EU AI Act au 2 août 2026 : la checklist PME pour la rentrée

Le 2 août 2026 est la date de référence pour la conformité IA en Europe. La deuxième vague d'obligations de l'EU AI Act devient pleinement opposable, et une PME qui n'a encore rien fait prend un vrai risque juridique à la rentrée.

Bonne nouvelle : le Digital Omnibus du 7 mai 2026 a repoussé une partie des obligations les plus lourdes à fin 2027. Mauvaise nouvelle : ce qui reste concerne quasiment toutes les PME utilisatrices d'IA. Cet article fait le tri à jour au 29 juin 2026, et donne la checklist en sept étapes à boucler avant la rentrée.

Ce qu'il faut retenir avant de lire la suite :

• Le 2 août 2026, les obligations de transparence (article 50) entrent en vigueur. Tout chatbot doit s'annoncer comme IA, tout contenu généré par IA destiné à informer le public doit être marqué. Source officielle.
• Le 3 août 2026, les sanctions sur l'AI literacy (article 4) deviennent opposables. Cette obligation existait déjà depuis février 2025, mais c'est la première date où l'absence de démarche peut coûter cher. Plafond : 7,5 millions d'euros ou 1,5 % du chiffre d'affaires, le PLUS BAS des deux pour une PME.
• L'Annex III (systèmes haut risque autonomes) a été repoussé du 2 août 2026 au 2 décembre 2027 par le Digital Omnibus, et l'Annex I (haut risque embarqué dans des produits réglementés) au 2 août 2028. La grande majorité des PME utilisatrices d'IA ne tombent pas dans ces catégories.
• La checklist PME tient en sept étapes : cartographier vos usages, classer par risque, former vos équipes, mettre en conformité vos chatbots, marquer vos contenus IA, tenir un registre déployeur, documenter chaque système. Comptez deux à cinq jours-personne pour une PME de 10 à 30 collaborateurs.
• Le plus gros piège PME n'est pas l'amende, c'est l'effet domino RGPD. La plupart des contrôles AI Act seront combinés avec un contrôle RGPD, et l'APD belge a déjà annoncé un cycle renforcé sur l'usage d'IA générative en entreprise pour la seconde moitié de 2026.

Le calendrier EU AI Act, mis à jour au 29 juin 2026

Depuis l'accord politique Digital Omnibus du 7 mai 2026, le calendrier d'application a changé. Voici la version à jour, sourcée Commission européenne (Direction générale CONNECT) et artificialintelligenceact.eu, qui sert de référence permanente article par article.

L'adoption formelle du Digital Omnibus est attendue en juillet 2026, soit juste avant la date butoir. Les amendements deviennent légalement opposables seulement à la publication au Journal officiel de l'Union européenne, mais le sens politique est verrouillé depuis mai et la Commission communique déjà sur cette base.

Ce qui s'applique vraiment au 2 août 2026

Transparence des systèmes IA (article 50)

C'est l'obligation phare du 2 août 2026, et elle n'a PAS été reportée par le Digital Omnibus. L'article 50 du règlement impose la transparence sur trois usages :

• Chatbots et assistants virtuels : ils doivent informer l'utilisateur qu'il interagit avec un système IA, sauf si c'est manifestement évident. Un widget chatbot doit afficher une mention claire dès le premier message ou dans son intitulé.
• Contenus générés par IA pour informer le public sur un sujet d'intérêt public : ils doivent être étiquetés, sauf revue humaine éditoriale. Vise la presse, les blogs corporate, les communications publiques.
• Médias synthétiques (deepfakes) : marqués sauf usage artistique manifeste.

Pour une PME wallonne, deux scénarios reviennent. Le chatbot WhatsApp client (cas de notre agence immobilière en mission) doit s'annoncer dès le premier message. Le blog corporate publié sans revue humaine doit porter une mention « contenu rédigé avec assistance IA ».

Le Code of Practice on Transparency of AI-Generated Content publié le 10 juin 2026 est volontaire, mais y adhérer offre une présomption de conformité utile en cas de contrôle. Source officielle.

AI literacy : l'enforcement entre en vigueur le 3 août 2026

Cette obligation existe sur le papier depuis le 2 février 2025, mais elle n'était pas sanctionnable. À partir du 3 août 2026, l'absence de démarche peut être contrôlée et sanctionnée.

L'article 4 oblige les fournisseurs et déployeurs de systèmes IA à assurer un niveau suffisant d'alphabétisation IA de leur personnel et des personnes qui interviennent dans l'utilisation des systèmes IA pour leur compte. Source.

Concrètement, pour une PME de 10 à 30 personnes :

• Identifier les collaborateurs qui utilisent des outils IA (ChatGPT, Claude, Copilot, Mistral, Gemini).
• Leur proposer une formation minimale couvrant les limites de l'IA (hallucinations, biais), les bonnes pratiques (vérification, non-partage de données confidentielles), et les règles internes.
• Documenter par un document signé : charte d'usage, attestation, registre.

Plafond de sanction : 7,5 millions d'euros ou 1,5 % du chiffre d'affaires mondial, le PLUS BAS des deux pour une PME. Source FAQ Commission UE.

GPAI : la Commission prend les commandes

Si vous n'éditez pas de LLM, vous n'êtes pas directement concerné. Mais l'effet collatéral compte. Au 2 août 2026, la Commission obtient ses pleins pouvoirs d'enforcement sur les fournisseurs GPAI (OpenAI, Anthropic, Google, Mistral, Meta) selon les guidelines GPAI. Ces éditeurs vont ajuster contrats, interfaces et disclaimers avant la date. Pour votre PME, ça se traduit par des changements visibles dans ChatGPT Business, Claude Team, Copilot M365 sur juin-août 2026. Lisez les notifications de mise à jour : c'est souvent là que les nouvelles obligations de votre côté apparaissent.

Ce qui a été reporté à 2027 et au-delà

Annex III : le report qui change tout pour les éditeurs

C'est la grande surprise du Digital Omnibus. Les systèmes IA haut risque autonomes listés à l'Annex III (huit catégories : biométrie, infrastructures critiques, éducation, emploi et HR, services essentiels, application des lois, migration et asile, justice) voient leur date butoir passer du 2 août 2026 au 2 décembre 2027. Soit 16 mois de marge.

Pour une PME utilisatrice, l'impact est presque toujours indirect. Vous êtes rarement « fournisseur » d'un système Annex III, mais vous pouvez être « déployeur » :

• ATS de recrutement avec scoring CV automatisé (Annex III point 4).
• Outil de monitoring de productivité salariés avec décision automatisée.
• Système biométrique en contrôle d'accès.

Dans ces cas, vos obligations déployeur (article 26) sont également reportées à 2 décembre 2027. Vous gagnez du temps, mais ne dormez pas dessus : documentation, formation et human oversight ne s'improvisent pas la veille. Source obligations déployeurs.

Grace period du 2 décembre 2026 pour le marking IA générative

Le Digital Omnibus a aussi accordé quatre mois supplémentaires aux fournisseurs d'IA générative déjà actifs : ChatGPT, Claude, Gemini, Mistral et les autres ont jusqu'au 2 décembre 2026 (au lieu du 2 août) pour intégrer le marking machine-readable des contenus générés (article 50.2). Vous, utilisateur, restez tenu par l'obligation de transparence article 50 dans son ensemble dès le 2 août 2026. Cette grace period explique pourquoi vous risquez de voir certaines interfaces sans marquage technique avant fin 2026.

La checklist PME en 7 étapes pour la rentrée

Voici les sept actions à boucler entre la rentrée et le 2 août 2026. Pour une PME de 10 à 30 personnes utilisatrice d'IA grand public (sans système Annex III en interne), comptez deux à cinq jours-personne au total. Pour une PME plus grande ou avec systèmes spécialisés, ajoutez une journée par système haut risque identifié.

Étape 1 : Cartographier tous vos usages IA

Listez tous les outils IA réellement utilisés dans votre PME, par qui, pour quoi. Pas juste les abonnements officiels payés par l'entreprise. Incluez aussi les comptes personnels que des collaborateurs utilisent pour leur travail (un commercial qui passe ses brouillons d'emails dans son ChatGPT perso, c'est dans votre périmètre déployeur). Format type : tableau à quatre colonnes (outil, utilisateur, finalité, données traitées). Comptez une demi-journée d'entretiens et un rappel équipe.

Étape 2 : Classer chaque usage par niveau de risque

Pour chaque ligne, posez trois questions. L'usage tombe-t-il dans une pratique interdite (notation sociale, manipulation cognitive) ? Entre-t-il dans une catégorie haut risque Annex III (recrutement, scoring crédit, monitoring salariés, biométrie) ? Relève-t-il de l'IA générative interagissant avec des humains ou produisant des contenus publics ?

Pour la quasi-totalité des PME, la réponse est la troisième catégorie. Transparence article 50 et AI literacy article 4 s'appliquent, mais pas les obligations lourdes des systèmes haut risque. Votre charge de conformité tient en quelques jours.

Étape 3 : Démarrer l'AI literacy interne

Programmez une demi-journée de sensibilisation pour les collaborateurs concernés. Contenu minimum : ce qu'est un LLM et ses limites (hallucination, biais), bonnes pratiques (vérifier les sources, pas de données client ou RH sans autorisation, pas de mots de passe), charte interne (qui utilise quel outil pour quoi).

Documentez par un PDF de cinq pages et une attestation signée. C'est la preuve qui sera demandée en cas de contrôle. Notre guide formation IA pour PME belge liste les ressources publiques (FOREM, Cevora, Technifutur, Digital Wallonia).

Étape 4 : Mettre en conformité vos chatbots clients

Si vous opérez un chatbot (site, WhatsApp Business, Messenger), vérifiez qu'il déclare être un système IA dès le premier message ou par son intitulé visible. La formule « Je suis l'assistant virtuel de [votre entreprise] » est conforme, à condition qu'elle apparaisse avant la première interaction.

Pour un chatbot branché à un éditeur SaaS (HubSpot, Zendesk, Intercom, Front, Chatwoot), c'est généralement une case à cocher. Pour un chatbot custom, mettez à jour le prompt système et le message d'accueil. Pas de mise à jour technique majeure pour 95 % des cas PME.

Étape 5 : Marquer vos contenus générés par IA

Pour tout contenu public (site, blog, réseaux) destiné à informer, si vous n'avez pas relu et corrigé éditorialement le texte, ajoutez une mention de bas d'article. Format type : « Cet article a été rédigé avec l'assistance d'un outil d'intelligence artificielle générative et revu par notre équipe ». Pour une PME qui publie un article par semaine, c'est une mention à intégrer dans le template du CMS, une fois pour toutes.

Étape 6 : Tenir un registre déployeur

L'article 26 impose aux déployeurs de systèmes haut risque de tenir un registre. Même si vous n'êtes pas déployeur haut risque, la pratique se généralise : votre cartographie IA (étape 1) sert de registre. Tenez-la à jour à chaque ajout d'outil, à chaque nouveau collaborateur formé. Mise à jour trimestrielle minimum. Format Excel ou Notion suffit, l'enjeu c'est la traçabilité.

Étape 7 : Documenter chaque système IA significatif

Pour les outils IA centraux à votre activité (assistant qui gère vos devis, chatbot client qui filtre les premières demandes), produisez un document d'une à deux pages : description fonctionnelle, fournisseur, hébergement des données, base légale RGPD, mesures de transparence et de human oversight. C'est le dossier de conformité minimal à présenter en cas de contrôle.

Trois cas concrets PME wallonne

Cas 1 : Agence immobilière 5 collaborateurs, chatbot WhatsApp client

Profil identique à notre cas documenté. L'agence opère un chatbot WhatsApp branché sur son CRM, 150 à 200 conversations par jour. Deux actions EU AI Act :

• Mise à jour du message d'accueil pour annoncer explicitement qu'il s'agit d'un assistant IA, avec bouton « parler à un humain ».
• Formation d'une demi-journée pour les cinq collaborateurs, charte interne couvrant ChatGPT pour la rédaction d'annonces et le traitement de données prospects.

Charge totale : un jour-personne sur trois semaines. Pas de classement haut risque (le chatbot prend rendez-vous, il n'évalue pas la solvabilité).

Cas 2 : Cabinet comptable 12 collaborateurs, OCR factures + ChatGPT Team

Cabinet qui a déployé un OCR factures fournisseurs (Yuki, DEXT, Klippa) et utilise ChatGPT Team pour les brouillons de communications client. Trois actions :

• Formation AI literacy pour les 12 collaborateurs, charte stricte sur les données client (interdiction de coller bilans non anonymisés, numéros nationaux, informations bancaires).
• Cartographie des automatisations OCR avec fournisseur, hébergement, statut conformité.
• Dossier de conformité interne pour le système OCR, traité comme système IA significatif.

L'OCR n'est généralement pas haut risque (il extrait, il ne décide pas). Charge totale : deux à trois jours-personne.

Cas 3 : Dirigeant solo qui utilise ChatGPT Plus pour brouillons commerciaux

Indépendant ou très petite structure (1 à 3 personnes) qui utilise ChatGPT Plus pour préparer devis, propositions commerciales, traductions. Aucun chatbot client, aucun outil RH automatisé.

AI literacy article 4 : oui, même pour un solo. Forme ultra-légère : auto-charte d'une page (quelles données il ne colle jamais, comment il vérifie les sorties), lecture documentée d'un guide public comme la brochure APD sur les systèmes IA et le RGPD. Aucune obligation article 50 (pas de chatbot, pas de contenu public IA non revu). Charge totale : quelques heures.

Sanctions et protection PME

Les sanctions de l'EU AI Act sont plus lourdes que celles du RGPD. Selon l'article 99 du règlement, les plafonds sont :

La protection PME tient en quatre mots : le PLUS BAS s'applique. Pour une PME wallonne avec 2 millions d'euros de chiffre d'affaires, le plafond effectif d'une sanction sur une violation article 50 serait de 60 000 € (3 % du CA), pas 15 millions. C'est une vraie protection structurelle, distincte du RGPD où c'est le PLUS HAUT qui s'applique. Source guide PME Commission UE.

En Belgique, l'autorité de contrôle nationale n'est pas encore désignée publiquement à fin juin 2026. L'APD couvre déjà tout le volet RGPD lié à l'IA, et le détail des autorités sectorielles (santé, finance, transport) reste à publier. En attendant, c'est l'APD qui sera le premier interlocuteur en cas de plainte.

Les trois erreurs à éviter

Première erreur : confondre report Annex III et fin de la conformité IA. Le Digital Omnibus a reporté l'Annex III à 2027, mais il n'a pas touché les obligations article 4, 50 et GPAI. Une PME qui se dit « on a 16 mois de plus » se trompe : ce qui s'applique au 2 août 2026 reste inchangé.

Deuxième erreur : sous-estimer la charge AI literacy. Beaucoup de PME pensent qu'une formation IA est un luxe ou une affaire de DSI. C'est une obligation légale opposable depuis 17 mois, sanctionnable à partir du 3 août 2026. La preuve à fournir en cas de contrôle est documentaire : si vous n'avez pas de PDF de charte interne et d'attestations signées, vous êtes exposé.

Troisième erreur : ignorer l'effet domino RGPD. L'EU AI Act ne remplace pas le RGPD, il s'y ajoute. Les deux règlements peuvent s'appliquer cumulativement sur les mêmes faits. L'APD belge a annoncé un cycle de contrôles renforcé sur l'usage d'IA générative en entreprise pour la seconde moitié de 2026. Le plus probable, c'est que les premiers contrôles AI Act soient déclenchés à l'occasion d'une plainte RGPD existante. Mettre en conformité l'un sans l'autre est une fausse économie. Notre guide RGPD pratique pour usage de ChatGPT en PME couvre les bons réflexes côté données personnelles.

FAQ

Q: Mon entreprise utilise uniquement ChatGPT pour des brouillons d'emails, suis-je vraiment concerné ?

Oui, l'obligation AI literacy article 4 s'applique à toute organisation qui utilise un système IA, indépendamment de la taille et du volume d'usage. Pour un solo ou très petite structure, la charge est minimale (une auto-charte d'une page, lecture d'un guide public, attestation). Mais l'obligation existe et devient sanctionnable au 3 août 2026.

Q: Si je n'ai pas de chatbot sur mon site, suis-je dispensé de l'article 50 ?

Pour la partie « transparence chatbot », oui. Mais l'article 50 couvre aussi les contenus générés par IA destinés à informer le public. Si votre blog ou vos communications publiques sont rédigés avec assistance IA et publiés sans revue humaine, vous tombez dans le périmètre et devez marquer ces contenus. Une revue humaine éditoriale documentée vous exempte.

Q: Est-ce que mon CRM HubSpot ou mon ATS de recrutement est un système haut risque ?

Pas par défaut. Un CRM classique qui ne fait pas de scoring prédictif n'est pas concerné. Un ATS qui propose une fonction de scoring CV automatisé bascule en haut risque Annex III point 4, mais l'obligation est reportée à 2 décembre 2027 par le Digital Omnibus. Vérifiez dans la documentation de votre éditeur si la fonction est activée chez vous, et désactivez-la si vous n'en avez pas l'usage.

Q: Quel est le coût indicatif d'une mise en conformité PME pour la rentrée ?

Pour une PME de 10 à 30 personnes utilisatrice d'IA grand public, deux à cinq jours-personne suffisent. Si vous le faites en interne, c'est gratuit en cash et coûte un peu de temps fondateur ou responsable opérations. Si vous passez par un accompagnement externe, comptez 1 500 à 5 000 € pour un cadrage complet et la documentation. Le dispositif Start IA de Digital Wallonia finance jusqu'à 50 % du coût d'un cadrage externe par un prestataire agréé.

Q: Que se passe-t-il si l'adoption formelle du Digital Omnibus prend du retard au-delà de juillet 2026 ?

Tant que la publication au Journal officiel n'a pas eu lieu, l'ancien calendrier reste légalement opposable. Mais la Commission a publiquement engagé l'enforcement sur la nouvelle base. Le risque réel d'un contrôle au 2 août sur des obligations Annex III reportées est très faible.

Pour aller plus loin

• Glossaire EU AI Act : le règlement européen sur l'IA
• Glossaire GPAI : les modèles d'IA à usage général
• Veille IA juin 2026 : ce qui a changé avec le Digital Omnibus
• RGPD pour PME utilisant l'IA générative
• RGPD pratique pour usage de ChatGPT en PME
• Formation IA pour PME belge : panorama 2026
• Aides Digital Wallonia 2026 : Start IA et Tremplin IA

Conclusion

Le 2 août 2026 n'est pas le grand chamboulement annoncé. Le Digital Omnibus a allégé la pression sur l'Annex III, mais les obligations qui restent (transparence chatbot, marquage contenus IA, AI literacy enforcement) concernent toutes les PME utilisatrices d'IA.

La bonne nouvelle, c'est que la checklist tient en sept étapes et se boucle en deux à cinq jours-personne pour une structure de 10 à 30 collaborateurs. Le couplage avec la conformité RGPD permet de faire d'une pierre deux coups.

Pour un cadrage rapide sur ce qui s'applique vraiment à votre PME et la checklist priorisée avant la rentrée, prenez rendez-vous avec ATTA. Trente minutes, sans engagement, retour clair sur les actions prioritaires.