EU AI Act : ce qui s'applique vraiment à votre PME en 2026
Pratiques interdites, transparence, haut risque reporté au 2 décembre 2027, maîtrise de l'IA assouplie : le calendrier de l'AI Act après le Digital Omnibus.
Le calendrier a changé
Le règlement européen sur l'IA (Règlement (UE) 2024/1689, dit « AI Act ») est entré en vigueur le 1er août 2024 et s'applique par étapes. Le 27 juillet 2026, le Règlement (UE) 2026/1744, appelé « Digital Omnibus », l'a modifié : certaines échéances ont été reportées et l'obligation de maîtrise de l'IA a été assouplie.
Voici où en est le calendrier en octobre 2026 :
- 2 février 2025 : interdiction des pratiques d'IA jugées inacceptables et entrée en application de l'article 4 (maîtrise de l'IA).
- 2 août 2025 : obligations pour les fournisseurs de modèles d'IA à usage général (GPAI), gouvernance et régime de sanctions.
- 2 août 2026 : obligations de transparence (article 50). Les fournisseurs de systèmes génératifs déjà sur le marché ont jusqu'au 2 décembre 2026 pour le marquage des contenus générés.
- 2 décembre 2027 : obligations pour les systèmes à haut risque de l'annexe III (recrutement, crédit, éducation…), initialement prévues au 2 août 2026.
- 2 août 2028 : systèmes à haut risque intégrés dans des produits réglementés (annexe I, par exemple les dispositifs médicaux ou les machines).
Comme pour le RGPD, l'enjeu pour une PME belge n'est pas de tout faire du jour au lendemain. Il s'agit de savoir quels usages sont concernés, et à partir de quand.
Maîtrise de l'IA : ce qui a changé
Depuis le 27 juillet 2026, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel. Le texte n'exige plus de garantir un « niveau suffisant ». L'obligation n'a pas disparu : former vos équipes reste la manière la plus simple de la remplir.
Ce qui change pour vous
L'AI Act classe les usages de l'IA selon leur niveau de risque.
Ce qui est interdit (depuis février 2025) : la notation sociale, la reconnaissance des émotions sur le lieu de travail et dans l'enseignement (sauf raisons médicales ou de sécurité), les techniques de manipulation qui causent un préjudice, ou encore l'identification biométrique à distance en temps réel dans l'espace public à des fins répressives, sauf exceptions. Le Digital Omnibus ajoute deux interdictions : les deepfakes intimes non consentis et la génération de contenus pédopornographiques. Si un outil que vous utilisez fait l'une de ces choses, arrêtez-le.
Ce qui est fortement encadré (haut risque) : le tri automatique de CV, l'évaluation de la solvabilité de particuliers, l'évaluation d'étudiants. Pour ces systèmes de l'annexe III, les obligations s'appliquent à partir du 2 décembre 2027 : documentation, supervision humaine, journalisation, information des personnes concernées. La détection de fraude financière n'est pas visée par la catégorie « crédit ».
Ce qui demande de la transparence (depuis le 2 août 2026) : les chatbots doivent indiquer qu'on parle à une IA, et les deepfakes doivent être signalés comme tels.
Ce qui reste libre : les filtres anti-spam, les recommandations de contenu, ChatGPT ou Copilot pour rédiger un e-mail. Pas d'obligation spécifique, en dehors de la maîtrise de l'IA et du RGPD si vous traitez des données personnelles.
Pas sûr de votre niveau de risque ? Notre formation EU AI Act vous aide à cartographier vos usages et vos obligations.
Les sanctions : à connaître, sans paniquer
L'article 99 prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres obligations, et jusqu'à 7,5 millions d'euros ou 1 % pour des informations inexactes fournies aux autorités. Pour les PME, c'est le plus bas des deux montants qui s'applique. Le Digital Omnibus étend ce régime aux « petites entreprises de taille intermédiaire ».
Pour une PME qui utilise des outils du marché sans pratique interdite, le risque principal n'est pas l'amende maximale. C'est d'utiliser sans le savoir un système à haut risque, ou de ne pas pouvoir montrer ce qu'elle a mis en place.
Bonne nouvelle si vous êtes déjà en conformité RGPD : une partie de la méthode (registre, analyse de risques, gouvernance) se transpose directement.
Besoin d'une charte IA pour votre entreprise ? Notre consultance Gouvernance IA vous accompagne.
Passez à l'action
- Faites l'inventaire. Listez tous les outils d'IA utilisés dans votre entreprise, y compris ceux intégrés à vos logiciels. C'est la base de tout le reste.
- Classez vos usages. Repérez ce qui relève du haut risque (RH, crédit, éducation) et préparez-vous pour le 2 décembre 2027.
- Soutenez la maîtrise de l'IA. Une formation EU AI Act en lunch & learn ou en demi-journée suffit souvent à poser les bases et à documenter vos mesures.
- Évaluez votre exposition. Notre diagnostic IA gratuit mesure votre maturité et vos risques en quelques minutes.
Sources
