AI Act 2026 : ce que les PME doivent anticiper

Toute organisation qui met sur le marché ou utilise un système d'IA peut être qualifiée de fournisseur ou de déployeur. Utiliser ChatGPT Team pour rédiger des propositions commerciales, intégrer un chatbot sur le site ou scorer des leads dans le CRM suffit à entrer dans le périmètre.

La bonne nouvelle pour la majorité des PME : beaucoup d'usages relèvent d'un risque limité si vous documentez, formez et supervisez. Le risque monte dès que l'IA influence l'accès à l'emploi, l'évaluation de personnes ou des décisions similaires.

Commencez par un inventaire simple : outil, finalité, données traitées, qui valide la sortie. Dix lignes par usage suffisent pour la première version.

L'obligation de littératie IA (article 4) s'applique depuis février 2025 : vos équipes doivent comprendre les capacités et les limites des outils qu'elles utilisent.

La transparence envers les utilisateurs (article 50) impose de signaler qu'ils interagissent avec une IA lorsque c'est ambigu : chatbot, génération automatique d'e-mails sans relecture visible.

Pour les systèmes classés haut risque selon l'annexe III, les obligations de documentation, supervision humaine et suivi post-marché se renforcent avec une échéance critique en août 2026.

Semaine 1 : inventaire des usages IA internes et côté client. Identifiez les données personnelles en entrée et les décisions automatisées en sortie.

Semaine 2 : classification provisoire par niveau de risque avec votre DPO ou un conseil externe. Documentez les cas limites (RH, scoring, biométrie).

Semaine 3 : formation courte par métier, charte d'usage mise à jour, procédure de validation humaine pour les sorties externes.

Semaine 4 : revue des contrats fournisseurs (DPA, hébergement UE, désactivation de l'entraînement). Planifiez les audits pour les systèmes haut risque.