IA Act : ce que ça change vraiment pour une TPE ou une PME

• Sommaire
• • Êtes-vous concerné par l'IA Act ? Le mot qui décide, c'est « déployeur »
  • Les 35 millions d'euros d'amende ne concernent pas la formation
  • Depuis le 27 juillet 2026, former ses équipes est une obligation de moyens
  • Ce qui devient exigible le 2 août 2026 : la transparence, surtout côté fournisseur
  • Le vrai risque, ce sont les biais et les documents que personne ne relit
  Tous nos articles

L’IA Act circule depuis des mois dans les conversations d’entreprise sous une forme très simple : une menace d’amende. Le chiffre de 35 millions d’euros revient partout, souvent accolé à l’obligation de former ses salariés.

Si vous dirigez une TPE ou une PME et que l’IA est déjà entrée quelque part chez vous, dans un assistant de rédaction, un chatbot ou une fonction glissée dans votre logiciel de devis, le règlement vous concerne. Rarement de la manière qu’on vous a décrite.

Tout commence par la catégorie dans laquelle le texte vous range.

Êtes-vous concerné par l’IA Act ? Le mot qui décide, c’est « déployeur »

Oui, presque certainement. Le règlement européen sur l’IA appelle « déployeur » toute personne ou entreprise qui utilise un système d’IA sous sa propre autorité, dans un cadre professionnel. Aucun seuil de salariés, aucun seuil de chiffre d’affaires. Une entreprise de trois personnes qui fait rédiger ses comptes rendus par un assistant IA est déployeur au même titre qu’un groupe du CAC 40. Seul l’usage strictement personnel échappe à la définition.

L’article 3 réserve ainsi le seul cas où vous sortez du champ : « sauf lorsque le système d’IA est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ».

En pratique, beaucoup de dirigeants sont déployeurs sans le savoir. Le résumé automatique de votre messagerie, le tri de vos candidatures, la suggestion de réponse de votre outil de relation client, tout cela relève du règlement. On retrouve le schéma décrit à propos de l’intégration de l’IA dans une entreprise qui n’a personne pour s’en occuper : la technologie arrive avant la décision de l’adopter.

Les 35 millions d’euros d’amende ne concernent pas la formation

Le chiffre existe bien, mais il vise autre chose. L’article 99 du règlement classe les sanctions en trois niveaux : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 % pour les manquements des fournisseurs et les obligations de transparence, jusqu’à 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. L’obligation de formation ne figure dans aucun des trois.

Pour une PME, ces plafonds jouent différemment. L’article 99 §6 prévoit que, pour les PME et jeunes pousses, chaque amende s’applique au montant le plus bas entre le pourcentage et la somme fixe — l’inverse de la règle qui vaut pour les grandes entreprises. Une petite structure ne risque donc jamais les 35 millions d’euros bruts qui circulent dans la presse : son exposition réelle se calcule sur son propre chiffre d’affaires.

Le texte européen n’a prévu aucune amende spécifique attachée à l’article 4. Un manquement pourrait peser dans l’appréciation d’un contrôle mené pour un autre motif, mais l’épouvantail agité un peu partout ne correspond pas à ce qui est écrit.

S’y ajoute une réalité française rarement mentionnée. Le règlement imposait aux États membres de désigner leurs autorités de contrôle avant le 2 août 2025. La Direction générale des entreprises et la DGCCRF ont publié un projet le 9 septembre 2025, assorti d’une phrase que le communiqué officiel répète deux fois : « Ce schéma doit être soumis au Parlement par le biais d’un projet de loi ». Un an après l’échéance, ce projet de loi n’est toujours pas adopté. Officiellement, vous êtes soumis à un règlement européen — dans les faits, la France n’a pas fini de désigner qui viendra le vérifier.

Depuis le 27 juillet 2026, former ses équipes est une obligation de moyens

L’obligation de formation existe depuis le 2 février 2025, mais elle a changé de nature cet été. Le règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27, réécrit intégralement l’article 4. Là où il fallait « garantir » un niveau suffisant de maîtrise de l’IA, il faut désormais « prendre des mesures pour favoriser le développement » de cette maîtrise. Le changement est juridique, et il pèse lourd.

La nouvelle rédaction se termine par une phrase qui règle la question : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Le législateur européen s’en explique dans les considérants : l’imposition d’obligations strictes « crée une charge de mise en conformité supplémentaire, en particulier pour les petites entreprises ». Le même texte demande à la Commission de soutenir les efforts des entreprises, « en particulier les PME », et de publier des exemples pratiques de mise en conformité.

Vous devez donc agir, sans avoir à prouver qu’un salarié donné a atteint un niveau donné. Une demi-journée documentée, calée sur les outils que vos équipes utilisent tous les jours, répond à l’obligation. C’est exactement le principe d’une formation construite sur le métier réel de l’entreprise.

Ce qui devient exigible le 2 août 2026 : la transparence, surtout côté fournisseur

Le 2 août 2026 marque l’entrée en application de l’essentiel du règlement, dont l’article 50 sur la transparence — même si les obligations les plus lourdes, sur les systèmes à haut risque, ont depuis été reportées à décembre 2027 et août 2028 par le règlement 2026/1744. L’essentiel de ces obligations de transparence pèse sur les fournisseurs de modèles — Anthropic, Google ou OpenAI, qui doivent marquer leurs contenus dans un format lisible par une machine. Pour une entreprise utilisatrice, deux cas seulement sont visés : les deepfakes, et les textes publiés dans le but d’informer le public sur des questions d’intérêt général.

Cette obligation produit des effets visibles. Anthropic a publié le 14 août 2026 le fonctionnement du filigrane appliqué aux textes de Claude, en indiquant le mettre en place « pour se conformer à l’AI Act européen ». Google marque les productions de Gemini via sa technologie SynthID. Chez OpenAI, un filigrane textuel a été développé mais jamais déployé : sur ChatGPT, le marquage couvre aujourd’hui les images et la voix, sans extension au texte. Quant à l’outil permettant de détecter le filigrane de Claude, Anthropic indique qu’il n’est pas encore disponible.

Reste le chatbot posé sur un site vitrine. Installer un agent conversationnel standard ne fait pas de vous un fournisseur au sens du règlement : l’article 25 réserve ce basculement à trois situations précises, apposer sa marque sur un système à haut risque, le modifier substantiellement, ou en changer la finalité au point de le rendre à haut risque. Écrire « bonjour, je suis l’assistant virtuel de la société X » relève du bon sens commercial avant de relever du droit.

Le vrai risque, ce sont les biais et les documents que personne ne relit

Le danger immédiat pour une petite entreprise n’est pas réglementaire, il est opérationnel : des salariés qui utilisent l’IA sans le dire, des informations confidentielles collées dans un outil grand public, des documents produits en trois secondes et transmis au client sans relecture. Aucune de ces situations n’apparaît dans le règlement européen, et toutes coûtent plus cher, plus vite, qu’une amende hypothétique.

Les chiffres d’Eurostat pour 2025 montrent sur quel terrain cela se joue. En France, 58,0 % des entreprises de 250 salariés et plus utilisent l’IA, contre 15,0 % de celles qui comptent 10 à 49 salariés. Sur ses grandes entreprises, la France dépasse la moyenne européenne, qui plafonne à 55,0 %. Le décrochage français se loge donc entièrement du côté des petites structures. Précision utile : Eurostat ne mesure que les entreprises de 10 salariés et plus, ce qui laisse les artisans et les TPE de moins de dix personnes hors de toute statistique.

Le dirigeant d’une entreprise que nous accompagnons résume la question à sa façon : « IA Act ou pas, ce qui m’importe à moi c’est que mes employés n’utilisent pas l’IA derrière mon dos et surtout qu’ils sachent que je vais leur tomber dessus s’ils sont trop feignants pour relire les rapports créés ! »

Ce qui l’intéresse, c’est de savoir ce qui sort de son entreprise, et sous quelle responsabilité. Un salarié formé repère un raisonnement bancal. Il identifie un chiffre inventé sans avoir à le vérifier ailleurs, et sait spontanément quelles données ne doivent jamais quitter les murs. Ce réflexe ne s’installe pas en une réunion : il demande d’y revenir régulièrement, ce qui relève d’un suivi dans la durée.