IA et AI Act 2026 : ce qui change pour les entreprises

Réponse rapide. L'AI Act (règlement UE 2024/1689) encadre l'IA dans toute l'Union européenne depuis le 1er août 2024, avec une application par étapes jusqu'en 2027. Pour une entreprise française, l'enjeu 2026 est de savoir si vos usages relèvent du risque interdit, du haut risque ou de la simple transparence, puis d'organiser littératie, documentation et supervision humaine avant les échéances.

L'intelligence artificielle s'est installée dans les outils du quotidien des entreprises, des agents conversationnels aux logiciels de recrutement. En parallèle, l'Union européenne a adopté le premier cadre juridique complet au monde sur l'IA. Beaucoup de dirigeants pensent que ce texte ne vise que les géants de la technologie. C'est une erreur : il concerne aussi les PME qui se contentent d'utiliser l'IA. Voici ce qui change concrètement, et comment nous accompagnons les dirigeants dans leur transformation digitale.

Le règlement (UE) 2024/1689, dit AI Act, a été adopté le 13 juin 2024 et publié au Journal officiel de l'Union le 12 juillet 2024. Étant un règlement, il s'applique directement dans les 27 États membres, sans transposition nationale. Il est entré en vigueur 20 jours après sa publication, soit le 1er août 2024, mais ses obligations se déploient par étapes jusqu'en 2027.

Le texte vise deux acteurs principaux : le fournisseur, qui développe ou met sur le marché un système d'IA, et le déployeur, l'entreprise qui utilise un système d'IA dans le cadre de son activité. La très grande majorité des PME françaises sont des déployeurs : elles n'écrivent pas l'algorithme, elles l'utilisent. Cela ne les exonère pas de toute obligation, comme nous le verrons. La portée est par ailleurs extraterritoriale : un éditeur établi hors de l'Union, dont le système est utilisé en France, entre dans le champ du règlement.

L'AI Act classe les usages, pas les technologies. Un même modèle peut être anodin dans un cas et à haut risque dans un autre. Quatre niveaux structurent le règlement.

Pour une PME, le niveau qui surprend le plus est le haut risque, car il englobe des usages très répandus en ressources humaines. Un logiciel qui trie automatiquement les candidatures ou évalue des salariés relève de l'annexe III du règlement : c'est un usage à haut risque, assorti d'obligations lourdes.

Les obligations n'entrent pas en vigueur d'un bloc. Voici les jalons fixés par le texte de base.

Entre la publication et la pleine application du volet haut risque, il s'écoule un peu plus de 24 mois. Ce délai n'est pas du temps perdu : il sert à cartographier vos usages, former vos équipes et documenter vos systèmes. Beaucoup d'entreprises découvrent tard qu'un outil RH ou un module de scoring acheté sur étagère relève du haut risque.

La distinction est décisive, car les obligations ne pèsent pas de la même façon.

Le fournisseur d'un système à haut risque porte la charge la plus lourde : système de gestion des risques, documentation technique complète, journalisation, marquage CE, déclaration de conformité, enregistrement dans la base de données européenne.

Le déployeur professionnel a des obligations plus ciblées mais bien réelles : utiliser le système conformément à sa notice, assurer une supervision humaine effective, surveiller le fonctionnement, conserver les journaux pendant la durée prévue (au moins 6 mois dans plusieurs cas), et informer les personnes concernées lorsqu'une décision les visant s'appuie sur un système à haut risque.

Trois obligations méritent l'attention d'un dirigeant cette année.

La littératie de l'IA (article 4) est en vigueur depuis le 2 février 2025. Fournisseurs et déployeurs doivent garantir un niveau suffisant de compréhension de l'IA chez les personnes qui s'en servent. Concrètement, cela passe par une sensibilisation et une formation adaptées aux usages réels de l'entreprise, comme le montre notre article sur les agents IA pour automatiser le back-office.

La transparence (article 50) impose, à compter du 2 août 2026, d'informer l'utilisateur qu'il interagit avec une IA et d'étiqueter les contenus générés ou manipulés par IA (texte, image, son, vidéo). Un agent conversationnel sur votre site ou des visuels produits par IA sont directement concernés.

La supervision humaine s'impose pour tout usage à haut risque : une personne doit pouvoir comprendre, surveiller et, au besoin, écarter la décision automatique. Sur un outil de tri de CV, cela signifie qu'un humain garde la main sur la sélection finale.

Le règlement prévoit des amendes parmi les plus élevées du droit européen (article 99).

Le plafond retenu est, en principe, le montant le plus élevé entre la somme fixe et le pourcentage. Pour les PME et les jeunes pousses, le règlement prévoit toutefois que l'amende correspond au plus faible des deux, afin de ne pas pénaliser de façon disproportionnée les petites structures.

Un ajustement du calendrier est en discussion. Le 7 mai 2026, le Conseil, le Parlement et la Commission sont parvenus à un accord politique provisoire, dit « Digital Omnibus », qui reporterait l'entrée en application des obligations du haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles de l'annexe I au 2 août 2028. Le texte introduirait aussi de nouvelles interdictions visant les contenus pédocriminels et les images intimes non consenties générés par IA.

À la date de cet article, cet accord n'est pas encore formellement adopté ni publié au Journal officiel : il reste donc indicatif. Nous recommandons de continuer à préparer la conformité sur la base du calendrier en vigueur, tout en suivant l'adoption définitive du texte. Anticiper coûte presque toujours moins cher que rattraper.

Dans nos dossiers, l'AI Act soulève moins une question technologique qu'une question de gouvernance. Le premier réflexe utile n'est pas juridique mais documentaire : recenser les outils d'IA réellement utilisés dans l'entreprise, ce qui réserve souvent des surprises (un module de scoring dans le CRM, un tri de candidatures dans le logiciel RH, un assistant de rédaction). Une fois la cartographie posée, le classement par niveau de risque devient simple, et la charge de conformité se concentre sur deux ou trois usages au plus.

C'est particulièrement vrai pour les startups tech qui intègrent l'IA au coeur de leur produit, et qui peuvent être fournisseur sur une brique et déployeur sur une autre. Pour la fonction comptable et financière elle-même, nous avons détaillé les usages, le retour sur investissement et les risques dans notre guide de l'IA en comptabilité. L'AI Act ne doit pas freiner l'adoption de l'IA : bien menée, elle reste un levier de productivité, comme le montrent nos cas d'usage de l'IA générative pour un dirigeant.

Une PME de services de 40 salariés nous interroge sur son logiciel de recrutement, qui classe automatiquement les candidatures par score de pertinence. Cet usage relève de l'annexe III : c'est du haut risque. L'entreprise est déployeur, pas fournisseur, mais elle doit néanmoins garantir une supervision humaine de la sélection, informer les candidats que l'outil intervient, et conserver les journaux. Nous avons aidé le dirigeant à obtenir de l'éditeur la documentation de conformité, à inscrire la supervision humaine dans le processus RH, et à ajouter une mention d'information dans le parcours candidat. Le chantier a pris quelques semaines, sans bloquer l'activité, parce qu'il a été traité avant l'échéance plutôt que dans l'urgence.

Pour les enjeux voisins de sécurité des données, voyez aussi notre checklist cybersécurité pour PME et notre point sur la directive NIS2.