IA Act 2026 : ce que toute TPE/PME doit faire avant août

La conformité IA Act n’est pas un audit à commander : c’est un recensement, une charte et un référent. Trois actions à portée de toute TPE/PME avant août 2026.

Le 2 août 2026, les sanctions du règlement européen sur l’IA deviennent applicables en France. Si tu lis ça avec une boule au ventre parce qu’un post LinkedIn t’a promis 35 millions d’euros d’amende, respire : ce n’est pas ce qui va se passer. Mais si tu comptais laisser le sujet de côté « parce qu’on est trop petits pour être concernés », mauvaise nouvelle : l’IA Act concerne aussi ta TPE/PME.

La bonne nouvelle, c’est que ce que le règlement attend de toi tient en trois actions concrètes : recenser tes usages IA, poser une charte interne, et former les personnes qui utilisent l’IA : en pratique, désigner un référent qui porte le sujet. Cet article te donne le plan complet, sans catastrophisme et sans jargon juridique.

L’IA Act en deux minutes : ce que c’est, ce que ce n’est pas

L’IA Act (ou règlement IA européen) est le premier cadre légal complet sur l’intelligence artificielle. Il est entré en vigueur en 2024 et s’applique par étapes : les pratiques interdites et l’obligation de former les utilisateurs sont actives depuis février 2025, et le 2 août 2026, l’essentiel du régime, dont les sanctions nationales, devient applicable. J’en détaille le fonctionnement dans l’article dédié au règlement IA européen ; ici, on va à l’essentiel.

Le principe : les obligations dépendent du niveau de risque de chaque usage. Et pour une TPE/PME classique, la quasi-totalité des usages, comme rédiger des emails avec ChatGPT, générer des visuels, automatiser des relances ou résumer des comptes-rendus, tombe dans les catégories à risque limité ou minimal. Concrètement, on te demande de la transparence et de la maîtrise, pas un dossier réglementaire de 200 pages.

Ce que l’IA Act n’est pas :

• Une interdiction d’utiliser l’IA. C’est l’inverse : un cadre pour l’utiliser proprement.
• Un audit obligatoire à acheter chez un cabinet. Aucun texte ne t’impose de prestataire.
• Un sujet réservé aux grands groupes. La responsabilité de l’employeur s’applique dès le premier salarié qui utilise un outil d’IA dans son travail.

Es-tu concerné ? (spoiler : oui)

« Nous, on n’utilise pas vraiment l’IA. » C’est la phrase que j’entends le plus souvent, et elle est presque toujours fausse. Fais le test :

• Quelqu’un dans l’équipe a un compte ChatGPT, Claude ou Gemini, parfois personnel, et s’en sert pour des tâches pro.
• Copilot est activé dans votre Microsoft 365 (souvent sans que personne ne l’ait décidé).
• Vos outils métier ont ajouté des fonctions IA : Canva, Notion, votre CRM, votre logiciel de compta.
• Un workflow Make ou N8N appelle un modèle de langage quelque part.

Si tu as coché une seule case, ton entreprise déploie de l’IA au sens du règlement ; et c’est toi, l’employeur, qui en réponds. Pas OpenAI, pas Microsoft : toi. C’est exactement le phénomène du shadow IA : des usages réels, invisibles, non cadrés. Ils ne sont pas graves en soi, mais tu ne peux pas cadrer ce que tu ne vois pas.

Tu ne peux pas cadrer ce que tu ne vois pas : le recensement est le point de départ de toute mise en conformité.

Un point de vigilance quand même : certains usages RH montent en catégorie « haut risque », comme le tri automatisé de CV ou la notation de candidats. Si tu es dans ce cas, le sujet mérite un traitement sérieux ; j’explique qui doit porter ça dans le guide du responsable IA en entreprise.

Les 3 choses à faire avant août

Voilà le cœur du sujet. Trois actions, dans cet ordre. Compte 3 à 4 semaines en tout, sans bloquer personne à temps plein.

1. Recense tes usages IA

Impossible de cadrer ce que tu ne connais pas. Le recensement, c’est un tableau à cinq colonnes : quel outil, qui l’utilise, pour quoi faire, avec quelles données, quel niveau de sensibilité. Pas besoin de logiciel spécialisé : un tableur ou une base Notion suffit.

La méthode qui marche : une réunion d’équipe de 45 minutes où la règle est claire : personne ne sera sanctionné pour ce qu’il déclare. Si tes collaborateurs craignent de se faire taper sur les doigts, le shadow IA reste dans l’ombre et ton recensement ne vaut rien. L’objectif n’est pas de punir, c’est de voir clair.

2. Pose une charte IA

Une fois les usages visibles, tu arbitres : ce qui est autorisé, ce qui est encadré (autorisé sous conditions), ce qui est interdit. Exemple classique : générer un brouillon d’email commercial, autorisé ; coller un fichier client dans un chatbot grand public, interdit ; utiliser l’IA pour présélectionner des candidats, encadré avec validation humaine systématique.

La charte tient en 2 à 4 pages, pas 40. Elle doit être lisible par tout le monde et vécue comme une protection, pas comme un règlement intérieur de plus. Je détaille son contenu section par section, avec un modèle à dupliquer, dans le guide complet de la charte IA en entreprise.

3. Forme un référent (et donne un socle à l’équipe)

L’article 4 de l’IA Act impose la « maîtrise de l’IA » : les personnes qui utilisent des systèmes d’IA doivent être formées à le faire correctement. Pour une TPE/PME, la traduction pragmatique, c’est une personne formée sérieusement, le référent IA, qui donne ensuite le socle au reste de l’équipe et fait vivre la charte au quotidien.

Pas besoin d’un juriste ni d’un ingénieur : le bon référent, c’est quelqu’un qui connaît vos process, utilise déjà l’IA, et a envie de porter le sujet. C’est exactement ce que structure l’AFEST Référent IA : 8 heures de formation en situation de travail réelle, finançable OPCO jusqu’à 100 %. Le référent formé, c’est ta garantie longue durée : l’entreprise reste conforme et autonome bien après août 2026.

Ce que tu risques vraiment (et ce qui compte plus que l’amende)

Parlons des sanctions, calmement. Oui, le règlement prévoit des amendes élevées, conçues pour les géants de la tech et les pratiques interdites, pas pour la PME de 12 personnes qui rédige ses emails avec ChatGPT. Les montants sont proportionnés à la taille de l’entreprise et à la gravité, et le texte demande explicitement aux autorités de tenir compte des intérêts des PME. En France, la logique des régulateurs sur ce genre de règlement est constante : accompagner d’abord, sanctionner les négligences manifestes ensuite.

Le vrai enjeu pour toi est ailleurs, et il est commercial. Dès cette année, tes donneurs d’ordre, tes clients grands comptes et tes assureurs vont intégrer la conformité IA dans leurs exigences : questionnaires fournisseurs, appels d’offres, clauses contractuelles. Pouvoir répondre « oui, nos usages sont recensés, notre charte existe, notre référent est formé » devient un argument qui rassure et qui vend. L’inverse, un silence gêné, coûtera plus cher que n’importe quelle amende.

Ton plan sur 4 semaines

1. Semaine 1 : Recensement. Réunion d’équipe, tableau à 5 colonnes, règle de non-sanction annoncée. Tu ressors avec la carte réelle de tes usages IA.
2. Semaine 2 : Arbitrages et charte. Tu classes chaque usage (autorisé / encadré / interdit) et tu rédiges la charte v1. Vise 3 pages utiles, pas un pavé juridique.
3. Semaine 3 : Communication. Tu présentes la charte à l’équipe : pourquoi elle existe, ce qu’elle protège, à qui poser les questions. Une heure suffit.
4. Semaine 4 : Référent. Tu désignes la personne qui porte le sujet et tu planifies sa formation. C’est elle qui fera vivre le recensement et la charte après août.

Les 4 erreurs qu’on voit partout

Erreur n°1 : attendre août pour s’y mettre. Le recensement demande de la franchise d’équipe, la charte demande des arbitrages, le référent demande une formation. Rien d’énorme, mais rien qui se fait la veille non plus. Commencer en juillet, c’est confortable ; commencer le 1er août, c’est du bricolage.

Erreur n°2 : tout interdire. Certains dirigeants, par prudence, bloquent ChatGPT et consorts. Résultat garanti : les usages passent sur les téléphones personnels, hors de toute visibilité. Tu obtiens exactement l’inverse de ce que demande le règlement : des usages réels, non recensés, non cadrés. Encadrer protège mieux qu’interdire.

Erreur n°3 : acheter un audit et le ranger dans un tiroir. Un livrable de conformité daté de juin 2026 ne dit rien de tes usages de janvier 2027. Si personne en interne ne fait vivre le recensement et la charte, tu repayes un prestataire à chaque évolution, et entre deux passages, tu n’es couvert par rien.

Erreur n°4 : ne donner le sujet à personne. Une obligation que tout le monde porte un peu, personne ne la porte vraiment. Sans référent nommé, la charte devient un PDF oublié et le recensement un souvenir. C’est le point qui décide de tout le reste.

FAQ express

On est 3 salariés, c’est vraiment pour nous ? Oui, dès lors que vous utilisez de l’IA dans le travail. Mais à votre échelle, la mise en conformité est rapide : un recensement en une réunion, une charte de 2 pages, une personne formée. C’est proportionné.

Utiliser ChatGPT devient-il illégal ? Non, à aucun moment. Ce qui est attendu, c’est que l’usage soit connu, cadré et que les utilisateurs soient formés, notamment sur ce qu’on ne met jamais dans un chatbot grand public (données clients, données de santé, informations confidentielles).

Le référent doit-il être certifié ou déclaré quelque part ? Non. Aucun registre officiel, aucune certification obligatoire. Ce qui compte, c’est qu’il soit réellement formé et identifié en interne, et qu’en cas de question d’un client ou d’un contrôle, l’entreprise puisse montrer qui porte le sujet et comment.

Et après août ?

L’IA Act n’est pas un examen à date unique. Les outils changent tous les mois, les usages de ton équipe aussi : ton recensement de juillet sera partiellement périmé en décembre. C’est précisément pour ça que la réponse durable n’est pas un audit ponctuel mais une compétence en interne : un référent qui met à jour le recensement, fait évoluer la charte et cadre les nouveaux usages au fil de l’eau.

La conformité est la porte d’entrée, l’autonomie est la destination.