EU AI Act au 2 août 2026 : la checklist PME pour la rentrée

Le 2 août 2026 est la date de référence pour la conformité IA en Europe. La deuxième vague d'obligations de l'EU AI Act devient pleinement opposable, et une PME qui n'a encore rien fait prend un vrai risque juridique à la rentrée.

Bonne nouvelle : le Digital Omnibus, adopté sous la forme du règlement (UE) 2026/1744 et en vigueur depuis le 27 juillet 2026, a repoussé les obligations les plus lourdes à fin 2027 et 2028. Mauvaise nouvelle : ce qui reste concerne quasiment toutes les PME utilisatrices d'IA. Cet article, mis à jour le 13 octobre 2026 avec le texte adopté, fait le tri et donne la checklist en sept étapes.

Ce qu'il faut retenir avant de lire la suite :

• Le 2 août 2026, les obligations de transparence (article 50) entrent en vigueur. Tout chatbot doit s'annoncer comme IA, tout contenu généré par IA destiné à informer le public doit être marqué. Source officielle.
• Le 3 août 2026, la supervision et les sanctions sur l'AI literacy (article 4) s'appliquent, selon la FAQ de la Commission. L'Omnibus a assoupli l'article 4 : l'entreprise doit prendre des mesures, sans niveau précis à garantir. Les sanctions relèvent du droit de chaque État membre.
• Le 2 décembre 2026 est la prochaine échéance : deux nouvelles pratiques interdites entrent en application, et les éditeurs d'outils génératifs déjà sur le marché doivent avoir marqué leurs contenus de façon détectable par machine. Elle vise les fournisseurs, pas les PME utilisatrices.
• L'Annex III (systèmes haut risque autonomes) a été repoussé du 2 août 2026 au 2 décembre 2027 par le Digital Omnibus, et l'Annex I (haut risque embarqué dans des produits réglementés) au 2 août 2028. La grande majorité des PME utilisatrices d'IA ne tombent pas dans ces catégories.
• La checklist PME tient en sept étapes : cartographier vos usages, classer par risque, former vos équipes, mettre en conformité vos chatbots, marquer vos contenus IA, tenir un registre déployeur, documenter chaque système. Comptez deux à cinq jours-personne pour une PME de 10 à 30 collaborateurs.
• Le plus gros piège PME n'est pas l'amende, c'est l'effet domino RGPD. La plupart des contrôles AI Act seront combinés avec un contrôle RGPD, et l'APD belge a déjà annoncé un cycle renforcé sur l'usage d'IA générative en entreprise pour la seconde moitié de 2026.

Le calendrier EU AI Act, mis à jour au 13 octobre 2026

Depuis l'entrée en vigueur du règlement (UE) 2026/1744 le 27 juillet 2026, le calendrier d'application a changé. Voici la version à jour, vérifiée sur le texte consolidé de l'article 113 publié par l'AI Act Service Desk de la Commission et sur l'annonce de la Commission.

Le Digital Omnibus n'est plus un accord politique : il a été adopté sous la forme du règlement (UE) 2026/1744 et il est entré en vigueur le 27 juillet 2026, juste avant la date du 2 août. Le texte consolidé de l'AI Act intègre désormais ces modifications. Notre veille IA d'octobre 2026 résume ce que ce calendrier change pour une PME, avec les autres actualités de l'automne.

Ce qui s'applique vraiment au 2 août 2026

Transparence des systèmes IA (article 50)

C'est l'obligation phare du 2 août 2026, et elle n'a PAS été reportée par le Digital Omnibus. L'article 50 du règlement impose la transparence sur trois usages :

• Chatbots et assistants virtuels : ils doivent informer l'utilisateur qu'il interagit avec un système IA, sauf si c'est manifestement évident. Un widget chatbot doit afficher une mention claire dès le premier message ou dans son intitulé.
• Contenus générés par IA pour informer le public sur un sujet d'intérêt public : ils doivent être étiquetés, sauf revue humaine éditoriale. Vise la presse, les blogs corporate, les communications publiques.
• Médias synthétiques (deepfakes) : marqués sauf usage artistique manifeste.

Pour une PME wallonne, deux scénarios reviennent. Le chatbot WhatsApp client (cas de notre agence immobilière en mission) doit s'annoncer dès le premier message. Le blog corporate publié sans revue humaine doit porter une mention « contenu rédigé avec assistance IA ».

Le Code of Practice on Transparency of AI-Generated Content publié le 10 juin 2026 est volontaire, mais y adhérer offre une présomption de conformité utile en cas de contrôle. Source officielle.

AI literacy : l'enforcement entre en vigueur le 3 août 2026

Cette obligation existe sur le papier depuis le 2 février 2025, mais elle n'était pas sanctionnable. À partir du 3 août 2026, l'absence de démarche peut être contrôlée et sanctionnée.

Depuis l'Omnibus, l'article 4 demande aux fournisseurs et déployeurs de systèmes IA de prendre des mesures pour soutenir la maîtrise de l'IA de leur personnel, sans exiger de garantir un niveau précis. La version initiale parlait d'un « niveau suffisant ». Texte consolidé.

Concrètement, pour une PME de 10 à 30 personnes :

• Identifier les collaborateurs qui utilisent des outils IA (ChatGPT, Claude, Copilot, Mistral, Gemini).
• Leur proposer une formation minimale couvrant les limites de l'IA (hallucinations, biais), les bonnes pratiques (vérification, non-partage de données confidentielles), et les règles internes.
• Documenter par un document signé : charte d'usage, attestation, registre.

Côté sanctions, l'article 99, qui fixe les amendes chiffrées, ne vise pas l'article 4. Selon la FAQ de la Commission, ce sont les autorités nationales qui pourront sanctionner, sur la base des règles adoptées par chaque État membre.

GPAI : la Commission prend les commandes

Si vous n'éditez pas de LLM, vous n'êtes pas directement concerné. Mais l'effet collatéral compte. Au 2 août 2026, la Commission obtient ses pleins pouvoirs d'enforcement sur les fournisseurs GPAI (OpenAI, Anthropic, Google, Mistral, Meta) selon les guidelines GPAI. Ces éditeurs vont ajuster contrats, interfaces et disclaimers avant la date. Pour votre PME, ça se traduit par des changements visibles dans ChatGPT Business, Claude Team, Copilot M365 sur juin-août 2026. Lisez les notifications de mise à jour : c'est souvent là que les nouvelles obligations de votre côté apparaissent.

Ce qui a été reporté à 2027 et au-delà

Annex III : le report qui change tout pour les éditeurs

C'est la grande surprise du Digital Omnibus. Les systèmes IA haut risque autonomes listés à l'Annex III (huit catégories : biométrie, infrastructures critiques, éducation, emploi et HR, services essentiels, application des lois, migration et asile, justice) voient leur date butoir passer du 2 août 2026 au 2 décembre 2027. Soit 16 mois de marge.

Pour une PME utilisatrice, l'impact est presque toujours indirect. Vous êtes rarement « fournisseur » d'un système Annex III, mais vous pouvez être « déployeur » :

• ATS de recrutement avec scoring CV automatisé (Annex III point 4).
• Outil de monitoring de productivité salariés avec décision automatisée.
• Système biométrique en contrôle d'accès.

Dans ces cas, vos obligations déployeur (article 26) sont également reportées à 2 décembre 2027. Vous gagnez du temps, mais ne dormez pas dessus : documentation, formation et human oversight ne s'improvisent pas la veille. Source obligations déployeurs.

Grace period du 2 décembre 2026 pour le marking IA générative

Le Digital Omnibus a aussi accordé quatre mois supplémentaires aux fournisseurs d'IA générative déjà actifs, via le nouvel article 111(4) : ChatGPT, Claude, Gemini, Mistral et les autres ont jusqu'au 2 décembre 2026 (au lieu du 2 août) pour intégrer le marking machine-readable des contenus générés (article 50.2). Vous, utilisateur, restez tenu par l'obligation de transparence article 50 dans son ensemble dès le 2 août 2026. Cette grace period explique pourquoi vous risquez de voir certaines interfaces sans marquage technique avant fin 2026. Le même jour, deux nouvelles interdictions de l'article 5 s'appliquent : les systèmes qui génèrent des images intimes d'une personne identifiable sans son consentement, et le matériel pédopornographique. Aucune PME utilisatrice d'outils du marché n'est visée.

La checklist PME en 7 étapes pour la rentrée

Voici les sept actions à boucler entre la rentrée et le 2 août 2026. Pour une PME de 10 à 30 personnes utilisatrice d'IA grand public (sans système Annex III en interne), comptez deux à cinq jours-personne au total. Pour une PME plus grande ou avec systèmes spécialisés, ajoutez une journée par système haut risque identifié.

Étape 1 : Cartographier tous vos usages IA

Listez tous les outils IA réellement utilisés dans votre PME, par qui, pour quoi. Pas juste les abonnements officiels payés par l'entreprise. Incluez aussi les comptes personnels que des collaborateurs utilisent pour leur travail (un commercial qui passe ses brouillons d'emails dans son ChatGPT perso, c'est dans votre périmètre déployeur). Format type : tableau à quatre colonnes (outil, utilisateur, finalité, données traitées). Comptez une demi-journée d'entretiens et un rappel équipe.

Étape 2 : Classer chaque usage par niveau de risque

Pour chaque ligne, posez trois questions. L'usage tombe-t-il dans une pratique interdite (notation sociale, manipulation cognitive) ? Entre-t-il dans une catégorie haut risque Annex III (recrutement, scoring crédit, monitoring salariés, biométrie) ? Relève-t-il de l'IA générative interagissant avec des humains ou produisant des contenus publics ?

Pour la quasi-totalité des PME, la réponse est la troisième catégorie. Transparence article 50 et AI literacy article 4 s'appliquent, mais pas les obligations lourdes des systèmes haut risque. Votre charge de conformité tient en quelques jours.

Étape 3 : Démarrer l'AI literacy interne

Programmez une demi-journée de sensibilisation pour les collaborateurs concernés. Contenu minimum : ce qu'est un LLM et ses limites (hallucination, biais), bonnes pratiques (vérifier les sources, pas de données client ou RH sans autorisation, pas de mots de passe), charte interne (qui utilise quel outil pour quoi).

Documentez par un PDF de cinq pages et une attestation signée. C'est la preuve qui sera demandée en cas de contrôle. Notre guide formation IA pour PME belge liste les ressources publiques (FOREM, Cevora, Technifutur, Digital Wallonia).

Étape 4 : Mettre en conformité vos chatbots clients

Si vous opérez un chatbot (site, WhatsApp Business, Messenger), vérifiez qu'il déclare être un système IA dès le premier message ou par son intitulé visible. La formule « Je suis l'assistant virtuel de [votre entreprise] » est conforme, à condition qu'elle apparaisse avant la première interaction.

Pour un chatbot branché à un éditeur SaaS (HubSpot, Zendesk, Intercom, Front, Chatwoot), c'est généralement une case à cocher. Pour un chatbot custom, mettez à jour le prompt système et le message d'accueil. Pas de mise à jour technique majeure pour 95 % des cas PME.

Étape 5 : Marquer vos contenus générés par IA

Pour tout contenu public (site, blog, réseaux) destiné à informer, si vous n'avez pas relu et corrigé éditorialement le texte, ajoutez une mention de bas d'article. Format type : « Cet article a été rédigé avec l'assistance d'un outil d'intelligence artificielle générative et revu par notre équipe ». Pour une PME qui publie un article par semaine, c'est une mention à intégrer dans le template du CMS, une fois pour toutes.

Étape 6 : Tenir un registre déployeur

L'article 26 impose aux déployeurs de systèmes haut risque de tenir un registre. Même si vous n'êtes pas déployeur haut risque, la pratique se généralise : votre cartographie IA (étape 1) sert de registre. Tenez-la à jour à chaque ajout d'outil, à chaque nouveau collaborateur formé. Mise à jour trimestrielle minimum. Format Excel ou Notion suffit, l'enjeu c'est la traçabilité.

Étape 7 : Documenter chaque système IA significatif

Pour les outils IA centraux à votre activité (assistant qui gère vos devis, chatbot client qui filtre les premières demandes), produisez un document d'une à deux pages : description fonctionnelle, fournisseur, hébergement des données, base légale RGPD, mesures de transparence et de human oversight. C'est le dossier de conformité minimal à présenter en cas de contrôle.

Trois cas concrets PME wallonne

Cas 1 : Agence immobilière 5 collaborateurs, chatbot WhatsApp client

Profil identique à notre cas documenté. L'agence opère un chatbot WhatsApp branché sur son CRM, 150 à 200 conversations par jour. Deux actions EU AI Act :

• Mise à jour du message d'accueil pour annoncer explicitement qu'il s'agit d'un assistant IA, avec bouton « parler à un humain ».
• Formation d'une demi-journée pour les cinq collaborateurs, charte interne couvrant ChatGPT pour la rédaction d'annonces et le traitement de données prospects.

Charge totale : un jour-personne sur trois semaines. Pas de classement haut risque (le chatbot prend rendez-vous, il n'évalue pas la solvabilité).

Cas 2 : Cabinet comptable 12 collaborateurs, OCR factures + ChatGPT Team

Cabinet qui a déployé un OCR factures fournisseurs (Yuki, DEXT, Klippa) et utilise ChatGPT Team pour les brouillons de communications client. Trois actions :

• Formation AI literacy pour les 12 collaborateurs, charte stricte sur les données client (interdiction de coller bilans non anonymisés, numéros nationaux, informations bancaires).
• Cartographie des automatisations OCR avec fournisseur, hébergement, statut conformité.
• Dossier de conformité interne pour le système OCR, traité comme système IA significatif.

L'OCR n'est généralement pas haut risque (il extrait, il ne décide pas). Charge totale : deux à trois jours-personne.

Cas 3 : Dirigeant solo qui utilise ChatGPT Plus pour brouillons commerciaux

Indépendant ou très petite structure (1 à 3 personnes) qui utilise ChatGPT Plus pour préparer devis, propositions commerciales, traductions. Aucun chatbot client, aucun outil RH automatisé.

AI literacy article 4 : oui, même pour un solo. Forme ultra-légère : auto-charte d'une page (quelles données il ne colle jamais, comment il vérifie les sorties), lecture documentée d'un guide public comme la brochure APD sur les systèmes IA et le RGPD. Aucune obligation article 50 (pas de chatbot, pas de contenu public IA non revu). Charge totale : quelques heures.

Sanctions et protection PME

Les sanctions de l'EU AI Act sont plus lourdes que celles du RGPD. Selon l'article 99 du règlement, les plafonds sont :

La protection PME tient en quatre mots : le PLUS BAS s'applique. Pour une PME wallonne avec 2 millions d'euros de chiffre d'affaires, le plafond effectif d'une sanction sur une violation article 50 serait de 60 000 € (3 % du CA), pas 15 millions. C'est une vraie protection structurelle, distincte du RGPD où c'est le PLUS HAUT qui s'applique. Source guide PME Commission UE.

En Belgique, l'autorité de contrôle nationale n'est pas encore désignée publiquement à fin juin 2026. L'APD couvre déjà tout le volet RGPD lié à l'IA, et le détail des autorités sectorielles (santé, finance, transport) reste à publier. En attendant, c'est l'APD qui sera le premier interlocuteur en cas de plainte.

Les trois erreurs à éviter

Première erreur : confondre report Annex III et fin de la conformité IA. Le Digital Omnibus a reporté l'Annex III à 2027, mais il n'a pas touché les obligations article 4, 50 et GPAI. Une PME qui se dit « on a 16 mois de plus » se trompe : ce qui s'applique au 2 août 2026 reste inchangé.

Deuxième erreur : sous-estimer la charge AI literacy. Beaucoup de PME pensent qu'une formation IA est un luxe ou une affaire de DSI. C'est une obligation légale opposable depuis 17 mois, sanctionnable à partir du 3 août 2026. La preuve à fournir en cas de contrôle est documentaire : si vous n'avez pas de PDF de charte interne et d'attestations signées, vous êtes exposé.

Troisième erreur : ignorer l'effet domino RGPD. L'EU AI Act ne remplace pas le RGPD, il s'y ajoute. Les deux règlements peuvent s'appliquer cumulativement sur les mêmes faits. L'APD belge a annoncé un cycle de contrôles renforcé sur l'usage d'IA générative en entreprise pour la seconde moitié de 2026. Le plus probable, c'est que les premiers contrôles AI Act soient déclenchés à l'occasion d'une plainte RGPD existante. Mettre en conformité l'un sans l'autre est une fausse économie. Notre guide RGPD pratique pour usage de ChatGPT en PME couvre les bons réflexes côté données personnelles.

FAQ

Q: Mon entreprise utilise uniquement ChatGPT pour des brouillons d'emails, suis-je vraiment concerné ?

Oui, l'obligation AI literacy article 4 s'applique à toute organisation qui utilise un système IA, indépendamment de la taille et du volume d'usage. Pour un solo ou très petite structure, la charge est minimale (une auto-charte d'une page, lecture d'un guide public, attestation). Mais l'obligation existe et devient sanctionnable au 3 août 2026.

Q: Si je n'ai pas de chatbot sur mon site, suis-je dispensé de l'article 50 ?

Pour la partie « transparence chatbot », oui. Mais l'article 50 couvre aussi les contenus générés par IA destinés à informer le public. Si votre blog ou vos communications publiques sont rédigés avec assistance IA et publiés sans revue humaine, vous tombez dans le périmètre et devez marquer ces contenus. Une revue humaine éditoriale documentée vous exempte.

Q: Est-ce que mon CRM HubSpot ou mon ATS de recrutement est un système haut risque ?

Pas par défaut. Un CRM classique qui ne fait pas de scoring prédictif n'est pas concerné. Un ATS qui propose une fonction de scoring CV automatisé bascule en haut risque Annex III point 4, mais l'obligation est reportée à 2 décembre 2027 par le Digital Omnibus. Vérifiez dans la documentation de votre éditeur si la fonction est activée chez vous, et désactivez-la si vous n'en avez pas l'usage.

Q: Quel est le coût indicatif d'une mise en conformité PME pour la rentrée ?

Pour une PME de 10 à 30 personnes utilisatrice d'IA grand public, deux à cinq jours-personne suffisent. Si vous le faites en interne, c'est gratuit en cash et coûte un peu de temps fondateur ou responsable opérations. Si vous passez par un accompagnement externe, comptez 1 500 à 5 000 € pour un cadrage complet et la documentation. Le dispositif Start IA de Digital Wallonia finance jusqu'à 50 % du coût d'un cadrage externe par un prestataire agréé.

Q: Le Digital Omnibus est-il définitivement adopté ?

Oui. Il a été adopté sous la forme du règlement (UE) 2026/1744 et il est entré en vigueur le 27 juillet 2026, selon la Commission. Le report de l'Annex III au 2 décembre 2027 et de l'Annex I au 2 août 2028 est donc légalement acquis. Les obligations de transparence de l'article 50 restent applicables depuis le 2 août 2026.

Pour aller plus loin

• Glossaire EU AI Act : le règlement européen sur l'IA
• Glossaire GPAI : les modèles d'IA à usage général
• Veille IA juin 2026 : ce qui a changé avec le Digital Omnibus
• Veille IA octobre 2026 : l'Omnibus en vigueur et les autres changements de l'automne
• RGPD pour PME utilisant l'IA générative
• RGPD pratique pour usage de ChatGPT en PME
• Formation IA pour PME belge : panorama 2026
• Aides Digital Wallonia 2026 : Start IA et Tremplin IA

Conclusion

Le 2 août 2026 n'est pas le grand chamboulement annoncé. Le Digital Omnibus a allégé la pression sur l'Annex III, mais les obligations qui restent (transparence chatbot, marquage contenus IA, AI literacy enforcement) concernent toutes les PME utilisatrices d'IA.

La bonne nouvelle, c'est que la checklist tient en sept étapes et se boucle en deux à cinq jours-personne pour une structure de 10 à 30 collaborateurs. Le couplage avec la conformité RGPD permet de faire d'une pierre deux coups.

Pour un cadrage rapide sur ce qui s'applique vraiment à votre PME et la checklist priorisée avant la rentrée, prenez rendez-vous avec ATTA. Trente minutes, sans engagement, retour clair sur les actions prioritaires.