Fin 2025, 55 % des TPE-PME françaises déclaraient utiliser l'IA générative, contre 31 % un an plus tôt (Bpifrance, note de conjoncture, janvier 2026). Dans le même temps, seuls 43 % des dirigeants de PME et ETI déclaraient disposer d'une stratégie IA structurée (Bpifrance Le Lab, juin 2025). L'écart entre ces deux chiffres est déjà un problème de pilotage. Le 2 août 2026, il devient un problème juridique : c'est la date à laquelle le règlement européen sur l'IA devient applicable et sanctionnable dans les 27 États membres.
Or, depuis le printemps, un message circule dans les comités de direction : « l'AI Act a été repoussé, on a le temps ». C'est vrai. Et c'est la lecture la plus coûteuse de l'année. Ce qui a été reporté ne concerne quasiment aucune PME. Ce qui reste applicable le 2 août concerne à peu près toutes celles qui ont branché un chatbot, un copilote ou un agent IA. Cet article documente précisément la ligne de partage, et ce qu'un dirigeant peut encore cocher d'ici l'échéance.
À retenir en cinq points :
- Le Digital Omnibus a bien reporté les obligations « haut risque » — au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
- Il n'a pas touché l'article 50 : tout chatbot ou agent conversationnel doit se déclarer comme IA dès le 2 août 2026.
- Le régime de sanctions et les autorités nationales, eux, s'activent bien le 2 août 2026.
- Les pratiques interdites (article 5) sont applicables depuis février 2025 — dont une qui piège beaucoup d'entreprises.
- Le seul livrable qui sert à tout : l'inventaire des systèmes d'IA réellement utilisés.
Ce que le Digital Omnibus a réellement reporté
Le calendrier de l'AI Act (règlement UE 2024/1689, en vigueur depuis le 1er août 2024) a été remanié en 2026 par le paquet de simplification dit Digital Omnibus. La séquence institutionnelle est close : accord de trilogue le 7 mai 2026, adoption par le Parlement européen le 16 juin 2026 (423 voix pour, 57 contre, 174 abstentions), feu vert final du Conseil de l'Union européenne le 29 juin 2026, suivi de la publication au Journal officiel de l'UE.
Ce que le texte décale :
| Ce qui bouge |
Date initiale |
Nouvelle date |
| Systèmes à haut risque autonomes (annexe III) |
2 août 2026 |
2 décembre 2027 |
| Systèmes à haut risque intégrés à des produits réglementés (annexe I) |
2 août 2027 |
2 août 2028 |
| Marquage lisible par machine des contenus synthétiques — art. 50(2), systèmes déjà en production |
2 août 2026 |
2 décembre 2026 |
Ce que le texte ne décale pas :
- L'article 50(1) — l'obligation, pour tout système d'IA conçu pour interagir avec des personnes, d'informer qu'il s'agit d'une IA.
- Les articles 50(3) et 50(4) — l'information des personnes exposées à de la reconnaissance d'émotions ou à de la catégorisation biométrique, et la divulgation des contenus de type deepfake.
- Le régime de sanctions et la désignation des autorités nationales de surveillance : l'application du règlement commence bien le 2 août 2026.
- Les pouvoirs d'exécution de la Commission sur les fournisseurs de modèles d'IA à usage général.
Le point est notable : la France a défendu, dans la négociation, l'absence de tout report des obligations de transparence de l'article 50 (Sénat, rapport d'information n° 626, mai 2026). Autrement dit, le seul volet du règlement qui touche massivement les PME est aussi celui qui n'a pas bougé d'un jour.
Ce qui a été reporté, ce sont les obligations que la plupart des PME n'ont pas. Ce qui reste, ce sont celles qu'elles ont toutes.
Sur le terrain : ce que les praticiens observent à trois semaines de l'échéance
Les signaux de juillet 2026 convergent sur un décalage entre la couverture médiatique du report et la réalité opérationnelle.
Un observateur du marché de l'IA vocale rappelait le 15 juillet que deux horloges tournent en parallèle : la date limite du 22 juillet pour signer le code de bonnes pratiques sur la transparence, et le 2 août pour l'application pleine — « chaque IA vocale doit déclarer qu'elle est une IA. De façon audible. Dès le début. » Son point : la vague de déploiement grand public de l'IA vocale des derniers mois a mécaniquement élargi le nombre d'entreprises concernées.
Un consultant en architecture de données et d'agents alertait le 10 juillet sur un angle mort différent : « la plupart des API d'agents servent de la donnée sans licence », alors que l'article 10 impose de documenter la provenance des données d'entraînement — source, méthode de collecte, base de licence. Un cadre du secteur des paiements notait le même jour que sur le scoring de crédit, classé annexe III, « la plupart des acteurs ne sont pas prêts » — un constat que le report de décembre 2027 soulage sans l'annuler.
Le signal le plus parlant pour une PME vient d'un webinaire d'un cabinet d'avocats britannique du 10 juillet, consacré à l'IA non déclarée en entreprise. Le cas d'école qu'ils décrivent : « un collaborateur utilise un outil d'IA depuis six mois, personne ne le savait, et une réclamation d'une personne concernée arrive. » Avec, derrière, une horloge de 72 heures pour notifier l'autorité en cas de violation de données — un délai impossible à tenir quand on ignore que l'outil existe. C'est exactement le point de jonction entre conformité et shadow AI : on ne met pas en conformité ce qu'on n'a pas inventorié.
Fournisseur ou déployeur : la question qui décide de tout
Beaucoup de dirigeants écartent le sujet d'une phrase : « on ne développe pas d'IA, on l'utilise ». Le règlement ne raisonne pas ainsi. Il distingue principalement le fournisseur (celui qui développe un système d'IA et le met sur le marché sous son nom) et le déployeur (celui qui utilise un système d'IA sous sa propre autorité, dans un cadre professionnel).
Une PME qui achète des licences Copilot, branche un chatbot sur son site, ou fait tourner un assistant interne sur ses documents est un déployeur. Ce statut suffit à déclencher des obligations propres — y compris l'article 50(1) quand le système parle à des humains. Le raccourci « c'est le problème de Microsoft ou d'OpenAI » est faux : sur la notice d'interaction, l'obligation suit celui qui expose le système à des personnes.
Deux nuances qui comptent pour une PME :
- Un outil interne compte. Un assistant qui répond aux questions des équipes commerciales ou RH est un système d'IA interagissant avec des personnes. Le fait qu'il ne soit pas public ne le sort pas du périmètre.
- Reconfigurer peut vous transformer en fournisseur. Mettre un système sous sa propre marque, ou en modifier substantiellement la finalité, fait basculer une entreprise du statut de déployeur à celui de fournisseur — avec les obligations correspondantes.
Les obligations qui tombent le 2 août 2026
Pour une PME ou une ETI typique — pas de biométrie, pas de scoring de crédit, pas de dispositif médical — la liste utile est courte, et c'est une bonne nouvelle.
1. Déclarer l'IA quand elle parle à quelqu'un (art. 50(1)). Tout système conçu pour interagir avec des personnes physiques doit les informer qu'elles interagissent avec une IA, sauf si c'est évident au vu du contexte. Concrètement : le chatbot du site, l'agent de qualification sur le formulaire, le répondeur vocal intelligent, l'assistant interne. Une mention claire, au début de l'interaction. C'est le sujet direct de tout agent IA de service client déjà en production.
2. Marquer les contenus générés (art. 50(2)). Les contenus synthétiques — texte, image, audio, vidéo — doivent être marqués dans un format lisible par machine. Les systèmes déjà en production avant le 2 août bénéficient d'un délai jusqu'au 2 décembre 2026 ; ceux lancés après doivent être conformes dès la mise en ligne.
3. Informer en cas de reconnaissance d'émotions ou de catégorisation biométrique (art. 50(3)), et divulguer les deepfakes (art. 50(4)). Moins fréquent en PME, mais à vérifier si un outil de « mesure de satisfaction » ou d'analyse d'entretien vidéo est en place.
4. Assumer que le régime de sanctions est actif. Jusqu'ici, l'AI Act était un calendrier. À partir du 2 août, c'est une compétence exercée par une autorité nationale.
À cela s'ajoute une obligation applicable depuis le 2 février 2025 et largement ignorée : l'article 4, qui impose de garantir un niveau suffisant de littératie IA des personnes qui utilisent ces systèmes pour le compte de l'entreprise. Nous l'avons traitée en détail dans notre analyse sur la formation ChatGPT en entreprise — le point clé étant qu'une formation ponctuelle ne constitue pas, en soi, une preuve de littératie.
Ce qui est interdit depuis février 2025 — et que personne n'a vérifié
L'article 5 liste les pratiques interdites. Il est applicable depuis le 2 février 2025, il n'a jamais été reporté, et il porte le barème de sanctions le plus élevé du règlement.
Une interdiction en particulier piège des entreprises de bonne foi : la reconnaissance d'émotions sur le lieu de travail et dans les établissements d'enseignement. Si un outil de centre d'appels analyse le ton de vos conseillers, si une solution de recrutement note l'« enthousiasme » d'un candidat en visioconférence, si une plateforme mesure l'engagement des collaborateurs par analyse faciale ou vocale — le sujet n'est pas la mise en conformité, c'est l'arrêt. Sont également interdits, entre autres, la notation sociale et le moissonnage non ciblé d'images faciales.
Le test à faire passer est simple, et il ne coûte rien : demander à chaque éditeur d'un outil RH ou relation client, par écrit, s'il pratique une forme d'inférence émotionnelle. La réponse est souvent instructive.
Haut risque : reporté ne veut pas dire hors sujet
L'annexe III classe automatiquement à haut risque huit domaines : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels (dont l'évaluation de solvabilité), forces de l'ordre, migration, justice.
Deux de ces domaines touchent des PME très ordinaires. Un logiciel de tri de CV ou d'aide à la décision de recrutement relève de l'emploi. Un outil de scoring pour décider d'un encours client relève de l'accès aux services essentiels. Pour ces cas, l'échéance est désormais le 2 décembre 2027 : gestion des risques, gouvernance des données, documentation technique, supervision humaine, analyse d'impact côté déployeur.
Seize mois, ce n'est pas « plus tard ». C'est le temps qu'il faut pour changer de fournisseur si le vôtre ne suit pas — et c'est là que le report est une opportunité plutôt qu'un répit. Un chercheur présentant ses travaux sur la gouvernance de l'IA à ICML en juillet 2026 formulait le risque de fond : la fragmentation réglementaire « favorise discrètement les grandes entreprises au détriment des petites », parce qu'un même modèle, aux poids identiques, peut être à haut risque dans un pays et à bas risque dans un autre. La charge de preuve, elle, est portée par celui qui déploie.
Le report ne rend pas le sujet moins urgent. Il déplace l'urgence : d'un chantier de conformité vers une décision d'architecture et de fournisseur.
Combien ça coûte : le barème, et la clause qui protège les PME
Le règlement calibre les amendes en trois étages :
| Manquement |
Plafond |
| Pratiques interdites (art. 5) |
35 M€ ou 7 % du chiffre d'affaires mondial |
| Autres obligations (dont art. 50, obligations des déployeurs) |
15 M€ ou 3 % du CA mondial |
| Informations inexactes ou trompeuses aux autorités |
7,5 M€ ou 1 % du CA mondial |
Ces plafonds affolent, et ils sont mal lus. Deux précisions décisives. D'abord, le règlement retient pour les PME et les start-up le plus faible des deux montants — pas le plus élevé. Une PME de 8 M€ de CA n'encourt pas 15 M€ sur un manquement à l'article 50. Ensuite, les sanctions doivent être proportionnées, et le premier réflexe d'une autorité face à une PME de bonne foi qui documente sa démarche n'est pas l'amende maximale.
Le vrai coût, pour une PME, est ailleurs : il est contractuel et commercial. Un grand donneur d'ordre qui vous audite, un appel d'offres qui exige une attestation de conformité IA, un client qui découvre que son chatbot d'assistance n'était pas déclaré. À quoi s'ajoute le terrain déjà balisé du RGPD, où l'échelle a changé : 486,8 M€ d'amendes CNIL cumulées en 2025, contre 55,2 M€ en 2024 — soit ×9 en un an (CNIL, bilan publié le 9 février 2026).
L'inventaire IA : le seul livrable qui sert à tout
S'il ne fallait produire qu'une chose avant le 2 août, ce serait celle-là. Ni un audit à 80 k€, ni une politique IA de 40 pages que personne ne lira. Un tableau.
Une ligne par système d'IA réellement utilisé, six colonnes : quel outil, quel service l'utilise, sur quelles données, est-ce qu'il parle à des humains (art. 50), est-ce qu'il touche un domaine annexe III (RH, crédit), qui en est responsable en interne. La difficulté n'est pas le format — c'est l'exhaustivité, parce que la moitié des lignes correspond à des outils que la direction ne connaît pas.
Ce document sert simultanément de base à l'article 50, de préparation à l'échéance de 2027, de registre de traitements côté RGPD, et de cartographie pour arbitrer les investissements. C'est aussi, très exactement, le premier livrable d'un audit IA sérieux : chez Nymphar.AI, on ne commence jamais par les modèles, on commence par la liste de ce qui tourne déjà. Notre checklist d'audit IA en donne la trame.
La méthode : quatre étapes d'ici le 2 août
Étape 1 — Inventorier (3 à 5 jours). Faire le tour des services et lister les outils d'IA en usage, y compris les comptes personnels utilisés au travail. Poser la question sans sanction, sinon la moitié des réponses manquera.
Étape 2 — Trier en trois piles (une demi-journée). Pile rouge : ce qui pourrait relever de l'article 5 (inférence d'émotions) — à traiter immédiatement. Pile orange : ce qui parle à des humains — à mettre en conformité article 50 avant le 2 août. Pile verte : le reste — à documenter, sans urgence.
Étape 3 — Traiter la pile orange (2 à 3 jours). Ajouter la mention d'interaction IA sur chaque interface concernée. Vérifier auprès des éditeurs le marquage des contenus générés. C'est du travail de rédaction et de configuration, pas un projet informatique.
Étape 4 — Nommer un responsable et une revue (permanent). Une personne, une revue trimestrielle de l'inventaire. Sans cela, l'inventaire est périmé en six mois — et vous êtes revenu au cas du collaborateur dont personne ne connaissait l'outil.
Cette séquence part des usages réels plutôt que du texte réglementaire. C'est le même principe bottom-up qui explique pourquoi, selon le MIT (projet NANDA, The GenAI Divide, juillet 2025), 95 % des projets d'IA générative ne produisent aucun retour mesurable : les démarches qui partent du haut — du règlement, du modèle, de l'outil — échouent à rencontrer les process. Une conformité conçue depuis un cabinet, sans connaître les outils réellement branchés, produit un classeur. Pas une capacité.
Le client achète une capacité, pas un projet. En conformité IA aussi : ce qui protège une entreprise, ce n'est pas le document, c'est le fait que quelqu'un sache ce qui tourne.
Questions fréquentes
Qui est concerné par l'AI Act en PME ?
Toute entreprise qui fournit ou déploie un système d'IA dans l'Union européenne. Il n'y a pas de seuil d'effectif ni de chiffre d'affaires qui exonère : une PME de 15 personnes qui utilise un chatbot est un déployeur. Ce qui varie selon la taille, ce sont les allégements — plafonds de sanction au montant le plus faible, documentation simplifiée pour les PME et start-up.
Faut-il un budget de conformité pour le 2 août ?
Pour le périmètre réellement applicable au 2 août à une PME sans système haut risque, l'essentiel est une semaine de travail interne : inventaire, tri, mentions d'interaction. Le budget devient un sujet pour l'échéance de décembre 2027, si vous opérez du tri de CV ou du scoring — et il porte alors surtout sur le choix du fournisseur.
L'AI Act peut-il être encore repoussé ?
Le Digital Omnibus est adopté : le report du haut risque à décembre 2027 est acté, pas hypothétique. En revanche, rien n'indique de nouveau report sur l'article 50 ou sur le régime de sanctions — la position française a été explicitement de ne rien décaler sur la transparence. Construire un plan sur l'hypothèse d'un report supplémentaire revient à parier contre le seul volet que les États membres ont refusé de décaler.
Comment articuler AI Act et RGPD ?
Ils se recouvrent partiellement et ne se remplacent pas. Dès qu'un système d'IA traite des données personnelles, le RGPD s'applique intégralement — base légale, information, durées, analyse d'impact. L'AI Act ajoute une couche par le risque et par la transparence. L'inventaire décrit plus haut alimente les deux : c'est l'argument le plus solide pour le faire une fois, bien.
Ce que ça change pour un dirigeant
Le 2 août 2026 ne transformera pas une PME en entreprise réglementée. Il fait basculer l'IA d'un sujet d'outillage à un sujet de responsabilité — celle du dirigeant, pas celle du DSI. Et il arrive au moment précis où l'usage a doublé en douze mois sans que le cadre suive.
La bonne nouvelle est que le travail utile est court, et qu'il produit un actif réutilisable. La mauvaise est qu'il suppose de savoir ce qui tourne — ce qui, dans la plupart des entreprises que nous accompagnons, est le vrai sujet. Chez Nymphar.AI, la cartographie des usages réels est la première journée de tout audit IA : elle sert la conformité, elle sert l'arbitrage des investissements, et elle est la seule base honnête pour décider quoi automatiser ensuite. Pour le cadre plus large — NIS 2, Cyber Resilience Act, dépendance aux fournisseurs américains — voir notre guide sur la souveraineté numérique en PME.
Sources
Cadre réglementaire : Règlement (UE) 2024/1689 (AI Act), articles 4, 5, 6, 10, 50, 99 et annexes I et III ; paquet Digital Omnibus — accord de trilogue du 7 mai 2026, adoption par le Parlement européen le 16 juin 2026, feu vert du Conseil de l'UE le 29 juin 2026 ; Sénat, rapport d'information n° 626 (mai 2026) sur l'omnibus numérique européen ; Commission européenne, calendrier de mise en œuvre de la législation sur l'IA.
Statistiques publiques citées : Bpifrance, note de conjoncture (janvier 2026) ; Bpifrance Le Lab (juin 2025) ; MIT Project NANDA — The GenAI Divide (juillet 2025) ; CNIL, bilan des sanctions publié le 9 février 2026.
Signaux de terrain (30 derniers jours) : un observateur du marché de l'IA vocale sur la double échéance du 22 juillet et du 2 août ; un consultant en architecture d'agents sur la provenance non documentée des données servies par les API ; un cadre du secteur des paiements sur l'impréparation au scoring de crédit annexe III ; un cabinet d'avocats britannique sur le cas de l'outil d'IA utilisé six mois à l'insu de la direction ; une communication de recherche présentée à ICML 2026 sur l'asymétrie réglementaire au détriment des petites structures. Liens en contexte dans l'article.
Mis à jour le 17 juillet 2026.
