Guide · Édition de septembre 2026
AI Act (IA Act) : le guide du dirigeant de PME et d’ETI
Ce que le règlement européen sur l’IA (AI Act) vous demande vraiment quand votre entreprise utilise ChatGPT, Copilot, un chatbot ou un logiciel qui trie des candidatures. Qui est concerné, à partir de quand, et ce qu’il faut faire.
L’équipe TolipoMis à jour le 30 septembre 202614 pages
Ce que contient le guide
Huit parties, quatorze pages, dans l’ordre où les questions se posent : comprendre, situer vos usages, connaître les dates, agir, puis vérifier où vous en êtes.
- 1p. 3
L’IA Act en cinq minutes
Un règlement directement applicable, proportionné au risque et non à la taille de l’entreprise. Qui est concerné, et la différence entre fournisseur et déployeur, qui décide de vos obligations.
- 2p. 4
Les quatre niveaux de risque
Interdit, haut risque, risque limité, risque minimal : des exemples concrets pour une PME ou une ETI, et l’exception qui sort un outil du haut risque quand un humain garde la main.
- 3p. 6
Le calendrier, à jour de l’Omnibus
Toutes les dates de 2024 à 2028, ce que le règlement de juillet 2026 a reporté ou assoupli, et ce qu’il n’a pas changé.
- 4p. 7
Six chantiers concrets
Inventaire des outils et du shadow AI, classement des usages, formation des équipes, transparence, encadrement du haut risque, désignation d’un responsable.
- 5p. 10
Si vous faites développer un outil d’IA
Quand une entreprise devient fournisseur sans le savoir, ce que ça change, et ce qu’il faut exiger de son prestataire.
- 6p. 11
Contrôles et sanctions
Qui contrôle en France, les plafonds d’amende, le régime plus favorable des PME et des petites ETI, et les risques qui arrivent vraiment.
- 7p. 12
Un plan d’action en 90 jours
Voir, classer, fixer les règles, former, se mettre en conformité, préparer la suite.
- 8p. 13
Votre auto-évaluation
Quinze questions à cocher et une grille de lecture pour savoir par où commencer.
À quoi il sert
À savoir, en une lecture, si l’IA Act concerne votre entreprise, ce qu’il vous demande et dans quel ordre agir. Le règlement fait plus de cent articles et son calendrier a bougé plusieurs fois ; beaucoup d’articles publiés avant l’été 2026 sont faux sur les dates et sur l’obligation de formation. Le guide repart des textes en vigueur.
Il sert ensuite d’outil de travail : l’inventaire des outils se fait avec la grille de la partie 4, le plan en 90 jours se suit semaine par semaine, et l’auto-évaluation se refait tous les six mois.
À qui il s’adresse
Au dirigeant de PME ou d’ETI, et à ceux qui portent le sujet avec lui : DAF, DSI, DRH, DPO ou direction juridique. Il se partage avec les responsables d’équipe pour lancer l’inventaire des outils utilisés.
Il couvre la situation de la grande majorité des entreprises : celles qui utilisent des outils d’IA du marché, et celles qui font développer leurs propres outils. Il ne remplace pas l’analyse d’un avocat pour un usage à haut risque.
Le guide IA Act en PDF : les niveaux de risque, le calendrier à jour, les six chantiers et un plan en 90 jours
Questions fréquentes
Mon entreprise utilise ChatGPT : l’IA Act me concerne-t-il ?
Oui. Le règlement s’applique à toute entreprise qui utilise un système d’IA dans son activité professionnelle, même via un abonnement en ligne. Vous êtes alors « déployeur ». Pour un usage courant (rédaction, synthèse, recherche), vos obligations se limitent pour l’essentiel à former les équipes qui s’en servent et à ne pas tromper les personnes sur l’usage de l’IA. Tout change si l’outil intervient dans des décisions sur des personnes, comme le tri de candidatures.
Quelles sont les dates clés de l’IA Act pour une PME ?
Les pratiques interdites et l’obligation de formation s’appliquent depuis le 2 février 2025, les obligations de transparence depuis le 2 août 2026. Les obligations des systèmes à haut risque de l’annexe III (recrutement, évaluation des salariés, crédit, éducation) s’appliqueront le 2 décembre 2027, après le report décidé par le règlement Omnibus (UE) 2026/1744 entré en vigueur le 27 juillet 2026.
Qu’est-ce que l’Omnibus numérique a changé ?
Il a reporté les obligations des systèmes à haut risque du 2 août 2026 au 2 décembre 2027, transformé l’obligation de formation de l’article 4 en obligation de moyens (« prendre des mesures pour favoriser » la maîtrise de l’IA), étendu aux petites ETI les allègements des PME, et ajouté deux interdictions au 2 décembre 2026. Il n’a pas touché aux obligations de transparence, applicables depuis le 2 août 2026.
Faut-il former tous les salariés à l’IA ?
Les salariés qui utilisent des outils d’IA, oui, dans une mesure adaptée à leur usage. Depuis l’Omnibus, l’article 4 demande de prendre des mesures pour développer leur maîtrise de l’IA, sans imposer de niveau précis. Pour une PME, une sensibilisation courte par équipe, une charte d’utilisation de l’IA et la trace de ce qui a été fait suffisent généralement.
Un outil de recrutement avec IA est-il à haut risque ?
S’il diffuse des offres ciblées, trie ou filtre des candidatures ou évalue des candidats, oui : c’est un usage listé à l’annexe III. Il peut en sortir s’il n’influence pas substantiellement la décision, par exemple s’il prépare une évaluation qu’un humain réalise ensuite, mais jamais s’il établit le profil des candidats. Le guide détaille ce que l’employeur doit faire, y compris l’information des candidats et du CSE.
Que risque une PME qui ne respecte pas l’IA Act ?
Les plafonds vont jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite, et 15 millions ou 3 % pour les autres obligations. Pour les PME et les petites ETI, c’est le montant le plus bas des deux qui s’applique. En pratique, le risque le plus fréquent est ailleurs : un recrutement contesté, une fuite de données confidentielles ou un grand client qui exige la preuve que vous maîtrisez vos usages de l’IA.
Pourquoi une adresse e-mail est-elle demandée ?
Pour vous envoyer le lien de téléchargement, valable 7 jours. Votre adresse sert aussi à vous parler de Tolipo, et vous pouvez vous y opposer à tout moment. Il n’y a pas de newsletter et vos coordonnées ne sont transmises à personne. Le contenu de cette page, lui, est libre d’accès.
Information générale à destination des dirigeants, vérifiée le 30 septembre 2026. Elle ne remplace ni les textes officiels ni un conseil juridique sur une situation particulière. Les sanctions indiquées sont les maxima prévus par le règlement.
Vous voulez utiliser l’IA dans vos processus, dans les règles ?
En 30 minutes, on regarde ce que l’IA peut automatiser chez vous, et dans quel cadre. Chaque outil qu’on développe est qualifié au regard de l’IA Act avant d’être construit.