AI Act et PME : ce qui s'applique vraiment, et à quelle date

Une PME qui utilise ChatGPT, Copilot ou Gemini est un « déployeur » au sens de l'AI Act, pas un fournisseur. À ce titre, trois obligations seulement la concernent aujourd'hui — et la plus lourde, celle qui vise les systèmes à haut risque, a été repoussée au 2 décembre 2027.

Cette page fait le tri entre ce qui s'applique vraiment à une PME, ce qui ne s'applique pas, et ce qui arrive. Mise à jour le 15 octobre 2026, après la réécriture du règlement intervenue en juillet 2026.

Déployeur ou fournisseur : la question qui décide de tout

Le règlement européen sur l'intelligence artificielle distingue celui qui met un système d'IA sur le marché (le fournisseur) de celui qui l'utilise sous sa propre autorité (le déployeur).

Une PME qui souscrit un abonnement ChatGPT Business, qui déploie Microsoft Copilot sur ses postes ou qui branche un assistant sur son CRM est déployeur. Les obligations lourdes du règlement — documentation technique, système de gestion des risques, évaluation de conformité — pèsent sur le fournisseur, c'est-à-dire sur OpenAI, Microsoft ou Google.

Le basculement se produit dans un cas précis : si vous commercialisez un outil d'IA sous votre marque, ou si vous modifiez substantiellement un système existant pour le revendre, vous devenez fournisseur. Pour l'immense majorité des PME, ce n'est pas le cas.

Ce qui s'applique à une PME déployeuse, et depuis quand

Les deux dernières lignes sont celles qui ont changé. Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus IA », entré en vigueur le 27 juillet 2026, a reporté l'entrée en application des exigences applicables aux systèmes à haut risque. Une PME qui utilise un outil d'IA pour trier des candidatures n'est donc pas encore soumise aux obligations du chapitre III — mais elle le sera.

L'article 4 dans sa version de 2026 : ce qui a changé

C'est le point sur lequel la plupart des pages françaises sont aujourd'hui périmées. L'article 4 existait depuis le 2 février 2025 ; le même règlement omnibus l'a réécrit.

Dans sa version en vigueur, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour que leur personnel — et les personnes qui exploitent ces systèmes pour leur compte — acquièrent une bonne compréhension de l'IA, en tenant compte de leurs connaissances, du contexte d'utilisation et des publics concernés. Le texte précise que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Autrement dit : c'est une obligation de moyens, pas de résultat. Vous n'avez pas à certifier chaque salarié. Vous devez avoir pris des mesures proportionnées, et pouvoir le montrer. Une demi-journée de formation documentée, une charte d'usage diffusée et une liste d'émargement valent mieux qu'un plan ambitieux resté à l'état de projet.

Les sanctions, et le plafond réservé aux PME

Le règlement prévoit trois niveaux d'amendes :

• Pratiques interdites (article 5) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.
• Manquements des opérateurs, dont les obligations des déployeurs et l'article 50 : jusqu'à 15 millions d'euros ou 3 %.
• Informations inexactes ou trompeuses aux autorités : jusqu'à 7,5 millions d'euros ou 1 %.

Pour une entreprise ordinaire, c'est le montant le plus élevé des deux qui s'applique. Le paragraphe 6 de l'article 99 inverse la règle pour les PME et les jeunes pousses : c'est le chiffre le plus faible qui est retenu.

Concrètement, pour une PME réalisant 10 millions d'euros de chiffre d'affaires, le plafond au titre de l'article 5 n'est pas de 35 millions, mais de 700 000 euros — 7 % de son chiffre d'affaires. La proportionnalité est écrite dans le texte, elle ne dépend pas du bon vouloir de l'autorité.

Ce qui ne s'applique pas à une PME ordinaire

• Le marquage CE et l'évaluation de conformité : obligations du fournisseur, pas du déployeur.
• La documentation technique et le système de gestion des risques : même logique.
• Les obligations applicables aux modèles d'usage général : elles visent les éditeurs de modèles, applicables depuis le 2 août 2025.
• Les exigences du chapitre III tant que vous n'exploitez pas de système classé à haut risque — et, le cas échéant, pas avant décembre 2027.

Par où commencer, concrètement

1. Recensez les usages réels. Pas les outils que vous avez achetés : ceux que vos équipes utilisent. L'écart entre les deux porte un nom, et nous lui avons consacré un article sur la shadow IA en entreprise.
2. Vérifiez qu'aucun usage ne tombe sous l'article 5. La reconnaissance des émotions au travail est le cas le plus fréquent, souvent par ignorance.
3. Écrivez une charte d'usage et faites-la adopter dans les formes. Nous détaillons la procédure dans charte IA en entreprise.
4. Formez, et gardez la trace. C'est ce que demande l'article 4 : des mesures proportionnées et démontrables.

Questions fréquentes

Pour aller plus loin

AI Act : le guide complet pour les entreprises françaises · Le calendrier d'application · Rédiger une charte IA · Formation IA pour les PME · Nos formations entreprise

Skillevos est un organisme de formation certifié Qualiopi, déclaré sous le numéro 11950980895 auprès de la DREETS Île-de-France.

Sur le même sujet

• Comment former ses équipes à l’IA

Sources : règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, articles 3, 4, 5, 50 et 99 ; règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, qui réécrit l'article 4 et reporte l'application des exigences relatives aux systèmes à haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).