Règlement IA au 2 août 2026, ce qu'une PME doit avoir prêt

Le 2 août 2026, la majeure partie du règlement européen sur l’intelligence artificielle entre en application. Date inscrite en dur dans le texte (Règlement UE 2024/1689), pas un projet de loi en discussion. Plafond de sanction : 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les manquements sur les systèmes à haut risque. Pour une PME, c’est le montant le plus faible des deux qui s’applique, mais 1,5 % d’un CA annuel reste douloureux. Vous avez 62 jours.

La bonne nouvelle : la majorité des PME ne sont concernées que par deux obligations concrètes, et les deux sont rapides à traiter. La mauvaise : la première était déjà applicable depuis le 2 février 2025, sans que la plupart des dirigeants ne l’aient remarquée.

Ce qui change vraiment le 2 août 2026

Le règlement IA est entré en vigueur le 1er août 2024, mais ses obligations sont étalées sur trois ans. La Direction générale des Entreprises résume le calendrier officiel ainsi :

• 2 février 2025 : interdiction des systèmes à risque inacceptable (notation sociale, manipulation, biométrie temps réel dans l’espace public). Application de l’Article 4 sur la littératie IA.
• 2 août 2025 : règles sur les modèles d’IA à usage général (GPT, Claude, Mistral, Gemini), désignation des autorités nationales.
• 2 août 2026 : application complète aux systèmes d’IA à haut risque (Annexe III), supervision et sanctions de l’Article 4, mise en place des bacs à sable réglementaires nationaux.
• 2 août 2027 : haut risque incorporé dans certains produits réglementés (jouets, dispositifs médicaux, machines).

Concrètement, le 2 août 2026 fait basculer trois choses pour une PME :

1. Les autorités nationales de surveillance peuvent commencer à sanctionner les manquements à l’Article 4 (littératie IA), même si l’obligation existe depuis 18 mois.
2. Tout système d’IA classé “haut risque” déployé dans votre PME doit être conforme : documentation, supervision humaine, traçabilité, déclaration de conformité.
3. Les obligations de transparence de l’Article 50 (chatbot, contenu généré) sont opposables.

Êtes-vous concerné, oui ou non

Le règlement classe les systèmes d’IA en 4 niveaux de risque. La quasi-totalité des PME n’utilise que les deux niveaux du bas, mais le diagnostic doit être posé clairement.

Le test simple. Répondez par oui ou non aux 4 questions suivantes. Si vous répondez oui à au moins une, vous tombez probablement dans la catégorie “haut risque” et vous devez consulter un juriste avant le 2 août.

1. Vous utilisez un logiciel qui filtre, trie ou note automatiquement les candidatures que vous recevez (ATS avec IA, scoring de CV) ?
2. Vous utilisez un outil qui calcule automatiquement la solvabilité d’une contrepartie (scoring crédit, anti fraude IA, évaluation fournisseur) ?
3. Vous utilisez un outil qui évalue automatiquement la performance ou le comportement de vos salariés (productivité, surveillance écran, scoring commercial) ?
4. Vous utilisez la biométrie pour le contrôle d’accès ou l’identification (reconnaissance faciale, empreinte digitale, voix) ?

Si la réponse est non aux 4 : vous êtes dans “risque limité” ou “minimal”, et votre charge de mise en conformité tient sur une matinée.

L’obligation que tout le monde a déjà ratée : la littératie IA (Article 4)

C’est l’angle mort du règlement. L’Article 4 s’applique depuis le 2 février 2025, soit 16 mois. Il oblige tout employeur dont les salariés utilisent un outil d’IA (ChatGPT, Copilot, Claude, Mistral, Notion AI, etc.) à garantir un “niveau suffisant de littératie en IA”.

La Commission européenne précise dans sa FAQ officielle qu’il n’y a “pas de seuil de taille” : une structure de quelques salariés est soumise à la même obligation qu’un grand groupe industriel. Et elle confirme : la supervision et les sanctions liées à l’Article 4 démarrent le 2 août 2026.

Plafond de sanction Article 4 : 15 millions d’euros ou 3 % du CA mondial, le moindre des deux pour une PME (Article 99(4) du règlement).

Bonne nouvelle, l’obligation est ouverte : pas de format imposé, pas de certificat, pas d’organisme habilité. La Commission rappelle : “Il n’y a pas de besoin de certificat. Les organisations peuvent tenir un registre interne des formations et autres initiatives.”

Ce qu’il faut produire concrètement avant le 2 août :

Dossier "Littératie IA" à conserver en interne
├── 01-cartographie-usages-ia.md
│   (Quels outils IA sont utilisés dans la boîte, par qui, pour quoi)
├── 02-note-information-salaries.md
│   (Une page : qu'est-ce que l'IA, risques principaux, règles maison)
├── 03-charte-usage-ia.md
│   (Données confidentielles interdites, vérification systématique, etc.)
├── 04-traces-formation/
│   ├── support-session-1.pdf
│   ├── feuille-emargement.csv
│   └── compte-rendu.md
└── 05-revue-annuelle.md
    (Date de la prochaine mise à jour, signée)

La règle Alpha Digital : la littératie IA se traite avec un document écrit et une réunion d’équipe, pas avec un budget formation. Tout prestataire qui vous vend autre chose vend de l’angoisse.

Transparence et étiquetage : le piège du chatbot et de la génération

L’Article 50 s’applique pleinement au 2 août 2026. Il vise les usages “risque limité”, c’est à dire la plupart des PME qui ne font pas de tri RH automatisé.

Deux situations concrètes :

Si vous avez un chatbot sur votre site, votre back office, votre service client. L’utilisateur doit savoir qu’il parle à une IA. Un bandeau “Vous échangez avec un assistant automatisé” suffit. Pas besoin de mention légale lourde.

Si vous publiez des contenus générés par IA sur des canaux publics (visuels marketing, vidéos, articles de blog, posts LinkedIn). Vous devez signaler le caractère artificiel. La forme reste flexible, mais l’absence de signal devient sanctionnable.

Mention type à coller en pied d’article ou de visuel, à adapter :

“Visuel généré avec assistance IA. Texte rédigé par un humain, relecture assistée par IA.”

Ou plus court, dans les métadonnées d’un site :

“Certains contenus de ce site sont produits avec l’aide d’outils d’IA générative.”

Qui sanctionne, combien, et que faire dans les 62 prochains jours

Côté hexagone, l’autorité désignée pour superviser le règlement IA est la CNIL, en lien avec la DGE et l’Arcom. La CNIL publie déjà ses fiches pratiques IA qui font office de doctrine opérationnelle.

Tableau des plafonds de sanction :

La règle Alpha Digital : pour une PME en risque limité, la facture maximale tient en deux lignes. Identifier vos usages, formaliser les traces. Pas besoin de budget conseil à 5 chiffres.

Checklist 62 jours, à exécuter dans l’ordre

Semaine 1 (cette semaine)
[ ] Lister tous les outils d'IA utilisés en interne (par service, par usage)
[ ] Pour chaque outil, classer en : haut risque / limité / minimal
[ ] Si UN seul outil tombe en "haut risque", consulter un juriste

Semaines 2-3
[ ] Rédiger une note d'information IA (1 à 2 pages) pour les salariés
[ ] Rédiger une charte d'usage IA (données interdites, vérifications, etc.)
[ ] Réunion d'équipe 1h, feuille d'émargement, compte rendu écrit

Semaines 4-6
[ ] Auditer vos chatbots : bandeau "vous parlez à une IA" présent ?
[ ] Auditer vos contenus publics IA : mention d'étiquetage présente ?
[ ] Ajouter ce qui manque, modifier le footer du site si besoin

Semaines 7-8
[ ] Archiver tous les documents dans un dossier "Conformité IA"
[ ] Programmer la revue annuelle (date dans l'agenda)
[ ] Vérifier que les mises à jour des outils IA n'ont pas modifié la classification

Ce que vous pouvez ignorer (et ce que vous ne pouvez pas)

Tout n’est pas urgent. Voici la séparation utile pour un dirigeant qui veut un retour sur investissement clair de son temps.

Vous pouvez ignorer pour le 2 août 2026 :

• Les obligations sur les modèles d’IA à usage général : elles visent les éditeurs (OpenAI, Anthropic, Mistral), pas leurs utilisateurs.
• Les obligations sur les systèmes IA intégrés dans des jouets ou dispositifs médicaux : reportées au 2 août 2027.
• Les bacs à sable réglementaires nationaux : utiles si vous développez votre propre IA, inutiles si vous l’utilisez.

Vous ne pouvez pas ignorer :

• L’Article 4 (littératie) si vos équipes utilisent un outil d’IA, même gratuit, même occasionnel.
• L’Article 50 (transparence) si vous avez un chatbot ou si vous publiez des contenus assistés par IA.
• Le classement haut risque si vous automatisez RH, scoring crédit, évaluation salariés, biométrie.

La règle Alpha Digital : 90 % des dirigeants de PME sortent du règlement IA avec deux documents Word et un bandeau à coller. Les 10 % restants ont besoin d’un avis juridique, mais ils le savent déjà.

La suite

Si vous identifiez un usage qui pourrait basculer en “haut risque” et que le doute persiste, ne tranchez pas seul. Mal classer un outil interne coûte plus cher que de le reclasser correctement dès le départ.

Si vous voulez un regard externe sur la cartographie de vos usages IA, sur la rédaction de la note et de la charte, ou sur la revue de vos chatbots et contenus générés, prenez 30 minutes avec nous. On vous dit en sortie ce qui rentre dans votre périmètre obligatoire, ce qui peut attendre, et ce qui justifie un avis juridique avant le 2 août.