AI Act : J-51 avant le 2 août 2026 — le plan d'action des 7 dernières semaines pour les PME

Le 2 août 2026, plusieurs obligations majeures de l'AI Act deviennent applicables : le régime des systèmes à haut risque de l'annexe III, les obligations de transparence de l'article 50, le cadre de gouvernance national et le pouvoir de sanction des autorités. À la date de publication de cet article, il reste environ sept semaines. Pour une PME qui n'a pas encore commence, la question n'est plus "faut-il s'y mettre" mais "que faire en priorité avec le temps qui reste". Voici un plan réaliste, semaine par semaine, conçu pour une équipe qui n'a ni juriste dédié ni budget de cabinet.

L'objectif des 7 semaines n'est pas une conformité parfaite et figée. C'est d'être en mesure de démontrer une demarche sérieuse, documentée et de bonne foi au 2 août : inventaire fait, risques classes, mesures en cours. Une autorité distingue toujours l'entreprise qui agit de celle qui ignore.

D'abord, évacuez deux idées fausses qui font perdre du temps

"L'AI Act ne concerne que les développeurs d'IA." Faux. Si vous utilisez un outil d'IA dans un processus a enjeu — tri de CV, scoring de crédit ou de locataire, aide à la décision RH, chatbot client, génération de contenu — vous êtes déployeur et vous avez des obligations, même si vous n'avez écrit aucune ligne de code.

"Tous mes outils IA sont à haut risque." Faux aussi, et c'est une bonne nouvelle. La majorité des usages PME relèvent du risque limite (transparence) ou minimal (aucune obligation contraignante). Le travail des premières semaines consiste justement a faire le tri pour concentrer l'effort la ou il compte.

Semaines 1-2 : l'inventaire des systèmes IA (la fondation)

On ne peut pas mettre en conformité ce qu'on n'a pas recense. Listez tous les systèmes ou fonctionnalités d'IA en usage dans l'entreprise, y compris ceux que personne ne considère comme "de l'IA" : assistant de rédaction, fonctions IA d'un CRM ou d'un ERP, outil de scoring, module de recommandation, chatbot, transcription automatique, détection de fraude, IA embarquée dans un logiciel métier.

Pour chaque système, notez : le fournisseur, la finalité (à quoi il sert concrètement), les personnes concernées (clients, candidats, salariés), les données traitées, et votre rôle (fournisseur, déployeur, ou les deux). Cet inventaire est exactement ce qu'une autorité demandera en premier, et c'est aussi la base de tout le reste.

Astuce de cadrage : interrogez chaque service (marketing, RH, finance, support, production). Les usages d'IA "shadow", adoptes par une équipe sans validation centrale, sont la principale source d'angles morts.

Semaines 2-3 : classer chaque système par niveau de risque

L'AI Act repose sur une pyramide a quatre niveaux. Pour chaque entrée de votre inventaire, posez la question dans l'ordre :

1. Pratique interdite ? (notation sociale, manipulation, exploitation de vulnérabilités, certaines reconnaissances biométriques). Si oui : arrêt immédiat, c'est déjà interdit depuis février 2025.

2. Haut risque ? Releve de l'annexe III : IA utilisée en recrutement et gestion RH, scoring de crédit, accès à des services essentiels, éducation et examens, certains usages biométriques, infrastructures critiques. Si oui : c'est ici que se concentre la charge documentaire (voir semaines 4-5).

3. Risque limite ? Chatbots, génération de contenu, systèmes en interaction directe avec des personnes. Obligation principale : la transparence (article 50).

4. Risque minimal ? Le reste. Aucune obligation contraignante, mais documentez votre raisonnement pour pouvoir le justifier.

Le livrable de cette étape est une cartographie : chaque système rattache à un niveau, avec une justification d'une ligne. C'est ce qui transforme un inventaire brut en analyse défendable.

Semaines 4-5 : documentation et transparence (le coeur de l'effort)

Concentrez le temps restant sur les deux blocs qui génèrent de vraies obligations au 2 août.

Pour vos systèmes à haut risque (déployeur)

Vous n'avez pas à rédiger la documentation technique du fournisseur, mais vous devez : utiliser le système conformément à sa notice, assurer une supervision humaine effective (une personne identifiée peut comprendre, contester et corriger une décision), conserver les journaux pertinents, surveiller le fonctionnement et signaler les incidents, et informer les personnes concernées quand une décision les visant repose sur un système à haut risque. Pour les organismes publics et certains acteurs, une analyse d'impact sur les droits fondamentaux (FRIA) peut être requise.

Pour vos systèmes à risque limite (transparence article 50)

Trois réflexes : un chatbot doit indiquer a l'utilisateur qu'il dialogue avec une machine ; un contenu généré par IA (image, audio, vidéo, deepfake) doit être signale comme artificiel ; un texte d'information publie doit être signale s'il n'a pas fait l'objet d'une revue éditoriale humaine. Ces mentions sont peu coûteuses à mettre en place et très visibles en cas de contrôle : ne les laissez pas pour la fin.

Semaine 6 : gouvernance et compétences

Deux exigences transversales souvent oubliées. D'abord, l'article 4 (littératie IA), applicable depuis février 2025 : vous devez vous assurer que les personnes qui opèrent ou supervisent ces systèmes ont un niveau de compréhension suffisant. Une sensibilisation interne documentée (qui a été forme, quand, sur quoi) suffit pour une PME. Ensuite, désignez un responsable de la conformité IA — même a temps partiel, même cumule avec le DPO. L'absence de pilote identifie est le signal le plus visible d'une demarche non tenue.

Semaine 7 : registre, plan d'amélioration et preuve de bonne foi

La dernière semaine consolide. Rassemblez dans un registre unique : l'inventaire, la cartographie des risques, les mesures prises par système, les mentions de transparence déployées, le nom du responsable et la trace des actions de sensibilisation. Pour ce qui n'est pas termine, formalisez un plan d'amélioration date : c'est la différence entre une entreprise en retard mais engagée et une entreprise en défaut. Au 2 août, vous devez pouvoir ouvrir un dossier et montrer une demarche, pas une perfection.

Et les aménagements en discussion ? Ne pariez pas dessus

Des discussions au niveau européen (paquet "Digital Omnibus") évoquent des ajustements de calendrier pour certaines obligations à haut risque. Tant qu'aucun texte modificatif n'est définitivement adopte et publie, la date du 2 août 2026 reste le droit applicable. Construire son plan sur l'hypothèse d'un report est un pari risque : les obligations de transparence et de gouvernance, elles, ne sont pas remises en cause.

Combien de temps si vous démarrez vraiment a zéro ?

Pour une PME avec un nombre limite de systèmes IA, le travail des semaines 1 à 3 (inventaire + classification) represente l'essentiel de la valeur et peut être boucle en quelques jours-homme. La documentation et la transparence (semaines 4-5) dépendent du nombre de systèmes à haut risque — souvent un ou deux pour une PME. L'erreur à éviter est de tout vouloir parfait : mieux vaut un registre complet et honnête couvrant tous les systèmes qu'une documentation impeccable sur un seul.

Gagner du temps avec un diagnostic structure

La partie la plus chronophage est le démarrage : savoir par quoi commencer, quelle question poser pour chaque système, comment classer sans se tromper. Un diagnostic de conformité adaptatif remplace la page blanche par un parcours guide : vous répondez à des questions sur vos usages, et vous obtenez en quelques minutes votre cartographie des risques, la liste des obligations applicables et un plan d'action priorisé. C'est exactement le livrable des semaines 1 à 3, produit en une seule session.

À 51 jours de l'échéance, chaque jour gagne sur le cadrage est un jour rendu a l'action. Commencez par l'inventaire, classez, documentez le haut risque et la transparence, nommez un responsable. Le reste se construit ensuite, mais sur des fondations qui tiennent.

Questions fréquentes — J-51 AI Act

Que se passe-t-il si une PME n'est pas conforme au 2 août 2026 ?

Au 2 août 2026 entrent en vigueur les obligations de transparence (article 50) et les autorités nationales de contrôle. En cas de manquement constaté, les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Pour une PME, le risque immédiat est surtout la perte de contrats avec des donneurs d'ordre qui exigent une preuve de conformité.

Quelles sont les trois premières actions prioritaires à mener maintenant ?

Inventorier tous les systèmes d'IA utilisés dans l'entreprise (logiciels SaaS inclus), classifier leur niveau de risque, et vérifier les obligations de transparence de l'article 50 pour les chatbots et contenus générés par IA. Ces trois étapes peuvent être réalisées en une journée avec un outil dédié.

L'EU AI Act s'applique-t-il aux PME qui utilisent des logiciels IA tiers ?

Oui. Les entreprises qui utilisent des systèmes d'IA dans leurs processus métier (recrutement, service client, scoring, recommandation) sont des « déployeurs » au sens du règlement et ont des obligations propres : information des utilisateurs, surveillance humaine, registre des systèmes à haut risque.

Un diagnostic en ligne suffit-il pour se mettre en conformité ?

Non. Le diagnostic permet de se situer et d'identifier les obligations, mais la conformité exigé de la documentation persistante : registre d'inventaire, Annexe IV technique, analyse d'impact (FRIA), et un audit trail prouvant la diligence en cas de contrôle.

Y a-t-il des délais supplémentaires pour les PME suite au Digital Omnibus ?

Non pour les obligations déjà en vigueur. L'accord Digital Omnibus de mai 2026 reporte certaines obligations pour les petits fournisseurs, mais la deadline du 2 août 2026 pour les obligations de transparence (article 50) et les pratiques interdites reste inchangée.