AI Act et PME : ce qui s'applique vraiment après l'Omnibus

Ce qui s'applique déjà : sensibiliser ceux qui utilisent l'IA

Depuis le 2 février 2025, toute entreprise qui utilise un système d'IA doit prendre des mesures pour que les personnes qui s'en servent pour elle, salariés comme prestataires, en comprennent le fonctionnement, les limites et les risques (article 4).

Le règlement (UE) 2026/1744, dit « Omnibus », en vigueur depuis le 27 juillet 2026, a assoupli la formulation : il s'agit de prendre des mesures pour développer cette maîtrise, sans devoir garantir un niveau précis à chacun. Aucun format, aucune durée minimale, aucun organisme agréé n'est imposé.

En pratique : une sensibilisation courte (limites de l'IA, vérification des résultats, données à ne jamais saisir), et une trace de qui l'a suivie, quand, avec quel contenu.

Ce qui est interdit

Depuis le 2 février 2025 également, certaines pratiques sont interdites (article 5). Pour une petite entreprise, la plus susceptible de se présenter est la déduction des émotions d'une personne sur le lieu de travail, par exemple un outil qui analyse l'humeur des salariés en visioconférence, sauf pour des raisons médicales ou de sécurité. La notation sociale et la manipulation des personnes sont aussi interdites.

Depuis le 2 août 2026 : la transparence

L'article 50 s'applique depuis le 2 août 2026, sans report. Il ne demande pas d'étiqueter tout ce que l'IA a touché, mais vise des situations précises :

• un chatbot doit indiquer qu'il est une IA dès le début de la conversation, sauf si c'est évident : c'est l'obligation de son fournisseur, donc la vôtre si vous l'avez construit vous-même ;
• une image, une vidéo ou un son réaliste créé par IA (personne, lieu, événement qui n'existe pas) doit être signalé de façon visible ; pour une œuvre clairement artistique ou humoristique, une mention discrète suffit ;
• un texte écrit par IA et publié pour informer le public sur un sujet d'intérêt public doit être signalé, sauf s'il a été relu et assumé par une personne ;
• les personnes exposées à un outil de reconnaissance des émotions ou de catégorisation biométrique doivent en être informées.

Le haut risque, c'est pour décembre 2027

Les obligations des systèmes « à haut risque » de l'annexe III, qui couvrent notamment le recrutement, l'évaluation des salariés et l'accès au crédit, ont été reportées par l'Omnibus au 2 décembre 2027. Celles des systèmes intégrés à des produits réglementés (machines, jouets, dispositifs médicaux…) au 2 août 2028.

Si vous utilisez un outil de tri de candidatures ou d'évaluation à base d'IA, préparez-vous : une personne devra contrôler et pouvoir corriger chaque décision, les candidats et salariés devront être informés, et la notice du fournisseur devra être suivie. Une décision entièrement automatique est déjà encadrée par le RGPD.

Ce que l'AI Act ne vous impose pas

Plusieurs offres commerciales entretiennent la confusion. Pour une entreprise qui utilise l'IA sans la développer :

• aucun certificat ni label officiel « AI Act » n'existe ;
• aucun registre des usages d'IA n'est imposé : tenir la liste de vos outils reste une bonne pratique ;
• aucune formation certifiante n'est exigée ;
• une charte d'usage n'est pas obligatoire, mais c'est la façon la plus simple de montrer les mesures prises.

Le vrai risque : les données de vos clients

Pour une petite entreprise, le risque le plus concret ne vient pas de l'AI Act mais du RGPD : des données de clients, de prospects ou de salariés collées dans un outil d'IA, souvent une version gratuite qui peut réutiliser ce qui y est saisi.

La CNIL recommande de définir les usages autorisés et interdits, de choisir un outil et des réglages qui ne réutilisent pas vos données, et de sensibiliser les utilisateurs.

Par où commencer : trois mesures simples

Une heure suffit pour l'essentiel :

• faites la liste des outils d'IA utilisés, y compris les fonctions IA de vos logiciels habituels ;
• écrivez en une page les règles : outils autorisés, données à ne jamais saisir, vérification humaine avant tout envoi ;
• sensibilisez chaque personne qui utilise l'IA, et notez qui, quand et avec quel contenu.

• Diagnostic AI Act gratuit : ce qui vous concerne, en 5 minutes
• L'AI Act en bref : l'essentiel en une page