IA Act :
ce qui s'applique vraiment
à votre PME en 2026

L'IA Act est le règlement (UE) 2024/1689 du Parlement européen et du Conseil, entré en vigueur le 1^er août 2024. C'est un règlement, pas une directive : il s'applique directement en France, sans loi de transposition. Personne n'a besoin d'attendre un texte national pour être soumis à ses obligations.

Il ne régule pas l'intelligence artificielle en général, mais les systèmes d'IA mis sur le marché ou utilisés dans l'Union européenne, selon leur niveau de risque et selon le rôle que vous jouez. Une PME de 12 personnes qui utilise Microsoft Copilot n'a pas les mêmes obligations qu'un éditeur qui vend un logiciel de tri de CV. Cette distinction de rôle est la première chose à établir : elle décide si vous devez produire une documentation technique complète ou simplement informer vos utilisateurs.

C'est le point que la quasi-totalité des contenus français ignore encore. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « Digital Omnibus on AI », a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il modifie l'IA Act, ainsi que les règlements (UE) 2018/1139 et (UE) 2023/1230.

C'est la première modification d'ampleur de l'IA Act depuis son adoption, et elle reporte le cœur du dispositif : les obligations applicables aux systèmes à haut risque. Le report est acquis à dates fixes, sans condition liée à la publication des normes harmonisées, contrairement à ce que la Commission avait initialement proposé.

L'IA Act repose sur quatre niveaux. La très grande majorité des usages d'une PME française relève du risque minimal ou du risque limité. Vous n'avez pas besoin d'un cabinet d'avocats pour trancher les cas évidents, mais vous devez faire l'exercice et le tracer par écrit.

Posez les quatre questions dans l'ordre. La première réponse positive détermine votre catégorie.

Question 1. Le système fait-il de la notation sociale, de l'exploitation de vulnérabilités, de la manipulation subliminale, de la reconnaissance des émotions au travail ou en éducation, de la catégorisation biométrique sur des critères sensibles, ou du moissonnage non ciblé d'images faciales ? Si oui : pratique interdite, arrêt immédiat.

Question 2. Le système est-il un composant de sécurité d'un produit couvert par l'annexe I (machine, dispositif médical, jouet, ascenseur), ou relève-t-il d'un des domaines de l'annexe III (emploi, éducation, crédit, assurance, services publics essentiels, biométrie, application de la loi, justice, migration) ? Si oui : haut risque.

Question 3. Le système interagit-il directement avec des personnes, génère-t-il des contenus synthétiques, ou produit-il des deepfakes ? Si oui : risque limité, obligations de transparence de l'article 50.

Question 4. Sinon : risque minimal, aucune obligation technique spécifique, à l'exception de l'article 4 sur la maîtrise de l'IA, qui s'applique quel que soit le niveau de risque. Le RGPD, le droit du travail et le droit de la consommation continuent par ailleurs de s'appliquer pleinement.

La réponse tient en une phrase : le régime de contrôle et de sanction est désormais actif, mais l'essentiel des obligations techniques « haut risque » ne l'est pas encore. Les pouvoirs de surveillance du marché sont applicables dans l'Union depuis le 2 août 2026. En France, leur exercice suppose toutefois la désignation des autorités compétentes et l'adoption du volet national de sanctions, toujours en cours à ce jour. Peuvent agir dès maintenant les autorités déjà compétentes sur leurs propres textes (la CNIL sur le RGPD, l'ACPR, l'AMF, l'Arcom, l'ANSM) ainsi que la Commission européenne sur les modèles à usage général.

Sur les sanctions, il faut être précis, car un chiffre faux circule massivement. Le plafond de « 30 M€ ou 6 % » vient de la proposition de règlement de 2021 et n'a jamais été le droit applicable. Le texte définitivement adopté, à son article 99, retient des montants plus élevés.

Nous sommes un organisme de formation, et nous allons quand même vous dire la vérité sur ce point : l'article 4 ne prévoit aucune amende dédiée. Le « 7,5 M€ ou 1,5 % du chiffre d'affaires » que l'on lit un peu partout pour justifier des devis de formation est faux. L'article 99, qui fixe les sanctions, ne cite pas l'article 4 dans sa liste de manquements sanctionnables.

Il faut ajouter que l'article 4 a été assoupli par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026. L'obligation de « garantir un niveau suffisant » de maîtrise de l'IA est devenue une obligation de prendre des mesures pour favoriser le développement de cette maîtrise. C'est passé d'une obligation de résultat à une obligation de moyens.

L'obligation reste juridiquement contraignante pour tous les fournisseurs et tous les déployeurs, quel que soit le niveau de risque du système. Elle est simplement moins exigeante dans sa formulation, et depuis le 2 août 2026 les autorités nationales disposent des pouvoirs pour la contrôler. Le vrai coût du défaut de formation n'est donc pas l'amende de l'IA Act. Il est ailleurs, et il est plus concret.

La France a du retard sur ce point, et il faut le dire clairement. Le règlement imposait aux États membres de désigner leurs autorités nationales compétentes pour le 2 août 2025 ; à la date de publication de cet article, le dispositif français n'est pas définitivement arrêté.

La Direction générale des Entreprises et la DGCCRF ont publié un projet de désignation le 9 septembre 2025, fondé sur une régulation sectorielle mobilisant une quinzaine d'autorités existantes plutôt que sur un régulateur unique. Le volet numérique du projet de loi d'adaptation au droit de l'Union européenne, qui confie à la CNIL des compétences de surveillance du marché en modifiant la loi Informatique et Libertés, a été adopté par le Sénat le 17 février 2026 et poursuit son parcours parlementaire. Ce retard ne vous protège pas : le règlement s'applique directement, et les autorités sectorielles disposent déjà de leurs pouvoirs propres, notamment la CNIL sur le terrain du RGPD.

Le report des obligations « haut risque » vous offre seize mois de marge sur la partie la plus lourde. Il ne vous dispense de rien sur la partie déjà applicable. Voici ce qui a réellement du sens pour une entreprise de 10 à 250 salariés, classé par rapport effort sur bénéfice.

Si vous êtes concerné par l'annexe III, ne consommez pas les seize mois de report. La constitution d'un système de gestion des risques, d'une documentation technique et d'une gouvernance des données prend des mois, et les normes harmonisées seront publiées tardivement. Démarrer en 2027 est une mauvaise idée.

Pour aller plus loin sur la méthode, consultez notre dossier conformité IA et notre offre d'audit et stratégie IA.

Sur un sujet juridique, ne faites confiance à personne sans source. Voici les textes et les pages officielles auxquels se référer.

• Règlement (UE) 2024/1689 (IA Act), texte consolidé sur EUR-Lex
• Règlement (UE) 2026/1744 du 8 juillet 2026 (Digital Omnibus on AI), JOUE du 24 juillet 2026
• Commission européenne, questions-réponses sur la maîtrise de l'IA (article 4)
• CNIL, thématiques prioritaires de contrôle 2026, publiées le 3 avril 2026
• CNIL, dossier intelligence artificielle
• DGE et DGCCRF, projet de désignation des autorités nationales, 9 septembre 2025

Cet article a une valeur informative et ne constitue pas un conseil juridique. Pour une qualification engageante de vos systèmes, en particulier si vous relevez de l'annexe III, consultez un avocat spécialisé.