AI Act et PME : 4 obligations réelles, 12 qui ne vous visent pas
La plupart des PME sont déployeurs, pas fournisseurs. Quatre obligations les concernent vraiment, une douzaine d'autres s'adressent à quelqu'un d'autre.
Un dirigeant qui cherche « AI Act » et « PME » tombe presque toujours sur la même chose : une liste de trente obligations, un compte à rebours, et un devis d'audit au bout. Le texte est plus étroit que sa réputation. L'essentiel du règlement s'adresse à des acteurs que vous n'êtes pas.
Déployeur ou fournisseur : le seul tri qui compte
Le règlement (UE) 2024/1689 répartit les obligations par rôle, pas par taille d'entreprise. La liste des manquements sanctionnés à l'article 99 en donne une carte assez nette : elle vise l'article 16 pour les fournisseurs, l'article 22 pour les mandataires, l'article 23 pour les importateurs, l'article 24 pour les distributeurs, et l'article 26 pour les seuls déployeurs de systèmes à haut risque.
Une entreprise de dix-huit personnes qui a acheté des licences d'assistant conversationnel, branché un correcteur dans sa suite bureautique et laissé son commercial dicter ses comptes rendus n'a rien conçu, rien mis sur le marché, rien importé. Elle est déployeuse. Les cas limites existent, et notre test en quatre questions les détaille.
Les quatre choses qui vous concernent vraiment
L'ordre dans lequel s'y prendre
Faire la liste de ce qui tourne chez vous
Les outils achetés, ceux qui sont arrivés par mise à jour d'un logiciel existant, et ceux que vos équipes utilisent depuis leur compte personnel. C'est cette liste qui détermine tout le reste, y compris votre rôle.
Vérifier les deux cas de bascule
L'article 5 interdit certaines pratiques depuis le 2 février 2025 : c'est la seule catégorie qui porte le plafond d'amende le plus élevé. Et si l'un de vos usages relève de l'annexe III (recrutement, évaluation des salariés, éducation, biométrie, crédit), vous devenez déployeur d'un système à haut risque, avec les obligations de l'article 26.
Prendre des mesures de maîtrise de l'IA
L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte.
Garder une trace interne
Qui a été formé, quand, sur quoi. C'est ce qui se présente en cas de contrôle, et c'est le seul livrable que le règlement ne fournit pas tout seul.
Le point 3 mérite une précision, parce que c'est là que le marché exagère. Le texte ne dit pas « garantissent », il dit « prennent des mesures pour garantir, dans toute la mesure du possible ». Obligation de moyens renforcée, donc, et non obligation de résultat. Il ne dit pas non plus qu'il faut former tous les salariés : l'obligation vise les personnes qui font fonctionner ou utilisent des systèmes d'IA pour le compte de l'entreprise, à un niveau adapté à leur rôle. Un magasinier qui n'ouvre jamais un outil d'IA n'est pas au cœur du sujet.
Les douze qui visent quelqu'un d'autre
Voici ce qui remplit la plupart des articles alarmistes, et à qui chaque bloc s'adresse réellement.
| Ce qui fait peur | Le texte | Qui est visé |
|---|---|---|
| Exigences applicables aux systèmes à haut risque | Chapitre III, sections 1 à 3 | Les systèmes classés à haut risque au titre de l'annexe I ou de l'annexe III |
| Obligations de conformité du fournisseur | Article 16 | Les fournisseurs |
| Obligations du mandataire | Article 22 | Les mandataires de fournisseurs |
| Obligations à l'importation | Article 23 | Les importateurs |
| Obligations de mise à disposition | Article 24 | Les distributeurs |
| Obligations du déployeur d'un système à haut risque | Article 26 | Uniquement si le système utilisé est classé à haut risque |
| Évaluation de la conformité | Articles 31, 33 et 34, chapitre III section 4 | Les organismes notifiés et les autorités notifiantes |
| Obligations sur les modèles d'IA à usage général | Chapitre V | Les fournisseurs de modèles d'IA à usage général |
| Amendes de 15 M€ ou 3 % prononcées par la Commission | Article 101 | Les fournisseurs de modèles d'IA à usage général |
| Enregistrement dans la base de données de l'UE | Chapitre VIII | Les systèmes à haut risque |
| Bacs à sable réglementaires | Texte signé le 8 juillet 2026, en attente de publication | Les États membres |
| Désignation des autorités de surveillance | Chapitre VII, article 70 | Les États membres |
Faites glisser le tableau pour voir toutes les colonnes.
Une réserve d'honnêteté sur ce tableau : il ne couvre pas les obligations de transparence de l'article 50, applicables au 2 août 2026. Leur périmètre exact mérite un examen à part, et c'est le point à faire regarder si votre activité consiste à diffuser des contenus produits par une IA. Pour tout le reste, une PME qui achète et utilise reste en dehors du champ.
Être petit n'exempte de rien, mais proportionne tout
Le règlement ne prévoit aucun seuil d'effectif ni aucune exemption des TPE et des PME au titre de l'article 4. L'obligation vise « les fournisseurs et les déployeurs de systèmes d'IA », sans condition de taille. Espérer passer entre les gouttes parce qu'on est huit est une mauvaise lecture.
Ce qui varie selon la taille, ce n'est pas l'application de l'obligation, c'est son contenu. L'article 4 impose de prendre en considération les connaissances techniques, l'expérience, l'éducation et la formation des personnes concernées, ainsi que le contexte d'utilisation. Principe de proportionnalité, pas exemption. Une entreprise de six personnes qui utilise trois outils grand public et une ETI qui a industrialisé quinze cas d'usage ne doivent pas le même effort, et le texte l'assume.
Les amendes, et ce que le plafonnement PME change
C'est l'argument qui circule le plus, et le plus déformé. Le plafond de 35 000 000 EUR ou 7 % du chiffre d'affaires annuel mondial vise exclusivement les pratiques interdites de l'article 5. Un deuxième palier, 15 000 000 EUR ou 3 %, vise une liste limitative d'obligations. Le troisième, 7 500 000 EUR ou 1 %, sanctionne la fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités.
L'article 4 ne figure dans aucune de ces listes. Il n'existe donc pas de plafond d'amende européen attaché au défaut de maîtrise de l'IA. Cela ne veut pas dire qu'un manquement est sans conséquence : l'article 99, paragraphe 1, impose aux États membres de déterminer un régime de sanctions applicable aux violations du règlement, sans exclure l'article 4, et la Commission écrit que les autorités nationales de surveillance du marché pourraient sanctionner les infractions à cet article, à partir du 2 août 2026. Le détail palier par palier est dans notre article sur les montants réels.
Reste la disposition que presque personne ne cite. L'article 99, paragraphe 6, prévoit que pour les PME, y compris les jeunes pousses, chaque amende s'élève au maximum aux pourcentages ou montants prévus, le chiffre le plus faible étant retenu. Pour une PME à 3 millions d'euros de chiffre d'affaires, le plafond théorique sur une pratique interdite n'est donc pas de 35 millions d'euros, mais de 210 000 euros. Toujours lourd. Sans rapport avec les titres qu'on lit.
Ce que le Digital Omnibus pourrait alléger
Le train de mesures omnibus numérique sur l'IA a été adopté par le Parlement européen le 16 juin 2026, adopté par le Conseil le 29 juin, et l'acte final a été signé à Strasbourg le 8 juillet 2026. À la date de publication de cet article, il n'était pas encore paru au Journal officiel de l'Union européenne. Il n'est donc pas en vigueur, et tout ce qui suit s'écrit au conditionnel.
Dans la version signée, l'article 4 est réécrit. Les fournisseurs et les déployeurs devraient prendre des mesures pour « favoriser le développement de la maîtrise de l'IA » de leur personnel, le texte précisant que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ». Le considérant qui justifie ce changement dit les choses sans détour : imposer de telles obligations crée une charge de mise en conformité supplémentaire, en particulier pour les petites entreprises. L'obligation de former ne disparaît pas. Elle devient explicitement une obligation de moyens.
Ce qu'il reste à faire, une fois le bruit retiré
Recenser, écarter les deux cas de bascule, former les personnes concernées, archiver. Quatre gestes, dont un seul demande un budget. Si vous voulez le cadre complet et le texte de l'article 4 en entier, il est sur notre page consacrée à l'AI Act ; la partie suivi et attestations est décrite sur la page équipes, et le tarif tient en une ligne.
Dernière vérification le 24 juillet 2026, auprès des sources primaires citées : le texte authentique du règlement (UE) 2024/1689, le texte signé du Digital Omnibus au registre public du Conseil, et les questions-réponses de la Commission européenne sur la maîtrise de l'IA.
