Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024, mais ses obligations arrivent par vagues successives. Le 2 août 2026 marque l'entrée en application de la majorité de ses dispositions. Pour une PME qui utilise de l'IA sans en produire, l'enjeu n'est pas de tout traiter : il est d'identifier le petit nombre d'obligations qui la concernent réellement, et de pouvoir le démontrer.
Ce que le 2 août 2026 change réellement
Trois échéances sont déjà passées. Les pratiques interdites de l'article 5 et l'obligation de culture de l'IA de l'article 4 s'appliquent depuis le 2 février 2025. Les obligations pesant sur les modèles à usage général et le dispositif de gouvernance nationale sont exigibles depuis le 2 août 2025.
Le 2 août 2026 apporte deux choses distinctes. D'abord l'entrée en application du gros du texte, y compris le régime de sanctions applicable par les autorités nationales. Ensuite les obligations de transparence de l'article 50, qui touchent des usages très banals : un agent conversationnel sur un site, un contenu généré publié sous le nom de l'entreprise, une image ou une voix synthétique.
Autrement dit, une entreprise qui pensait n'être concernée que par les systèmes « sensibles » découvre souvent à cette date qu'un chatbot de support la fait entrer dans le champ.
Étape 1 — L'inventaire, seul point de départ défendable
Aucune des obligations du règlement ne peut être évaluée sans savoir ce que l'organisation utilise. Or la plupart des PME sous-estiment leur exposition d'un facteur trois ou quatre, parce que l'IA est arrivée par les fonctionnalités des outils déjà en place plutôt que par des achats identifiés comme tels.
Un inventaire exploitable tient en six colonnes : nom du système, éditeur, fonction métier couverte, service utilisateur, données traitées, décision produite. Cette dernière colonne est la plus importante et la plus souvent oubliée : elle détermine à elle seule le niveau de risque dans la majorité des cas.
La méthode qui fonctionne le mieux n'est pas le questionnaire envoyé à tous les services. C'est la revue des factures logicielles des vingt-quatre derniers mois, croisée avec un entretien de trente minutes par direction. Le questionnaire produit des réponses incomplètes parce que les utilisateurs ne qualifient pas d'« IA » l'outil qu'ils manipulent tous les jours.
Étape 2 — Qualifier votre rôle : fournisseur ou déployeur
Le règlement n'impose pas les mêmes obligations selon la position occupée dans la chaîne de valeur. Une PME qui achète et utilise un outil est déployeur. Elle porte des obligations réelles mais limitées : usage conforme à la notice, supervision humaine, information des personnes concernées, surveillance du fonctionnement.
Le statut de fournisseur emporte des obligations d'un ordre de grandeur supérieur : documentation technique, système de gestion des risques, évaluation de conformité, marquage. Trois situations font basculer un déployeur vers ce statut au titre de l'article 25 : apposer son nom ou sa marque sur un système à haut risque, modifier substantiellement un tel système, ou modifier sa destination de manière à le faire entrer dans le haut risque.
C'est le point où le plus grand nombre d'erreurs d'auto-évaluation se produisent, notamment chez les éditeurs de logiciels qui intègrent un modèle tiers dans leur propre produit vendu sous leur marque.
Point de vigilance
Le cumul est fréquent : une même organisation peut être déployeur pour ses outils internes et fournisseur pour son produit commercialisé. Les deux analyses doivent être menées séparément, système par système.
Étape 3 — Classer chaque système par niveau de risque
Le règlement construit quatre niveaux. Les pratiques interdites de l'article 5 concernent peu d'entreprises, mais méritent une lecture rapide : la notation sociale et la reconnaissance des émotions sur le lieu de travail y figurent, et cette dernière n'est pas hypothétique dans certains outils de visioconférence ou de centre d'appels.
Le haut risque est défini à l'article 6 et détaillé à l'annexe III. Pour une PME, deux rubriques dominent : l'emploi, qui couvre le tri de candidatures, l'affectation des tâches et l'évaluation des personnes ; et l'accès aux services essentiels, qui couvre l'évaluation de solvabilité.
Le risque limité relève de l'article 50 et se traite par de l'information. Le risque minimal ne déclenche aucune obligation spécifique, ce qui ne dispense pas de savoir pourquoi le système y a été classé.
| Échéance | Ce qui devient exigible |
|---|---|
| 02.02.2025 | Pratiques interdites (art. 5) et obligation de culture de l'IA (art. 4) |
| 02.08.2025 | Modèles à usage général, gouvernance et autorités nationales |
| 02.08.2026 | Majorité des dispositions, sanctions, transparence (art. 50) |
| 2027 – 2028 | Calendrier étendu pour une partie des systèmes à haut risque |
Étape 4 — Transparence : les obligations à effet immédiat
L'article 50 est celui qui produira le plus de mises en conformité visibles à partir d'août 2026, parce qu'il est simple à contrôler depuis l'extérieur.
Trois exigences reviennent. Un système qui interagit directement avec une personne doit lui permettre de savoir qu'elle s'adresse à une machine, sauf si cela est évident au regard du contexte. Les contenus de synthèse doivent être marqués comme tels dans un format lisible par machine. Les contenus manipulés représentant des personnes, des lieux ou des événements réels doivent être signalés.
La mise en œuvre est peu coûteuse — une mention en tête de conversation, une ligne dans les conditions d'utilisation, un champ de métadonnées — mais l'absence de mention est constatable par n'importe qui, y compris un concurrent.
Étape 5 — Documenter, parce que la charge de la preuve vous incombe
Une conformité non documentée est, en pratique, une conformité inexistante. Face à une autorité de surveillance, l'entreprise doit pouvoir montrer non seulement ce qu'elle a conclu, mais comment.
Le dossier minimal d'une PME déployeur tient en quatre pièces : l'inventaire daté, une fiche de classification par système indiquant les critères retenus et l'article invoqué, les preuves d'exécution des obligations applicables, et une trace des actions de formation menées au titre de l'article 4.
Ce dossier a une seconde utilité, indépendante du régulateur : il répond directement aux questionnaires de conformité que les grands donneurs d'ordre commencent à intégrer dans leurs appels d'offres.
Ce qui peut attendre
Toutes les obligations n'arrivent pas en même temps, et traiter le calendrier comme un bloc conduit à dépenser au mauvais endroit. Une partie des exigences applicables aux systèmes à haut risque relève d'un calendrier étendu au-delà de 2026, dont les contours ont été retouchés par le paquet omnibus numérique. Le principe de prudence consiste à faire l'analyse maintenant et à échelonner la mise en œuvre, pas à repousser l'analyse.
Deux chantiers, en revanche, ne gagnent rien à attendre : l'inventaire, qui conditionne tout le reste, et la transparence, dont le coût de mise en œuvre est faible et le risque de constat élevé.
Par où commencer si rien n'a été fait
Une PME de cinquante à trois cents personnes peut atteindre un état documenté défendable en quatre à six semaines, avec une charge interne raisonnable, en suivant cet ordre : inventaire (deux semaines), qualification du rôle et classification (une semaine), traitement des obligations de transparence (une semaine), constitution du dossier et formation (deux semaines).
L'erreur la plus coûteuse observée n'est pas l'absence de conformité. C'est la conformité entreprise dans le désordre : rédiger des procédures avant de savoir quels systèmes elles couvrent, ou former les équipes avant d'avoir identifié les usages à risque.
Avertissement
Cet article présente une lecture opérationnelle du règlement et ne constitue pas un conseil juridique. Amada Piedade intervient sur le volet méthodologique et documentaire de la conformité. En cas de doute sur la qualification d'un système, référez-vous au texte et aux articles cités.
Pour situer rapidement votre exposition, le diagnostic AI Act reprend, question par question, la logique de qualification décrite ci-dessus.