Règlement (UE) 2024/1689 : calendrier mis à jour après l'omnibus de juillet 2026

AI Act entreprise 2026 : le guide de conformité pour les PME

Mis à jour le 29 septembre 2026, d'après le règlement (UE) 2024/1689 et l'omnibus (UE) 2026/1744.

En résumé

L'AI Act est le règlement européen sur l'IA. Il s'applique par paliers depuis 2024. Une PME qui utilise ChatGPT a déjà des obligations : former son personnel (article 4) et informer sur ses usages (article 50). Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté les obligations haut risque à décembre 2027.

Les dates officielles du règlement

À partir de quand l'AI Act s'applique-t-il ?

L'AI Act s'applique déjà en partie. Les pratiques interdites et l'obligation de former son personnel (article 4) valent depuis le 2 février 2025. La transparence (article 50) vaut depuis le 2 août 2026. Seuls les systèmes à haut risque sont reportés : au 2 décembre 2027 pour l'annexe III, au 2 août 2028 pour l'annexe I.

Publié au Journal officiel de l'UE le 12 juillet 2024, le règlement (UE) 2024/1689 prévoit une entrée en application progressive (article 113). Voici les échéances qui concernent les entreprises, mises à jour après l'omnibus du 27 juillet 2026 :

1er août 2024

Entrée en vigueur

Le règlement entre en vigueur. Le compte à rebours des obligations démarre pour toutes les entreprises opérant dans l'UE.

2 février 2025

Déjà applicable

Interdiction des pratiques à risque inacceptable (article 5) et obligation de maîtrise de l'IA pour le personnel (article 4), assouplie depuis juillet 2026.

2 août 2025

Déjà applicable

Obligations pour les modèles d'IA à usage général (GPAI), gouvernance et régime de sanctions applicables.

2 août 2026

Déjà applicable

Application générale du règlement, dont la transparence de l'article 50 : signaler qu'on parle à une IA et étiqueter les contenus générés. Le marquage des contenus déjà sur le marché est reporté au 2 décembre 2026.

2 décembre 2027

Reporté

Obligations pour les systèmes d'IA à haut risque de l'annexe III (recrutement, crédit, éducation, accès aux services essentiels). Elles s'appliquaient d'abord le 2 août 2026.

2 août 2028

Reporté

Obligations pour les systèmes à haut risque de l'annexe I, l'IA intégrée dans des produits comme les machines, les jouets ou les ascenseurs.

Ce que change l'omnibus du 27 juillet 2026

Le règlement (UE) 2026/1744, appelé omnibus numérique sur l'IA, a été publié au Journal officiel le 24 juillet 2026. Il modifie l'AI Act sur quatre points qui touchent les entreprises.

Les obligations haut risque sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
L'article 4 est assoupli : les entreprises prennent des mesures pour soutenir la maîtrise de l'IA de leur personnel, sans garantir un niveau précis. La Commission et les États membres doivent publier des orientations.
Le marquage des contenus générés déjà sur le marché est reporté au 2 décembre 2026, et une nouvelle interdiction vise les applications de déshabillage à partir de cette date.
Les allègements réservés aux PME s'étendent aux petites entreprises à capitalisation intermédiaire, et le Bureau de l'IA voit ses pouvoirs de contrôle élargis.

Sources : Commission européenne, règlement (UE) 2026/1744 sur EUR-Lex.

Qui est concerné par l'AI Act ?

Beaucoup d'entreprises pensent que l'AI Act ne vise que les géants de la tech. C'est faux. Le règlement distingue principalement deux rôles : le fournisseur, qui développe et met sur le marché un système d'IA, et le déployeur, qui utilise un système d'IA dans le cadre de son activité professionnelle.

Concrètement, une PME dont les équipes utilisent ChatGPT, Copilot, un chatbot client ou un outil de scoring CRM est un déployeur au sens du règlement. À ce titre, elle doit notamment prendre des mesures pour soutenir la maîtrise de l'IA de son personnel (article 4, applicable depuis le 2 février 2025 et assoupli en juillet 2026) et respecter les obligations de transparence liées à ses usages. Le règlement ne prévoit aucun seuil de taille : TPE, PME, ETI et grands groupes sont concernés dès le premier usage professionnel de l'IA.

Un exemple : une entreprise de 8 salariés dont l'équipe utilise ChatGPT tous les jours pour rédiger des mails et résumer des documents. Elle est déployeur, donc elle prend des mesures pour soutenir la maîtrise de l'IA de ses équipes. Elle n'a pas d'obligation haut risque tant qu'elle n'utilise pas l'IA pour des décisions comme le tri de candidatures ou l'octroi de crédit. Pour connaître le détail de l'obligation, lisez notre page sur l'article 4 de l'AI Act.

Le champ est aussi extraterritorial : une entreprise hors UE dont les systèmes d'IA produisent des effets dans l'Union entre dans le périmètre du règlement.

Checklist AI Act pour une PME : 6 points à vérifier

Avant de former vos équipes ou de lancer un audit, passez ces six points en revue. Ils reprennent les obligations déjà applicables.

Listez tous les outils d'IA utilisés dans l'entreprise, y compris ceux que les salariés ont adoptés seuls : ChatGPT, Copilot, un chatbot client, un outil de scoring dans le CRM.
Classez chaque outil dans l'un des 4 niveaux de risque.
Vérifiez qu'aucun usage ne relève des pratiques interdites de l'article 5, comme la notation sociale, la manipulation subliminale ou l'exploitation de vulnérabilités.
Prenez des mesures pour soutenir la maîtrise de l'IA de votre personnel et gardez les attestations de formation. Le détail est dans notre page sur l'obligation de formation IA.
Contrôlez la transparence (article 50) : une mention claire quand un client échange avec une IA, un étiquetage de certains contenus générés.
Vérifiez le RGPD dès qu'un outil traite des données personnelles, puis notez une date de revue : les obligations haut risque de l'annexe III s'appliqueront à partir du 2 décembre 2027.

Pour un regard extérieur, demandez le diagnostic de conformité offert ou consultez l'audit IA pour entreprises.

Les 4 niveaux de risque

L'AI Act suit une approche par les risques : plus un système d'IA peut affecter les droits des personnes, plus les obligations sont lourdes. Toute mise en conformité commence donc par classer chacun de vos outils dans l'un de ces quatre niveaux.

1. Risque inacceptable : interdit

Notation sociale, manipulation subliminale, exploitation de vulnérabilités… Ces pratiques sont bannies depuis le 2 février 2025 (article 5). C'est le palier de sanctions le plus élevé du règlement.

2. Haut risque : fortement encadré

Tri de candidatures, scoring de crédit, systèmes utilisés dans l'éducation ou la santé (annexe III). Les obligations (documentation, supervision humaine, traçabilité) sont reportées au 2 décembre 2027 pour les systèmes de l'annexe III.

3. Risque limité : transparence

Chatbots, contenus générés par IA : l'utilisateur doit savoir qu'il interagit avec une IA ou qu'un contenu a été généré artificiellement (article 50, applicable depuis le 2 août 2026). C'est le cas de la majorité des usages marketing et relation client.

4. Risque minimal : pas d'obligation ajoutée

Filtres antispam, fonctions de recherche… L'AI Act n'ajoute pas d'obligation spécifique, mais le RGPD continue de s'appliquer dès qu'il y a des données personnelles.

ChatGPT au travail : ce que l'AI Act change

L'AI Act n'interdit pas ChatGPT ni les autres outils d'IA générative. Il interdit des pratiques précises (article 5) et fixe des obligations selon le rôle de l'entreprise et le niveau de risque de l'outil.

Pour un usage courant, comme rédiger, résumer ou chercher une information, deux points comptent. Le premier est l'article 4 : l'entreprise prend des mesures pour soutenir la maîtrise de l'IA de son personnel, sans garantir un niveau précis depuis l'omnibus. Le second est l'article 50 : elle informe le client qui échange avec une IA et étiquette certains contenus générés.

Les données personnelles relèvent du RGPD, pas de l'AI Act. Copier des données clients dans un outil d'IA sans cadre défini reste donc un risque à traiter à part. Pour le détail des amendes, voir la page sanctions de l'AI Act.

Explorer le dossier AI Act

Guide : article 4

La formation IA est-elle obligatoire en entreprise ?

Texte exact de l'article 4, entreprises concernées, niveau exigé et plan de mise en conformité.

Guide : article 99

Sanctions et amendes : ce que vous risquez vraiment

Les paliers d'amendes, les plafonds adaptés aux PME et les autorités de contrôle en France.

Article de blog

AI Act 2026 : formation IA obligatoire

L'analyse de fond : calendrier, entreprises concernées et rôle des attestations Qualiopi.

Article de blog

AI Act et marketing : 4 actions à lancer

Chatbots, scoring, contenus générés : les obligations concrètes des équipes marketing.

Mettez votre entreprise en conformité

Nos formations certifiées Qualiopi aident à remplir l'obligation de maîtrise de l'IA de l'article 4 et délivrent des attestations qui documentent votre démarche. Souvent finançables par votre OPCO, selon votre branche et votre enveloppe.

Découvrir les formations IA Diagnostic de conformité offert

Questions fréquentes sur l'AI Act

À partir de quand l'AI Act s'applique-t-il à mon entreprise ? +

En partie. Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Les pratiques interdites et l'obligation de maîtrise de l'IA (article 4) s'appliquent depuis le 2 février 2025. Les règles sur les modèles d'usage général et le régime de sanctions s'appliquent depuis le 2 août 2025, et l'article 50 sur la transparence depuis le 2 août 2026. Les obligations pour les systèmes à haut risque sont reportées au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) par le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026.

Mon entreprise utilise seulement ChatGPT : est-elle concernée par l'AI Act ? +

Oui. Dès qu'une entreprise utilise un système d'IA dans un cadre professionnel, elle est « déployeur » au sens du règlement. Elle doit notamment prendre des mesures pour soutenir la maîtrise de l'IA de son personnel (article 4) et respecter les obligations de transparence applicables à ses usages. La taille de l'entreprise ne change rien : TPE et PME sont concernées.

Quels sont les 4 niveaux de risque de l'AI Act ? +

Le règlement classe les systèmes d'IA en quatre niveaux : risque inacceptable (pratiques interdites depuis le 2 février 2025, comme la notation sociale), haut risque (recrutement, crédit, santé : obligations lourdes, reportées au 2 décembre 2027), risque limité (chatbots, contenus générés : obligations de transparence de l'article 50, applicables depuis le 2 août 2026) et risque minimal (pas d'obligation spécifique ajoutée par l'AI Act).

Que doit faire une PME française en priorité pour se conformer ? +

Trois actions : cartographier les outils IA réellement utilisés par les équipes, prendre des mesures pour la maîtrise de l'IA de son personnel (article 4, applicable depuis le 2 février 2025 et assoupli en juillet 2026), et vérifier les obligations de transparence de ses usages (mention IA sur les chatbots, étiquetage des contenus générés). Une formation certifiée Qualiopi fournit des attestations qui documentent cette démarche.

Qu'a changé l'omnibus numérique de juillet 2026 ? +

Le règlement (UE) 2026/1744, publié le 24 juillet 2026 et en vigueur depuis le 27 juillet, modifie l'AI Act. Il reporte les obligations haut risque au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I). Il assouplit l'article 4 : les entreprises doivent prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel, sans garantir un niveau précis. Il étend aussi certains allègements des PME aux petites entreprises à capitalisation intermédiaire.

Mon entreprise de 8 salariés utilise ChatGPT tous les jours : l'AI Act m'oblige-t-il à former mon équipe ? +

Oui, au sens de l'article 4. Il s'applique dès le premier usage professionnel de l'IA, sans seuil de taille. Depuis l'omnibus de juillet 2026, l'entreprise doit prendre des mesures pour soutenir la maîtrise de l'IA de son personnel, sans garantir un niveau précis. Concrètement, il faut savoir qui utilise quoi, former les équipes et garder une trace, par exemple des attestations de formation. Le détail est expliqué dans notre page sur l'article 4.

Peut-on continuer à utiliser ChatGPT en entreprise avec l'AI Act ? +

Oui. L'AI Act n'interdit pas ChatGPT. Il interdit des pratiques précises, comme la notation sociale, et impose des obligations de formation du personnel et de transparence. Les données personnelles restent soumises au RGPD.

Pour aller plus loin

Sources officielles : règlement (UE) 2024/1689 sur EUR-Lex et règlement (UE) 2026/1744 (omnibus).