IA et RGPD : ce qu’une PME doit vraiment faire
Le registre, la base légale, et le comparatif des contrats de sous-traitance des éditeurs.
Lire l’article →Journal technique · Conformité
AI Act : ce qui s’applique vraiment à une PME (et ce qui a été reporté)
Le test en cinq questions pour savoir si vous êtes dedans, le calendrier corrigé par le règlement omnibus du 24 juillet 2026, le coût réel de la mise en conformité, et le détail des sanctions que les pages du secteur oublient de citer.
En bref. Depuis le 2 août 2026, si vous utilisez un chatbot, un agent vocal ou si vous publiez du contenu généré, vous devez le dire. C’est l’essentiel de ce qui s’applique aujourd’hui à une PME. Les obligations lourdes sur le recrutement et le crédit ont été reportées au 2 décembre 2027 par le règlement omnibus du 24 juillet 2026.
Ce sujet produit beaucoup de peur et peu d’action. Les pages qui se classent dessus sont écrites par des institutions, qui expliquent la loi sans jamais dire au lecteur s’il est dedans, ou par des prestataires qui agitent des amendes à sept chiffres sans mentionner l’article qui les divise par cent pour une PME.
Nous auditons des processus dans des entreprises de vingt à trois cents personnes. Ce texte dit ce qui vous concerne réellement, ce qui ne vous concerne pas, et combien coûte de se mettre en règle.
Calendrier vérifié le 26 août 2026. Le règlement (UE) 2026/1744, dit « Digital Omnibus IA », a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il modifie le calendrier du règlement (UE) 2024/1689 : beaucoup de pages sur ce sujet sont antérieures et annoncent encore les anciennes dates.
Êtes-vous concerné ? Le test en cinq questions
Répondez honnêtement. Aucune des dix pages qui se classent sur ce sujet ne donne ce test, et c’est pourtant la seule chose que vous voulez savoir.
- 1. Un client ou un visiteur peut-il échanger avec une machine chez vous ?
- Chatbot sur le site, agent vocal au téléphone, réponse automatique sur une messagerie. Si oui : vous êtes concerné depuis le 2 août 2026 par l’obligation d’information de l’article 50. C’est le cas le plus fréquent en PME, et le plus souvent ignoré.
- 2. Publiez-vous des contenus générés par IA ?
- Textes, visuels, voix de synthèse diffusés à l’extérieur. Si oui : le marquage des contenus générés vous concerne, également depuis le 2 août 2026.
- 3. Utilisez-vous l’IA pour trier des candidatures ou évaluer des personnes ?
- Tri de CV, notation de candidats, évaluation de salariés, notation d’un client pour un crédit. Si oui : vous serez concerné par le régime haut risque à partir du 2 décembre 2027. Vous avez du temps devant vous, mais pas une dispense, et le RGPD s’applique dès aujourd’hui.
- 4. Vendez-vous un produit qui embarque de l’IA ?
- Une machine, un dispositif, un logiciel commercialisé. Si oui : vous n’êtes plus déployeur, vous êtes fournisseur, et les obligations sont d’un autre ordre. C’est la bascule la plus importante du règlement.
- 5. Aucune des quatre ?
- Alors vous n’avez presque rien à faire au titre de ce règlement, et c’est le cas d’une bonne part des PME que nous auditons. Il vous reste une obligation de bon sens : savoir quels systèmes d’IA sont utilisés chez vous. Et le RGPD, lui, s’applique de toute façon.
Notez ce que ce test ne demande pas : votre chiffre d’affaires, votre secteur, votre effectif. Le règlement classe par usage, pas par taille. Une entreprise de quinze personnes qui trie des candidatures est plus concernée qu’une entreprise de deux cents qui rédige des comptes rendus.
Quel est le calendrier réel, après le report de juillet 2026 ?
Beaucoup de pages sur ce sujet annoncent encore les anciennes dates. Voici l’état au 26 août 2026.
| Date | Ce qui s’applique | Vous concerne si |
|---|---|---|
| 2 février 2025 | Les pratiques interdites de l’article 5 : notation sociale, manipulation, biométrie à distance en temps réel dans l’espace public | En principe non. Ces pratiques ne se rencontrent pas dans une PME ordinaire |
| 2 août 2025 | Les obligations sur les modèles d’IA à usage général | Non, sauf si vous éditez un modèle. Elles pèsent sur les fournisseurs |
| 2 août 2026 | Les obligations de transparence de l’article 50 : informer une personne qu’elle s’adresse à une machine, marquer les contenus générés | Oui, et c’est déjà en vigueur. Chatbot, agent vocal, contenu généré publié : vous êtes dedans |
| 2 décembre 2026 | Deux interdictions ajoutées à l’article 5 par le règlement omnibus | Non, sauf activité très particulière |
| 2 décembre 2027 | Les exigences sur les systèmes à haut risque de l’annexe III : recrutement, éducation, accès aux services essentiels, crédit, justice. Reporté du 2 août 2026 | Oui si vous triez des candidatures ou si vous notez des personnes. Vous avez du temps, pas une dispense |
| 2 août 2028 | L’IA intégrée à des produits déjà réglementés (annexe I) : dispositifs médicaux, machines, jouets, véhicules. Reporté du 2 août 2027 | Oui si vous fabriquez une machine ou un produit soumis au marquage CE |
Ce que le report change, et ce qu’il ne change pas
Le règlement (UE) 2026/1744 a repoussé de seize mois les exigences les plus lourdes, celles qui pèsent sur les usages à haut risque de l’annexe III. Pour une PME qui envisageait un outil de tri de candidatures, c’est un vrai répit.
Ce qu’il ne change pas, et c’est le point que les titres ont escamoté : les obligations de transparence de l’article 50 ne sont pas reportées. Elles s’appliquent depuis le 2 août 2026. Les interdictions de l’article 5 non plus. Et le RGPD, qui est le texte qui vous concerne le plus souvent, n’a jamais été suspendu.
Calendrier vérifié le 26 août 2026. Le règlement (UE) 2026/1744, dit « Digital Omnibus IA », a été publié au Journal officiel de l’Union européenne le 24 juillet 2026 et est entré en vigueur le 27 juillet. Il modifie le calendrier du règlement (UE) 2024/1689 : beaucoup de pages sur ce sujet sont antérieures et annoncent encore les anciennes dates.
Êtes-vous fournisseur ou déployeur ?
Le règlement emploie ces deux mots partout et n’explique jamais ce qu’ils veulent dire pour un dirigeant. Voici la traduction.
| Le fournisseur | Le déployeur | |
|---|---|---|
| C’est qui | Celui qui met un système d’IA sur le marché sous son nom | Celui qui utilise un système d’IA dans son activité professionnelle |
| Vous l’êtes si | Vous vendez un logiciel ou une machine qui embarque de l’IA | Vous utilisez un outil du marché. C’est le cas de 95 % des PME |
| Ce que vous devez | Documentation technique, évaluation de conformité, marquage, enregistrement, surveillance après mise sur le marché | Beaucoup moins : utiliser conformément à la notice, assurer une surveillance humaine, informer les personnes, conserver les journaux quand ils existent |
| Le piège | — | Faire développer un outil sur mesure ne fait pas de vous un fournisseur tant que vous ne le commercialisez pas. Beaucoup de dirigeants croient l’inverse et se paralysent |
Le règlement omnibus a d’ailleurs allégé la charge du déployeur : il reste co-responsable de la surveillance et de la documentation d’usage, mais l’évaluation de conformité complète incombe au fournisseur. Autrement dit, c’est à votre prestataire de prouver que son système est conforme, pas à vous. Exigez-le par écrit dans le contrat, c’est la disposition la plus utile de tout le texte pour une PME.
Que faut-il faire concrètement ?
Quatre actions. Les deux premières prennent une demi-journée et couvrent la situation d’une PME ordinaire.
- 01Action 1
Tenir la liste de vos systèmes d’IA
Un tableau : quel outil, quel pôle, quelle donnée, quel fournisseur, depuis quand. Dix lignes suffisent. C’est ce qu’on vous demandera en premier en cas de contrôle, et c’est aussi ce qui révèle que trois abonnements sont payés et inutilisés.
- 02Action 2
Poser l’information là où une machine parle
Une phrase sur votre chatbot, une phrase au début de votre agent vocal, une mention sur les contenus générés que vous publiez. C’est l’obligation en vigueur depuis le 2 août 2026, elle coûte une heure, et c’est celle que tout le monde a oubliée.
- 03Action 3
Écrire la charte d’usage, deux pages
Ce qui peut entrer dans un outil d’IA et ce qui ne le peut pas. Le règlement ne l’exige pas explicitement pour un déployeur, mais c’est ce qui rend démontrable votre surveillance humaine, et c’est ce qui vous protège réellement.
- 04Action 4
Exiger la conformité de vos fournisseurs par contrat
Une clause qui met à leur charge la conformité du système fourni et l’obligation de vous informer d’un changement. Deux lignes dans un contrat valent mieux que six mois de mise en conformité de votre côté.
Ce qu’il ne faut pas faire : acheter une plateforme de gouvernance de l’IA. Pour une entreprise de quarante personnes, c’est un tableur qu’il faut, pas un logiciel.
Combien coûte la mise en conformité ?
Aucune des dix pages qui se classent sur ce sujet ne répond. Voici notre ordre de grandeur, pour une PME déployeur, sans usage à haut risque.
| Ce qu’il faut produire | Qui le fait | Temps réel |
|---|---|---|
| La liste des systèmes d’IA utilisés | Vous, ou votre référent | Une demi-journée, et le plus dur est de retrouver les abonnements pris par les pôles |
| Les mentions d’information | Vous, ou votre prestataire web | Une heure |
| La charte d’usage | Vous, à partir d’un modèle | Une demi-journée, plus une réunion de validation |
| La clause fournisseur | Votre conseil habituel | Une heure d’avocat, réutilisable ensuite |
| Le volet RGPD | Vous, ou votre délégué à la protection des données | Une journée pour inscrire les traitements au registre et signer les accords de sous-traitance |
Total pour une PME sans usage à haut risque : deux à trois jours de travail interne, et une heure de conseil juridique. Pas un projet, pas une plateforme, pas un budget d’investissement. Si un prestataire vous chiffre un audit de conformité à cinq chiffres, demandez-lui lequel de vos usages relève du haut risque : la réponse est souvent aucun.
Le cas change si vous triez des candidatures, si vous notez des personnes ou si vous commercialisez un produit qui embarque de l’IA. Là, le chantier est réel, et vous avez jusqu’au 2 décembre 2027 ou au 2 août 2028 pour le mener.
Quelles sanctions, réellement, pour une PME ?
| Type de manquement | Plafond | Ce que dit le texte pour une PME |
|---|---|---|
| Pratique interdite (article 5) | 35 M€ ou 7 % du chiffre d’affaires mondial | Le montant le plus faible des deux |
| Autres manquements | 15 M€ ou 3 % | Le montant le plus faible des deux |
| Information incorrecte ou trompeuse | 7,5 M€ ou 1 % | Le montant le plus faible des deux |
Le détail que presque personne ne cite : l’article 99 prévoit que pour les PME et les jeunes entreprises, c’est le plus faible des deux montants qui s’applique, alors que pour les grandes entreprises c’est le plus élevé. Pour une PME à 8 M€ de chiffre d’affaires, un manquement de la deuxième ligne plafonne donc à 3 % de 8 M€, pas à 15 M€. Les chiffres à sept chiffres brandis sur les pages du secteur ne décrivent pas votre situation.
Nous écrivons ceci en sachant que ça nous prive d’un argument commercial. Les pages qui vendent de la conformité mettent « jusqu’à 35 millions d’euros » en tête, sans préciser que ce plafond vise les pratiques interdites, qu’aucune PME ordinaire ne pratique, et que le mécanisme est inversé pour les petites entreprises. La bonne raison de se mettre en règle n’est pas la peur : c’est qu’un client ou un donneur d’ordre vous le demandera, et que ça se prépare en trois jours.
Quelle articulation avec le RGPD ?
C’est la question la plus utile et la moins traitée. Les deux textes se superposent, et dans une PME, c’est le RGPD qui mord le plus souvent.
| RGPD | AI Act | |
|---|---|---|
| Ce qu’il protège | Les données personnelles | La sécurité et les droits fondamentaux face aux systèmes d’IA |
| Depuis quand | 2018 | Par étapes depuis 2025 |
| Vous concerne si | Vous traitez des données de personnes. Donc toujours | Vous utilisez un système d’IA dans les cas vus plus haut |
| L’obligation qui coince le plus | Le registre des traitements et l’accord de sous-traitance avec l’éditeur | L’information des personnes quand une machine leur parle |
| Qui contrôle en France | La CNIL | La CNIL se prépare à être désignée autorité de surveillance du marché |
En pratique : une PME qui a fait proprement son travail RGPD sur ses outils d’IA a déjà fait les trois quarts du chemin. Une PME qui ne l’a pas fait a un problème aujourd’hui, pas en 2027. Le détail est dans notre article sur l’IA et le RGPD.
Trois cas concrets
Un cabinet comptable de trente personnes
Usages typiques : lecture de pièces, rédaction de courriers, assistant sur la documentation fiscale. Aucun usage à haut risque. Ce qui s’applique : le RGPD, sérieusement, parce que les données clients sont sensibles et nombreuses. L’AI Act ne demande presque rien, sauf si un chatbot répond aux clients. Voir la page expert-comptable.
Une PME industrielle de cent quarante personnes
Usages typiques : maintenance prédictive, assistant sur la documentation technique, contrôle qualité par image. Aucun usage à haut risque au sens de l’annexe III, tant que l’IA ne décide rien sur des personnes. Attention en revanche si l’IA devient un composant de sécurité d’une machine que vous fabriquez : vous basculez côté fournisseur, avec une échéance au 2 août 2028. Voir la page industrie.
Un domaine viticole de vingt-cinq personnes
Usages typiques : suivi parcellaire, aide à la décision sur les traitements, gestion documentaire des déclarations. Rien au titre de l’AI Act. Les contraintes réelles viennent d’ailleurs : traçabilité, déclarations, contrôles douaniers. Voir la page viticulture.
Le point commun des trois : le règlement européen sur l’IA n’est pas le sujet principal de leur conformité. Le RGPD l’est, et il l’était déjà avant.
Questions fréquentes sur l’AI Act et les PME
Dans la plupart des cas, très peu. Si un client ou un visiteur peut échanger avec une machine chez vous, ou si vous publiez des contenus générés, vous êtes concerné depuis le 2 août 2026 par l’obligation d’information. Si vous triez des candidatures ou notez des personnes, vous le serez au titre du haut risque à partir du 2 décembre 2027. Sinon, vous n’avez presque rien à faire au titre de ce texte.
Certaines seulement. Le règlement (UE) 2026/1744, publié le 24 juillet 2026, a repoussé les exigences sur les systèmes à haut risque de l’annexe III du 2 août 2026 au 2 décembre 2027, et celles sur l’IA intégrée à des produits réglementés au 2 août 2028. Les obligations de transparence de l’article 50, elles, ne sont pas reportées : elles s’appliquent depuis le 2 août 2026.
Le fournisseur met un système d’IA sur le marché sous son nom ; le déployeur l’utilise dans son activité. Environ 95 % des PME sont déployeurs, et leurs obligations sont bien plus légères : utiliser conformément à la notice, assurer une surveillance humaine, informer les personnes. Faire développer un outil sur mesure ne fait pas de vous un fournisseur tant que vous ne le commercialisez pas.
Pour une PME déployeur sans usage à haut risque : deux à trois jours de travail interne et une heure de conseil juridique. La liste des systèmes utilisés, les mentions d’information, une charte de deux pages et une clause dans vos contrats fournisseurs. Si un prestataire vous chiffre cinq chiffres, demandez-lui lequel de vos usages relève du haut risque.
Jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres manquements. Mais l’article 99 prévoit que pour les PME et les jeunes entreprises, c’est le montant le plus faible des deux qui s’applique, l’inverse de la règle pour les grandes entreprises. Les chiffres à sept chiffres brandis sur les pages du secteur ne décrivent pas votre situation.
Rarement, et pas pour une PME sans usage à haut risque. Ce qu’il faut, c’est la liste de vos systèmes, les mentions d’information, une charte et une clause contractuelle. Un audit se justifie si vous triez des candidatures, si vous notez des personnes, ou si vous embarquez de l’IA dans un produit que vous vendez.
Les deux se superposent, et dans une PME c’est le RGPD qui mord le plus souvent : registre des traitements, base légale, information des personnes, accord de sous-traitance avec l’éditeur. Une entreprise qui a fait ce travail proprement a déjà fait les trois quarts du chemin.
La CNIL se prépare à être désignée autorité de surveillance du marché au titre du règlement européen sur l’IA, en plus de ses fonctions actuelles. Ses thèmes de contrôle prioritaires pour 2026 sont le recrutement, le répertoire électoral unique et les fédérations sportives.
Qui écrit ceci
Écrit par Victor et Alexandre, qui conduisent les audits eux-mêmes. Onze projets d’intelligence artificielle livrés depuis 2024, plus de soixante-dix entreprises accompagnées depuis 2018. Ils dirigent chacun une entreprise : c’est le point de vue de quelqu’un qui a signé des devis avant d’en écrire. Qui nous sommes
Passer à la pratique ?
La liste, la charte et les mentions, faites avec vous en une journée. Sans plateforme à acheter.
Notre offre conformité → ou 06 38 42 04 85·
À lire ensuite
Sur le même sujet, plus en détail.
Conformité IA : charte, registre, gouvernance
La conformité intégrée à l’audit plutôt qu’en chantier séparé.
Lire l’article →
Shadow IA : ce que vos équipes utilisent sans vous le dire
Pourquoi interdire ne marche pas, et la réponse en trois actes.
Lire l’article →