Faut-il indiquer qu'un texte a été écrit avec une IA ?

Pas de façon systématique. L'obligation de signaler un texte généré par IA vise les contenus publiés pour informer le public sur des questions d'intérêt public. Elle ne s'applique pas quand une personne a relu et contrôlé le texte, et en assume la publication. Un assistant qui discute avec vos clients, lui, doit leur faire savoir qu'ils s'adressent à une machine, sauf si cela ressort clairement du contexte.

Que peut faire une PME dès maintenant face à l'AI Act ?

Ce que le règlement demande déjà, c'est surtout de prendre des mesures pour favoriser la maîtrise de l'IA chez les personnes qui s'en servent (aucun format ni certificat n'est imposé), et de respecter les règles de transparence si elles vous concernent. Au-delà, nous conseillons trois gestes : savoir ce qui se fait chez vous avec l'IA, faire décider par la direction ce qui est permis, et garder la trace des décisions. Chez nous, ce travail porte un nom : CadrIA Fondation, un diagnostic qui va jusqu'à votre plan d'action, avec votre charte d'usage de l'IA.

Une PME risque-t-elle vraiment une amende de 35 millions d'euros ?

En théorie seulement. Le plafond le plus élevé de l'AI Act, 35 millions d'euros ou 7 % du chiffre d'affaires mondial, ne vise que les pratiques interdites, et l'article 99(6) retient pour les PME le plus faible des deux montants. En pratique, le risque le plus proche est ailleurs, à notre avis : un document sensible confié à une IA sans règle écrite.

Actualités · Gouvernance & conformité

AI Act : ce qui s'applique déjà à une PME, et ce qui peut attendre.

Q: L'AI Act s'applique-t-il aux PME ?

Oui, de façon ciblée. L'article 4 sur la maîtrise de l'IA concerne toute organisation qui se sert de l'IA, PME comprise. Depuis le 2 août 2026, des règles de transparence s'y ajoutent : un assistant qui discute avec vos clients doit leur dire qu'il est une machine, et un texte généré par IA pour informer le public sur une question d'intérêt public doit être signalé, sauf s'il a été relu et assumé par une personne. Les obligations lourdes « à haut risque » s'appliqueront le 2 décembre 2027, et le 2 août 2028 pour les systèmes intégrés à des produits réglementés : elles visent des usages précis (tri de candidatures, évaluation de solvabilité, par exemple), à vérifier avec un juriste.

L'AI Act, le règlement européen sur l'intelligence artificielle, a changé de calendrier. Un second règlement, entré en vigueur le 27 juillet 2026, repousse ses obligations les plus lourdes, dites « haut risque » : au 2 décembre 2027, et au 2 août 2028 pour une partie d'entre elles. Faut-il paniquer, ou ranger le sujet au placard ? Entre les deux, il y a une voie simple. Voici ce qui s'applique déjà, ce qui peut attendre, et ce que vous pouvez faire dès maintenant.

Stéphane Maufras · 19 juin 2026 · 8 min de lecture

Article mis à jour le 26 octobre 2026 à 11h15

Illustration : une porte ouverte laisse passer la lumière dans un mur sombre, à côté des mots « AI Act ».

Face à l'AI Act, deux réactions sont tentantes. La première : « On risque une amende de 35 millions, il faut tout arrêter. » La seconde : « L'AI Act, c'est pour les grands groupes, ça ne nous concerne pas. »

Aucune des deux ne tient, et chacune coûte à sa manière. La première gèle des projets utiles, par peur. La seconde laisse l'IA entrer sans cadre ni trace.

Le texte est long, et l'on réagit souvent aux titres de presse. Reprenons dans l'ordre.

Le calendrier de l'AI Act a bougé en juillet 2026.

Le règlement européen sur l'intelligence artificielle est entré en vigueur en août 2024, et il s'applique par étapes depuis février 2025. Le 2 août 2026 devait déclencher une grande partie des obligations sur les systèmes dits « à haut risque ».

Un règlement de simplification, entré en vigueur le 27 juillet 2026, a changé la donne. Ces obligations « haut risque » s'appliqueront le 2 décembre 2027 pour les systèmes listés à l'annexe III du règlement (le tri de candidatures, par exemple), et le 2 août 2028 pour ceux qui sont intégrés à des produits déjà réglementés. Le calendrier a déjà bougé une fois : un plan calé sur une date peut tomber avec elle.

Caler votre plan sur une date de conformité, c'est le voir tomber chaque fois que la date bouge. Ce qui tient, c'est de décider dès maintenant ce qui est permis chez vous, et de s'y tenir au quotidien.

Ce qui s’applique déjà, si vous vous servez de l’IA.

Pendant qu'on regarde 2027, des règles s'appliquent maintenant. Depuis février 2025, le règlement interdit certaines pratiques, par exemple déduire les émotions d'une personne sur son lieu de travail, sauf raison médicale ou de sécurité. Et trois séries de règles méritent qu'une petite entreprise les connaisse, même si certaines visent d'abord ses fournisseurs.

Depuis février 2025

La maîtrise de l'IA dans vos équipes

L'article 4, réécrit en juillet 2026, vous demande de prendre des mesures pour favoriser le développement de la maîtrise de l'IA chez les personnes qui s'en servent pour votre compte. Il ne vous oblige pas à garantir le niveau de chacun. Selon la Commission européenne, il n'y a ni modèle unique, ni formation obligatoire, ni certificat exigé, et vous pouvez garder une trace interne de ce que vous avez mis en place.

Depuis août 2025

Les grands modèles d'IA généralistes

Des règles de documentation et de transparence visent ceux qui fournissent ces grands modèles, ceux qui font tourner les assistants d'IA du commerce. Si vous vous contentez d'utiliser un de ces assistants, c'est d'abord son fournisseur qui est concerné.

Depuis le 2 août 2026

La transparence

Un assistant qui discute avec vos clients, sur votre site par exemple, doit leur faire savoir qu'ils s'adressent à une machine, sauf si cela ressort clairement du contexte. Cette obligation pèse d'abord sur le fournisseur du système : si vous utilisez un assistant acheté dans le commerce, vérifiez qu'il porte bien la mention. Un texte généré par IA et publié pour informer le public sur une question d'intérêt public doit être signalé, sauf si une personne l'a relu, en a contrôlé le contenu et assume la publication. La mention doit être claire et visible dès le premier contact. Ces règles-là s'appliquent bien depuis le 2 août 2026.

Le « haut risque » repoussé au 2 décembre 2027.

Les obligations les plus lourdes (analyse des risques, contrôle humain, documentation, évaluation de conformité) visent les usages « à haut risque ». Pour une PME, on pense d'abord à trois cas : le tri automatisé de candidatures côté ressources humaines, l'évaluation de la solvabilité côté crédit, et la tarification en assurance santé et vie.

La liste en compte d'autres, par exemple l'évaluation ou la répartition du travail des salariés, l'éducation ou la biométrie. Si vous pensez qu'un de vos usages y figure, vérifiez-le avec un juriste : vous avez du temps, l'essentiel s'applique au 2 décembre 2027, et ce temps sert à monter le dossier.

Attention au contresens. Ne pas être « à haut risque » ne veut pas dire n'avoir rien à cadrer. Votre chantier est ailleurs, plus simple et plus pressant : éviter qu'un contrat client soit confié à une IA grand public, qu'un courrier parte avec une erreur que personne n'a relue, ou qu'un assistant promette à un client un délai intenable, sans que personne puisse dire qui avait autorisé quoi. Ce chantier-là, vous pouvez l'ouvrir dès maintenant.

Notre lecture du risquePour une PME qui se sert de l'IA, le risque le plus proche, à notre avis, est plus simple que l'amende maximale : un document sensible confié à une IA sans règle écrite, et aucune trace de qui a autorisé quoi. C'est par là qu'il faut commencer, bien avant les échéances de l'AI Act.

Quatre gestes à faire dès maintenant.

Voici quatre gestes simples, sans recrutement. Le deuxième répond à l'article 4. Les trois autres sont nos conseils : ils vous mettent en avance quel que soit le calendrier.

Savoir ce qui se fait chez vous

Avant toute conformité, regardez ce qui se passe vraiment : s'il y a des usages de l'IA chez vous, lesquels, et sur quelles données.

Développer la maîtrise de l'IA

Prenez des mesures pour aider les personnes qui se servent de l'IA à l'utiliser en connaissance de cause : ce qu'elle fait bien, ses limites, ses risques. C'est ce que demande l'article 4, sans format imposé.

Répartir trois rôles entre les personnes déjà là

La direction décide de ce qui est permis, après avoir entendu les équipes. Puis trois rôles se répartissent : les données (votre DPO si vous en avez un, sinon la personne qui s'occupe du RGPD, ou le dirigeant), l'argent (la personne qui tient vos comptes), les priorités (le dirigeant, ou un membre de la direction qu'il désigne). Dans une petite entreprise, une même personne peut en tenir plusieurs.

Garder la trace des décisions

Dès qu'une décision touche à l'IA, gardez-en une trace : quel objectif, quelles données, quelle limite. Le jour où l'on vous demande qui a autorisé quoi, la réponse est écrite, au lieu de se reconstituer dans l'urgence.

Trois précisions données aux PME le 25 septembre 2026.

Ce jour-là, la Direction générale des Entreprises (DGE), au ministère de l'Économie, et France Num ont tenu un webinaire destiné aux TPE et aux PME sur ce règlement. Trois précisions en ressortent.

À quel titre vous êtes concerné

Le règlement distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom, et le déployeur, qui utilise un système sous sa propre autorité dans un cadre professionnel. Les obligations les plus lourdes pèsent sur le fournisseur ; le déployeur a les siennes, surtout s'il utilise un système à haut risque. La présentation de la DGE est explicite sur le déployeur : « c'est vous dans 99 % des cas ».

Où poser une question

La DGE indique une adresse pour poser une question sur le règlement : reglement-ia.dge@finances.gouv.fr.

Ce qui est prévu pour les petites structures

Selon la présentation, le règlement prévoit pour elles un accès prioritaire et gratuit aux « bacs à sable » réglementaires, des espaces encadrés pour tester un système en conditions réelles. Il prévoit aussi des formulaires de documentation allégés, des coûts d'évaluation de conformité proportionnés à la taille, et des sanctions qui tiennent compte de la taille de l'entreprise.

La même présentation contient un plan d'action en cinq verbes : cartographier, classifier, documenter, former, revoir ses fournisseurs. Il recoupe en partie les quatre gestes ci-dessus. Il laisse une question ouverte, traitée dans un autre article : qui a le droit d'arrêter un usage quand il le faut.

Avec votre direction, décider de ce qui est permis, avant de mettre l'IA au travail.

La conformité est souvent vue comme une couche de paperasse à ajouter après coup. C'est un moment coûteux : on documente à reculons ce qui s'est fait sans règles.

Mieux vaut prendre le problème dans l'ordre : savoir ce qui se fait chez vous, décider de ce qui est permis, et seulement ensuite confier des tâches à l'IA. Votre direction décide de ce qui est permis avec l'IA : les tâches où elle peut aider, les données qui peuvent y entrer, et ce qui ne sort pas de chez vous. Vos équipes y contribuent, avec leurs tâches et leurs questions.

Ce cadre s'écrit dans une charte d'usage de l'IA : ce qui est permis, les données qui peuvent entrer dans l'IA, ce qui ne sort pas, et qui en répond. Votre direction la décide, vos équipes y contribuent, et elle se révise à mesure que les choses évoluent. Le jour où un client ou un assureur vous demande comment vous encadrez l'IA, vous avez de quoi répondre.

Savoir ce qui se fait chez vous avec l'IA, et pouvoir le montrer : c'est une question de méthode, pas de calendrier.

CadrIA Fondation

Une charte et un plan d'action, écrits pour votre organisation.

CadrIA Fondation commence par un diagnostic et vous laisse deux documents : votre charte d'usage de l'IA et votre plan d'action. Si vous voulez aller plus loin, CadrIA Déploiement réalise ce plan avec vos équipes. CadrIA n'est ni un audit ni une mise en conformité certifiée : ce que vous écrivez avec nous est conçu pour vous aider à respecter vos obligations.

Parler de votre situation Comment ça se déroule

Pour aller plus loin.

Gouvernance · ISO 42001

Qui s'occupe de l'IA dans une PME ? Faut-il recruter un Chief AI Officer ?

Lire l'article

Règlement · PME

Règlement européen sur l'IA : cinq gestes pour les PME. Reste à écrire qui décide.