IA Act : ce qui s'applique vraiment à une PME en 2026

Les pages qui vendent une formation obligatoire au 2 août 2026 décrivent un texte qui n'existe plus sous cette forme. Le règlement européen sur l'intelligence artificielle, règlement (UE) 2024/1689, a été amendé cet été. Voici ce qu'il reste, daté, et ce qu'une PME a réellement à faire.

En une phrase. L'IA Act est le règlement (UE) 2024/1689, qui encadre la mise sur le marché et l'usage des systèmes d'intelligence artificielle dans l'Union européenne, entré en vigueur le 1er août 2024 et appliqué par étapes jusqu'en 2028. Pour une PME qui utilise des outils conçus par d'autres, trois obligations comptent : la transparence envers les personnes, le soutien à la montée en compétence des utilisateurs, et la connaissance des systèmes réellement en service.

Le calendrier après l'omnibus numérique

Le paquet dit omnibus numérique a été publié au Journal officiel de l'Union européenne le 24 juillet 2026. Il reporte une partie des échéances et en laisse d'autres intactes.

• 1er août 2024 : entrée en vigueur du règlement, avec une application échelonnée.
• 2 février 2025 : entrée en application de l'article 4, la maîtrise de l'IA.
• 2 août 2026 : application générale, dont l'article 50 sur la transparence. Cette date n'a pas été reportée.
• 2 décembre 2026 : nouvelle pratique interdite ajoutée par l'omnibus, et obligation transitoire de l'article 50, paragraphe 2, pour certains systèmes déjà sur le marché.
• 1er août 2027 : échéance donnée à la Commission pour publier ses lignes directrices sur la classification des systèmes à haut risque.
• 2 août 2027 : modèles à usage général mis sur le marché avant le 2 août 2025 soumis au règlement, et au moins un bac à sable réglementaire opérationnel par État membre.
• 2 décembre 2027 : obligations haut risque pour les systèmes de l'annexe III, reportées depuis août 2026.
• 2 août 2028 : mêmes obligations pour les systèmes de l'annexe I.

Retenez la ligne du 2 août 2026. Le report concerne le haut risque, pas la transparence.

L'article 4 a été réécrit, et dans le sens de l'allègement

C'est le point que la plupart des pages françaises sur le sujet ont manqué. Le texte initial demandait aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent leurs systèmes. L'omnibus remplace cette formulation par une obligation de soutenir le développement de cette maîtrise, et précise qu'elle n'impose pas de garantir un niveau donné à chaque personne. Un nouveau paragraphe confie à la Commission et aux États membres un rôle d'orientation.

L'obligation existe toujours. Elle a changé de nature : d'une obligation de résultat portant sur chaque salarié, elle est passée à une obligation de moyens portant sur l'organisation. Personne ne vous demandera de prouver que votre assistante de direction a atteint un niveau certifié.

Conséquence commerciale, et elle vaut d'être dite franchement : si un prestataire vous vend une formation en agitant une sanction automatique au 2 août 2026 sur le fondement de l'article 4, il décrit une version du texte antérieure à juillet 2026.

Ce qui vous concerne si vous utilisez l'IA sans en fabriquer

La quasi-totalité des PME se trouvent dans la catégorie des déployeurs : elles utilisent des systèmes conçus par d'autres. Trois choses les concernent directement.

La transparence envers les personnes. L'article 50 impose d'informer quand une personne interagit avec un système d'IA, et de signaler certains contenus produits par une machine. Un service client adossé à un agent conversationnel entre dans ce champ.

La maîtrise de l'IA, version 2026. Montrer que l'organisation soutient la montée en compétence de ceux qui manipulent ces outils. Une trace écrite des sessions tenues, de leur contenu et des participants suffit à démontrer le moyen employé.

La connaissance de ce que vous utilisez. Avant toute question de conformité vient une question de fait : quels systèmes tournent chez vous, sur quelles données, pour quelles décisions. C'est le sujet du shadow IA, et c'est le préalable à tout le reste.

Les sanctions, et qui les prononce

Les dispositions relatives aux sanctions s'appliquent depuis le 2 août 2025, en même temps que le volet gouvernance. Les États membres devaient à cette date avoir désigné au moins une autorité de surveillance du marché et une autorité notifiante. Le Future of Privacy Forum relevait en juillet 2026 que beaucoup ne l'avaient pas encore notifié.

Autrement dit, le risque de contrôle à brève échéance reste faible, et ce n'est pas une raison d'attendre. Les obligations de transparence du 2 août 2026 s'appliquent, qu'une autorité soit désignée ou non, et elles s'opposent à vous le jour où un client ou un partenaire vous demande comment vous produisez vos documents.

Par quoi commencer, dans l'ordre

Trois gestes, dans cet ordre, couvrent l'essentiel pour une entreprise de moins de deux cent cinquante personnes.

Un, l'inventaire. La liste des systèmes utilisés, des données qu'ils traitent et des décisions qu'ils touchent. Sans elle, les deux gestes suivants se font à l'aveugle. Il alimente ensuite la feuille de route IA, où les échéances ci-dessus se posent en dates de chantier.

Deux, les règles écrites. Ce qui est autorisé, sur quelles données, avec quelle vérification humaine. Le générateur de charte IA produit ce document à partir de vos outils et de votre cadre social, et la gouvernance IA décrit qui tranche quoi avant de l'écrire.

Trois, la montée en compétence, tracée. Des sessions tenues, un contenu, une liste de présence, une date. C'est ce que l'article 4 réécrit vous demande de pouvoir montrer. La formation IA en entreprise couvre ce besoin, à condition qu'elle porte sur vos dossiers et laisse une trace.

Si l'inventaire et la hiérarchisation des usages vous demandent un regard extérieur, c'est le périmètre de l'audit IA.

Le document lui-même. Ce qu'il faut mettre dans une charte IA d'entreprise, et le cadre de confiance qui la rend tenable auprès des équipes.