TL;DR — L'essentiel en 30 secondes
- 2 août 2026 : application générale du Règlement (UE) 2024/1689 pour les systèmes d'IA à haut risque, y compris ceux fondés sur des modèles GPAI intégrés.
- 2 août 2025 : entrée en vigueur des obligations spécifiques aux fournisseurs de modèles d'IA à usage général (GPAI), avec déclaration auprès de l'AI Office.
- Sanctions : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (Article 99) ; 15 M€ ou 3 % pour les manquements GPAI (Article 101).
- AI Office et AI Act Service Desk publient des FAQ et templates de référence.
- Action prioritaire 2026 : cartographier les systèmes GPAI intégrés, documenter les usages, formaliser la chaîne de responsabilités entre fournisseur et déployeur.
1. Qu'est-ce que la deadline de l'AI Act 2026 pour les PME ?
Le Règlement (UE) 2024/1689, dit EU AI Act, est entré en vigueur le 1ᵉʳ août 2024. Son application est échelonnée. Pour les PME françaises, la date charnière à retenir est le 2 août 2026 : c'est à cette date que la majorité des obligations du règlement deviennent contraignantes, notamment celles applicables aux systèmes d'IA à haut risque listés à l'Annexe III.
Cette deadline ne concerne pas uniquement les éditeurs d'IA. Elle s'applique à toute PME qui déploie un système d'IA dans un cas d'usage à haut risque — gestion RH, scoring crédit, accès à des services essentiels, biométrie, infrastructures critiques.
1.1 Le calendrier exact à mémoriser
| Date | Obligation | Base juridique |
|---|---|---|
| 2 février 2025 | Interdiction des pratiques prohibées (manipulation, notation sociale, biométrie en temps réel) | Art. 5 |
| 2 août 2025 | Règles GPAI applicables aux nouveaux modèles + désignation des autorités nationales | Art. 53, 56, 70 |
| 2 août 2026 | Application générale (haut risque Annexe III, transparence, gouvernance) | Art. 113 |
| 2 août 2027 | Haut risque "produits réglementés" (Annexe I) — dispositifs médicaux, jouets, machines | Art. 113(c) |
| 2 août 2027 | Mise en conformité des modèles GPAI mis sur le marché avant le 2 août 2025 | Art. 111(3) |
Source : Article 113 du Règlement (UE) 2024/1689.
1.2 Pourquoi les PME de 10 à 250 salariés sont concernées
L'AI Act ne prévoit aucune exemption générale pour les PME. L'Article 62 introduit des mesures de soutien (accès prioritaire aux bacs à sable réglementaires, frais d'évaluation de conformité réduits), mais aucune dispense d'obligation.
Trois profils typiques sont exposés :
- PME déployeur : utilise un outil GPAI (ChatGPT Enterprise, Mistral Large, Claude, Gemini) pour un cas d'usage à haut risque sans le savoir.
- PME intégrateur : embarque un modèle GPAI dans un produit ou service vendu à ses clients.
- PME fournisseur : développe son propre modèle ou un système d'IA spécialisé fondé sur du fine-tuning.
Pour situer ces rôles, consultez notre pillar AI Act PME France.
2. Les systèmes GPAI concernés : quels sont-ils ?
Le terme GPAI désigne un General-Purpose AI model — modèle d'IA à usage général. L'Article 3(63) du règlement le définit comme un modèle « qui présente une généralité significative et est capable d'exécuter de manière compétente un large éventail de tâches distinctes ».
2.1 Distinguer modèle GPAI et système GPAI
Cette distinction est juridiquement structurante.
| Élément | Modèle GPAI (Art. 3(63)) | Système GPAI (Art. 3(66)) |
|---|---|---|
| Nature | Composant technique brut (poids, architecture) | Modèle + interface utilisateur + intégration |
| Exemples | GPT-4o, Claude Opus 4, Mistral Large 2, Llama 3 | ChatGPT, Claude.ai, Le Chat, Copilot |
| Régime applicable | Art. 51 à 56 | Selon usage : haut risque (Art. 6) ou transparence (Art. 50) |
| Acteur responsable | Fournisseur du modèle | Fournisseur du système + déployeur |
Une PME française est rarement fournisseur de modèle. Elle est presque toujours déployeur de système.
2.2 Quand un déploiement GPAI devient-il "haut risque" ?
Un usage devient haut risque lorsqu'il relève de l'Annexe III du règlement. Pour une PME, les cas concrets les plus fréquents :
- Ressources humaines : tri automatique de CV, scoring de candidats, évaluation de performance (Annexe III, point 4).
- Crédit et solvabilité : scoring client, décision d'octroi de financement BtoB (Annexe III, point 5(b)).
- Services essentiels : décision automatisée d'accès à l'assurance santé/vie, tarification (Annexe III, point 5).
- Éducation et formation : évaluation des apprenants, admission, surveillance d'examens (Annexe III, point 3).
- Biométrie : identification, catégorisation, reconnaissance d'émotions (Annexe III, point 1).
Un assistant conversationnel utilisé en interne pour de la rédaction d'emails commerciaux n'est généralement pas haut risque. Un assistant qui prend une décision d'embauche l'est.
2.3 Critères d'évaluation rapide pour les PME
Posez-vous ces cinq questions :
- Le système intervient-il dans une décision affectant une personne physique ?
- Cette décision est-elle automatisée ou semi-automatisée ?
- L'usage figure-t-il dans la liste de l'Annexe III ?
- Le système est-il un composant de sécurité d'un produit régulé ?
- Le contexte d'usage est-il professionnel et non purement personnel ?
Trois réponses positives sur cinq déclenchent une analyse approfondie des obligations applicables.
3. Les étapes de conformité avant 2026
La mise en conformité n'est pas un projet ponctuel. C'est un processus continu documenté.
3.1 Phase 1 — Cartographie (T-12 à T-9 mois)
Recensez :
- Tous les outils d'IA utilisés, y compris ceux installés par les collaborateurs en shadow IT.
- Le fournisseur exact du modèle sous-jacent (OpenAI, Anthropic, Google, Mistral, Meta).
- L'usage métier réel — pas l'usage théorique annoncé par le DSI.
- Le volume de données traitées et leur nature (personnelle, sensible, professionnelle).
Outil pratique : un registre Excel partagé avec une colonne « cas d'usage Annexe III ? ».
3.2 Phase 2 — Qualification juridique (T-9 à T-6 mois)
Pour chaque système identifié :
- Déterminer le rôle de la PME : déployeur, fournisseur, importateur, distributeur (Art. 3).
- Identifier le niveau de risque : interdit, haut, transparence, minimal.
- Lister les obligations applicables selon le rôle et le risque.
- Évaluer la chaîne de valeur : qui est responsable de quoi avec le fournisseur GPAI amont ?
L'Article 25 du règlement précise quand un déployeur devient de facto fournisseur — typiquement en cas de modification substantielle ou de marquage sous son propre nom.
3.3 Phase 3 — Documentation (T-6 à T-3 mois)
Documentation minimale exigée pour un système à haut risque :
| Document | Article | Contenu attendu |
|---|---|---|
| Documentation technique | Art. 11 + Annexe IV | Description, conception, données d'entraînement, performance |
| Système de gestion des risques | Art. 9 | Analyse continue des risques résiduels |
| Données et gouvernance des données | Art. 10 | Qualité, représentativité, biais |
| Journalisation automatique | Art. 12 | Logs traçables sur la durée de vie |
| Transparence utilisateur | Art. 13 | Notice d'utilisation, capacités, limites |
| Supervision humaine | Art. 14 | Mesures permettant l'intervention humaine |
| Exactitude, robustesse, cybersécurité | Art. 15 | Tests, métriques, mesures de résilience |
| Évaluation d'impact sur droits fondamentaux (FRIA) | Art. 27 | Pour déployeurs publics et certains privés |
3.4 Phase 4 — Mise en œuvre opérationnelle (T-3 à T-0)
- Désigner une personne référente IA Act (souvent le DPO ou le RSSI).
- Former les opérateurs concernés (Art. 4 — obligation de AI literacy applicable depuis février 2025).
- Mettre en place un dispositif de signalement d'incident grave (Art. 73).
- Préparer la procédure d'évaluation de conformité (Art. 43).
Audit AI Act : où en est votre PME ?
Notre pack documentaire regulia inclut le registre des systèmes IA, le modèle de FRIA et la trame de gouvernance prête à adapter pour votre PME. Économisez 6 mois de cadrage juridique.
Demander le pack documentaire4. Les sanctions et amendes pour non-conformité
Le régime de sanctions est défini aux Articles 99 à 101 du règlement. Il est dissuasif et calibré sur le chiffre d'affaires mondial.
4.1 Trois paliers de sanctions
| Infraction | Plafond | Base juridique |
|---|---|---|
| Pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial (le plus élevé) | Art. 99(3) |
| Manquements aux obligations (haut risque, transparence, gouvernance) | 15 M€ ou 3 % du CA mondial | Art. 99(4) |
| Fourniture d'informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial | Art. 99(5) |
| Manquements spécifiques aux fournisseurs GPAI | 15 M€ ou 3 % du CA mondial | Art. 101 |
4.2 Aménagement spécifique PME
L'Article 99(6) précise que pour les PME et start-ups, les amendes administratives sont calculées sur le montant le plus bas entre le plafond fixe et le pourcentage du chiffre d'affaires. Cette inversion limite l'effet de cumul mais ne supprime pas le risque.
Notre analyse détaillée figure dans l'article Sanctions AI Act pour les PME, avec un calculateur d'amende.
4.3 Procédure de contrôle
L'autorité française désignée sera connue avant le 2 août 2025 (Art. 70). Les candidates pressenties incluent la CNIL pour les volets données personnelles et la DGCCRF pour les volets produits. Le contrôle peut être déclenché par :
- Un signalement de tiers ou de salarié.
- Une enquête sectorielle.
- Un incident grave déclaré au titre de l'Art. 73.
- Une coordination avec une autorité d'un autre État membre.
5. Comment se préparer dès maintenant ?
La préparation ne se limite pas à un audit ponctuel. Trois chantiers parallèles.
5.1 Audit interne des systèmes GPAI
Constituez un comité IA réunissant direction, DPO, RSSI, métier. Objectifs sur 8 semaines :
- Recenser les usages réels via questionnaire interne.
- Croiser avec les contrats SaaS et les factures fournisseurs.
- Tester chaque usage face à l'Annexe III.
- Prioriser par criticité métier × risque AI Act.
5.2 Documentation des processus et des données
Pour chaque système à haut risque identifié, constituez un dossier technique unique structuré selon l'Annexe IV. Ce dossier doit être :
- À jour à tout moment.
- Conservé 10 ans après la mise sur le marché (Art. 18).
- Accessible aux autorités sur demande.
5.3 Formation du personnel — obligation Art. 4
L'AI literacy est obligatoire depuis le 2 février 2025 pour tout opérateur d'un système d'IA. Cela couvre :
- Compréhension des capacités et limites du système.
- Connaissance des risques d'erreur, de biais, d'hallucination.
- Maîtrise des procédures de signalement.
Une formation interne d'une demi-journée par profil concerné suffit pour amorcer la mise en conformité. Tracez les présences.
6. Les ressources disponibles pour les PME
6.1 Ressources institutionnelles
| Ressource | Contenu | Coût |
|---|---|---|
| AI Act Service Desk (Commission EU) | FAQ, guides, point de contact | Gratuit |
| CNIL — fiches pratiques IA | 13 fiches sur l'articulation RGPD/IA | Gratuit |
| AI Office EU | Code de bonnes pratiques GPAI | Gratuit |
| Bac à sable réglementaire national | Tests en environnement contrôlé | Gratuit (Art. 57) |
| Cigref — guide AI Act janvier 2025 | Cadrage opérationnel ETI | Gratuit (membres) |
| Numeum — guide AI Act mars 2025 | Vision éditeurs SaaS français | Gratuit |
6.2 Aides financières
Plusieurs dispositifs cumulables existent pour les PME :
- Diag IA Bpifrance : diagnostic IA cofinancé.
- France 2030 : appels à projets IA générative responsable.
- Aides régionales numériques (dispositifs variables selon la Région).
- Crédit d'impôt recherche pour les développements internes liés à la conformité.
[À vérifier] Les montants exacts et conditions d'éligibilité évoluent — consultez le portail Bpifrance avant tout engagement.
6.3 Glossaire et sources de référence
Pour aller plus loin sur les termes techniques (déployeur, FRIA, GPAI à risque systémique, harmonised standards), consultez le glossaire regulia et la page sources officielles.
7. Les avantages de la conformité anticipée
Anticiper la deadline 2026 n'est pas qu'une question de risque juridique.
7.1 Confiance commerciale
Les grands donneurs d'ordres intègrent déjà des clauses AI Act dans leurs appels d'offres BtoB. Une PME fournisseur SaaS conforme dès 2025 capte les marchés que ses concurrents non préparés perdent.
7.2 Optimisation interne
La cartographie exigée par l'AI Act révèle souvent :
- Des doublons de licences SaaS d'IA (plusieurs équipes utilisent des outils concurrents).
- Des usages non sécurisés (données clients envoyées à des modèles publics).
- Des opportunités d'industrialisation (cas d'usage isolés réplicables).
7.3 Prévention juridique élargie
La documentation AI Act renforce mécaniquement la conformité RGPD (Art. 5, 30, 35) et la posture cybersécurité (NIS2 pour les entités concernées). Un investissement, plusieurs bénéfices.
| Domaine | Bénéfice de la conformité AI Act anticipée |
|---|---|
| Commercial | Réponse aux clauses contractuelles AI Act des donneurs d'ordres |
| Juridique | Réduction du risque d'amende et d'action de tiers |
| Opérationnel | Industrialisation et rationalisation des outils IA |
| RH | Engagement des équipes via la formation Art. 4 |
| RGPD | Renforcement de l'analyse d'impact (AIPD) |
8. Les erreurs à éviter
Trois écueils reviennent dans les diagnostics réalisés en 2025.
8.1 Ignorer les systèmes "non haut risque"
Un système non classé haut risque reste soumis aux obligations de transparence (Art. 50) — étiquetage des contenus synthétiques, information de l'utilisateur en cas d'interaction avec une IA, marquage des deepfakes. Beaucoup de PME ignorent ce socle minimum.
8.2 Attendre la dernière minute
La mise en conformité d'un système haut risque mobilise 6 à 9 mois entre cartographie, documentation Annexe IV, mise en place du système de gestion des risques et formation. Démarrer en juin 2026 pour une échéance août 2026 est mathématiquement impossible.
8.3 Ne pas documenter les processus
Le règlement repose sur une logique de preuve documentaire. En cas de contrôle, l'absence de documentation équivaut à une non-conformité. Les outils de gestion ad hoc (tableurs partagés, journaux de logs structurés, registres signés) suffisent largement à démarrer — pas besoin de plateforme GRC dès la première année.
Gagnez 6 mois sur votre mise en conformité GPAI
Le pack regulia AI Act PME inclut : registre des systèmes IA, trame FRIA, modèle de notice utilisateur Art. 13, procédure de signalement Art. 73, plan de formation Art. 4. Tous les modèles sont alignés sur le Règlement (UE) 2024/1689.
Recevoir le pack documentaireFAQ
Quelles sont les conséquences pour une PME non conforme à l'AI Act en 2026 ?
Les PME non conformes encourent des amendes administratives plafonnées à 15 M€ ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations haut risque (Art. 99(4)), et jusqu'à 35 M€ ou 7 % pour les pratiques interdites (Art. 99(3)). L'Article 99(6) prévoit que pour les PME, c'est le montant le plus bas qui s'applique. Le risque inclut aussi le retrait du marché du système concerné par l'autorité de surveillance.
Comment savoir si mon système GPAI est de haut risque ?
Un usage GPAI devient haut risque s'il relève d'un des cas listés à l'Annexe III du règlement : RH (tri de CV, évaluation), crédit, services essentiels, éducation, biométrie, infrastructures critiques, application de la loi, migration, justice. Le critère décisif est l'usage — pas le modèle. Le même modèle GPT-4o utilisé pour rédiger des emails marketing n'est pas haut risque ; utilisé pour décider d'un licenciement, il l'est.
Quel est le rôle du registre européen des systèmes GPAI ?
L'Article 71 institue une base de données européenne où les fournisseurs de systèmes d'IA à haut risque (Annexe III) doivent s'enregistrer avant la mise sur le marché. Les déployeurs publics ont également une obligation d'enregistrement. Pour les modèles GPAI, l'Art. 52 prévoit une notification distincte à l'AI Office. Les dates exactes d'ouverture opérationnelle du registre sont à confirmer sur le portail de la Commission [à vérifier].
Où puis-je trouver des conseils pour la mise en conformité ?
Les sources de référence sont : l'AI Act Service Desk de la Commission européenne, les fiches pratiques IA de la CNIL, le portail consolidé artificialintelligenceact.eu, et les guides sectoriels du Cigref et de Numeum. Pour les décisions opérationnelles individuelles, faites valider par votre DPO ou conseil juridique.
Quelles sont les aides disponibles pour les PME pour se conformer ?
Trois leviers principaux : le Diag IA Bpifrance (diagnostic cofinancé), les appels à projets France 2030 sur l'IA générative responsable, et les bacs à sable réglementaires prévus à l'Article 57 (accès gratuit prioritaire pour les PME selon Art. 62). Des aides régionales numériques complètent ce socle. Les conditions évoluent — vérifier sur les portails officiels avant engagement.
Sources officielles
- Règlement (UE) 2024/1689 — texte intégral EUR-Lex
- Texte consolidé annoté — artificialintelligenceact.eu
- AI Act Service Desk — Commission européenne
- CNIL — Fiches pratiques IA
- ISO/IEC 42001:2023 — Systèmes de management de l'IA
- ISO/IEC 23894:2023 — AI risk management
- Cigref — Guide AI Act (janvier 2025)
- Numeum — Guide AI Act éditeurs (mars 2025)
Pour explorer les obligations PME en profondeur, consultez le pillar AI Act PME France, l'article dédié aux sanctions et amendes, le glossaire et la page sources.
Avertissement. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.