L'AI Act s'applique depuis le 2 août : ce qui concerne vraiment votre PME (et ce qui a été repoussé à 2027)

Depuis le 2 août 2026, les obligations de transparence de l'AI Act s'appliquent dans toute l'Union. Pour une PME de 10 à 50 personnes qui utilise l'IA sans en fabriquer, ça se résume à peu de chose : si un visiteur peut parler à un robot sur votre site, il doit savoir que c'est un robot ; si vous publiez des contenus générés qui informent le public, vous les signalez. C'est une après-midi de travail, pas un chantier. En revanche, l'échéance qui vous inquiétait peut-être — celle des systèmes dits « à haut risque » — a été repoussée au 2 décembre 2027 par un règlement entré en vigueur le 27 juillet. Voici la lecture exacte, parce qu'une bonne partie de ce que vous lirez ailleurs ce mois-ci est périmée.

Un avertissement d'entrée : je ne suis pas juriste. Ce que je décris ici, c'est le texte, ses dates, et ce que j'en fais concrètement quand j'installe des automatisations chez un client. Pour un cas limite — vous vendez un logiciel qui embarque de l'IA, vous faites du tri de candidatures assisté, vous travaillez dans le médical — la conversation utile est avec un avocat, pas avec moi.

Ce qui s'applique depuis le 2 août

L'article 50 du règlement, et lui seul, est ce qui a changé cette semaine-là. Il couvre quatre situations, telles que la Commission européenne les présente dans sa FAQ consacrée à cet article :

• Un système d'IA qui interagit directement avec des personnes — chatbot, assistant vocal, avatar — doit être conçu pour que la personne sache qu'elle s'adresse à une machine, sauf si c'est évident pour quelqu'un de raisonnablement informé.
• Les contenus produits par une IA générative doivent être marqués dans un format lisible par machine, afin d'être détectables comme artificiels.
• Un système de reconnaissance des émotions ou de catégorisation biométrique oblige celui qui l'utilise à en informer les personnes exposées.
• Les deepfakes, ainsi que les textes générés publiés pour informer le public sur des sujets d'intérêt général, doivent être signalés comme tels.

Deux exceptions méritent d'être retenues, parce qu'elles couvrent la majorité des usages de bureau. L'obligation de marquage ne s'applique pas quand l'IA joue un rôle d'assistance à l'édition standard — corriger, reformuler, mettre en forme. Et un texte publié qui a fait l'objet d'une relecture humaine, avec quelqu'un qui en porte la responsabilité éditoriale, échappe à l'obligation de signalement. Autrement dit : votre newsletter dégrossie par ChatGPT puis relue et assumée par votre responsable marketing n'a pas à porter un bandeau « écrit par une IA ».

Ce qui a été repoussé — et que beaucoup d'articles annoncent encore à tort

Le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27, décale l'entrée en application des obligations sur les systèmes à haut risque : 2 décembre 2027 pour les cas d'usage listés — biométrie, infrastructures critiques, éducation, emploi et ressources humaines, accès au crédit et à l'assurance, justice, migration, maintien de l'ordre — et 2 août 2028 pour l'IA intégrée à des produits déjà réglementés par ailleurs, machines, dispositifs médicaux, jouets.

C'est là qu'il faut se méfier de ce qu'on lit. Une recherche menée cette semaine remonte encore des pages, y compris d'apparence récente, qui annoncent le haut risque applicable au 2 août 2026 : elles ont été écrites avant l'adoption du texte modificatif et n'ont jamais été mises à jour. Si votre entreprise fait du tri de CV assisté par IA ou du scoring de dossiers, vous avez seize mois de plus que ce qu'on vous raconte. Ce n'est pas une raison pour ne rien faire, c'est une raison pour ne pas signer dans l'urgence un contrat de mise en conformité au mois d'août.

La question qui décide de tout : fournisseur ou déployeur ?

Le règlement distingue deux rôles, et les obligations ne tombent pas au même endroit selon celui que vous occupez. Un déployeur est celui qui utilise un système d'IA sous sa propre autorité. Un fournisseur est celui qui développe le système, ou qui le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque — y compris pour son usage interne.

Cette dernière précision est celle que la plupart des articles sautent, et elle change la réponse pour beaucoup de PME :

• Vous activez un chatbot vendu clés en main par un éditeur, sous la marque de cet éditeur : vous êtes déployeur. L'obligation d'annoncer la machine pèse sur lui. Votre travail se limite à vérifier qu'il l'a effectivement fait.
• Vous faites développer un assistant sur mesure et il porte votre nom sur votre site : vous êtes fournisseur de ce système, même si toute la technologie vient d'ailleurs. L'obligation est chez vous.
• Vous utilisez ChatGPT ou Claude en interne pour rédiger : vous êtes déployeur d'un outil dont le fournisseur est l'éditeur du modèle. Le marquage des contenus générés, c'est son affaire, pas la vôtre.

Un point de droit à ne pas confondre au passage : il existe bien une règle qui transforme un déployeur en fournisseur lorsqu'il appose sa marque sur un système existant, mais elle ne vise que les systèmes à haut risque. Elle ne s'applique donc pas au chatbot d'un site vitrine.

Ce que je ferais cette semaine, concrètement

1. Lister en dix lignes les endroits où un client, un candidat ou un fournisseur peut se retrouver face à de l'IA chez vous : chatbot, réponse automatique aux emails, assistant téléphonique, formulaire intelligent.
2. Sur chacun, répondre à une seule question : est-ce évident, pour la personne en face, que ce n'est pas un humain ? Si la réponse hésite, la réponse est non.
3. Ajouter la phrase manquante. « Vous échangez avec un assistant automatisé ; pour parler à quelqu'un, appelez le… » Dix minutes de travail, sujet réglé.
4. Vérifier les signatures de vos réponses automatiques. Un email envoyé par un agent qui signe du nom d'un collaborateur, c'est le cas qui pose vraiment problème — moins juridiquement que commercialement.
5. Écrire une note d'une page : quels outils d'IA sont utilisés, par qui, pour quoi. Vous en aurez besoin de toute façon, pour le RGPD comme pour le jour où un client vous posera la question dans un appel d'offres.

Le point 5 recoupe un travail que vous avez peut-être déjà entamé côté données personnelles — j'ai détaillé où atterrissent réellement vos données selon l'outil dans IA et RGPD : où vivent vraiment les données de votre PME. Les deux réglementations sont distinctes, mais l'inventaire à faire est le même.

La formation de l'équipe : une obligation qui date de 2025

Point que peu de dirigeants connaissent : l'obligation de littératie en IA ne date pas de cet été, elle s'applique depuis le 2 février 2025. Elle demande aux fournisseurs comme aux déployeurs de prendre des mesures pour que les personnes qui manipulent ces outils sachent ce qu'elles font. Le règlement de juillet l'a assouplie : c'est désormais une obligation de moyens — soutenir le développement des compétences — et non plus de résultat, le texte précisant qu'elle n'impose de garantir aucun niveau particulier chez qui que ce soit.

En pratique, ça ne demande pas un plan de formation certifiant. Deux heures avec l'équipe sur ce que l'outil sait faire, ce qu'il invente, et ce qu'on ne lui donne jamais à lire — plus une trace écrite que ça a eu lieu.

Les amendes : le vrai plafond pour une PME

Le chiffre qui circule est 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Il est exact pour un manquement à l'article 50, mais c'est le montant le plus élevé des deux qui s'applique — aux grandes entreprises. Le règlement prévoit explicitement l'inverse pour les PME et les start-ups : dans leur cas, c'est le montant le plus bas.

Sur une PME wallonne réalisant 5 millions d'euros de chiffre d'affaires, le plafond théorique n'est donc pas 15 millions mais 150 000 euros. C'est un maximum abstrait, pas une amende probable : les autorités doivent tenir compte de la gravité du manquement et de la taille de l'entreprise. L'ordre de grandeur à retenir est simplement celui-ci — ce n'est pas une contravention, et ce n'est pas non plus de quoi couler une société pour un bandeau manquant sur un chatbot.

En Belgique, le contrôleur n'existe pas encore

Voilà le décalage qu'il faut avoir en tête. Les États membres devaient désigner leur autorité de surveillance du marché et leur autorité notifiante pour le 2 août 2025. Un an plus tard, la Belgique ne l'a toujours pas fait : le suivi de mise en œuvre tenu par l'observatoire AI Act classe la situation belge comme non tranchée, et l'IBPT n'est que *pressenti* comme régulateur principal, via l'accord de coalition fédérale 2025-2029. Aucune loi belge ne précise le dispositif à ce jour. La Belgique a en revanche bien notifié à la Commission ses autorités de protection des droits fondamentaux : une vingtaine figurent sur la liste consolidée.

Ce que ça change pour vous : l'obligation s'applique bel et bien, mais le guichet qui viendrait la contrôler et la sanctionner n'est pas encore en place. Ça décale le risque dans le temps ; ça ne l'annule pas. Et surtout, ça ne protège en rien du risque qui arrive le plus tôt en pratique — un gros client, un hôpital, une administration qui ajoute une ligne « conformité AI Act » à son questionnaire fournisseur. Celui-là ne dépend d'aucun régulateur belge.

Ce pour quoi ce n'est pas une bonne idée d'en faire un chantier

Trois contre-indications, parce que la rentrée va être un festival commercial sur le sujet.

• N'achetez pas de « pack de conformité AI Act ». Pour une PME utilisatrice, l'essentiel du travail tient dans les cinq points ci-dessus et ne justifie pas une prestation à quatre chiffres.
• Ne lancez pas de gouvernance IA formelle — comité, charte, matrice de risques — si vous avez trois automatisations. Vous produirez des documents que personne ne relira.
• Ne confondez pas avec le RGPD. S'il faut arbitrer votre temps de dirigeant, le RGPD est aujourd'hui le sujet qui vous expose le plus : l'autorité existe, elle contrôle, et vos données clients circulent déjà.

L'inverse est vrai également : si vous n'avez encore aucune automatisation, cette échéance n'est pas une raison de repousser. Elle porte sur la manière d'afficher les choses, pas sur le droit de les faire. Par où commencer reste la même question qu'avant — j'y ai répondu dans IA pour PME en Wallonie : par où commencer concrètement.

En clair

Depuis le 2 août, une PME belge qui utilise l'IA doit pouvoir répondre à une question simple : les gens qui interagissent avec nos outils savent-ils qu'ils parlent à une machine ? Si oui, vous êtes en règle sur ce qui vient d'entrer en application. Le reste — haut risque, audits, documentation technique — a été repoussé de seize mois et ne concernera de toute façon qu'une minorité de PME.

Si vous avez un doute sur un cas précis chez vous, un coup de fil suffit souvent à trancher : 0491 505 505 ou info@simplifiez.ai. Et si le doute est juridique plutôt que technique, je vous le dirai — ça vaut mieux qu'un avis d'automaticien sur un texte européen.