AI Act 2026 : le sujet n'est plus de savoir si les PME vont utiliser l'intelligence artificielle. Elles l'utilisent déjà. Parfois officiellement. Souvent en silence. La vraie question devient plus inconfortable : qui utilise l'IA, pour quoi faire, avec quelles données, sous quelles règles, et avec quelle responsabilité ?
Le règlement européen sur l'intelligence artificielle est entré en vigueur le 1er août 2024. Sa date générale d'application est fixée au 2 août 2026, avec des exceptions et des obligations progressives selon les catégories de systèmes. Dit autrement : les entreprises ont encore du temps. Mais plus assez pour continuer à tester au hasard.
Le problème n'est pas juridique au départ. Il est opérationnel.
Une PME qui laisse ChatGPT, Copilot, Gemini, Claude ou des automatisations IA se diffuser sans cadre ne fait pas de l'innovation. Elle crée une zone grise. Très productive certains jours. Très risquée les autres. Et comme toujours avec les zones grises, tout le monde trouve cela pratique jusqu'au moment où quelqu'un demande : « Qui a validé cet usage ? »
Dans beaucoup d'entreprises, l'IA n'a pas été déployée. Elle s'est installée.
Un collaborateur reformule un mail avec ChatGPT. Un manager génère une synthèse de réunion. Un commercial demande une proposition client à un assistant IA. Une équipe RH teste un outil de présélection. Une personne copie-colle un document interne dans un outil externe parce que « ça va plus vite ».
Voilà le vrai paysage. Pas un comité stratégique. Pas un schéma directeur. Pas une feuille de route validée.
Des usages dispersés.
Certains sont utiles. Certains sont anodins. Certains sont franchement discutables. Le problème, c'est que l'entreprise ne sait pas toujours lesquels existent.
C'est exactement ce que nous avions déjà analysé dans l'article sur les prompts IA flous qui font perdre du temps et de l'argent. Un prompt mal cadré n'est pas seulement une phrase maladroite. C'est souvent le symptôme d'un usage IA mal défini.
Une entreprise ne peut pas gouverner l'IA si elle ne sait pas déjà où elle est utilisée.
La difficulté, pour les dirigeants, n'est donc pas de « découvrir l'IA ». Elle est de reprendre la main sur une adoption déjà commencée.
L'AI Act n'impose pas la même charge à toutes les entreprises. C'est essentiel à comprendre.
Une PME qui utilise ponctuellement un assistant IA pour reformuler un texte n'est pas dans la même situation qu'une entreprise qui développe un système d'IA pour évaluer des candidats, attribuer un crédit, gérer des accès à un service essentiel ou produire une décision automatisée à impact significatif.
Le règlement européen adopte une logique par niveaux de risque. La Commission européenne distingue notamment les risques minimes, les risques spécifiques de transparence, les systèmes à haut risque et les pratiques interdites. Service-Public rappelle de son côté que les échéances se déploient progressivement, avec une étape majeure autour du 2 août 2026 pour les entreprises concernées par certains systèmes à haut risque.
Traduction opérationnelle : toutes les PME ne doivent pas monter une usine à conformité. Mais toutes devraient au minimum savoir répondre à quatre questions.
Ce n'est pas une posture juridique. C'est du pilotage.
Et c'est précisément là que beaucoup d'organisations se trompent. Elles attendent de savoir si elles sont « juridiquement concernées » avant de structurer leurs usages. C'est confortable. C'est aussi une excellente manière de découvrir trop tard que l'IA est déjà partout.
La bonne approche consiste à traiter l'AI Act comme un révélateur. Il force une question que les dirigeants devraient déjà se poser : voulons-nous que l'IA améliore réellement notre productivité, ou voulons-nous seulement multiplier les outils sans supervision ?
Un salarié qui utilise l'IA pour reformuler un email ne crée pas le même risque qu'une équipe qui l'utilise pour présélectionner des candidats.
Un dirigeant qui demande une synthèse d'article ne crée pas le même risque qu'un service client qui automatise des réponses sensibles.
Un collaborateur qui génère une première version de compte rendu ne crée pas le même risque qu'une équipe commerciale qui produit des propositions contractuelles sans relecture.
La différence n'est pas l'outil. C'est l'usage.
C'est là que le discours habituel sur l'IA devient paresseux. On parle de ChatGPT, Copilot ou Gemini comme si le nom de l'outil suffisait à qualifier le risque. C'est faux. Le même outil peut servir à corriger une faute, manipuler une donnée confidentielle, préparer une décision RH ou rédiger une note stratégique.
Dans un cas, le risque est faible. Dans un autre, il peut devenir sérieux.
C'est aussi pour cela que l'article sur l'erreur stratégique qui coûte le plus cher aux dirigeants lorsqu'ils déploient l'IA reste central : le problème n'est presque jamais l'outil en lui-même. Le problème, c'est l'absence de cadre.
Le risque IA ne se mesure pas au nom de l'outil. Il se mesure à ce que l'entreprise lui demande de faire.
Pour une PME, cette distinction est capitale. Elle évite deux erreurs opposées.
Première erreur : tout bloquer par peur du règlement. Résultat : les usages continuent, mais en douce.
Deuxième erreur : tout autoriser au nom de la productivité. Résultat : les données circulent, les décisions se brouillent, les responsabilités disparaissent.
Entre la panique réglementaire et le Far West numérique, il existe une voie plus adulte : cadrer.
Une PME n'a pas besoin de commencer par un comité de conformité de douze personnes. Elle doit commencer par une cartographie simple.
Quels outils sont déjà utilisés ? Par qui ? Pour quelles tâches ? Avec quelles données ? Dans quels services ? Pour produire quels livrables ? Avec quelle relecture ?
C'est rarement glamour. C'est pourtant le point de départ.
Ensuite, il faut classer les usages.
Cette classification n'est pas faite pour ralentir l'entreprise. Elle sert à éviter que chaque personne invente sa propre règle dans son coin. Parce que, spoiler discret, c'est rarement une stratégie.
À ce stade, l'entreprise peut définir une doctrine claire.
Ce qui est autorisé. Ce qui est interdit. Ce qui est testé. Ce qui doit être relu. Ce qui doit être documenté. Ce qui nécessite une validation managériale, juridique ou métier.
C'est aussi le moment de relier conformité et productivité. Une IA cadrée n'est pas une IA ralentie. C'est une IA qui produit des gains mesurables, parce qu'elle travaille sur les bons irritants : reporting inutile, recherche documentaire lente, synthèses chronophages, comptes rendus, préparation commerciale, support interne.
C'est précisément la logique du Programme Productivité IA Maîtrisée - 90 jours : partir des usages réels, identifier les gains possibles, cadrer les risques, former les équipes et ancrer uniquement ce qui crée de la valeur.
La formation IA est souvent traitée comme un bonus. Une session d'acculturation. Un atelier prompts. Deux heures sur Teams, trois captures d'écran, et tout le monde repart avec la sensation d'avoir « vu le sujet ».
C'est insuffisant.
L'AI Act introduit notamment une exigence d'alphabétisation IA pour les fournisseurs et déployeurs de systèmes d'IA. Au-delà du texte, l'idée est simple : les personnes qui utilisent l'IA doivent comprendre ce qu'elles manipulent.
Pas besoin de transformer chaque salarié en juriste ou en data scientist. Mais il faut savoir :
La formation n'est donc pas un module décoratif. C'est le socle qui transforme un usage individuel en usage d'entreprise.
Nous l'avons vu dans l'article sur la conduite du changement IA et la résistance des équipes : les collaborateurs ne résistent pas toujours à l'IA. Ils résistent souvent au flou autour de l'IA.
Le mauvais réflexe serait de lire l'AI Act comme une menace administrative.
Le bon réflexe consiste à le lire comme un signal de maturité. L'époque du test sauvage touche à sa limite. Les PME peuvent encore expérimenter, bien sûr. Elles doivent même le faire si elles veulent rester compétitives. Mais elles ne peuvent plus le faire sans inventaire, sans règle, sans formation et sans mesure.
À partir de 2026, le vrai sujet n'est plus : « faut-il utiliser l'IA ? »
Le vrai sujet devient : « savons-nous ce que nous faisons avec l'IA ? »
Productivité, oui. Mais productivité maîtrisée.
Le reste s'appelle du chaos avec une interface plus moderne.
