AI Act : la checklist PME avant le 2 août 2026, en 7 étapes
Dans quelques jours, les autorités pourront contrôler et sanctionner. Voici, sans panique et sans jargon, ce qu'une PME doit avoir fait, dans l'ordre.
- Le 2 août 2026, le régime de sanctions devient applicable ; l'obligation de littératie IA, elle, court depuis février 2025.
- L'essentiel tient en 7 étapes : inventaire, tri par risque, règles d'usage, formation, preuve, référent, revue.
- Une PME qui utilise ChatGPT ou Claude est un déployeur concerné, sans seuil de taille.
- Le plus rapide à mettre en place : former les équipes et garder une preuve nominative.
Le 2 août 2026, la majorité des obligations du règlement européen sur l'IA (2024/1689) deviennent applicables et les autorités nationales de surveillance du marché peuvent contrôler et sanctionner. Pas de panique pour autant : pour une PME qui utilise des outils d'IA du commerce, la mise en ordre tient en sept étapes, et la plupart se font en une demi-journée.
1. Inventoriez vos usages de l'IA
Listez qui utilise quoi : ChatGPT, Claude, Gemini, Copilot, les fonctions IA de vos logiciels métier. N'oubliez pas les usages officieux : le commercial qui rédige ses relances avec une IA en fait partie. Ce registre est la base de tout le reste.
2. Triez par niveau de risque
Le règlement classe les systèmes en quatre niveaux. Pour la plupart des PME, les usages courants (rédaction, synthèse, support) sont à risque limité ou minimal. Vérifiez surtout que rien ne touche aux pratiques interdites (notation sociale, manipulation) ni au haut risque (recrutement automatisé, scoring de crédit) sans encadrement.
3. Posez trois règles d'usage écrites
- Pas de données confidentielles ou personnelles dans les outils grand public.
- Toute production d'IA est relue par un humain avant usage engageant.
- On dit quand un contenu est généré par l'IA, dès que c'est pertinent.
4. Formez les personnes qui utilisent l'IA
C'est l'article 4, en vigueur depuis le 2 février 2025 : prendre des mesures pour garantir un niveau de maîtrise suffisant de l'IA chez les personnes qui l'utilisent. C'est une obligation de moyens : aucune formation type n'est imposée, mais il faut avoir agi, et pouvoir le montrer. Une formation courte et documentée par personne est le moyen le plus simple.
5. Gardez une preuve nominative
Un contrôleur ne vous demandera pas votre bonne foi, il demandera des traces : qui a été formé, quand, sur quoi. Une attestation nominative, datée et vérifiable par personne formée est exactement cette trace. Conservez-les avec votre registre d'usages.
6. Désignez un référent IA
Pas besoin d'un juriste à temps plein : une personne qui tient le registre, suit les évolutions du règlement et répond aux questions des équipes. Dans une PME, c'est souvent le dirigeant ou le responsable qualité.
7. Prévoyez une revue régulière
Les usages bougent, les outils aussi. Un point trimestriel de trente minutes (nouveaux outils ? nouvelles personnes à former ? incidents ?) maintient la conformité vivante, et la preuve avec elle.
Ce qui se joue vraiment le 2 août
Cette date n'invente pas de nouvelles obligations de formation : elle rend le régime de sanctions applicable et arme les autorités de contrôle. Ceux qui auront documenté leurs mesures avant seront sereins ; ceux qui n'ont rien fait perdront l'argument du « nous ne savions pas ».
Ma PME de 5 salariés est-elle vraiment concernée par l'AI Act ?
Oui, s'il y a un usage d'IA : le règlement s'applique aux déployeurs sans seuil de taille. Utiliser ChatGPT, Claude ou Gemini au travail suffit à être concerné par l'obligation de littératie de l'article 4.
Que doit contenir la preuve de formation ?
L'identité de la personne formée, la date, le contenu couvert, et idéalement un moyen de vérification. Une attestation nominative vérifiable en ligne par code coche toutes ces cases ; une feuille d'émargement datée avec le programme joint fonctionne aussi.
Combien de temps faut-il pour se mettre en règle ?
Pour une PME aux usages courants : une demi-journée pour l'inventaire, les règles et l'organisation, puis environ 2 heures de formation par personne. L'essentiel peut être bouclé avant le 2 août 2026.
Risque-t-on vraiment une sanction dès le 2 août 2026 ?
Le régime de sanctions devient applicable à cette date : les autorités nationales peuvent contrôler et sanctionner les manquements. Les amendes les plus lourdes visent les pratiques interdites ; pour la littératie, l'enjeu immédiat est de pouvoir démontrer ses mesures en cas de contrôle.
- → Téléchargez cette checklist en PDF à cocher, gratuite avec un compte.
- → Les étapes 4 et 5 en 2 h : formation + attestation vérifiable, 59 € une fois.