À retenir

L'AI Act s'applique déjà partiellement : les pratiques IA interdites et l'obligation de formation (AI Literacy) sont en vigueur depuis le 2 février 2025. Les règles sur l'IA généraliste (ChatGPT, Copilot, Gemini) depuis le 2 août 2025.
Le Digital Omnibus a reporté les obligations haut risque (recrutement, crédit, santé) du 2 août 2026 au 2 décembre 2027, approuvé par le Parlement européen le 16 juin et par le Conseil le 29 juin 2026. La publication au Journal officiel de l'UE est en cours.
Aucune dérogation liée à la taille : l'AI Act s'applique aux PME comme aux grandes entreprises. La différence : les sanctions sont proportionnées au chiffre d'affaires.
78 % des salariés utilisent l'IA au travail sans le dire à leur hiérarchie (Shadow AI). Ce risque existe maintenant, pas en 2027.
La CNIL est l'autorité nationale compétente pour superviser l'application de l'AI Act en France.
Votre rôle principal est déployeur : si votre PME utilise un outil IA, même acheté chez un éditeur, vous êtes co-responsable de son usage conforme.
IT Systèmes accompagne les PME dans leur gouvernance IA : politique d'usage, formations AI Literacy, déploiement sécurisé de Microsoft Copilot.

Ce que les PME ratent souvent sur l'AI Act

L'AI Act (Règlement UE 2024/1689) n'est pas une réglementation pour 2027 à mettre de côté. Une partie significative est déjà applicable. Et le report des obligations haut risque, largement commenté depuis mai 2026, crée un faux sentiment de répit qui pousse les entreprises à ne rien faire.

La réalité : si vos salariés utilisent des outils IA, vous êtes concerné maintenant. L'obligation de formation AI Literacy (article 4 du règlement) est en vigueur depuis le 2 février 2025. Elle vise toute personne qui utilise, supervise ou déploie un système d'IA dans un contexte professionnel, sans seuil d'effectif ni exception sectorielle.

Le calendrier réel de l'AI Act

‍

Échéance	Ce qui entre en vigueur	Qui est concerné
2 février 2025 ✓ En vigueur	Pratiques IA interdites Art. 5 + obligation d’AI Literacy Art. 4	Tous — déjà applicable
2 août 2025 ✓ En vigueur	Règles sur les IA à usage général GPAIChatGPT, Copilot, Gemini…	Tous les utilisateurs professionnels d’IA générative
2 décembre 2027 ▶ À venir	Systèmes IA à haut risque, Annexe IIIRH, crédit, santé, éducation…	Fournisseurs et déployeurs de ces outils
2 août 2028 ▶ À venir	IA intégrée dans des produits réglementés, Annexe IMachines, dispositifs médicaux…	Fabricants et intégrateurs

‍

Le report de l'Annexe III au 2 décembre 2027 résulte du Digital Omnibus, approuvé formellement par le Parlement européen (16 juin 2026) et le Conseil de l'UE (29 juin 2026). La publication au Journal officiel de l'UE, et donc l'entrée en vigueur officielle, est attendue en juillet 2026.

Êtes-vous fournisseur ou déployeur ? La distinction qui change tout

L'AI Act distingue deux rôles principaux. La plupart des PME françaises sont déployeurs, pas fournisseurs.

Fournisseur : vous développez ou mettez sur le marché un système d'IA. C'est le cas des éditeurs de logiciels, des startups IA, des ESN qui créent des solutions IA sur mesure. Les obligations de conformité technique (documentation, marquage CE, évaluation de conformité) pèsent principalement sur eux.

Déployeur : vous utilisez un système d'IA développé par un tiers dans vos activités professionnelles. C'est le cas de la PME qui utilise un logiciel de recrutement avec tri automatisé de CV, un outil de génération de contenus marketing, ou Microsoft Copilot pour ses équipes. Le déployeur est co-responsable de la supervision humaine, de la transparence vis-à-vis des personnes concernées et de la conservation des journaux d'utilisation.

Ce que cela signifie concrètement : si votre cabinet RH utilise un logiciel qui filtre les candidatures, c'est votre éditeur logiciel qui est fournisseur, mais c'est vous qui êtes tenu de vous assurer qu'un humain supervise les décisions, que les candidats sont informés, et que vous conservez les logs 6 mois.

Ce qui s'applique maintenant, sans attendre 2027

L'AI Literacy (article 4), en vigueur depuis le 2 février 2025

Toute personne qui utilise un outil IA dans un cadre professionnel doit avoir reçu une formation suffisante pour comprendre les capacités et les limites du système. Cette formation est une obligation de l'employeur, pas de l'éditeur.

En pratique, cela signifie documenter qui utilise quoi, former les équipes aux biais, aux hallucinations et aux limites de l'outil, et conserver la preuve de cette formation. Les assureurs cyber commencent à inclure cette exigence dans leurs questionnaires. IT Systèmes propose des formations AI Literacy finançables via les dispositifs OPCO.

Les pratiques interdites (article 5), en vigueur depuis le 2 février 2025

L'AI Act interdit catégoriquement certains usages, quelle que soit la taille de l'entreprise :

‍

Pratique interdite	Exemple concret
Manipulation comportementale subliminale	IA qui exploite des failles psychologiques pour influencer les décisions d’achat
Notation sociale des personnes	Scoring global des individus basé sur des comportements agrégés
Identification biométrique à distance en temps réel dans l’espace public	Réservée aux forces de l’ordre sous conditions strictes
Reconnaissance des émotions en milieu professionnel ou scolaire	Logiciel d’analyse des expressions de salariés en réunion
Catégorisation biométrique sur attributs sensibles	IA qui déduit l’orientation politique ou religieuse à partir d’images

‍

Pour une PME, le risque concret est l'usage d'un outil de "surveillance de la productivité" des télétravailleurs basé sur l'analyse des expressions faciales ou des comportements : certains éditeurs proposaient ce type de solution. Ces usages sont interdits depuis février 2025.

Les règles GPAI (articles 51-56), en vigueur depuis le 2 août 2025

Si votre entreprise utilise ChatGPT, Claude, Copilot, Gemini ou tout autre modèle d'IA généraliste, des obligations s'appliquent déjà. Les principales pour les déployeurs : informer les utilisateurs quand ils interagissent avec une IA (chatbot, assistant), étiqueter les contenus générés par IA dans certains contextes (deepfakes, contenus synthétiques), et ne pas utiliser ces outils pour des usages de catégorie interdite. Pour aller plus loin sur les risques concrets de ces outils, consultez notre article ChatGPT, Claude, Grok, Mistral : cybersécurité et IA pour les PME.

Le risque Shadow AI : la menace qui n'attend pas 2027

78 % des salariés utilisent l'IA au travail sans en informer leur hiérarchie. Ce phénomène, le Shadow AI, crée des risques immédiats qui n'ont pas besoin du calendrier 2027 pour se matérialiser.

Risque de confidentialité : un salarié qui colle un contrat client ou des données RH dans ChatGPT pour les résumer entraîne potentiellement une violation du RGPD : les données peuvent être utilisées pour entraîner les modèles si les paramètres ne sont pas configurés correctement.

Risque de qualité : un devis, une note juridique ou une analyse financière générée par une IA non supervisée peut contenir des erreurs factuelles (hallucinations) sans que personne ne les ait détectées.

Risque de conformité AI Act : l'employeur est responsable de l'usage conforme des outils IA par ses salariés. Si un salarié utilise un outil non référencé, l'entreprise ne peut pas démontrer qu'elle a rempli l'obligation de formation AI Literacy, et ne peut pas prouver la supervision humaine requise.

La réponse n'est pas d'interdire l'IA : c'est de la gouverner. Une politique d'usage IA documentée, des outils référencés et configurés correctement, et une formation des équipes permettent de garder les bénéfices de l'IA tout en contrôlant les risques.

IT Systèmes aide les PME à cartographier leurs usages IA existants et à mettre en place une politique de gouvernance opérationnelle.

‍

Audit gouvernance IA — réponse sous 24 h →

‍

Ce qui attend 2027 : comment anticiper

Les systèmes IA à haut risque (Annexe III), applicables au 2 décembre 2027

Voici les catégories les plus susceptibles de concerner une PME :

‍

Domaine haut risque	Exemples d’outils concernés	Obligation principale pour le déployeur
Recrutement et RH	Tri automatisé de CV, scoring de candidats, évaluation des performances, décisions de licenciement	Supervision humaine Information des candidats Logs 6 mois
Accès aux services financiers	Scoring de crédit, évaluation de solvabilité, tarification d’assurance	Explication des décisions Droit de recours humain
Éducation et formation	Évaluation automatisée des apprenants, sélection dans les établissements	Transparence Supervision pédagogique
Services essentiels publics	Évaluation des demandes d’aide sociale, prestations, équipements publics	Information Recours

‍

Ce que doit faire un déployeur PME pour chacun de ces outils d'ici 2027 : désigner un responsable, documenter l'usage, former les équipes, s'assurer qu'un humain peut toujours annuler ou corriger la décision de l'IA, informer les personnes concernées, et conserver les journaux d'activité pendant au moins 6 mois. Notre offre MSP intègre la traçabilité et les logs d'audit nécessaires à cette conformité.

Les sanctions : proportionnées, pas nulles

‍

Type d’infraction	Amende maximale	Application aux PME
Pratique interdite Article 5	35 M€ OU 7 % du CA mondial	Le plus bas des deux montants s’applique aux PME
Système haut risque non conforme Annexe III	15 M€ OU 3 % du CA mondial	Le plus bas des deux montants s’applique aux PME
Informations trompeuses à l’autorité	7,5 M€ OU 1 % du CA mondial	Le plus bas des deux montants s’applique aux PME

‍

La protection PME est explicite dans le règlement : là où les grandes entreprises paient le plus élevé entre le montant fixe et le pourcentage du CA, les PME paient le plus bas. Pour une PME de 5 M€ de CA, l'amende maximale pour un système haut risque non conforme est de 150 000 € (3 % × 5 M€), et non 15 M€.

Cela ne rend pas les sanctions négligeables. Et la CNIL, désignée autorité nationale compétente pour l'AI Act, peut aussi notifier les manquements à l'AI Literacy ou aux règles GPAI dès maintenant. Si vous êtes également soumis à NIS2, les deux réglementations se cumulent sur les obligations de formation et de gestion des risques numériques.

IT Systèmes : partenaire gouvernance IA pour les PME

IT Systèmes intervient sur trois niveaux pour les PME qui utilisent l'IA au quotidien.

Cartographie des usages IA : identification des outils utilisés par les équipes, y compris ceux non déclarés (Shadow AI), qualification par niveau de risque AI Act, et identification des lacunes de conformité immédiates.

Formations AI Literacy : sessions de sensibilisation des équipes et des dirigeants aux capacités et limites des outils IA, aux bonnes pratiques d'usage, et aux risques spécifiques à votre secteur. Ces formations répondent directement à l'obligation de l'article 4 de l'AI Act, en vigueur depuis février 2025, et sont finançables via les dispositifs OPCO.

Gouvernance Microsoft Copilot : déploiement sécurisé de Microsoft 365 Copilot avec les politiques de données correctement configurées (protection des données sensibles, cloisonnement des droits, logs d'audit), pour que votre entreprise bénéficie de l'IA sans exposer ses données clients ou ses informations confidentielles.

‍

Découvrir les services managés IT Systèmes →

Prendre rendez-vous → Réponse sous 24 h

‍

FAQ — AI Act et PME

L'AI Act s'applique-t-il aux PME ou seulement aux grandes entreprises ? L'AI Act ne comporte aucun seuil de taille. Il s'applique à toute entreprise, PME, ETI ou grande entreprise, qui développe, déploie, importe ou distribue un système d'IA sur le territoire de l'Union européenne. La seule différence pour les PME concerne le mode de calcul des sanctions : le montant le plus bas entre le plafond fixe en euros et le pourcentage du CA s'applique, contre le plus élevé pour les grandes entreprises. Cela ne dispense pas de la conformité.

Mon entreprise utilise ChatGPT et Copilot que dois-je faire maintenant ? Deux obligations s'appliquent déjà. D'abord, l'AI Literacy (article 4, en vigueur depuis février 2025) : chaque salarié qui utilise ces outils doit avoir reçu une formation documentée sur leurs capacités et leurs limites. Ensuite, les règles GPAI (depuis août 2025) : vous devez informer les utilisateurs quand un chatbot ou un assistant IA interagit avec eux, et ne pas utiliser ces outils pour des pratiques interdites. En pratique, si vous n'avez pas encore de politique d'usage IA documentée, c'est la première priorité.

Le report au 2 décembre 2027 signifie-t-il que je n'ai rien à faire avant ? Non. Le report concerne uniquement les obligations liées aux systèmes IA à haut risque de l'Annexe III (recrutement, crédit, santé, éducation). L'AI Literacy, les pratiques interdites et les règles GPAI sont en vigueur maintenant. Par ailleurs, constituer la documentation, cartographier les outils et former les équipes prend du temps : attendre fin 2027 pour commencer reviendrait à se retrouver dans la même situation qu'avant le RGPD en mai 2018.

Qu'est-ce que le Shadow AI et pourquoi est-ce un risque pour ma PME ? Le Shadow AI désigne les outils d'IA utilisés par les salariés sans autorisation formelle de l'entreprise : typiquement la version gratuite de ChatGPT, des extensions navigateur IA, des générateurs d'images ou de documents. Le risque est triple : violation du RGPD si des données personnelles sont collées dans ces outils, hallucinations non détectées dans des documents professionnels, et impossibilité de prouver la conformité AI Act puisque vous ne savez pas ce que vos équipes utilisent. La réponse est une politique d'usage IA claire, avec des outils référencés et configurés correctement.

Mon logiciel de paie ou de recrutement est-il concerné par le haut risque ? Peut-être. Un logiciel de paie qui calcule des coefficients sans intervention humaine n'est généralement pas haut risque. En revanche, un outil qui filtre automatiquement des candidatures, évalue les performances des salariés, ou recommande des décisions de promotion ou de licenciement tombe dans la catégorie haut risque de l'Annexe III. La clé est l'usage concret et l'impact sur les droits des personnes, pas le nom du logiciel. La Commission européenne a publié des lignes directrices de classification le 19 mai 2026.

La CNIL peut-elle déjà contrôler les entreprises sur l'AI Act ? Oui. La CNIL a été désignée autorité nationale compétente pour l'AI Act en France. Elle peut contrôler le respect des pratiques interdites et des règles GPAI, en vigueur depuis février et août 2025 respectivement. Pour les obligations haut risque de l'Annexe III, la CNIL sera habilitée à contrôler à partir de l'entrée en vigueur effective (décembre 2027). En attendant, les manquements à l'AI Literacy ou à la transparence GPAI peuvent déjà faire l'objet d'une notification.

‍