AI Act : l'échéance du 2 août est passée, et maintenant ?

L’AI Act est le règlement européen qui encadre l’usage de l’intelligence artificielle, et son palier le plus structurant pour les entreprises utilisatrices est entré en application hier, le 2 août 2026. La question n’est donc plus « qu’est-ce qu’il faut avoir fait avant l’échéance » — nous l’avions traitée en mai dans notre article sur l’échéance d’août 2026 — mais « qu’est-ce qui s’applique maintenant, et que se passe-t-il si je ne suis pas prêt ». La réponse honnête tient en une phrase : on ne se met pas en conformité en un week-end, mais on peut démontrer une trajectoire. Voici ce qui change réellement dans le quotidien d’une PME, et ce qu’il faut faire dès septembre.

Ce qui est applicable depuis hier

Le texte ne s’est pas transformé en machine à sanctions à minuit. Ce qui a changé, c’est que les obligations qui pesaient jusqu’ici sur les fournisseurs de modèles s’appliquent désormais aussi à vous, entreprise utilisatrice — le « déployeur », dans le vocabulaire du règlement.

Pour l’immense majorité des PME : trois obligations, pas dix

Le cas le plus fréquent, de loin, c’est la PME qui n’est ni fournisseur ni déployeur d’un système à haut risque : elle utilise ChatGPT, Copilot, Claude ou Gemini pour rédiger, résumer, préparer des rendez-vous. Pour elle, l’obligation réelle se limite à trois choses :

L’AI literacy (art. 4) : garantir que les personnes qui utilisent l’IA comprennent ce qu’elles manipulent. Une demi-journée de sensibilisation, tracée, suffit à démontrer l’effort.
La transparence : signaler qu’un client parle à une IA, et signaler les contenus générés ou substantiellement modifiés par une IA quand ils sont diffusés.
Le registre des usages : savoir qui utilise quoi, avec quelles données, sous quelle responsabilité. C’est le document unique qui fait tenir les deux premiers.

C’est tout. Pas de dossier technique, pas d’évaluation de conformité, pas de marquage. Si vous êtes dans ce cas, l’échéance du 2 août est beaucoup moins violente que ce que les conférences du printemps ont laissé entendre.

Pour la minorité réellement exposée

Le régime change complètement si votre IA touche à des décisions sur des personnes : tri de candidatures, scoring de dossiers, évaluation de collaborateurs, biométrie. Là, les obligations sont vérifiables : supervision humaine nommément désignée, journaux d’utilisation conservés, information des personnes concernées, application de la notice de l’éditeur. Même chose si vous intégrez un modèle dans un produit que vous vendez : vous basculez côté fournisseur.

Le décalage entre le texte et la réalité du contrôle

Il faut le dire, parce que personne ne le dit : aucune autorité nationale n’a les moyens d’auditer trois millions de PME européennes le 3 août. Les autorités de surveillance du marché désignées par les États membres montent en charge progressivement, avec des effectifs limités et des priorités qui vont d’abord vers les dossiers à fort impact.

Le texte n’est pas décoratif pour autant. Simplement, le risque pour une PME n’est pas un contrôle aléatoire. Il est déclenché.

Ce qui déclenche vraiment un contrôle

Une plainte. Un candidat écarté par un outil de tri, un salarié évalué par un système opaque, un client contestant une décision automatisée, parfois un concurrent. C’est le déclencheur numéro un.
Un incident. Une fuite de données via un outil non déclaré, un assistant IA détourné par prompt injection, un contenu généré diffusé sans relecture. L’incident attire l’attention, et l’attention remonte jusqu’à votre cadre — ou à son absence.
Un questionnaire fournisseur. Ce n’est pas un contrôle réglementaire, mais l’effet pratique est le même : produire des preuves, vite.

La vraie pression viendra de vos clients et de vos assureurs

C’est le point que les dirigeants sous-estiment le plus. Le régulateur arrivera peut-être un jour. Vos clients grands comptes, eux, arrivent maintenant.

Depuis le début 2026, les questionnaires fournisseurs des ETI et des grands groupes intègrent une section IA : quels outils, quelles données, qui supervise, avez-vous une politique écrite, formez-vous vos équipes. Sur un appel d’offres, une réponse vide n’est pas une amende, c’est une élimination. Même mécanique chez les assureurs cyber : une réponse floue se paie en franchise, en exclusion de garantie ou en prime.

Autrement dit, la sanction la plus probable pour une PME en 2026 n’est pas administrative, elle est commerciale. Et elle tombe beaucoup plus vite.

Où en êtes-vous vraiment ?

Le tableau croise les situations les plus fréquentes, l’exposition réelle, et l’action à programmer dès la rentrée.

Situation de votre PME	Exposition réelle	Action dès septembre
Usage bureautique de l’IA (rédaction, résumé), pas de données clients sensibles	Faible	Charte 1 page, demi-journée AI literacy, registre des usages
Chatbot client ou contenu généré diffusé publiquement	Faible à moyenne	Mention de transparence visible, relecture humaine tracée
Données clients ou contrats saisis dans des outils IA	Moyenne	Vérifier les clauses de non-réutilisation, mettre à jour le registre RGPD
Vous vendez aux grands comptes ou au secteur public	Moyenne à forte, mais commerciale	Constituer un dossier présentable avant le prochain appel d’offres
IA utilisée pour trier des CV, scorer, évaluer des personnes	Forte, réglementaire	Supervision humaine désignée, logs, information des personnes
Modèle IA intégré dans un produit que vous vendez	Forte, vous êtes fournisseur	Documentation technique, marquage, analyse de conformité produit

Trois lignes sur six aboutissent à des actions qui tiennent en quelques jours. C’est la réalité du terrain, et elle est nettement moins anxiogène que le discours ambiant.

Si vous n’êtes pas prêt : ouvrez un dossier daté

Vous êtes en retard, une partie de vos équipes est en congés, et vous ne rattraperez pas six mois de cadrage en trois semaines. Ce n’est pas grave, à une condition : ne pas rester dans le silence documentaire. Ce qui protège une PME de bonne foi, ce n’est pas une conformité parfaite, c’est une trajectoire démontrable et datée.

Semaine 1 — Ouvrir le dossier

Un dossier de mise en conformité, daté du jour où vous l’ouvrez, avec une note d’une page : périmètre, responsable désigné, calendrier prévisionnel. Ce document vaut infiniment plus qu’une conformité tacite jamais écrite. C’est lui que vous montrerez à un client, à un assureur ou à une autorité.

Semaines 2 à 4 — Cartographier

L’inventaire des usages réels, y compris les usages non déclarés — c’est souvent là que se cachent les vrais écarts, comme nous l’expliquions à propos du Shadow AI. Pour chaque usage : qui, pour quoi, avec quelles données, quelle classe de risque.

Semaines 4 à 6 — Prioriser les écarts

On traite d’abord ce qui est visible de l’extérieur (transparence client), puis ce qui est exigé par écrit (AI literacy, registre), puis le confort interne. Chez PIWA, nous voyons régulièrement des PME découvrir en cartographiant qu’elles étaient déjà conformes à 80 % sans le savoir, et qu’il ne manquait que la trace écrite. Le reste s’appuie sur les 10 garde-fous de gouvernance IA.

Les sanctions, sans catastrophisme

Les plafonds sont réels mais mal lus. Jusqu’à 35 MEUR ou 7 % du chiffre d’affaires mondial pour les usages interdits, 15 MEUR ou 3 % pour les manquements graves, 7,5 MEUR ou 1 % pour des informations inexactes fournies aux autorités. Point souvent oublié : pour les PME et les jeunes entreprises, le règlement prévoit que le montant retenu est le plus faible des deux, et que la proportionnalité doit être prise en compte. Un manquement documentaire de bonne foi, corrigé, n’a rien à voir avec un usage interdit assumé.

Trois chiffres à retenir

3 obligations réelles pour la grande majorité des PME : AI literacy, transparence, registre des usages. Pas dix.
4 à 6 semaines pour constituer un dossier de trajectoire crédible en partant de zéro, soit 3 000 à 8 000 EUR en interne ou en accompagnement.
Le plus faible des deux montants en cas de sanction pour une PME — la lecture « 7 % du chiffre d’affaires » appliquée à une entreprise de 20 personnes est un contresens.

FAQ

L’échéance du 2 août 2026 est passée et je n’ai rien fait : suis-je en infraction ?

Techniquement, si des obligations vous concernent et qu’elles ne sont pas satisfaites, vous êtes en écart. Pratiquement, cela ne déclenche rien tant qu’il n’y a ni plainte, ni incident, ni demande de preuve de la part d’un client. Ce qui compte à partir de maintenant, c’est de pouvoir démontrer que vous avez engagé une mise en conformité datée, avec un responsable identifié et un calendrier. Une PME de bonne foi qui documente sa trajectoire est dans une situation très différente d’une entreprise qui n’a rien écrit du tout.

Qui contrôle réellement l’application de l’AI Act ?

L’application relève d’autorités nationales de surveillance du marché désignées par chaque État membre, coordonnées au niveau européen par le Bureau de l’IA de la Commission. Ces autorités ne procèdent pas à des contrôles aléatoires de masse : elles agissent sur signalement, sur incident, ou sur des secteurs jugés prioritaires. Pour une PME, la probabilité d’un contrôle spontané dans les mois qui viennent est faible. La probabilité d’une demande de preuve par un client grand compte est, elle, très élevée.

Ma PME utilise seulement ChatGPT et Copilot : qu’est-ce qui s’applique depuis le 2 août ?

Trois obligations légères. D’abord l’AI literacy : vos utilisateurs doivent avoir reçu une sensibilisation minimale, et vous devez pouvoir le prouver. Ensuite la transparence : si un client interagit avec une IA ou reçoit un contenu généré, il doit pouvoir le savoir. Enfin un registre des usages, qui liste les outils, les finalités, les données concernées et les responsables. Comptez quelques jours de travail, pas un projet de conformité lourd.

Combien de temps faut-il pour rattraper le retard ?

Pour un profil d’usage standard, comptez quatre à six semaines calendaires : une semaine pour ouvrir le dossier et désigner un responsable, deux à trois semaines pour la cartographie des usages réels, une à deux semaines pour traiter les écarts prioritaires et publier une charte. L’effort réel se situe autour de cinq à dix jours-homme. Ce calendrier est tenable sur septembre-octobre, y compris avec une équipe qui revient de congés.

Peut-on être sanctionné dès maintenant pour un manquement ?

Oui sur le principe, les obligations sont applicables. Mais la mécanique réelle passe par un déclencheur : plainte d’une personne concernée, incident signalé, ou saisine par un tiers. Les autorités disposent par ailleurs de pouvoirs graduels — demande d’information, mise en demeure, injonction de mise en conformité — avant d’en arriver à une amende. Pour une PME qui coopère et corrige, la sanction financière reste une issue peu probable.

Prochaine étape : savoir où vous en êtes vraiment

Le plus coûteux, en ce moment, n’est pas d’être en écart : c’est de ne pas savoir de quel côté du tableau ci-dessus vous vous situez. Un audit IA cadré répond à cette question en quelques jours : inventaire des usages réels, classification par niveau de risque, liste des écarts par ordre de priorité, et un dossier daté que vous pourrez présenter à un client ou à un assureur.

Faites le point sur votre exposition AI Act — 30 minutes pour situer votre PME, identifier les deux ou trois écarts qui comptent vraiment, et repartir avec un plan de rentrée réaliste.