par quoi commencer, concrètement ?

Par un inventaire, pas par un projet. Trois actions couvrent l’essentiel dans une structure de moins de vingt personnes.

1. Listez les outils d’IA réellement utilisés. Une ligne par outil : qui s’en sert, pour quelle tâche, avec quelles données. Cet inventaire révèle presque toujours des usages que la direction ignorait.
2. Écrivez une note d’usage d’une page. Ce qui est autorisé, ce qui ne l’est pas, quelles données ne sortent jamais. Elle vaut mieux qu’une politique que personne ne lit, et nourrit la formation de vos équipes, vraie réponse à l’obligation de maîtrise de l’IA.
3. Vérifiez où vont vos données. L’AI Act encadre les usages, le RGPD encadre les données. Notre Repère vos données et l’IA, peuvent-elles fuiter ou ressortir pose les bons réflexes, et notre démonstrateur Le Classeur montre un assistant dont les données ne quittent jamais la machine.

Un point d’honnêteté pour finir : sans outil d’IA, l’AI Act ne vous demande rien, et avec, la mise en conformité d’une TPE se compte en heures. Méfiez-vous des offres qui vendent une « certification AI Act » : elle n’existe pas pour un déployeur. En cas de doute, un point de conformité et souveraineté IA tranche vite.