AI Act : ce qu'une PME doit faire en 2026 quand elle achète ou utilise de l'IA

Le fournisseur « développe ou fait développer » le système et le met en service « sous son propre nom ou sa propre marque » (article 3, point 3), même pour un chatbot interne selon les lignes directrices de la Commission du 20 juillet 2026. Un agent développé par une agence et exploité sous votre marque fait donc de vous son fournisseur, une charge à prévoir dans le coût d'une mission IA. On devient aussi fournisseur sans le chercher. L'article 25 le prévoit quand un déployeur modifie la destination d'un système, « y compris un système d'IA à usage général », au point de le rendre à haut risque, par exemple en bâtissant un tri de candidatures sur un assistant généraliste. Les autres termes sont définis dans le glossaire de Mission IA.

Relevé de la rédaction dans la version consolidée du règlement au 27 juillet 2026, dates fixées par l'article 113. Proposé le 19 novembre 2025 et signé le 8 juillet 2026, le volet IA de l'omnibus numérique a été publié au Journal officiel du 24 juillet 2026. Une PME encourt le plus faible des deux montants (article 99, paragraphe 6) : avec 10 millions d'euros de chiffre d'affaires, 700 000 euros au plus pour une pratique interdite, 300 000 euros pour la transparence. Ce relevé ne remplace pas l'avis d'un avocat.

Aucune autorité n'est encore désignée par la loi : le projet de loi DDADUE, adopté par le Sénat le 18 février 2026, est en commission à l'Assemblée nationale. Le schéma publié par la DGE le 9 septembre 2025 prévoit de confier la coordination à la DGCCRF, l'emploi et la plupart des interdictions à la CNIL, la transparence des chatbots et des hypertrucages à la DGCCRF et à l'Arcom, le crédit et l'assurance des établissements financiers à l'ACPR. Le règlement s'applique sans attendre cette loi ; la rédaction refera le point le 15 janvier 2027.

L'article 4 oblige toute entreprise qui utilise un système d'IA à prendre des mesures pour favoriser la maîtrise de l'IA de son personnel et des personnes qui l'utilisent pour son compte, selon leurs connaissances et le contexte d'usage. Depuis l'omnibus, il précise qu'aucun niveau individuel n'est à garantir. La Commission précise qu'il n'exige ni certificat ni responsable IA.

Selon les questions-réponses de la Commission mises à jour le 20 octobre 2026, des salariés qui rédigent des publicités ou traduisent avec ChatGPT relèvent de l'article 4 et doivent connaître les risques de l'outil, comme les hallucinations. Un registre interne des formations peut documenter la démarche. Le règlement ne fixe pas d'amende pour l'article 4 et renvoie aux sanctions nationales, dont le régime français dépend du projet de loi en cours.

Pour une PME, l'interdiction la plus concrète vise la reconnaissance des émotions au travail, en vigueur depuis le 2 février 2025. Les lignes directrices de la Commission du 4 février 2025 l'appliquent aussi aux candidats : déduire les émotions d'un salarié ou d'un candidat de sa voix ou de son visage est interdit, sauf raison médicale ou de sécurité.

Un centre d'appels qui suit par webcam et reconnaissance vocale la colère de ses employés enfreint l'interdiction ; appliquée aux clients, la reconnaissance vocale des émotions échappe à l'article 5 mais reste à haut risque (annexe III, point 1 c) et oblige à informer les personnes (article 50, paragraphe 3). Mesurer le ton émotionnel des réunions vidéo d'une équipe est interdit, comme la reconnaissance des émotions en recrutement ou en période d'essai. Vérifiez aussi les autres points de l'article 5, dont la manipulation causant un préjudice important, l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation économique, la notation sociale et la catégorisation biométrique (points a, b, c et g). Le 2 décembre 2026 s'ajoutent les hypertrucages sexuels sans consentement et les contenus pédocriminels ; pour l'utilisateur, l'interdiction joue quand il se sert de l'outil dans ce but.

Un logiciel qui analyse et filtre des candidatures est à haut risque : l'emploi figure, avec le crédit aux particuliers, l'éducation et la biométrie, parmi les huit domaines de l'annexe III, et un outil qui établit un profil des candidats l'est toujours (article 6, paragraphe 3). Vos obligations de déployeur, fixées par l'article 26, s'appliqueront le 2 décembre 2027. Le Code du travail et le RGPD vous imposent déjà d'informer les candidats.

L'article 26 vous imposera d'utiliser l'outil selon sa notice, de confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire, de surveiller son fonctionnement et de conserver ses journaux au moins six mois. Il faudra informer les représentants du personnel et les salariés avant la mise en service, puis les personnes visées par une décision appuyée sur l'outil. L'analyse d'impact de l'article 27 ne concerne que le secteur public, les services publics, le crédit aux particuliers et l'assurance vie ou santé.

Selon l'article 111, paragraphe 2, un système dont le type et le modèle étaient sur le marché avant le 2 décembre 2027 n'entre dans le régime, pour son fournisseur comme pour vous, que s'il subit ensuite des modifications importantes de sa conception (considérant 39 du règlement (UE) 2026/1744). Demandez à l'éditeur, par écrit, s'il s'en prévaut et comment il traitera ses mises à jour.

Le candidat doit être « expressément informé » au préalable des méthodes d'aide au recrutement utilisées à son égard, qui doivent être pertinentes (article L1221-8 du Code du travail). Dans une entreprise d'au moins cinquante salariés, le CSE est informé et consulté sur l'introduction de nouvelles technologies (article L2312-8). L'article 22 du RGPD encadre en outre les décisions fondées exclusivement sur un traitement automatisé.

L'obligation sur les chatbots pèse sur le fournisseur (article 50, paragraphe 1) : si vous avez acheté l'outil, vérifiez que la mention s'affiche ; si vous l'avez fait développer sous votre nom, elle vous incombe. Le marquage technique des contenus (paragraphe 2) concerne OpenAI, Google, Mistral AI et les autres fournisseurs d'IA générative, avec un délai jusqu'au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026 (article 111, paragraphe 4). Les lignes directrices du 20 juillet 2026 sortent du champ de l'article 50, paragraphe 4, les textes publicitaires et les fiches produits, sauf allégations de santé, de sécurité des consommateurs ou de durabilité. Un hypertrucage (article 3, point 60) se signale même dans une publicité, au besoin avec les icônes européennes présentées avec le code de bonnes pratiques jugé adéquat par la Commission.