Ce qui a changé exactement au 2 août 2026

Le règlement européen sur l'intelligence artificielle, souvent appelé AI Act, n'entre pas en vigueur d'un bloc. Il s'applique par étapes, sur plusieurs années. Le 2 août 2026 est l'une de ces étapes, et c'est la première qui touche vraiment l'entreprise ordinaire.

Depuis cette date, deux obligations sont opposables.

La transparence. Une personne doit pouvoir savoir qu'elle a affaire à une intelligence artificielle. Cela vaut pour les systèmes qui dialoguent directement avec des humains, et pour les contenus diffusés au public qui ont été générés ou modifiés artificiellement. L'idée est simple : pas de confusion involontaire entre un logiciel et une personne, ni entre un contenu fabriqué et un contenu authentique.

La compétence des équipes. L'entreprise qui met des systèmes d'intelligence artificielle entre les mains de ses salariés doit veiller à ce qu'ils aient un niveau de compréhension suffisant. Il ne s'agit pas d'un diplôme ni d'une certification, mais de savoir ce que fait l'outil, ce qu'il ne sait pas faire, et ce qu'il ne faut pas lui confier.

Ces deux règles ont un point commun : elles ne dépendent ni de la taille de l'entreprise, ni de son secteur. Il n'y a pas de seuil d'effectif ni de chiffre d'affaires en dessous duquel on serait dispensé. Ce qui compte est l'usage, pas la taille.

Suis-je concerné si je n'ai développé aucune IA ?

C'est la question que pose le dirigeant qui n'a jamais commandé de projet d'intelligence artificielle. La réponse est souvent oui, parce que le règlement distingue deux rôles : celui qui fabrique le système, et celui qui le déploie auprès de ses clients ou de ses salariés. Le second est concerné même s'il n'a écrit aucune ligne de code.

En pratique, une PME est dans le champ de l'obligation de transparence dès qu'elle a mis en service l'une de ces choses.

  • Un assistant de discussion sur son site ou sur une messagerie, même fourni clé en main par un prestataire.
  • Un répondeur ou un standard qui parle et comprend, plutôt qu'un simple menu à touches.
  • Des contenus publiés au nom de l'entreprise et produits par une intelligence artificielle, en particulier des images, des sons ou des vidéos.
  • Un outil qui répond automatiquement aux demandes entrantes, en son nom, sans qu'un humain relise.

Il y a un cas fréquent et moins visible : les outils que les équipes ont adoptés d'elles-mêmes, sans passer par la direction. Les études publiées en 2026 estiment que plus de la moitié des salariés utilisent des outils d'intelligence artificielle non validés par leur entreprise. Le dirigeant ne peut pas afficher une mention sur un système dont il ignore l'existence. C'est pour cette raison que l'inventaire passe avant tout le reste.

Ce que veut dire signaler qu'on a affaire à une IA

L'obligation est plus facile à satisfaire que ce que sa réputation laisse croire. Elle demande une information claire, donnée au bon moment, dans un langage compréhensible.

Pour un système qui dialogue. L'information se donne avant ou au tout début de l'échange. Une phrase suffit, du type : vous échangez avec un assistant automatique, vous pouvez demander à parler à une personne à tout moment. Deux détails comptent autant que la mention elle-même : qu'elle soit visible sans avoir à la chercher, et qu'une porte de sortie vers un humain existe vraiment.

Pour les contenus publiés. Le règlement vise les contenus générés ou manipulés artificiellement et diffusés au public, avec une vigilance particulière sur ce qui peut tromper, notamment les images, les sons et les vidéos qui imitent des personnes ou des événements réels. Un texte rédigé avec l'aide d'un outil puis relu, corrigé et assumé par un auteur humain n'est pas dans la même situation qu'une vidéo fabriquée de toutes pièces. Un marquage technique, lisible par les machines et non par l'oeil humain, est attendu du côté des fournisseurs de ces outils, avec un délai supplémentaire pour les systèmes déjà en service avant l'échéance.

Le vrai travail n'est donc pas d'écrire la phrase. C'est de savoir où la mettre, ce qui suppose de connaître la liste de ses propres systèmes. La conformité au règlement sur les données personnelles pose la même exigence de recensement, et pour les mêmes raisons pratiques : ce sujet est détaillé dans notre article sur le RGPD des process automatisés.

L'obligation de compétence des équipes, en clair

La seconde obligation est la moins commentée, et pourtant la plus utile au quotidien. Elle demande à l'entreprise de veiller à ce que les personnes qui utilisent ces systèmes en aient une maîtrise suffisante, proportionnée à leur rôle et au contexte.

Le texte ne fixe ni programme, ni durée, ni organisme. Ce qui est attendu est un niveau de compréhension réel, pas un certificat. Concrètement, une équipe correctement formée sait répondre à quatre questions.

  1. Que fait exactement cet outil, et sur quelles données travaille-t-il ?
  2. Qu'est-ce qu'on n'a pas le droit d'y saisir, en particulier les données de clients, de salariés ou les informations confidentielles ?
  3. Comment reconnaître une réponse fausse, et que faire quand on en repère une ?
  4. Quelles décisions ne doivent jamais être prises sur la seule base de la réponse d'un outil ?

Une note interne d'une page et une réunion d'une heure couvrent l'essentiel dans une PME. Ce qui compte est de garder une trace écrite, datée, de ce qui a été dit et à qui. Cette note sert aussi à autre chose que la conformité : elle évite les fuites de données par usage naïf d'un outil grand public, un risque que nous avons détaillé dans notre guide sur l'usage de ChatGPT au travail.

Le haut risque, ce n'est pas pour maintenant

Une confusion circule largement, et elle produit de mauvaises décisions. Beaucoup de dirigeants ont entendu parler d'obligations très lourdes : documentation technique complète, gestion des risques, surveillance humaine formalisée, enregistrement dans une base européenne. Ces obligations existent, mais elles concernent les systèmes classés à haut risque, et elles ne s'appliquent pas au 2 août 2026.

Leur calendrier a été décalé au cours de l'année 2026. Les obligations des systèmes à haut risque listés au titre des usages sensibles s'appliquent à partir de fin 2027, et celles des systèmes intégrés à des produits déjà encadrés par d'autres réglementations à partir de 2028.

Cette distinction a une conséquence directe sur la façon de dépenser son argent. Ce qui vient de tomber est léger, peu coûteux, et touche presque toutes les entreprises. Ce qui est lourd concerne un nombre restreint d'usages, typiquement le tri automatisé de candidatures, la notation de dossiers ou l'évaluation de personnes, et laisse plus d'un an pour être traité sérieusement. Un prestataire qui vend un chantier de conformité complet en s'appuyant sur l'urgence du 2 août mélange les deux étages.

La bonne question à se poser maintenant n'est donc pas comment être totalement conforme, mais laquelle de mes activités relèvera un jour du haut risque, et de combien de temps je dispose pour la préparer.

Les quatre gestes à faire, dans l'ordre

Voici ce qu'une PME peut faire sans budget particulier, dans l'ordre où c'est utile.

  1. Faire l'inventaire. Un tableau simple : où une intelligence artificielle intervient-elle chez nous, sous quel nom, pour faire quoi, et qui s'en sert. Inclure les outils adoptés par les équipes et ceux déjà intégrés à vos logiciels. Sans cette liste, tout le reste est du bricolage.
  2. Afficher la mention là où un humain peut se tromper. Assistant de discussion, répondeur, réponses automatiques envoyées au nom de l'entreprise. Une phrase claire, visible, et une possibilité réelle de joindre une personne.
  3. Écrire la note de cadrage interne. Une page : outils autorisés, données interdites de saisie, décisions qui restent humaines, qui contacter en cas de doute. Datée, diffusée, conservée.
  4. Repérer ce qui relèvera du haut risque. Regarder les usages qui touchent à l'embauche, à l'évaluation de personnes ou à l'accès à un service. S'ils existent, les noter maintenant et prévoir le chantier pour 2027, sans le lancer dans l'urgence.

Ces quatre gestes tiennent en une journée de travail dans une PME qui n'a pas trente outils. Ils ne remplacent pas un examen sérieux, mais ils couvrent ce qui est réellement opposable et ils évitent la double erreur du moment : ne rien faire, ou payer trop cher pour une échéance qui n'est pas celle qu'on croit.

Si vous préférez que ce recensement soit fait par un tiers, avec l'articulation entre données personnelles et intelligence artificielle traitée d'un seul tenant, c'est l'objet de la mission de mise en conformité Eternys. Et pour un état des lieux plus large de vos process avant de décider quoi que ce soit, le diagnostic Eternys à 900 € repère les écarts et chiffre ce qu'il y a à faire avant tout engagement.