AI Act : ce que les PME doivent savoir en 2026
Applicable depuis le 2 août 2026, l'AI Act tient en trois obligations pour une PME qui achète de l'IA. Les règles lourdes de l'annexe III, elles, attendront le 2 décembre 2027. Voici les dates, les plafonds d'amende réellement opposables à une PME, et qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg.
La réponse courte
L'AI Act (règlement (UE) 2024/1689) est applicable depuis le 2 août 2026[1]. Pour une PME des Pays-Bas, de Belgique, de France ou du Luxembourg qui achète de l'IA au lieu de la construire, trois obligations sont déjà vivantes : former les personnes qui s'en servent (article 4), respecter les pratiques interdites (article 5), et dire que c'est une IA (article 50). Les obligations lourdes des systèmes « à haut risque » de l'annexe III ont été repoussées au 2 décembre 2027 par le règlement de simplification dit « AI Omnibus », entré en vigueur le 27 juillet 2026[1].
Le calendrier de l'AI Act, étape par étape
Le règlement est entré en vigueur le 1er août 2024, mais s'applique par vagues. Les dates qui comptent, telles que la Commission européenne les publie[1] :
| Date | Ce qui devient applicable | Concerne une PME ? |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et obligation de culture de l'IA (article 4) | Oui, pour toute entreprise qui utilise de l'IA |
| 2 août 2025 | Règles de gouvernance et obligations des modèles d'IA à usage général | Indirectement : votre éditeur est concerné |
| 2 août 2026 | Application générale du règlement, dont la transparence de l'article 50 ; pouvoirs de contrôle des autorités nationales | Oui |
| 2 décembre 2026 | Interdiction des systèmes générant du contenu intime non consenti ou pédocriminel, ajoutée par l'AI Omnibus | Rarement |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l'annexe III (recrutement, gestion du personnel, accès aux services essentiels, biométrie…) | Oui si vous triez des candidatures ou notez des clients par IA |
| 2 août 2028 | Systèmes à haut risque intégrés dans des produits réglementés (annexe I : ascenseurs, jouets, machines…) | Oui si vous fabriquez ce type de produit |
Ce report résulte de l'« AI Omnibus » : proposé le 19 novembre 2025, acté le 7 mai 2026, en vigueur le 27 juillet 2026[1].
Fournisseur ou déployeur : la seule question à trancher
Le règlement distingue celui qui met un système sur le marché (le fournisseur) de celui qui l'utilise sous sa propre autorité (le déployeur). Une PME qui branche un assistant d'écriture, un robot de réponse ou un outil de tri est déployeur. Elle redevient fournisseur si elle met le système sur le marché sous son propre nom ou sa marque, ou si elle en modifie la destination.
La distinction n'est pas théorique : documentation, gestion des risques et évaluation de conformité portent sur le fournisseur. Pour le déployeur, la liste est courte mais réelle — et, pour un système à haut risque, elle comprend dès le 2 décembre 2027 l'information des représentants des travailleurs et des salariés concernés avant la mise en service, ainsi que la conservation des journaux pendant au moins six mois[2].
Les trois obligations déjà vivantes pour une PME
1. Former, sans certifier (article 4)
Les fournisseurs et les déployeurs doivent prendre des mesures pour développer la culture de l'IA des personnes qui s'en servent, en tenant compte de leur niveau technique, de leur formation et du contexte d'usage. L'AI Omnibus a précisé le texte : l'obligation n'impose pas de garantir un niveau de culture de l'IA particulier pour un individu donné[3]. Autrement dit : une demi-journée documentée, une note de cadrage et un rappel annuel valent mieux qu'un diplôme. La Commission publiera des exemples pratiques sur sa plateforme d'information unique[3].
2. Ne pas franchir les lignes rouges (article 5)
Neuf pratiques sont interdites. Deux touchent directement la vie d'une PME : la reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, et la notation sociale. Un outil qui prétend mesurer l'humeur, le stress ou la motivation d'un salarié à partir de sa voix ou de son visage tombe dans cette interdiction, applicable depuis février 2025[1]. À vérifier avant tout achat d'outil d'analyse d'appels.
3. Dire que c'est une IA (article 50)
Depuis le 2 août 2026, l'article 50 impose que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf si c'est évident pour une personne raisonnablement avisée. Les contenus de synthèse (audio, image, vidéo, texte) doivent être marqués dans un format lisible par machine et détectables comme générés ou manipulés. Les trucages vidéo doivent être déclarés, comme un texte publié pour informer le public sur un sujet d'intérêt général — sauf contrôle éditorial humain[4].
Amendes : ce qu'une PME risque réellement
L'article 99 fixe trois paliers : jusqu'à 35 000 000 € ou 7 % du chiffre d'affaires mondial annuel pour une pratique interdite ; jusqu'à 15 000 000 € ou 3 % pour les autres manquements, dont ceux de l'article 50 ; jusqu'à 7 500 000 € ou 1 % pour une information fausse donnée à une autorité[5]. Pour une grande entreprise, le plus élevé des deux s'applique. Pour une PME, l'inverse.
Hypothèse de calcul, à remplacer par vos propres chiffres : une société à 2 000 000 € de chiffre d'affaires, en défaut sur l'article 50, se voit opposer min(15 000 000 € ; 3 % × 2 000 000 €) = 60 000 € de plafond théorique, et non 15 000 000 €[5]. Le texte demande en outre aux États de tenir compte des intérêts et de la viabilité économique des PME lorsqu'ils sanctionnent[5].
Qui contrôle aux Pays-Bas, en Belgique, en France et au Luxembourg
Depuis le 2 août 2026, le contrôle appartient au Bureau de l'IA de la Commission pour les modèles à usage général, et aux autorités nationales de surveillance du marché pour les systèmes[1]. État de la liste publiée par la Commission, mise à jour le 7 septembre 2026[6] :
| Pays | Point de contact unique notifié | Statut |
|---|---|---|
| Pays-Bas | Rijksinspectie Digitale Infrastructuur (RDI) | Désignation nationale non encore adoptée définitivement |
| Belgique | Aucun point de contact unique publié | Case vide sur la liste de la Commission |
| France | Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) | Désignation nationale non encore adoptée définitivement |
| Luxembourg | Commission nationale pour la protection des données (CNPD) | Désignation nationale non encore adoptée définitivement |
Une case vide ne veut pas dire que le règlement ne s'applique pas : il s'applique dans les vingt-sept États membres. Elle signifie que le guichet national n'est pas encore publié, et que la Commission peut ouvrir une procédure d'infraction contre l'État qui n'a pas désigné son autorité[6]. Pour une PME belge, le réflexe reste celui des données personnelles : garder la trace écrite de ses choix.
Où en sont vos voisins
En 2025, 19,95 % des entreprises de dix personnes et plus de l'Union utilisaient au moins une technologie d'IA. L'écart entre vos quatre marchés est considérable[7].
| Pays | Entreprises de 10 personnes et plus | Entreprises de 10 à 49 personnes |
|---|---|---|
| Belgique | 34,54 % | 28,82 % |
| Luxembourg | 33,61 % | 30,48 % |
| Pays-Bas | 33,21 % | 28,76 % |
| France | 18,16 % | 15,04 % |
| Union européenne | 19,95 % | 17,00 % |
Le frein n'est pas que technique : 5,92 % des entreprises européennes de dix personnes et plus déclarent ne pas utiliser l'IA par manque de clarté sur les conséquences juridiques[7]. C'est exactement ce que le calendrier ci-dessus permet de lever. Pour choisir les premiers chantiers, les cinq tâches à automatiser en premier en PME donne l'ordre de passage, et l'Eurobaromètre 578 sur l'IA et la gestion algorithmique montre ce que les salariés en attendent. Si vos cas d'usage touchent la prospection, les règles se cumulent avec celles du RGPD : voir prospection B2B et RGPD en France, Belgique et Pays-Bas.
Votre liste de contrôle, sept lignes
- Lister les outils d'IA réellement utilisés dans l'entreprise, y compris ceux arrivés par un abonnement individuel.
- Pour chacun : fournisseur ou déployeur ? Dans 90 % des cas, déployeur.
- Vérifier qu'aucun outil ne mesure les émotions des salariés ni ne note les personnes.
- Mettre la mention « assistant automatique » là où un client parle à une machine.
- Marquer les contenus générés et faire relire par un humain ce qui est publié.
- Documenter une demi-journée de formation par équipe exposée, et la refaire chaque année.
- Si un usage touche le recrutement, la gestion du personnel ou l'accès à un service essentiel : noter la date du 2 décembre 2027 et prévenir les représentants du personnel avant la mise en service.
Ces sept lignes ne remplacent pas un avis juridique : elles reprennent ce que les textes cités en fin d'article exigent du déployeur. Pour toute qualification de risque, interrogez l'autorité compétente de votre pays et le service d'assistance de la Commission sur l'AI Act.
Chez CyberNovaLabs.io
Nous installons des automatisations d'IA dans des PME des quatre pays, et la conformité fait partie du cadrage : inventaire des outils, qualification fournisseur ou déployeur, mentions d'information, marquage des contenus, journal des décisions. Voir IA et automatisation en entreprise et formation IA pour vos équipes, qui couvre l'article 4. Tarifs sur devis.
Demander un échange de 20 minutes sur votre inventaire d'outils d'IA
Sources
- Commission européenne — Cadre réglementaire de l'IA : calendrier d'application et AI Omnibus
- AI Act Service Desk — Article 26 : obligations des déployeurs de systèmes à haut risque
- AI Act Service Desk — Article 4 : culture de l'IA (version consolidée au 27/07/2026)
- AI Act Service Desk — Article 50 : obligations de transparence
- AI Act Service Desk — Article 99 : sanctions
- Commission européenne — Autorités de surveillance du marché au titre de l'AI Act (maj 07/09/2026)
- Eurostat — Intelligence artificielle par classe de taille d'entreprise (isoc_eb_ai, 2025)
- Règlement (UE) 2024/1689 (AI Act) — texte au Journal officiel de l'Union européenne
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Cyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →3 novembre 2026 · 8 min de lecturePrise de rendez-vous B2B pour l'e-commerce
La prise de rendez-vous B2B auprès des webshops se joue avant l'appel : le canal (site, place de marché ou EDI), le pays, et la forme juridique. Ce guide cite Eurostat, la CNIL, le SPF Economie et l'ACM.
Lire l'article →2 novembre 2026 · 7 min de lectureFaille Drupal Commerce exploitée : prix modifiables (28/10/2026)
Un contournement d'accès dans Commerce Core laissait un client écrire lui-même le prix et l'état de sa commande. Drupal l'a classé 21 sur 25, signale une exploitation en cours et demande d'auditer les commandes. Ce qu'une PME doit vérifier, et les deux horloges réglementaires qui peuvent partir.
Lire l'article →2 novembre 2026 · 8 min de lectureNIS2 Belgique : hôtellerie et tourisme, concernés ?
L'hébergement et la restauration ne figurent pas dans les annexes de la loi belge du 26 avril 2024. Trois obligations vous rattrapent pourtant, et l'une d'elles décide déjà des contrats d'entreprise.
Lire l'article →