Règlement IA européen 2026 : ce que les TPE/PME doivent faire maintenant

Le 2 août 2026, l’IA en entreprise cesse d’être un sujet d’outil. Elle devient un sujet de responsabilité.

Ce qui change au 2 août 2026

Le règlement IA européen, aussi appelé AI Act, est entré en vigueur en août 2024 et s’applique par paliers. La grande échéance, c’est le 2 août 2026 : c’est à cette date que deviennent applicables les grandes obligations du texte, interdictions, transparence et obligation de formation, et que démarrent les sanctions. Les règles sur les systèmes « à haut risque », dont ceux utilisés pour le recrutement et la gestion des salariés, ont été repoussées au 2 décembre 2027 par le Digital Omnibus. Autrement dit, ce qui touche l’emploi et les RH sort de la zone grise.

Le principe général tient en une phrase. L’entreprise doit savoir ce qu’elle utilise, pourquoi, par qui, et être capable de le dire. Ce n’est pas une contrainte technique, c’est une contrainte de traçabilité et de responsabilité. Et pour une TPE ou une PME, se mettre en règle relève de l’organisation, pas de l’expertise juridique pointue.

L’obligation déjà en vigueur que personne ne mentionne

Pendant qu’on regarde tous vers août 2026, une obligation est en vigueur depuis février 2025 et presque personne n’en parle : la littératie IA. Le texte demande à toute entreprise qui utilise l’IA de s’assurer que les personnes qui s’en servent ont un niveau de maîtrise suffisant. En clair : tu ne peux pas lâcher un outil puissant entre les mains de tes équipes sans un minimum de formation et de cadre.

C’est un point important, parce qu’il ne dépend d’aucune échéance à venir : il s’applique déjà. À côté, deux choses qui n’ont jamais cessé de s’appliquer non plus : le RGPD, dès qu’une donnée personnelle entre dans un outil, et en France, la consultation de tes représentants du personnel avant d’introduire un outil d’IA qui touche le travail des gens. La formation de tes équipes et la protection des données ne sont pas des sujets pour 2027. Ils sont pour maintenant.

Le règlement IA européen te concerne (oui, toi avec tes douze salariés)

La question qu’on nous pose en premier, c’est toujours la même : « Mais moi, avec mes douze salariés, je suis vraiment concerné ? » Oui. Le règlement IA européen ne vise pas que les géants qui construisent des modèles. Il vise aussi ceux qui utilisent ces outils. Dès qu’un salarié s’appuie sur un assistant IA pour rédiger, trier ou préparer une décision, l’entreprise entre dans le champ. Peu importe que l’outil soit une licence payée ou une version gratuite ouverte un jour de curiosité.

Concrètement, la boîte où « deux-trois personnes utilisent ChatGPT dans leur coin » est exactement la cible. Non pas parce qu’elle fait quelque chose d’illégal, mais parce que personne n’y sait précisément qui utilise quoi, sur quelles données, ni avec quel garde-fou. C’est ce flou que le règlement demande de lever. Et un flou, ça se lève avec un peu de méthode, pas avec un cabinet d’avocats à demeure.

Les trois choses concrètes à mettre en place

Derrière le texte, il y a trois gestes qu’une TPE/PME peut poser sans compétence technique particulière. Ils demandent juste d’être faits, et écrits.

1. Répertorier tes usages de l’IA

Faire l’inventaire des outils d’IA réellement utilisés dans la boîte. Qui s’en sert, pour quoi, sur quel type de données. Un tableau à quatre colonnes suffit : l’outil, le service ou la personne, l’usage, le type de données traitées. Ce répertoire est le socle de tout le reste. Tant que tu ne sais pas ce qui tourne, tu ne peux rien encadrer, ni former personne correctement.

2. Poser une charte IA

Attention au raccourci : le règlement n’impose pas, mot pour mot, « une charte IA ». Ce qu’il impose, c’est un résultat : des équipes formées, des usages encadrés, des données protégées. La charte, c’est l’outil le plus efficace pour matérialiser tout ça sur une page lisible. On détaille quoi mettre dedans, avec un modèle à dupliquer, dans notre guide complet de la charte IA en entreprise.

3. Désigner un responsable

Une personne identifiée comme référente sur l’IA dans l’entreprise. Pas forcément un poste à plein temps, ni un profil technique. C’est quelqu’un qui tient le répertoire à jour, à qui on pose ses questions, et qui porte la charte. Dans une TPE, ce sera souvent le dirigeant ou le responsable RH. Si tu veux creuser ce rôle, on lui a consacré un guide dédié au responsable de l’IA.

Répertoire des usages, charte, responsable désigné. Le plus dur n’est pas de les produire. C’est de s’y mettre.

Les amendes : ce que veut vraiment dire le chiffre de 35 millions

Tu as forcément vu passer le chiffre : jusqu’à 35 millions d’euros. C’est vrai, et c’est fait pour marquer les esprits. Mais remettons-le à sa place, parce que là-dessus circulent beaucoup de bêtises.

Ce plafond de 35 millions d’euros (ou 7 % du chiffre d’affaires mondial) vise uniquement les pratiques strictement interdites par le règlement : la notation sociale des individus, la manipulation, la surveillance biométrique de masse. Autrement dit, des usages qu’une TPE honnête ne pratique jamais. Le reste des manquements relève de plafonds bien plus bas. Et pour une PME, le texte prévoit noir sur blanc qu’on retient le montant le plus faible, pas le plus haut. Personne ne va coller 35 millions à un artisan parce que son assistante reformule un mail avec ChatGPT.

Le vrai risque pour une TPE/PME n’est donc pas l’amende maximale. C’est de se retrouver incapable de montrer qu’on a fait le minimum le jour où un client, un partenaire, un salarié ou un contrôle pose la question. Là, ce n’est pas un chiffre à sept zéros qui est en jeu, c’est ta crédibilité et ta tranquillité. Et ça, ça se règle en amont, avec les trois gestes de la section précédente.

Le vrai risque, ce n’est pas l’amende à 35 millions. C’est de ne pas pouvoir prouver que tu as fait le minimum.

Par où commencer cette semaine

La pire réponse à une échéance, c’est l’attentisme. On repousse, l’été passe, la rentrée arrive, et on n’a toujours rien. Voilà l’ordre le plus simple pour avancer vite, sans y passer un mois.

1. Ouvre un tableur et liste tous les outils d’IA utilisés dans la boîte, même ceux dont tu n’es pas sûr. Demande à tes équipes, tu vas être surpris de ce qui tourne déjà.
2. Note en face, pour chacun, qui s’en sert et sur quelles données. Ton répertoire est né.
3. Pars d’un modèle de charte IA existant plutôt que de la rédiger de zéro. Tu adaptes, tu ne réinventes pas.
4. Mets un nom sur le rôle de référent, et forme ceux qui en ont besoin. C’est la littératie, et c’est déjà obligatoire.

Pour garder ce suivi carré sans usine à gaz, une plateforme no-code comme Make permet d’automatiser les rappels et la mise à jour du répertoire. Et pour suivre le calendrier officiel, qui peut encore bouger, la Direction générale des Entreprises publie un décryptage à jour du règlement.

Une boîte qui sait ce qu’elle fait avec l’IA travaille mieux, pas seulement plus en règle. La contrainte et l’intérêt vont dans le même sens. Autant s’y mettre pendant que c’est encore un avantage, avant que ça devienne un rattrapage.