Règlement IA pour PME 2026 : ce qu'il faut vraiment faire avant le 2 août

Le 2 août 2026, dans moins de trois mois, le règlement IA de l'UE entre pleinement en vigueur. Les amendes peuvent atteindre 15 millions d'euros ou 3% du chiffre d'affaires mondial annuel. Pourtant 99% des PME n'ont rien préparé. La loi semble énorme, mais en pratique elle se résume à quelques actions concrètes. Voici la version honnête : ce qu'il faut vraiment faire, ce qui est exagéré, et comment régler tout ça en un après-midi.

Le règlement IA me concerne-t-il ?

Presque certainement oui. Il s'applique à toute organisation qui utilise l'IA dans ses opérations, entreprise d'installation, e-commerce, transport. La taille n'entre pas en compte. Avoir développé l'IA soi-même non plus. Si vous achetez et déployez de l'IA, vous êtes concerné.

Et "déployer de l'IA" est plus large que vous pensez. Vous utilisez ChatGPT pour rédiger des e-mails ? Copilot dans Word ou Excel ? Votre logiciel de comptabilité a des fonctions IA (Sage, Cegid, EBP) ? Un chatbot sur votre site ? LinkedIn Recruiter ? Grammarly ? Vous êtes concerné.

Que faut-il avoir prêt pour le 2 août 2026 ?

Pour la plupart des PME, cinq éléments concrets. Aucun n'est techniquement complexe. Mais il faut les documenter et les rendre vérifiables.

• Un registre IA, liste de tous les outils IA, avec : nom, fournisseur, objectif, données traitées, utilisateurs. Un fichier Excel à six colonnes suffit.
• Une politique IA, un A4 interne avec les règles : quels outils sont autorisés, lesquels non, que faire avec les données clients.
• Formation démontrable des employés, toute personne travaillant avec l'IA doit avoir des connaissances de base (article 4 du règlement, "littératie IA"). Obligatoire depuis février 2025. Une session interne d'une heure avec un petit test suffit.
• Transparence envers les clients, si vous déployez de l'IA en communication (chatbot), vous devez l'indiquer. Une ligne suffit : "Vous parlez à un assistant IA."
• Accords de sous-traitance avec les fournisseurs IA, si des données personnelles transitent par un outil IA, il faut un accord. Les grands fournisseurs (OpenAI, Microsoft, Google) les publient en standard.

Les amendes, réelles ou exagérées ?

Les chiffres sont importants : jusqu'à 35 millions d'euros ou 7% du CA mondial pour pratiques IA interdites, jusqu'à 15 millions ou 3% pour non-respect des obligations à haut risque, jusqu'à 7,5 millions ou 1% pour fausses informations aux autorités.

En pratique : pour une PME normale utilisant de l'IA "ordinaire" (ChatGPT, Copilot, chatbot, IA comptable), ces maxima ne sont pas réalistes. Mais l'absence de documentation de base, registre IA, politique, formation, peut entraîner une amende administrative en cas de contrôle.

Quels outils IA mettre dans mon registre ?

• Assistants IA génériques : ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity
• IA bureautique : Copilot dans Word/Excel/Outlook, Google Workspace AI, Notion AI
• IA CRM : Salesforce Einstein, HubSpot AI, Pipedrive AI
• IA comptable : Sage IA, Cegid IA, Klippa, EBP IA
• IA communication : chatbots, réceptionnistes IA, bots WhatsApp Business
• IA RH : LinkedIn Recruiter, Lucca AI, PayFit AI
• IA rédaction : Grammarly, DeepL Write, Antidote
• IA marketing : plugins ChatGPT, IA dans Mailchimp, IA dans Meta Ads
• Spécifique secteur : IA planification pour installateurs, IA routage pour transport, IA stocks pour retail

RGPD et règlement IA, quel lien ?

Le RGPD continue de s'appliquer. Le règlement IA est un complément, pas un remplacement. Si votre outil IA traite des données personnelles (et la plupart le font), vous devez respecter les deux.

L'approche en 5 étapes pour votre PME

• Étape 1, Inventaire (1–2 heures) : passer en revue tous les logiciels avec votre équipe. Vérifier les fonctions IA. Créer un Excel : outil, fournisseur, objectif, données, utilisateurs, niveau de risque.
• Étape 2, Politique sur une page (1 heure) : noter quels outils sont autorisés, quels ne le sont pas, quelles règles pour les données clients.
• Étape 3, Formation (1 heure par employé) : courte session sur ce qu'est l'IA, les risques et les règles. Tester ou faire signer.
• Étape 4, Adapter la communication client (30 minutes) : ajouter une mention IA dans le chatbot, la signature e-mail et la politique de confidentialité.
• Étape 5, Vérifier les accords de sous-traitance (1–2 heures) : pour chaque fournisseur IA traitant des données personnelles, télécharger et archiver.

Ce que vous ne devez PAS faire

• Un consultant compliance externe à 5 000–15 000 €, inutile sauf IA à haut risque
• Un logiciel compliance coûteux avec dashboards, Excel fait pareil gratuitement
• Certification ISO 42001, intéressant pour grandes entreprises, exagéré pour PME
• Délégué à la protection des données dédié, uniquement obligatoire pour traitement à grande échelle
• Rapport d'analyse de risque complet par outil, seulement pour systèmes à haut risque

Trois erreurs courantes

• Erreur 1 : penser que le règlement ne vous concerne pas parce que vous n'utilisez "que" ChatGPT. Il vous concerne.
• Erreur 2 : attendre le 1er août. Les fournisseurs seront débordés et les équipes en vacances. Faites-le en juin.
• Erreur 3 : ne former que vos employés et oublier vos freelances. La loi s'applique aussi aux indépendants qui travaillent en votre nom avec de l'IA.

Le règlement IA sonne comme une réglementation pour multinationales, mais l'impact pratique touche surtout les PME. Bonne nouvelle : pour une PME normale, c'est réglé en quelques heures. Mauvaise nouvelle : si vous ne faites rien, en août 2026 vos concurrents auront pris une longueur d'avance.