Une PME qui utilise un assistant conversationnel, un agent vocal ou un outil de tri de candidatures est un déployeur au sens du règlement européen sur l'intelligence artificielle. Ce statut détermine presque tout. L'essentiel des obligations lourdes de l'AI Act vise les fournisseurs, ceux qui conçoivent les systèmes et les mettent sur le marché. Pour un déployeur, la liste est courte, et la plus concrète s'applique depuis août 2026.
Tandem accompagne plus de 50 entreprises sur le déploiement de l'IA, et la question revient à chaque comité de direction. Voici ce qu'une PME doit réellement faire, dans l'ordre. D'abord le calendrier en vigueur après l'omnibus de juillet 2026, l'inventaire des usages et le classement par niveau de risque. Ensuite les obligations de transparence, la maîtrise de l'IA, les amendes et qui contrôle en France.
Déployeur ou fournisseur, le statut qui commande vos obligations
Le règlement européen sur l'IA distingue deux rôles. Le fournisseur développe un système d'IA et le met sur le marché sous son nom. Le déployeur utilise ce système sous sa propre autorité, dans le cadre de son activité professionnelle. Une PME qui souscrit un abonnement, branche un agent sur son site ou installe un copilote dans ses outils est déployeur, et rien d'autre.
La distinction a une conséquence pratique immédiate. La documentation technique, l'évaluation de conformité, le marquage CE et la gestion des risques du système relèvent du fournisseur. Vos salariés qui utilisent l'outil sous vos instructions ne sont pas des déployeurs distincts, et faire intervenir un prestataire pour votre compte ne déplace pas votre responsabilité.
Le calendrier de l'AI Act après l'omnibus de juillet 2026
Le règlement est entré en application par vagues depuis février 2025. Un texte correctif adopté en juillet 2026, l'omnibus numérique sur l'IA, a repoussé les échéances les plus lourdes sans toucher aux autres. Le calendrier de la CNIL a été mis à jour en août 2026 pour en tenir compte, et c'est celui qui fait foi aujourd'hui.
| Échéance | Ce qui s'applique | Une PME est-elle concernée |
|---|---|---|
| Février 2025 | Pratiques interdites et maîtrise de l'IA | Oui |
| Août 2025 | Règles sur les modèles d'IA à usage général | Non, sauf si vous entraînez un modèle |
| Août 2026 | Obligations de transparence | Oui, c'est l'échéance qui compte |
| Décembre 2026 | Marquage des systèmes déjà en service, nouvelles interdictions | Indirectement, par vos fournisseurs |
| Décembre 2027 | Systèmes à haut risque de l'annexe III | Oui si vous triez des CV ou notez des clients |
| Août 2028 | Haut risque intégré à des produits réglementés | Rarement, sauf industrie régulée |
Le report du haut risque décale l'échéance sans supprimer l'obligation. Les exigences de documentation, de supervision humaine et de journalisation restent écrites dans le texte. Une PME qui prépare un outil de tri de candidatures pour 2027 a donc un an de marge, et rien de plus.
Commencer par l'inventaire, parce que vous avez plus d'IA que vous ne croyez
Aucune des obligations suivantes ne se traite sans savoir quels outils d'IA circulent dans l'entreprise. C'est le point de départ, et c'est celui que presque personne n'a. Le baromètre France Num de septembre 2026, publié par la direction générale des Entreprises, mesure que 40 % des TPE et PME utilisent au moins une solution d'IA. La part monte à 53 % chez les PME seules, contre 26 % un an plus tôt.
J'ai publié cette carte sur LinkedIn en janvier 2026, dans ma carte des outils IA, pour montrer que le paysage s'est fragmenté par métier. Une PME qui croit utiliser un seul outil en compte souvent une dizaine, achetés par des équipes différentes, parfois sur des cartes bancaires personnelles.
L'inventaire demandé par la conformité recoupe exactement la cartographie que Tandem réalise en ouverture de chaque mission. Quels outils, dans quel service, sur quelles données, pour quelle décision. La méthode d'audit tient en trois colonnes, et elle sert à prioriser les cas d'usage autant qu'à répondre à une autorité.
Classer chaque usage par niveau de risque
Le règlement s'applique usage par usage. Le même modèle est anodin pour résumer une réunion et à haut risque pour départager deux candidats. Le classement se fait donc usage par usage, jamais outil par outil.
Trois usages fréquents en PME méritent un examen attentif, parce qu'ils basculent en haut risque en décembre 2027. Le tri automatisé de candidatures, l'évaluation ou la promotion des salariés, et le scoring d'un client pour accorder un crédit ou un délai de paiement. Les autres, rédaction, synthèse, traduction, recherche interne, génération de code, relèvent du risque minimal et ne portent aucune obligation propre.
La reconnaissance des émotions des salariés sur leur lieu de travail, elle, est interdite depuis février 2025. Un outil d'analyse de sentiment branché sur les appels d'un centre de contact mérite une vérification sérieuse avant d'aller plus loin. Les cas d'usage IA en PME en PME sont nombreux ailleurs.
Ce que l'article 50 vous oblige à afficher depuis août 2026
L'article 50 du règlement européen sur l'IA porte les obligations de transparence. C'est la partie qui s'applique vraiment à une PME aujourd'hui, et elle tient en une idée. Une personne ne doit jamais découvrir après coup qu'elle parlait à une machine ou qu'elle regardait un contenu fabriqué.
Dans le détail, le fait d'informer qu'un système converse avec un humain pèse sur le fournisseur du système. L'étiquetage d'un deepfake et celui d'un texte publié pour informer le public pèsent sur vous, le déployeur. Selon la FAQ de la Commission, le marquage lisible par machine posé par l'éditeur reste insuffisant à lui seul. Une mention visible ou audible doit apparaître dès la première exposition.
En pratique, trois chantiers suffisent à une PME. Une phrase d'ouverture sur le chatbot du site. Une mention sur les visuels et les voix de synthèse publiés en communication. Une règle écrite sur les contenus éditoriaux assistés par IA, avec un responsable nommé.
La maîtrise de l'IA, une obligation de moyens depuis février 2025
L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures favorisant la maîtrise de l'IA chez leurs équipes. L'omnibus de juillet 2026 l'a réécrit et sa version en vigueur précise désormais qu'aucun niveau précis n'a à être garanti pour un individu donné. L'obligation porte sur les mesures prises, proportionnées au contexte d'utilisation et au public concerné.
Une PME répond donc avec peu de choses, à condition de les écrire. Une session de sensibilisation datée, avec la liste des présents. Une note interne qui dit quels outils sont autorisés et sur quelles données. Un référent identifié vers qui remonter une question. Trois documents, et la preuve existe.
Le piège est de confondre cette obligation avec un budget de formation. Sur nos missions, ce qui installe vraiment l'usage tient du rituel. Une session inspire, un rituel installe. Notre parcours d'acculturation part de là, et il sert la conformité par ricochet plutôt que l'inverse.
Les amendes, et pourquoi le plafond se lit à l'envers pour une PME
Le règlement prévoit trois niveaux de sanction. Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite. Jusqu'à 15 millions d'euros ou 3 % pour les obligations du déployeur et la transparence. Jusqu'à 7,5 millions d'euros ou 1 % pour une information erronée transmise à une autorité.
Pour une PME, et depuis l'omnibus pour les petites entreprises de taille intermédiaire, le montant retenu est le plus bas des deux. Une grande entreprise se voit appliquer le plus élevé. L'écart est considérable et il est rarement expliqué. Les autorités doivent par ailleurs tenir compte de la proportionnalité, de la taille de l'entreprise et de sa coopération.
Qui contrôle l'AI Act en France ?
La réponse honnête, en novembre 2026, est que la désignation n'est pas encore bouclée. Le texte qui la porte est le projet de loi d'adaptation au droit de l'Union européenne. Il a été adopté par le Sénat en février 2026, puis transmis à l'Assemblée nationale, où il attend son examen. La France aurait dû notifier ses autorités à la Commission avant août 2025.
Le schéma qui se dessine répartit le travail. La direction générale de la Concurrence, de la Consommation et de la Répression des fraudes coordonnerait et servirait de point de contact. La CNIL prendrait les systèmes touchant aux données personnelles et à la biométrie. L'Arcom suivrait la transparence des contenus, et l'Autorité de contrôle prudentiel et de résolution le crédit et l'assurance.
La checklist AI Act en dix points pour une PME
- Recensez vos outils d'IA, service par service, abonnements personnels compris.
- Qualifiez votre rôle pour chacun, déployeur dans la quasi-totalité des cas.
- Classez chaque usage selon les quatre niveaux de risque, et non chaque outil.
- Vérifiez l'absence de pratique interdite, en particulier l'analyse des émotions des salariés.
- Affichez l'IA sur vos canaux publics, chatbot, agent vocal, visuels et voix de synthèse.
- Écrivez votre règle éditoriale sur les contenus assistés par IA, avec un responsable nommé.
- Datez vos actions de sensibilisation et gardez la liste des participants.
- Publiez une note d'usage interne qui dit ce qui est autorisé et sur quelles données.
- Conservez les notices de vos fournisseurs et utilisez les outils conformément à leur destination.
- Repérez vos futurs usages à haut risque et donnez-vous l'échéance de décembre 2027.
Ces dix points se tiennent dans un document unique, tenu à jour deux fois par an. La difficulté est organisationnelle avant d'être réglementaire, et elle rejoint la question de qui décide quoi sur l'IA dans l'entreprise.
Faut-il mettre sa PME en conformité avec l'AI Act dès maintenant ?
Oui, et le travail est plus léger que sa réputation. Pour une PME déployeuse, la conformité tient en un inventaire, trois mentions de transparence et deux notes internes. Comptez une demi-journée pour la première version, quelques heures par semestre ensuite.
Le vrai bénéfice est ailleurs. Sur une centaine de missions, l'inventaire des usages révèle toujours les mêmes choses. Des doublons d'abonnements, des données sensibles qui circulent dans des outils non validés, et deux ou trois cas d'usage à fort impact que personne n'avait vus. La conformité paye son coût en visibilité, avant même de parler de risque.
Ce qui ne doit pas attendre, c'est la préparation des usages qui basculeront en haut risque en décembre 2027. Tri de candidatures, évaluation des salariés, scoring de clients. Si l'un de ces chantiers est dans vos cartons, un audit IA est le moment d'en poser les garde-fous, tant que le système n'est pas encore en production.
