Mise en conformité AI Act 2026 PME : rattrapage 30 jours

Publié le 15 août 2026, treize jours après la deadline. Écrit pour le dirigeant qui n’a pas ouvert son agenda AI Act cet été.

TL;DR

• Le 2 août 2026 marque l’entrée en application de l’article 50 (transparence), du renforcement de l’article 5 (pratiques interdites) et de la gouvernance nationale du règlement (UE) 2024/1689. Ce paquet n’a pas été reporté par le Digital Omnibus [source: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force].
• Le Digital Omnibus est entré en vigueur le 27 juillet 2026 et décale les obligations haut risque de l’Annexe III au 2 décembre 2027 [source: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force]. Vous avez du temps sur le recrutement, le scoring, l’évaluation. Vous n’en avez pas sur le chatbot du site.
• Pour une PME services de 10 à 50 salariés, un plan de rattrapage tient en 4 semaines : inventaire, marquage article 50, registre plus superviseur humain, formation article 4, matrice CODIR.
• Les sanctions PME sont plafonnées au montant le plus bas entre l’amende fixe et le pourcentage de CA. Pour une PME à 5 M€ de CA, le plafond article 50 tombe à 150 000 €, pas 15 M€ [source: https://www.pole-excellence-cyber.org/europe/ai-act-obligations-2-aout-2026/].
• Le Diagnostic Data IA de Bpifrance finance 40 % de 8 jours d’accompagnement expert, soit un reste à charge d’environ 6 000 € [source: https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/accompagner-les-entreprises-dans-leur-transition/le-plan].

Points clés (résumé structuré)

Élément	Valeur	Source
Date de bascule article 50 et article 5	2 août 2026	Pôle d’Excellence Cyber
Entrée en vigueur du Digital Omnibus	27 juillet 2026	Commission européenne
Nouvelle deadline Annexe III (haut risque logiciel)	2 décembre 2027	Gibson Dunn
Nouvelle deadline Annexe I (haut risque embarqué produits)	2 août 2028	Gibson Dunn
Délai watermarking machine-readable pour les systèmes existants	2 décembre 2026	Gibson Dunn
Adoption IA dans les TPE-PME françaises	58 % au T2 2026	Bpifrance Le Lab Rexecode
Cible PME/ETI adopteurs d’IA plan Osez l’IA	80 % d’ici 2030	DGE
Cofinancement État Diagnostic Data IA Bpifrance	40 % de 10 000 € HT	DGE

Ce qui a vraiment bougé le 2 août 2026

Le 2 août 2026 est la date d’entrée en application d’un bloc précis d’obligations du règlement (UE) 2024/1689 : transparence, pratiques interdites renforcées, gouvernance nationale. La confusion a explosé quand la Commission européenne a publié le Digital Omnibus fin juillet, quelques jours avant la deadline. Beaucoup de dirigeants ont lu “report” et sont partis en vacances. C’est en partie faux.

Voici ce qui a vraiment basculé.

Le paquet actif au 2 août 2026 comprend trois blocs. L’article 50 sur la transparence des chatbots et des contenus générés par IA, opposable immédiatement [source: https://artificialintelligenceact.eu/article/50/]. Le renforcement des pratiques interdites de l’article 5, notamment avec l’ajout des nudifiers et CSAM par l’Omnibus [source: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force]. Et la gouvernance nationale, avec en France la CNIL comme autorité de surveillance de marché AI Act, qui rejoint la DGCCRF et l’Arcom pour l’accès aux documentations et données d’entraînement.

Ce qui a effectivement glissé, ce sont les systèmes IA haut risque de l’Annexe III, reportés au 2 décembre 2027 par le Digital Omnibus [source: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force]. Recrutement algorithmique, scoring crédit, évaluation de performance, éducation, infrastructures critiques. Pour une PME services, c’est un vrai répit sur le module d’aide au tri de CV que vous testiez.

Il existe aussi une nuance technique utile. Le marquage visible “Généré par IA” est dû immédiatement au 2 août 2026 pour les contenus destinés au public, tandis que le watermarking machine-readable des systèmes existants bénéficie d’un délai transitoire jusqu’au 2 décembre 2026. Vous avez donc quatre mois pour aligner le côté technique. Vous n’en avez pas pour le côté visible.

Ai-je raté quelque chose ? Le test en trois questions

Trois questions, trois minutes, sans juriste. Vous saurez si l’AI Act vous concerne avant d’engager le moindre budget.

1. Utilisez-vous, ou vos salariés utilisent-ils, un outil embarquant de l’IA générative dans le cadre du travail ? Cela inclut ChatGPT (OpenAI), Microsoft Copilot, Google Gemini, Anthropic Claude, Mistral, mais aussi les modules “assistant IA” apparus dans HubSpot, Notion, Zoom ou Doctolib, ou votre CRM. Selon le baromètre Bpifrance Le Lab Rexecode du T2 2026, 58 % des TPE-PME françaises ont recours à l’IA au T2 2026, dont près de la moitié quotidiennement [source: https://presse.bpifrance.fr/barometre-bpifrance-le-lab-rexecode-tresorerie-investissement-et-croissance-des-tpe-pme-au-2eme-trimestre-2026-limpact-du-conflit-au-moyen-orient-sur-les-perspectives-des-dirigeants-reste-limite-a-ce/]. La probabilité que vous répondiez oui est écrasante.

2. Un contenu généré ou assisté par IA sort-il de votre entreprise vers l’extérieur ? Un post LinkedIn rédigé par ChatGPT et publié sans mention, un email client dont 80 % du corps vient d’un modèle, une image générée sur Midjourney pour votre newsletter. Si oui, l’article 50 vous parle [source: https://artificialintelligenceact.eu/article/50/].

3. Un dispositif automatisé interagit-il avec vos clients ou candidats sans qu’un humain confirme la réponse finale ? Chatbot sur le site, tri de CV, réponses automatiques Instagram. Si oui, vous devez informer, et vous devez avoir un superviseur humain identifié au sens de l’article 14.

Trois oui, vous êtes déployeur au sens du règlement et vous avez au minimum le paquet article 4 plus article 50 à traiter. Un ou deux oui, vous êtes probablement déjà concerné sans le savoir. Zéro oui, vérifiez à nouveau dans un mois, l’adoption grimpe vite.

Ce qu’il faut traiter maintenant, en décembre 2026, en décembre 2027

Cette matrice classe les obligations AI Act par urgence pour une PME services de 10 à 50 salariés. Un texte de règlement devient un calendrier CODIR utilisable en dix minutes.

Obligation	Deadline réelle	Priorité PME services 10-50	Impact si non-conforme
Article 4, culture IA du personnel	Depuis 2 février 2025	Priorité 1, en retard	Faisceau d’indices en cas de contrôle
Article 5, pratiques interdites (dont nudifiers, CSAM ajoutés par Omnibus)	2 août 2026, ajouts au 2 décembre 2026	Priorité 1	Sanction max 35 M€ ou 7 % CA [source: https://www.pole-excellence-cyber.org/europe/ai-act-obligations-2-aout-2026/]
Article 50, transparence chatbot et contenu IA visible	2 août 2026	Priorité 1	Sanction max 15 M€ ou 3 % CA [source: https://www.pole-excellence-cyber.org/europe/ai-act-obligations-2-aout-2026/]
Article 50, watermarking machine-readable	2 décembre 2026 pour l’existant	Priorité 2	Sanction transparence [source: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/]
Article 14, supervision humaine, avec registre	Pratique attendue dès 2026	Priorité 1	Difficile à défendre sans trace
Sandbox réglementaire nationale	2 août 2027	Info, pas d’action PME	Sans objet à ce stade
Annexe III, systèmes IA haut risque (RH, crédit, éducation)	2 décembre 2027 (Omnibus)	Priorité 3, à cadrer d’ici mi-2027	Sanction haut risque [source: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force]
Annexe I, IA embarquée dans produits physiques	2 août 2028	Sans objet PME services	Sans objet [source: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/]

Retenez la ligne du haut. Ce que vous auriez dû faire hier concerne la formation, la transparence visible, la supervision humaine documentée. Le reste peut se planifier proprement en CODIR de rentrée.

Le sprint de rattrapage sur 30 jours

Le sprint de rattrapage est un plan de conformité AI Act en quatre semaines, calibré pour une PME services de 10 à 50 salariés sans DPO à temps plein. Il couvre inventaire, marquage article 50, formation article 4 et matrice CODIR.

Semaine 1, inventaire et arrêt d’urgence. Recensez tout ce qui contient de l’IA. Comptes ChatGPT Team (OpenAI), Microsoft Copilot, Google Gemini Workspace, Anthropic Claude Team, Mistral. Modules IA dans vos SaaS métier (HubSpot, Notion, Zoom, Doctolib). Extensions navigateur. Bots WhatsApp ou Instagram. Ajoutez chaque outil au registre, même ceux ouverts en carte perso par un collaborateur. C’est votre point zéro. En parallèle, envoyez à vos fournisseurs SaaS le mini-script fourni plus bas.

Semaine 2, marquage visible article 50 et registre. Ajoutez sur votre site “Assistant IA” à côté du chatbot, avec une phrase claire au premier message (“Vous discutez avec un système d’IA, non un conseiller humain”). Ajoutez la mention “Contenu partiellement généré ou assisté par IA” sur vos posts et newsletters concernés, même si la nuance sera affinée. Complétez le registre des systèmes IA avec un superviseur humain nommé pour chaque système à enjeu [source: https://artificialintelligenceact.eu/article/50/].

Semaine 3, formation article 4 documentée. Une session de 90 minutes suffit pour un socle. Que sait faire un modèle, quels risques (hallucination, fuite de données, biais), quels usages interdits chez vous, comment marquer un contenu. Faites signer une feuille de présence. Gardez le support. La CNIL a annoncé pour 2026 des fiches pratiques utiles pour construire ce socle sans partir de zéro. Le ministère de l’Économie a publié 4 fiches pédagogiques IA avec la CNIL, la CPME et CCI France, mobilisables directement [source: https://presse.economie.gouv.fr/lancement-dun-appel-a-manifestation-dinteret-ia-au-service-de-lefficience-et-publication-de-guides-pour-les-pme/]. Pour aller plus loin sur la culture IA article 4 en équipe PME, un module dédié existe.

Semaine 4, matrice CODIR et arbitrages. Réunion cadrée sur 60 minutes. Vous présentez le registre, l’état article 50, la formation faite, la matrice priorité 1 / décembre 2026 / décembre 2027. Vous faites signer les arbitrages et le calendrier pour Annexe III. Si vous n’avez pas les moyens internes, cette semaine est aussi celle où on active un accompagnement externe, financé, décrit plus bas.

Registre des systèmes IA, le modèle cinq colonnes à copier

Le registre des systèmes IA est un tableau à cinq colonnes qui trace chaque outil d’IA utilisé dans l’entreprise, son fournisseur, son niveau de risque et son superviseur humain. Il constitue la preuve documentaire minimale pour les articles 4, 14 et 50 du règlement (UE) 2024/1689.

Nom du système	Usage métier	Fournisseur	Niveau de risque estimé	Superviseur humain désigné
ChatGPT Team	Rédaction propositions, brainstorming	OpenAI	Faible (art. 50 visible)	Associé Marketing
Copilot M365	Résumé de réunions, aide Excel	Microsoft	Faible (art. 50 machine-readable)	DAF
Chatbot site vitrine	Réponses commerciales niveau 1	Fournisseur X	Faible (art. 50)	Responsable commercial
Module tri CV ATS	Pré-tri candidatures	Fournisseur RH	Potentiellement Annexe III (dec. 2027)	DRH
Générateur d’images newsletter	Visuels marketing	Midjourney / Adobe	Faible (art. 50 contenu synthétique)	Chargée communication

Cinq colonnes. Cinq lignes types. Vous pouvez tenir ça dans un Google Sheet partagé. Ce qui compte, c’est la mise à jour et le nom en face de chaque système. Sans nom, pas de supervision humaine article 14, pas de conformité.

Article 50 en pratique : chatbot, contenu IA, fournisseurs SaaS

L’article 50 du règlement (UE) 2024/1689 appliqué au chatbot PME impose trois obligations de transparence : informer l’utilisateur qu’il interagit avec une IA, marquer les contenus synthétiques (image, audio, vidéo, texte), et divulguer explicitement les deepfakes ainsi que les textes IA à visée informative. Il se lit en trois briques opérationnelles pour une PME services [source: https://artificialintelligenceact.eu/article/50/].

Sur votre chatbot, une phrase au premier message suffit à condition qu’elle soit claire et distinguable. Évitez “Bonjour, je suis Léa”, écrivez “Bonjour, vous discutez avec un assistant IA, un humain peut prendre le relais à tout moment”. Vous répondez à l’esprit de l’article. Vous couvrez aussi la culture usager, qui protège vos équipes.

Sur les contenus IA visibles, la DSIH rappelle que les contenus synthétiques doivent être signés numériquement et porter un filigrane, en plus d’une divulgation visible [source: https://dsih.fr/articles/6369/reglement-ia-le-2-aout-2026-entree-en-application-de-nouvelles-obligations]. Le côté technique dépend de vos outils. Le côté visible dépend de vous.

Sur vos fournisseurs SaaS, vous êtes déployeur, pas fournisseur au sens du texte. Vous n’avez pas à documenter le modèle d’entraînement de Microsoft Copilot. Mais vous devez pouvoir montrer que vous avez posé la question. Ce mini-script tient dans un email de dix lignes.

Objet : Confirmation de conformité AI Act, article 50

Bonjour,

Suite à l’entrée en application du 2 août 2026 du règlement (UE) 2024/1689, nous complétons notre registre des systèmes d’IA. Merci de nous confirmer par retour, pour la solution [nom du SaaS] :

1. Que les contenus générés par votre solution sont marqués visiblement et de manière technique lisible par machine.
2. Que l’utilisateur est informé qu’il interagit avec un système d’IA.
3. Le cas échéant, votre calendrier pour vous conformer d’ici le 2 décembre 2026 sur le volet watermarking machine-readable.

Nous conservons votre réponse dans notre registre de conformité. Merci de votre retour sous 15 jours.

Cordialement,

Copiez, adaptez, envoyez à vos cinq à dix fournisseurs SaaS principaux. Vous aurez fait plus que la moyenne des ETI ce trimestre.

Sanctions réelles pour une PME de 10 à 50 salariés

Les sanctions AI Act pour une PME sont plafonnées au montant le plus bas entre l’amende fixe européenne et le pourcentage du chiffre d’affaires mondial. C’est l’inverse du régime grande entreprise, où le montant le plus élevé s’applique. Beaucoup d’articles brandissent les 35 M€ ou les 7 % de CA sans préciser cette règle.

Le Pôle d’Excellence Cyber rappelle les plafonds : jusqu’à 15 M€ ou 3 % du CA mondial pour la transparence et les GPAI, jusqu’à 35 M€ ou 7 % du CA mondial pour les pratiques interdites [source: https://www.pole-excellence-cyber.org/europe/ai-act-obligations-2-aout-2026/]. Ce que le règlement ajoute, à l’article 99 paragraphe 5, c’est que pour les PME et start-ups, c’est le montant LE PLUS BAS entre l’amende fixe et le pourcentage qui s’applique.

Faisons le calcul pour une PME services à 5 M€ de CA. Sanction article 50 : le plus bas entre 15 M€ et 3 % de 5 M€, donc 150 000 €. Sanction article 5 : le plus bas entre 35 M€ et 7 % de 5 M€, donc 350 000 €. Ce sont des ordres de grandeur maximaux. En pratique, la CNIL a positionné 2026 comme une année d’accompagnement des professionnels, pas de sanction spectaculaire. C’est un délai politique, pas une immunité juridique.

L’exposition réelle est ailleurs. Un contentieux prud’homal sur un licenciement où un outil IA a joué un rôle non documenté. Un client B2B qui exige, à l’appel d’offres, une attestation AI Act et vous prend cinq points de moins. Un contrôle CNIL groupé RGPD-AI Act qui trouve un chatbot non transparent et documente le manquement. Le vrai coût, dans une PME services, ce sont ces frottements silencieux.

Financer le rattrapage avec Bpifrance et la CCI

Le financement public de la conformité AI Act passe en France par deux dispositifs : le Diagnostic Data IA de Bpifrance (10 000 € HT, cofinancé 40 % par France 2030) et le plan national Osez l’IA de la Direction générale des Entreprises (DGE). Ces deux leviers réduisent le reste à charge PME à environ 6 000 € pour 8 jours d’accompagnement expert.

Le plan national Osez l’IA de la DGE vise 80 % des PME/ETI adopteurs d’IA d’ici 2030 [source: https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/accompagner-les-entreprises-dans-leur-transition/le-plan]. Il vient avec des dispositifs concrets.

Le Diagnostic Data IA de Bpifrance mobilise un expert 8 jours pour un tarif catalogue de 10 000 € HT, cofinancé à 40 % par l’État via France 2030. Reste à charge d’environ 6 000 € pour une PME. Éligible aux PME et ETI de 10 à 2 000 salariés. C’est le levier le mieux calibré pour un rattrapage AI Act cadré, à condition de fixer avec l’expert un livrable orienté conformité (registre, matrice, plan Annexe III) plutôt qu’un audit purement technologique [source: https://www.entreprises.gouv.fr/priorites-et-actions/transition-numerique/accompagner-les-entreprises-dans-leur-transition/le-plan].

En complément, la DGE cite un réseau de 615 ambassadeurs IA et 35 000 entreprises touchées en 9 mois. Les CCI se sont engagées à accompagner plus de 20 000 entreprises sur l’IA dans le cadre du même plan [source: https://presse.economie.gouv.fr/lancement-dun-appel-a-manifestation-dinteret-ia-au-service-de-lefficience-et-publication-de-guides-pour-les-pme/]. Autrement dit, un premier appel gratuit à votre CCI départementale débloque en général une orientation utile en 48 heures.

À noter, ces dispositifs financent surtout l’adoption et la montée en compétence, moins le pur juridique. Ils constituent un excellent socle pour cadrer le registre, la formation article 4 et la matrice CODIR. Pour un avis juridique tranché sur un cas limite, vous complétez par une heure d’avocat spécialisé, souvent 300 à 500 € en cabinet français hors Paris.

Checklist imprimable pour la réunion CODIR

Cette checklist AI Act pour PME de 10 à 50 salariés recense les quinze preuves documentaires minimales à produire avant la fin du trimestre. À imprimer, à cocher, à conserver dans le classeur AI Act qui vous manquait le 3 août.

• Registre des systèmes IA créé, cinq colonnes minimum, à jour datée.
• Chaque système du registre a un superviseur humain nommé.
• Formation article 4 réalisée sur les 12 derniers mois, feuille de présence archivée, support conservé.
• Chatbot public affiche clairement qu’il est un système d’IA au premier message.
• Contenus IA visibles (posts, newsletters, images générées) portent une mention lisible.
• Watermarking machine-readable planifié avant le 2 décembre 2026 pour les systèmes existants.
• Email de confirmation article 50 envoyé aux fournisseurs SaaS principaux, réponses archivées.
• Politique interne d’usage de l’IA rédigée, une page suffit, signée par la direction.
• Systèmes potentiellement Annexe III (RH, scoring, évaluation) identifiés et gelés jusqu’à cadrage 2027.
• Aucun usage interne relevant de l’article 5 (manipulation, exploitation de vulnérabilités, notation sociale, reconnaissance émotionnelle en lieu de travail sauf exceptions).
• Aucun ajout Omnibus (nudifiers, CSAM) présent, planifié ou toléré, calendrier conforme au 2 décembre 2026.
• Point de contact AI Act identifié en interne, coordonnées connues des équipes.
• Diagnostic Data IA Bpifrance sollicité ou refus documenté avec motif.
• Prochaine revue AI Act programmée dans le calendrier CODIR, T4 2026.
• Compte rendu de la présente réunion signé par la direction.
• Version datée de cette checklist versée au dossier de conformité.

Quinze cases. Trois heures de préparation. Une réunion. Vous n’êtes plus le retardataire, vous êtes le dirigeant qui a rattrapé proprement en un mois.

Et maintenant

Ce plan tient sur 30 jours en interne. Il tient sur 8 jours d’accompagnement avec un expert cofinancé si vous voulez sécuriser le résultat sans y engloutir vos soirées d’août. Si vous voulez cadrer votre registre, la matrice CODIR et le calendrier Annexe III avec quelqu’un qui a déjà fait l’exercice pour d’autres PME services, prenez un audit IA express PME de 30 minutes. On regarde votre situation réelle, on vous dit si vous avez besoin d’un accompagnement ou d’un simple coup de main sur deux points. Sans engagement.

Ou, plus simple encore, retenez ceci pour la semaine prochaine : ouvrez un Google Sheet, cinq colonnes, et commencez à lister ce qui tourne. Le reste s’enchaîne.