Article de fond

AI Act et PME : ce que le Règlement (UE) 2024/1689 change vraiment

Publié le 1er novembre 2026 · TrustAI

L’AI Act, officiellement le Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, est entré en vigueur le 1er août 2024. Il s’applique progressivement. Pour une PME qui utilise des outils d’IA (sans en développer), les obligations sont souvent plus limitées qu’on ne le dit — mais pas nulles.

Fournisseur ou déployeur ?

Le règlement distingue surtout le fournisseur (qui développe un système d’IA et le met sur le marché) et le déployeur (qui l’utilise sous sa propre autorité dans un cadre professionnel). La plupart des PME sont des déployeurs. Attention : modifier substantiellement un système ou le commercialiser sous votre nom peut vous faire basculer côté fournisseur.

Une approche par niveaux de risque

Pratiques interdites (art. 5) : notation sociale, manipulation exploitant des vulnérabilités, certaines reconnaissances d’émotions au travail, etc. Applicables depuis le 2 février 2025.
Systèmes à haut risque : par exemple certains usages en recrutement, évaluation de crédit ou accès à des services essentiels (annexe III). Obligations lourdes pour les fournisseurs, et des obligations spécifiques pour les déployeurs (utilisation conforme à la notice, contrôle humain, conservation des journaux, information des personnes concernées…).
Obligations de transparence (art. 50) : informer les personnes qu’elles interagissent avec une IA, signaler certains contenus générés ou manipulés (hypertrucages). Applicables depuis le 2 août 2026.
Risque minimal : la majorité des usages courants (rédaction, résumé, traduction) n’ont pas d’obligation spécifique au titre du règlement — le RGPD, la LPD et vos contrats continuent de s’appliquer.

Le calendrier, après l’Omnibus IA

Un règlement modificatif (« Omnibus numérique sur l’IA »), publié au Journal officiel de l’UE le 24 juillet 2026, a décalé certaines échéances. Calendrier tel que présenté par le Service Desk AI Act de la Commission européenne :

Date	Ce qui s’applique
1er août 2024	Entrée en vigueur
2 février 2025	Définitions, maîtrise de l’IA (art. 4), pratiques interdites
2 août 2025	Règles pour les modèles d’IA à usage général, gouvernance
2 août 2026	Application générale ; transparence (art. 50) ; début des contrôles
2 décembre 2027	Systèmes à haut risque de l’annexe III
2 août 2028	Haut risque intégré à des produits réglementés (annexe I)

L’Omnibus a aussi modifié l’obligation de maîtrise de l’IA (art. 4), en confiant un rôle plus important à la Commission et aux États membres. Former vos équipes reste néanmoins la mesure la plus simple et la plus utile.

Et les entreprises suisses ?

La Suisse n’applique pas directement l’AI Act. Mais le règlement peut concerner une entreprise suisse dont les systèmes d’IA sont mis sur le marché dans l’UE, ou dont les résultats produits par l’IA sont utilisés dans l’UE. En Suisse, la loi sur la protection des données (LPD, en vigueur depuis le 1er septembre 2023) s’applique déjà aux traitements de données personnelles par l’IA, et le Conseil fédéral a choisi une approche sectorielle, en s’appuyant sur la Convention du Conseil de l’Europe sur l’IA.

Ce qu’une PME peut faire dès maintenant

Lister vos usages d’IA et vérifier qu’aucun ne relève des pratiques interdites.
Repérer les usages potentiellement à haut risque (RH, crédit, accès à des services) et les revoir avec un conseil.
Informer les personnes quand elles parlent à un chatbot ou reçoivent un contenu généré, lorsque c’est requis.
Former les équipes et garder une trace des règles internes.
Ne pas oublier le RGPD et la LPD, qui s’appliquent indépendamment de l’AI Act.

TrustAI aide à produire les preuves de cette démarche (inventaire, règles, journaux) ; il ne remplace pas l’analyse juridique. Commencez par le diagnostic Shadow AI.

Sources

Article informatif à jour au 1er novembre 2026. Ne constitue pas un avis juridique.