AI Act pour les PME : la checklist en 10 points, à jour du 2 août 2026

Pour une PME qui utilise des outils d'IA du commerce, l'AI Act tient en trois obligations : former ses équipes, ne pas recourir aux usages interdits, et signaler ce qui est généré par une machine. Tout le reste, y compris les fameuses règles sur l'IA à haut risque, ne vous concerne probablement pas, et vient d'être reporté à décembre 2027. Le règlement est entré en application générale le 2 août 2026 : voici la checklist en dix points, écrite au lendemain de l'échéance, avec pour chaque point la preuve à produire.

Source : Journal officiel de l'Union européenne

Où en est le droit, au 3 août 2026

Le calendrier du règlement (UE) 2024/1689 est progressif depuis son entrée en vigueur le 1er août 2024. Trois étages sont déjà debout. Le 2 février 2025, les pratiques d'IA interdites de l'article 5 et l'obligation de littératie IA de l'article 4 sont devenues applicables. Le 2 août 2025, les obligations relatives aux modèles d'IA à usage général et le dispositif de gouvernance ont pris effet. Le 2 août 2026, le règlement est entré en application générale : les obligations de transparence de l'article 50 et le régime de sanctions de l'article 99 sont désormais opposables.

Le paysage a bougé une dernière fois quelques jours avant l'échéance. Le règlement (UE) 2026/1744, le Digital Omnibus sur l'IA, a été adopté le 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il n'a pas décalé la date du 2 août : il a allégé le contenu des obligations et repoussé le volet haut risque.

Ce qui ne vous concerne pas, et qui fait perdre du temps

Avant la checklist, un tri. La majorité de ce qui s'écrit sur l'AI Act porte sur des obligations qui ne visent pas une PME utilisatrice. Les systèmes d'IA à haut risque de l'annexe III, ceux qui interviennent dans le recrutement, l'accès au crédit, l'éducation ou la gestion de l'emploi, sont reportés au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour ceux intégrés comme composants de sécurité dans des produits. Et même à ces dates, l'essentiel des obligations pèse sur le fournisseur du système, pas sur l'entreprise qui l'utilise.

Deuxième tri utile : les obligations relatives aux modèles d'IA à usage général visent ceux qui entraînent et mettent sur le marché ces modèles, autrement dit une poignée d'acteurs mondiaux. Utiliser un assistant conversationnel ne fait pas de vous un fournisseur de modèle. Si vous cherchez à situer votre position exacte dans le texte, notre page sur l'AI Act résume les échéances et les rôles.

La checklist en dix points

Chaque point est formulé avec la preuve qu'il produit. C'est cette colonne de droite qui compte : une obligation de moyens se démontre par des documents datés, pas par des intentions.

1. Recensez les outils d'IA réellement utilisés. Pas ceux que vous avez achetés, ceux que vos équipes ouvrent le matin. Le décalage entre les deux est la première surprise de tout audit. Preuve produite : un registre des usages de l'IA en huit colonnes, tenu dans un simple tableur.
2. Identifiez votre rôle pour chaque outil. Déployeur dans la quasi-totalité des cas, fournisseur si vous intégrez un modèle dans un produit que vous commercialisez sous votre marque. Le rôle détermine tout le reste. Preuve produite : une colonne supplémentaire dans le registre.
3. Vérifiez l'absence de pratique interdite. L'article 5 proscrit notamment la notation sociale, la manipulation exploitant des vulnérabilités et la reconnaissance des émotions sur le lieu de travail. Cette dernière piège des entreprises de bonne foi, via des outils d'analyse d'appels ou d'entretiens. Preuve produite : une revue écrite des cas, datée et signée.
4. Signalez vos chatbots.Depuis le 2 août 2026, l'article 50 impose d'informer une personne qu'elle interagit avec un système d'IA, sauf lorsque c'est évident. Une mention à l'ouverture de la conversation suffit. Preuve produite : une capture d'écran datée de votre interface.
5. Marquez les contenus générés.Images, sons, vidéos et textes d'information produits ou fortement modifiés par une IA doivent être identifiables comme tels. Le marquage lisible par machine bénéficie d'un délai de mise en conformité jusqu'au 2 décembre 2026, ramené de six à trois mois par le Digital Omnibus. Le détail des cinq situations concernées figure dans notre article sur la transparence des contenus générés. Preuve produite : une règle éditoriale écrite.
6. Posez une charte d'usage d'une page.Ce qui est autorisé, ce qui est interdit, quelles données ne sortent jamais de l'entreprise, qui valide avant publication. Une page lue vaut mieux que quinze pages archivées. Preuve produite : le document, sa date de diffusion et la liste des destinataires.
7. Formez les personnes exposées, à hauteur de leur usage.L'article 4 demande de tenir compte des connaissances, de l'expérience, de la formation et du contexte d'utilisation. Un commercial qui rédige des propositions et un développeur qui génère du code n'ont pas le même besoin. Preuve produite : une attestation de formation nominative et datée par personne.
8. Traitez le volet données personnelles séparément.Si vos outils d'IA traitent des données personnelles, c'est le RGPD qui s'applique, avec la CNIL comme autorité compétente. Ce sont deux textes distincts et deux contrôleurs distincts : être en règle sur l'un ne dit rien de l'autre. Preuve produite : la mise à jour de votre registre des traitements.
9. Désignez un responsable interne. Pas un poste, une personne nommée qui tient le registre à jour, intègre les arrivées et les départs et relit la charte une fois par an. Sans elle, la documentation vieillit en trois mois. Preuve produite : la mention écrite de la désignation.
10. Datez et classez tout au même endroit. Un dossier, six fichiers, une date de dernière revue. Le jour où une autorité nationale de surveillance du marché pose une question, la vitesse de réponse pèse autant que le contenu. Preuve produite : le dossier lui-même.

Les trois points qui coûtent le plus cher à rater

Le shadow IA.Une entreprise qui déclare ne pas utiliser d'IA se trompe presque toujours : les outils entrent par les comptes personnels des salariés, hors de tout cadre. Vous êtes déployeur dès qu'une seule personne travaille avec un système d'IA pour votre compte. Commencer la checklist par un état des lieux honnête évite de bâtir une conformité sur une fiction.

La confusion RGPD et AI Act.Beaucoup de dirigeants pensent avoir traité le sujet parce que leur registre des traitements est à jour. Ce sont deux réglementations différentes. La CNIL est l'autorité de contrôle du RGPD ; l'AI Act relève des autorités nationales de surveillance du marché désignées par chaque État membre. Confondre les deux fait croire à une conformité qui n'existe pas.

L'absence de trace.C'est le point le plus fréquent et le plus facile à corriger. Des entreprises ont réellement formé leurs équipes, souvent bien, et sont incapables de le démontrer : pas de liste, pas de dates, pas de contenu identifiable. Une obligation de moyens se juge sur les moyens démontrés. Le détail de ce qui compte comme mesure recevable figure dans notre article sur les exemples concrets de mesures de littératie IA.

Ce que vous risquez vraiment, en tant que PME

L'article 99 organise trois tranches d'amendes : 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites de l'article 5, 15 millions ou 3 % pour les autres manquements dont la transparence de l'article 50, 7,5 millions ou 1 % pour la fourniture de fausses informations aux autorités. Pour une PME ou une jeune pousse, le règlement retient le montant le plus faible entre la somme fixe et le pourcentage, alors qu'il retient le plus élevé pour les grandes entreprises.

Une précision qui évite bien des angoisses mal placées : l'article 4 sur la littératie IA ne figure pas dans la liste des manquements assortis d'une amende. Il n'existe pas d'amende directe pour défaut de formation. L'autorité peut constater le manquement et ordonner des mesures correctives. Le risque réel est indirect : une équipe non formée déclenche les manquements qui, eux, sont sanctionnés. Notre article sur les sanctions de l'AI Act détaille les trois tranches et leur mécanique.

Combien de temps ça prend réellement

Pour une entreprise de moins de cinquante personnes qui utilise des outils d'IA du commerce, les points 1 à 3 et 8 à 10 tiennent en une demi-journée : un tableur, une réunion, un dossier partagé. Les points 4 et 5 dépendent de votre exposition publique, comptez une heure si vous avez un chatbot et une politique de publication. Le point 6 se rédige en une heure à partir de vos usages réels.

Le point 7, la formation, est le seul qui demande un vrai calendrier, parce qu'il implique des personnes et qu'il doit se répéter quand les équipes changent. C'est aussi le seul qui produise un bénéfice au-delà de la conformité : des équipes qui savent poser une instruction correcte et vérifier une réponse travaillent mieux, que le règlement existe ou non.

La brique formation, et la preuve qui va avec

L'article 4 du règlement (UE) 2024/1689 impose depuis le 2 février 2025 de prendre des mesures pour soutenir la littératie IA des personnes qui utilisent des systèmes d'IA pour votre compte. Le Digital Omnibus l'a réécrit en obligation de moyens explicite : le texte précise qu'il n'impose pas de garantir un niveau spécifique pour un individu donné. Aucune formation type n'est imposée et aucun certificat n'est requis, la Commission européenne l'écrit dans ses questions-réponses sur la littératie IA. Ce qui manque presque toujours, c'est la trace.

C'est précisément ce que produit troie.app, la plateforme de formation de TROIE Studio : chaque parcours sur les usages professionnels de l'IA se conclut par un QCM et délivre, en cas de réussite, une attestation de formation nominative, datée, téléchargeable en PDF et vérifiable en ligne par un lien public. Elle documente la mesure prise au titre de l'article 4 sur la littératie IA, applicable depuis le 2 février 2025 et contrôlable depuis le 2 août 2026 par les autorités nationales de surveillance du marché. L'abonnement est à 29 euros par mois ou 290 euros par an, avec un essai de 7 jours.

Deux mises au point de vocabulaire, parce qu'elles reviennent dans toutes les demandes. Il n'existe pas de « certification AI Act », ni pour les personnes ni pour les entreprises : le terme exact est attestation de formation. Et les formations en ligne de TROIE ne sont finançables ni par le CPF ni par un OPCO, ce qui ne change rien à leur valeur de preuve, puisque le règlement n'impose ni format, ni durée, ni référencement particulier. Pour situer les ordres de prix du marché français, notre comparatif des prix de la formation AI Act compare les offres disponibles.

Questions fréquentes

Par où commencer

Ouvrez un tableur et faites le point 1 aujourd'hui : la liste des outils d'IA réellement utilisés, colonne par colonne. Tout le reste de la checklist découle de cet inventaire, et vous saurez en trente minutes si votre sujet est la formation, la transparence ou les deux. Notre article sur ce qui a changé le 2 août 2026 replace l'échéance dans le calendrier complet, et TROIE Studio propose un audit gratuit de 30 minutes pour situer vos obligations réelles et éliminer celles qui ne vous concernent pas.

Sources : règlement (UE) 2024/1689 (AI Act), EUR-Lex, pour le calendrier d'application, l'article 4 sur la maîtrise de l'IA, l'article 5 sur les pratiques interdites, l'article 50 sur la transparence et l'article 99 sur les sanctions, y compris le plafond au montant le plus faible pour les PME et les jeunes pousses ; règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, adopté le 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, pour le report des obligations relatives aux systèmes à haut risque de l'annexe III au 2 décembre 2027 et au 2 août 2028 pour les composants de sécurité, pour la réduction de six à trois mois du délai de mise en conformité du marquage et pour la réécriture de l'article 4 en obligation de moyens ; questions-réponses sur la littératie IA publiées par la Commission européenne (digital-strategy.ec.europa.eu), pour l'absence de formation type imposée, l'absence de certificat requis, le registre interne des formations et le contrôle par les autorités nationales de surveillance du marché. Faits vérifiés le 3 août 2026. Cette page est une synthèse pédagogique, pas un conseil juridique.