AI Act au 2 août 2026 : ce que les PME doivent réellement vérifier

Une responsable marketing utilise ChatGPT pour préparer une publication, le service commercial s’appuie sur Copilot pour résumer des échanges et le site de l’entreprise accueille un chatbot. Depuis le 2 août 2026, faut-il déclarer ces usages, étiqueter chaque texte et ouvrir un dossier de conformité pour chaque collaborateur ?

La réponse est non. Une PME n’a pas à déclarer chaque usage de ChatGPT ni à signaler automatiquement chaque contenu assisté par IA. Elle doit en revanche identifier le rôle qu’elle joue, vérifier les systèmes exposés au public, traiter certains contenus particuliers et organiser une responsabilité humaine réelle.

Le changement du 2 août 2026 concerne notamment les obligations de transparence de l’article 50 de l’AI Act. Il ne signifie pas que toutes les dispositions du règlement deviennent simultanément applicables. Sources vérifiées le 2 août 2026.

1. Ce qui a changé réellement le 2 août 2026

L’article 50 du règlement européen sur l’intelligence artificielle s’applique depuis le 2 août 2026. Il organise des obligations ciblées pour certains systèmes qui interagissent avec des personnes, génèrent des contenus synthétiques, reconnaissent des émotions à partir de données biométriques ou produisent des contenus susceptibles de tromper le public.

Cette date ne correspond pas à l’entrée en application de « tout l’AI Act ». Certaines règles sont déjà applicables depuis 2025. D’autres suivent un calendrier distinct. L’AI Omnibus, entré en vigueur le 27 juillet 2026, a reporté les règles relatives aux systèmes à haut risque de l’annexe III au 2 décembre 2027 et celles visant certains systèmes intégrés à des produits au 2 août 2028.

Pour une PME ordinaire, la priorité immédiate est donc moins de lancer un programme général de certification que d’examiner les points de contact réels : un chatbot visible par les clients, une image réaliste diffusée dans une campagne, un article sur un sujet d’intérêt public ou un outil biométrique utilisé dans un espace professionnel.

Les lignes directrices finales de la Commission européenne, publiées le 20 juillet 2026, précisent la portée de ces obligations. Le code de bonnes pratiques sur les contenus générés par IA constitue pour ses signataires un moyen volontaire de démontrer leur conformité. L’adhésion au code reste volontaire ; les obligations de l’article 50 sont, elles, juridiques.

2. Fournisseur, déployeur ou utilisateur : le rôle détermine l’obligation

Le fournisseur développe un système d’IA, le fait développer et le met sur le marché ou en service sous son nom ou sa marque. Le déployeur utilise un système sous son autorité dans un cadre professionnel. Une PME peut être déployeur lorsqu’elle utilise un service du marché, puis devenir fournisseur si elle développe un assistant et le vend sous sa propre marque.

Cette distinction évite une erreur fréquente. Le marquage technique lisible par machine des contenus synthétiques relève en principe du fournisseur du système génératif. Une PME qui utilise ce générateur n’a pas à inventer elle-même un mécanisme de tatouage numérique. Elle doit toutefois examiner les garanties de son fournisseur, préserver les informations de provenance utiles et ne pas les supprimer dans une intention trompeuse.

À l’inverse, certaines informations visibles relèvent du déployeur. C’est notamment le cas du signalement d’un deepfake diffusé par l’entreprise, de l’information liée à un système biométrique de reconnaissance des émotions et, sous certaines conditions, de textes générés ou manipulés par IA publiés pour informer le public sur un sujet d’intérêt public.

Situation	Rôle probable de la PME	Point à vérifier
Usage interne de ChatGPT ou Copilot	Déployeur ou utilisatrice professionnelle	Données transmises, règles internes, formation, validation et responsabilité humaine
Chatbot public intégré au site	Déployeur, parfois fournisseur	Information claire au plus tard lors de la première interaction
Image réaliste générée	Déployeur du système génératif	Ressemblance trompeuse avec une réalité existante et nécessité d’un signalement visible
Article d’intérêt public assisté par IA	Déployeur et éditeur	Contrôle éditorial substantiel et responsabilité assumée, ou signalement
Assistant développé puis vendu à des clients	Potentiellement fournisseur	Conception, documentation, information et marquage selon les fonctions proposées
Outil biométrique de reconnaissance des émotions	Déployeur	Information des personnes, légalité de l’usage et conformité au RGPD

La qualification exacte dépend toujours du système, du rôle réel de l’entreprise et du contexte d’utilisation.

3. Dans quelles situations faut-il informer ou signaler ?

Un chatbot public doit annoncer clairement sa nature

Lorsqu’un système est conçu pour interagir directement avec des personnes, le fournisseur doit prévoir que celles-ci soient informées qu’elles échangent avec une IA, sauf si cela ressort clairement du contexte. L’article 50 exige une information claire et reconnaissable au plus tard lors de la première interaction.

Pour la PME qui exploite le chatbot, renvoyer cette question au seul éditeur technique serait insuffisant. Elle doit tester le parcours réel : le message apparaît-il avant ou au début de l’échange ? Est-il compréhensible sur mobile ? L’utilisateur peut-il croire qu’un conseiller humain lui répond ? Une formule courte comme « Vous échangez avec notre assistant IA » peut être plus utile qu’une mention enfouie dans les conditions générales.

Une image générée n’est pas automatiquement un deepfake

Le règlement définit le deepfake comme un contenu audio, image ou vidéo généré ou manipulé par IA qui ressemble à des personnes, objets, lieux, entités ou événements existants et paraît à tort authentique ou véridique. Une illustration manifestement fictive ou stylisée n’est donc pas automatiquement un deepfake.

Le contexte compte. Une fausse vidéo réaliste attribuant des propos à un dirigeant, une imitation de voix ou la représentation crédible d’un événement qui n’a jamais eu lieu appellent un signalement visible. Pour une œuvre manifestement artistique, créative, satirique ou fictive, l’information demeure requise lorsqu’il s’agit d’un deepfake, mais elle peut être présentée sans dégrader l’expérience de l’œuvre.

Les textes d’intérêt public appellent une responsabilité éditoriale réelle

Un texte généré ou manipulé par IA et publié pour informer le public sur une question d’intérêt public doit en principe être signalé. L’article 50 prévoit cependant une exception lorsque le contenu a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication.

Cette exception ne transforme pas une correction grammaticale en contrôle éditorial. La personne responsable doit pouvoir vérifier les faits, les sources, les nuances et le raisonnement, corriger le contenu et décider de sa publication. La responsabilité éditoriale doit être concrète, pas ajoutée après coup comme une formule administrative.

Reconnaissance des émotions et analyse de sentiment ne sont pas synonymes

La reconnaissance des émotions visée par l’AI Act infère des émotions ou intentions à partir de données biométriques. Une analyse de sentiment réalisée sur le texte d’avis clients n’entre pas automatiquement dans cette définition. Lorsqu’un véritable système biométrique de reconnaissance des émotions ou de catégorisation biométrique est déployé, les personnes exposées doivent être informées, sous réserve des exceptions légales.

Le RGPD continue de s’appliquer aux données personnelles. Une information conforme à l’AI Act ne fournit pas, à elle seule, une base juridique au traitement et ne remplace ni l’analyse de nécessité ni les autres vérifications attendues en matière de protection des données. La CNIL rassemble ses ressources sur l’intelligence artificielle pour traiter cette articulation.

4. Ce qu’une PME n’a pas à faire systématiquement

L’usage interne de ChatGPT ou Copilot pour préparer un compte rendu, résumer un document ou produire un premier brouillon n’entraîne pas une déclaration automatique à une autorité. Il ne déclenche pas non plus, par principe, une obligation d’apposer « généré par IA » sur chaque document.

La prudence reste nécessaire sur les données transmises, les secrets d’affaires, les informations personnelles, les droits d’accès, la validation des résultats et la capacité d’un collaborateur à reprendre la main. Ces sujets relèvent de plusieurs cadres, dont le RGPD, la cybersécurité, le droit du travail, la propriété intellectuelle et les engagements contractuels. Ils ne doivent pas être présentés comme une seule obligation indifférenciée de « conformité AI Act ».

Une PME n’a pas davantage à recréer le marquage technique dû par le fournisseur du générateur. Elle peut en revanche demander comment l’outil marque ses sorties, ce qui arrive à ces informations lors de l’export et si ses propres traitements les préservent.

Enfin, le contrôle humain ne se résume pas à cliquer sur « valider ». Il faut définir qui vérifie, sur quels critères, avec quelles sources et avec le pouvoir réel de modifier ou de refuser le résultat. Cette discipline rejoint les enjeux de gouvernance des agents IA et permet aussi de limiter la dette IA créée par des expérimentations non maîtrisées.

5. La checklist opérationnelle d’une PME

Ce qui peut être exigé par le règlement selon l’usage

1. Informer une personne qu’elle interagit avec une IA lorsque cette nature n’est pas évidente, au plus tard lors de la première interaction.
2. Signaler visiblement un deepfake diffusé par l’entreprise, avec une présentation adaptée aux œuvres artistiques, créatives, satiriques ou fictives.
3. Informer les personnes exposées à un système biométrique de reconnaissance des émotions ou de catégorisation biométrique, et vérifier séparément la conformité du traitement de données.
4. Signaler certains textes générés ou manipulés par IA qui informent le public sur un sujet d’intérêt public, sauf examen humain ou contrôle éditorial réel avec responsabilité assumée.
5. Si la PME est fournisseur, traiter les obligations de conception, d’information, de documentation et de marquage correspondant aux fonctions du système.

Ce qui relève d’une bonne pratique de gouvernance

1. Recenser les outils et fonctionnalités d’IA réellement utilisés, y compris ceux intégrés aux logiciels existants.
2. Noter pour chaque usage le fournisseur, la finalité, les utilisateurs et les données traitées.
3. Qualifier le rôle de la PME : utilisatrice professionnelle, déployeur ou fournisseur.
4. Désigner un responsable interne et décrire le contrôle humain attendu.
5. Conserver une fiche de suivi pour les usages sensibles : risques, information fournie, décisions prises et mesures de maîtrise.
6. Former les collaborateurs aux règles internes, aux données autorisées et aux limites des résultats.
7. Réviser régulièrement cette cartographie lors d’un changement d’outil, de fonction, de fournisseur ou de public exposé.

Ces mesures donnent une base raisonnable à la conformité AI Act de l’entreprise, mais elles ne sont pas toutes des obligations légales générales. Leur niveau de détail doit rester proportionné aux usages et aux risques.

6. Quand faut-il approfondir l’analyse ?

Une expertise juridique ou technique devient particulièrement utile lorsque la PME développe un assistant commercialisé sous sa marque, transforme substantiellement un système existant, utilise l’IA pour le recrutement ou l’évaluation de personnes, traite des données biométriques, intervient dans un secteur réglementé ou automatise une décision produisant des effets importants sur une personne.

Il faut également approfondir l’analyse lorsqu’un contenu réaliste peut tromper sur l’identité d’une personne ou la réalité d’un événement, lorsqu’un processus éditorial ne permet pas d’identifier clairement qui assume la publication ou lorsque les conditions du fournisseur ne permettent pas de comprendre comment les sorties sont marquées.

Le calendrier ne doit pas devenir un prétexte à l’inaction. Le report de certaines règles à haut risque ne supprime ni les obligations déjà applicables ni les autres textes. Il offre du temps pour qualifier les systèmes concernés, documenter les responsabilités et préparer les contrôles attendus sans confondre anticipation et conformité déjà exigible.

Cartographier vos usages et identifier vos priorités

Vous utilisez déjà des assistants génératifs, un chatbot, des automatisations ou des outils produisant des contenus ? #TerritoireDigital propose un audit express destiné à cartographier les usages, identifier les zones de vigilance et hiérarchiser les mesures prioritaires. Vous pouvez présenter votre situation à partir du formulaire de diagnostic.

Cet audit ne constitue ni une certification officielle ni une consultation juridique.

Cet article propose une information générale et opérationnelle. Il ne constitue pas un avis juridique. Les obligations applicables dépendent du rôle de l’entreprise, du système concerné et de son contexte d’utilisation.