AI Act et PME : 4 obligations réelles, 12 qui ne vous visent pas
La plupart des PME sont déployeurs, pas fournisseurs. Quatre obligations les concernent vraiment, une douzaine d'autres s'adressent à quelqu'un d'autre.
Un dirigeant qui cherche « AI Act » et « PME » tombe presque toujours sur la même chose : une liste de trente obligations, un compte à rebours, et un devis d'audit au bout. Le texte est plus étroit que sa réputation. L'essentiel du règlement s'adresse à des acteurs que vous n'êtes pas.
Déployeur ou fournisseur : le seul tri qui compte
Le règlement (UE) 2024/1689 répartit les obligations par rôle, pas par taille d'entreprise. La liste des manquements sanctionnés à l'article 99 en donne une carte assez nette : elle vise l'article 16 pour les fournisseurs, l'article 22 pour les mandataires, l'article 23 pour les importateurs, l'article 24 pour les distributeurs, et l'article 26 pour les seuls déployeurs de systèmes à haut risque.
Une entreprise de dix-huit personnes qui a acheté des licences d'assistant conversationnel, branché un correcteur dans sa suite bureautique et laissé son commercial dicter ses comptes rendus n'a rien conçu, rien mis sur le marché, rien importé. Elle est déployeuse. Les cas limites existent, et notre test en quatre questions les détaille.
Les quatre choses qui vous concernent vraiment
L'ordre dans lequel s'y prendre
Faire la liste de ce qui tourne chez vous
Les outils achetés, ceux qui sont arrivés par mise à jour d'un logiciel existant, et ceux que vos équipes utilisent depuis leur compte personnel. C'est cette liste qui détermine tout le reste, y compris votre rôle.
Vérifier les deux cas de bascule
L'article 5 interdit certaines pratiques depuis le 2 février 2025 : c'est la seule catégorie qui porte le plafond d'amende le plus élevé. Et si l'un de vos usages relève de l'annexe III (recrutement, évaluation des salariés, éducation, biométrie, crédit), vous devenez déployeur d'un système à haut risque, avec les obligations de l'article 26.
Prendre des mesures de maîtrise de l'IA
L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, sans les contraindre à garantir un niveau spécifique de maîtrise par un individu.
Garder une trace interne
Qui a été formé, quand, sur quoi. C'est ce qui se présente en cas de contrôle, et c'est le seul livrable que le règlement ne fournit pas tout seul.
Le point 3 mérite une précision, parce que c'est là que le marché exagère depuis longtemps. Le texte ne dit pas « garantissent un niveau suffisant », il dit « prennent des mesures pour favoriser le développement » de la maîtrise de l'IA, et il précise que cette obligation ne contraint pas à garantir un niveau spécifique par individu. Obligation de moyens, donc, pas de résultat. Il ne dit pas non plus qu'il faut former tous les salariés : l'obligation vise les personnes qui font fonctionner ou utilisent des systèmes d'IA pour le compte de l'entreprise, à un niveau adapté à leur rôle. Un magasinier qui n'ouvre jamais un outil d'IA n'est pas au cœur du sujet.
Les douze qui visent quelqu'un d'autre
Voici ce qui remplit la plupart des articles alarmistes, et à qui chaque bloc s'adresse réellement.
| Ce qui fait peur | Le texte | Qui est visé |
|---|---|---|
| Exigences applicables aux systèmes à haut risque | Chapitre III, sections 1 à 3 | Les systèmes classés à haut risque au titre de l'annexe I ou de l'annexe III |
| Obligations de conformité du fournisseur | Article 16 | Les fournisseurs |
| Obligations du mandataire | Article 22 | Les mandataires de fournisseurs |
| Obligations à l'importation | Article 23 | Les importateurs |
| Obligations de mise à disposition | Article 24 | Les distributeurs |
| Obligations du déployeur d'un système à haut risque | Article 26 | Uniquement si le système utilisé est classé à haut risque |
| Évaluation de la conformité | Articles 31, 33 et 34, chapitre III section 4 | Les organismes notifiés et les autorités notifiantes |
| Obligations sur les modèles d'IA à usage général | Chapitre V | Les fournisseurs de modèles d'IA à usage général |
| Amendes de 15 M€ ou 3 % prononcées par la Commission | Article 101 | Les fournisseurs de modèles d'IA à usage général |
| Enregistrement dans la base de données de l'UE | Chapitre VIII | Les systèmes à haut risque |
| Bacs à sable réglementaires | Opérationnels au plus tard le 2 août 2027 | Les États membres |
| Désignation des autorités de surveillance | Chapitre VII, article 70 | Les États membres |
Faites glisser le tableau pour voir toutes les colonnes.
Une réserve d'honnêteté sur ce tableau : il ne couvre pas les obligations de transparence de l'article 50, applicables au 2 août 2026. Leur périmètre exact mérite un examen à part, et c'est le point à faire regarder si votre activité consiste à diffuser des contenus produits par une IA. Pour tout le reste, une PME qui achète et utilise reste en dehors du champ.
Être petit n'exempte de rien, mais proportionne tout
Le règlement ne prévoit aucun seuil d'effectif ni aucune exemption des TPE et des PME au titre de l'article 4. L'obligation vise « les fournisseurs et les déployeurs de systèmes d'IA », sans condition de taille. Espérer passer entre les gouttes parce qu'on est huit est une mauvaise lecture.
Ce qui varie selon la taille, ce n'est pas l'application de l'obligation, c'est son contenu. L'article 4 impose de prendre en considération les connaissances techniques, l'expérience, l'éducation et la formation des personnes concernées, ainsi que le contexte d'utilisation. Principe de proportionnalité, pas exemption. Une entreprise de six personnes qui utilise trois outils grand public et une ETI qui a industrialisé quinze cas d'usage ne doivent pas le même effort, et le texte l'assume.
Les amendes, et ce que le plafonnement PME change
C'est l'argument qui circule le plus, et le plus déformé. Le plafond de 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial vise exclusivement les pratiques interdites de l'article 5. Un deuxième palier, 15 000 000 EUR ou 3 %, vise une liste limitative d'obligations. Le troisième, 7 500 000 EUR ou 1 %, sanctionne la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités.
L'article 4 ne figure dans aucune de ces listes. Il n'existe donc pas de plafond d'amende européen attaché au défaut de maîtrise de l'IA. Cela ne veut pas dire qu'un manquement est sans conséquence : l'article 99, paragraphe 1, impose aux États membres de déterminer un régime de sanctions applicable aux violations du règlement, sans exclure l'article 4, et la Commission écrit que les autorités nationales de surveillance du marché pourraient sanctionner les infractions à cet article, à partir du 2 août 2026. Le détail palier par palier est dans notre article sur les montants réels.
Reste la disposition que presque personne ne cite. L'article 99, paragraphe 6, prévoit que pour les PME, y compris les jeunes pousses, chaque amende s'élève au maximum aux pourcentages ou montants prévus, le chiffre le plus faible étant retenu. Pour une PME à 3 millions d'euros de chiffre d'affaires, le plafond théorique sur une pratique interdite n'est donc pas de 35 millions d'euros, mais de 210 000 euros. Toujours lourd. Sans rapport avec les titres qu'on lit.
D'où vient le texte actuellement en vigueur
L'article 4 que vous venez de lire n'est pas celui de 2024. Le train de mesures omnibus numérique sur l'IA, adopté par le Parlement européen le 16 juin 2026 et par le Conseil le 29 juin, a été publié au Journal officiel de l'Union européenne le 24 juillet 2026 sous le numéro règlement (UE) 2026/1744 et il est entré en vigueur le 27 juillet 2026, au troisième jour suivant sa publication. C'est ce texte qui remplace l'ancienne rédaction de l'article 4, celle qui parlait de « garantir, dans toute la mesure du possible, un niveau suffisant » de maîtrise de l'IA. Le considérant qui justifie ce changement est direct : imposer une telle obligation créait une charge de mise en conformité supplémentaire, en particulier pour les petites entreprises.
Ce qu'il reste à faire, une fois le bruit retiré
Recenser, écarter les deux cas de bascule, former les personnes concernées, archiver. Quatre gestes, dont un seul demande un budget. Si vous voulez le cadre complet et le texte de l'article 4 en entier, il est sur notre page consacrée à l'AI Act ; la partie suivi et attestations est décrite sur la page équipes, et le tarif tient en une ligne.
Dernière vérification le 27 juillet 2026, auprès des sources primaires citées : le texte authentique du règlement (UE) 2024/1689, le règlement (UE) 2026/1744 publié au Journal officiel de l'Union européenne, et les questions-réponses de la Commission européenne sur la maîtrise de l'IA.
