Partie 1 — L'EU AI Act pour les PME

L’EU AI Act s’applique à une PME comme à n’importe qui : selon votre rôle dans la chaîne et le niveau de risque de ce que vous utilisez, pas selon l’effectif. Cette phrase explique pourquoi la même réglementation est presque invisible pour une entreprise et lourde pour une autre de taille identique.

Deux axes le déterminent. D’abord, le rôle. Êtes-vous un fournisseur — qui construit ou met un système d’IA sur le marché — ou un déployeur, qui utilise celui d’un autre ? La plupart des PME sont déployeurs : une fonctionnalité d’IA dans un CRM, ChatGPT ou Claude pour le contenu, un chatbot d’assistance. Ensuite, le niveau de risque : inacceptable, élevé, limité ou minimal. La plupart des déploiements de PME tombent dans limité ou minimal, où l’obligation relève surtout de la transparence — un chatbot dit qu’il est une IA, un média généré est étiqueté là où il induirait sinon en erreur. La machinerie lourde (documentation technique, évaluation de conformité, enregistrement dans une base de données de l’UE) s’attache aux fournisseurs et aux déployeurs de systèmes à haut risque : notation de crédit, recrutement et présélection, identification biométrique.

Donc la réponse honnête à « sommes-nous concernés » est oui, généralement du côté de la transparence plutôt que de l’évaluation de conformité.

Ce qui a changé en mai 2026

L’UE a adopté un paquet de simplification le 7 mai 2026 — le Digital Omnibus — qui a déplacé à la fois le calendrier et la charge pour les petites entreprises.

• Une nouvelle catégorie Small Mid-Cap (SMC). Jusqu’à 750 salariés ou 150 M€ de chiffre d’affaires se situe entre une PME (≤ 249 salariés, ≤ 50 M€) et une grande entreprise. Les SMC bénéficient d’un parcours allégé pour la plupart des catégories à haut risque : auto-évaluation au lieu d’une évaluation de conformité par un tiers obligatoire, documentation technique réduite centrée sur la finalité, l’atténuation des risques, les données de performance et un plan de suivi, et un enregistrement différé dans la base de données de l’UE.
• Le délai autonome pour les systèmes à haut risque a été repoussé du 2 août 2026 au 2 décembre 2027 — seize mois.
• Les systèmes à haut risque intégrés comme composants de sécurité dans des produits réglementés — dispositifs médicaux, machines, jouets — ont jusqu’au 2 août 2028.
• Le filigrane pour le contenu généré par IA, et deux nouvelles interdictions (CSAM, images intimes non consenties), entrent en vigueur le 2 décembre 2026 quelle que soit la taille de l’entreprise.

Une courte liste reste pleinement réglementée quelle que soit votre taille : l’application de la loi, l’identification biométrique dans les espaces publics, la sécurité des infrastructures critiques et l’administration de la justice.

Indépendamment du changement SMC, il existe des dispositifs conçus spécifiquement pour les PME : des bacs à sable réglementaires à accès prioritaire et gratuits dans chaque État membre, des frais d’évaluation de conformité tenus d’être proportionnels à la taille, des modèles de documentation simplifiés que les autorités nationales doivent accepter de la part des petites et micro-entreprises, des canaux de communication dédiés et des programmes de sensibilisation par État membre, et une représentation des PME dans les organismes de normalisation et le forum consultatif de l’AI Act.

Que faire cette année

1. Faites l’inventaire de l’IA que vous utilisez ou fournissez, et étiquetez chaque élément par rôle — fournisseur ou déployeur — et par niveau de risque approximatif.
2. Pour tout ce qui semble à haut risque, vérifiez si votre taille vous qualifie désormais pour le parcours d’auto-évaluation SMC. C’est une charge nettement plus légère que ce que le texte initial exigeait.
3. Si vous êtes à la limite du haut risque, n’attendez pas l’échéance de décembre 2027 pour commencer. Les cabinets qui suivent le sujet avertissent que la capacité des organismes notifiés pour l’évaluation par des tiers va se resserrer à mesure qu’approche 2027 ; commencer au troisième trimestre 2026 permet d’éviter l’engorgement.
4. Attendez-vous à davantage de détails tout au long de 2026. La Commission continue de publier des orientations d’application, donc considérez la situation actuelle comme évolutive.

Ceci est une information générale, pas un conseil juridique. Si vous êtes réellement à la limite des seuils SMC, ou si vous construisez quoi que ce soit qui touche une catégorie à haut risque, confirmez votre situation auprès d’un juriste.

Sources : A Small Business Guide to the AI Act ; les exemptions SMC de l’EU AI Omnibus ; White & Case sur l’accord Digital Omnibus.