AI Act : ce que c'est, le calendrier après l'omnibus de juillet 2026, et ce qu'une PME doit faire

L'AI Act est le règlement (UE) 2024/1689, publié au Journal officiel de l'Union européenne en juillet 2024. Comme tout règlement européen, il s'applique directement en France et en Belgique, sans loi de transposition. Il classe les usages de l'IA par niveau de risque : quelques pratiques sont interdites, certains systèmes sont dits « à haut risque » et soumis à des exigences lourdes, d'autres n'ont que des obligations de transparence, et la grande majorité des usages courants n'a pas d'obligation propre, hormis l'article 4 sur la maîtrise de l'IA, qui vise tous les fournisseurs et déployeurs depuis le 2 février 2025.

Le texte distingue deux rôles. Le fournisseur développe le système et le met sur le marché. Le déployeur l'utilise dans le cadre de son activité. Une PME qui installe un chatbot sur son site ou un agent vocal sur sa ligne est en général déployeur, et la plupart des obligations techniques pèsent sur le fournisseur.

Le règlement (UE) 2026/1744 du 8 juillet 2026, dit omnibus numérique sur l'IA, a été publié au Journal officiel le 24 juillet et il est entré en vigueur le 27 juillet 2026. Il modifie l'article 113 de l'AI Act, celui qui fixe les dates.

Les interdictions et les dispositions générales s'appliquent depuis le 2 février 2025, et de nouvelles interdictions ajoutées par l'omnibus s'appliquent à partir du 2 décembre 2026. La date générale d'application reste le 2 août 2026 : c'est notamment celle des obligations de transparence de l'article 50.

Les exigences sur les systèmes à haut risque sont décalées. Pour ceux de l'annexe III (recrutement, éducation, accès à certains services essentiels, biométrie, entre autres), elles s'appliquent à partir du 2 décembre 2027. Pour l'IA intégrée à des produits déjà réglementés, listés à l'annexe I, ce sera le 2 août 2028. Les fournisseurs d'IA générative déjà sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026 pour marquer leurs contenus de façon détectable par une machine.

L'article 50 demande que les systèmes d'IA destinés à interagir directement avec des personnes soient conçus pour que celles-ci sachent qu'elles parlent à une IA, sauf si c'est évident pour une personne normalement attentive. L'obligation vise d'abord le fournisseur, mais c'est vous qui choisissez l'outil : vérifiez que votre chatbot ou votre agent vocal se présente comme une IA dès le premier échange.

Le même article crée deux obligations directes pour le déployeur. Celui qui publie une image, un son ou une vidéo hypertruqués doit indiquer qu'ils ont été générés ou manipulés par une IA. Celui qui publie un texte généré par IA pour informer le public sur des questions d'intérêt public doit le signaler, sauf si le texte a été relu par une personne qui en assume la responsabilité éditoriale. Une agence qui publie une vidéo de visite modifiée par IA, ou un commerce qui diffuse une fausse voix de célébrité dans une publicité, peuvent être concernés.

Commencez par la liste des outils d'IA utilisés dans l'entreprise, y compris ceux que les salariés ont adoptés seuls : assistant de rédaction, chatbot du site, tri des candidatures, outil de devis. Pour chacun, notez qui le fournit, à quoi il sert et s'il parle directement à vos clients.

Repérez ensuite les usages qui pourraient être à haut risque. Pour une petite entreprise, le cas le plus courant est le recrutement : un outil qui filtre les candidatures ou évalue les candidats figure à l'annexe III. Ses exigences s'appliquent à partir du 2 décembre 2027, ce qui laisse le temps de demander au fournisseur sa documentation et d'organiser un contrôle humain réel.

L'omnibus a aussi réécrit l'article 4 sur la maîtrise de l'IA. Fournisseurs et déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel, en tenant compte de leurs connaissances et du contexte, sans être tenus de garantir un niveau précis pour chaque personne. Une courte formation interne sur les outils utilisés, leurs limites et ce qu'on ne leur confie pas pourrait souvent suffire à y répondre.

Enfin, gardez en tête que l'AI Act s'ajoute au RGPD et ne le remplace pas : si votre outil traite des données personnelles, les règles de la CNIL sur l'information des personnes, la durée de conservation et les droits d'accès continuent de s'appliquer.

Un manquement aux obligations de transparence de l'article 50 peut coûter jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les PME et les jeunes pousses, le texte retient le montant le plus faible des deux. L'autorité tient compte de la gravité, de la durée, de la taille de l'entreprise et de sa coopération.

Pour un chatbot ou un agent vocal d'accueil, le risque devrait se maîtriser assez simplement : annoncer l'IA, prévoir un passage vers une personne, et ne pas confier à l'outil de décision qui engage lourdement un client. Chez Alyas, l'agent vocal se présente comme une IA dès le début de l'appel et peut transférer l'appel vers le numéro de transfert que vous avez configuré.