AI Act 2026 : ce que chaque dirigeant de PME doit faire avant qu’il ne soit trop tard

« On verra ça plus tard. » Ce moment, c’est maintenant.

Il y a dix-huit mois, parler d’intelligence artificielle dans une PME de 20 salariés relevait encore du futurisme. Aujourd’hui, vos commerciaux rédigent leurs emails avec ChatGPT, votre assistante de direction résume ses comptes-rendus avec Copilot, et votre responsable marketing génère ses visuels avec des outils IA en ligne.

Personne ne vous a demandé la permission. Et vous n’avez probablement pas dit non.

C’est exactement pour ça que le 2 août 2026 marque un tournant : ce jour-là, les principales obligations de l’EU AI Act — le règlement européen sur l’intelligence artificielle — sont entrées en vigueur. 

Cet article n’est pas un guide théorique sur l’IA. C’est une mise à jour de réalité pour les dirigeants qui veulent comprendre ce qui se passe dans leur entreprise, ce que la loi leur impose désormais, et ce qu’ils peuvent faire concrètement — sans tout bloquer ni tout déléguer à un cabinet de conseil hors de prix.

Ce qui se passe vraiment dans vos équipes en ce moment

Avant de parler réglementation, posons le décor.

Dans une PME typique de 15 à 80 collaborateurs en 2026, l’intelligence artificielle est déjà présente à travers cinq ou six outils différents, utilisés par des profils très variés, pour des usages que personne ne recense.

Le responsable commercial utilise ChatGPT pour préparer ses argumentaires. La comptable colle des extraits de bilans dans un outil IA pour en faire des synthèses. Le technicien SAV interroge un assistant IA sur des procédures techniques. Le dirigeant lui-même utilise Claude ou Gemini pour rédiger ses communications internes.

Aucun de ces usages n’est forcément problématique en soi. Le problème, c’est que personne ne sait exactement ce qui se passe : quelles données partent vers quels serveurs, quels modèles traitent quelles informations, et quelles décisions sont influencées par des résultats d’IA non vérifiés.

Ce phénomène a un nom : le shadow AI. Et il touche aujourd’hui 80 % des organisations, qui n’ont aucune visibilité claire sur leurs usages IA internes.

L’AI Act : ce que ça change concrètement pour une PME

L’AI Act n’est pas réservé aux géants de la tech. Il s’applique à toute entreprise qui utilise des systèmes d’IA sur le territoire européen — y compris les PME qui utilisent simplement ChatGPT, Copilot ou un outil de recrutement automatisé.

Le calendrier à retenir

• 2 février 2025 : interdiction des pratiques IA à risque inacceptable (manipulation, notation sociale, surveillance biométrique en temps réel). Ces règles sont déjà en vigueur depuis plus d’un an.
• 2 août 2025 : obligations de transparence pour les modèles d’IA à usage général (GPAI). Si vous utilisez GPT-4, Claude ou Gemini, vos fournisseurs doivent se conformer à des exigences de documentation.
• 2 août 2026 : c’est maintenant. Les obligations principales entrent en vigueur pour la majorité des entreprises — notamment celles qui utilisent l’IA dans les RH, la relation client, les finances ou le commercial.
• 2 décembre 2026 : obligation de marquage des contenus générés par IA (textes, images, vidéos, audio) pour les systèmes déjà sur le marché avant août 2026.

Ce que l’AI Act impose aux utilisateurs d’IA en entreprise

Contrairement à ce que beaucoup pensent, l’AI Act ne s’adresse pas uniquement aux éditeurs de logiciels IA. Il impose des obligations aux entreprises qui déploient ces systèmes — c’est-à-dire vous, dès lors que vous utilisez l’IA dans vos processus métiers.

Concrètement, cela signifie :

Former vos collaborateurs. L’AI Act impose une obligation de « littératie IA » : chaque employé qui utilise un système d’IA dans le cadre de son travail doit avoir reçu une formation adaptée. Pas un module e-learning de 20 minutes oublié le lendemain — une formation qui lui permet de comprendre les limites de l’outil, les risques liés aux données et les bonnes pratiques d’utilisation.

Documenter vos usages. Vous devez être capable d’identifier quels systèmes IA sont utilisés dans votre entreprise, à quelles fins, par qui, et avec quelles données. Cette documentation est la base de toute conformité.

Assurer la transparence. Si une décision est prise avec l’aide de l’IA — une sélection de candidat, une proposition commerciale, une évaluation de risque — les personnes concernées doivent en être informées.

Protéger les données personnelles. L’AI Act se superpose au RGPD, il ne le remplace pas. Toute donnée personnelle traitée via un outil IA reste soumise aux obligations RGPD : base légale, minimisation des données, droit d’accès et de suppression.

Secteur par secteur : comment l’IA transforme déjà les PME

L’intelligence artificielle ne touche pas tous les secteurs de la même façon — mais elle touche tous les secteurs. Voici ce qui se passe concrètement dans les PME françaises selon leur activité.

Commerce et distribution

Les PME du commerce sont parmi les plus avancées dans l’adoption de l’IA générative. Les usages les plus fréquents : génération automatique de fiches produits, personnalisation des emails clients, analyse des retours et avis en ligne, prévision des stocks. Un responsable commercial qui utilisait auparavant deux heures pour préparer une proposition peut aujourd’hui en produire une version solide en vingt minutes grâce à un assistant IA configuré sur les offres de l’entreprise.

Le risque principal dans ce secteur : la transmission de données clients (historiques d’achat, coordonnées, comportements) vers des outils IA grand public non conformes RGPD.

Industrie et fabrication

Dans les PME industrielles, l’IA s’invite d’abord dans la maintenance prédictive, la documentation technique et l’optimisation des plannings de production. Les agents IA permettent aux techniciens d’interroger des bases de connaissance complexes en langage naturel, réduisant les temps de recherche et les erreurs de procédure.

L’enjeu de gouvernance est ici particulièrement fort : les données de production, les plans techniques et les savoir-faire industriels constituent des actifs stratégiques qu’il est impensable de laisser circuler sans contrôle.

BTP et services aux entreprises

Les PME du BTP utilisent l’IA pour rédiger des appels d’offres, analyser des cahiers des charges volumineux, générer des comptes-rendus de chantier et optimiser les plannings d’équipes. Un bureau d’études de dix personnes peut traiter deux fois plus de dossiers en utilisant des assistants IA bien configurés.

Dans les services aux entreprises — conseil, comptabilité, juridique, RH — l’IA générative est déjà un outil de travail quotidien pour la rédaction, la synthèse et l’analyse. C’est aussi le secteur où les risques de confidentialité sont les plus élevés, puisque les données traitées concernent directement les clients de ces entreprises.

Transport et logistique

L’optimisation des tournées, la gestion des documents de transport, le suivi des flottes et la communication avec les clients sont autant de domaines où l’IA apporte des gains de productivité mesurables. Les PME de transport qui ont structuré leurs usages IA rapportent des économies de temps significatives sur les tâches administratives, libérant leurs équipes pour des missions à plus forte valeur ajoutée.

Les cinq erreurs que font les PME avec l’IA (et leurs conséquences réelles)

Erreur n°1 : Laisser les collaborateurs utiliser l’IA sans règles

C’est l’erreur la plus répandue. Et la plus coûteuse sur le long terme. Sans règles claires, chaque collaborateur invente les siennes — avec des niveaux de prudence très variables. Résultat : des données clients, des informations financières ou des secrets industriels se retrouvent dans des outils grand public dont les conditions d’utilisation autorisent parfois le réentraînement des modèles sur ces données.

Conséquence concrète : une violation RGPD potentielle, une perte de confidentialité irréversible, et une exposition juridique que la plupart des dirigeants découvrent trop tard.

Erreur n°2 : Faire confiance aveuglément aux résultats de l’IA

Les hallucinations — ces erreurs factuelles produites avec une assurance déconcertante par les modèles de langage — sont l’un des risques les plus sous-estimés. Un modèle IA peut inventer une jurisprudence, citer une étude qui n’existe pas, ou produire un calcul faux avec une mise en forme impeccable.

Conséquence concrète : un devis envoyé avec une erreur de calcul, une proposition commerciale contenant une information fausse sur la réglementation, ou une décision stratégique basée sur une analyse IA non vérifiée.

Erreur n°3 : Tout miser sur un seul outil IA

Beaucoup de PME ont standardisé sur Microsoft Copilot ou sur ChatGPT. Cette dépendance crée un risque de continuité réel : une modification tarifaire, une panne prolongée ou un changement de politique d’utilisation peut désorganiser l’entreprise du jour au lendemain.

Conséquence concrète : perte des configurations, des prompts métiers et des bases de connaissance construits dans un seul outil. Tout est à reconstruire si vous changez de fournisseur.

Erreur n°4 : Confondre « formation IA » et « formation à un outil »

Former ses équipes à ChatGPT n’est pas la même chose que former ses équipes à l’IA. La première approche crée une dépendance à un outil spécifique. La seconde développe une compétence transversale : comprendre comment fonctionnent les modèles de langage, quelles sont leurs limites, comment formuler des instructions efficaces (le prompting), et comment vérifier les résultats.

Conséquence concrète : des collaborateurs qui ne savent pas utiliser un nouvel outil dès que l’interface change, et qui reproduisent les mêmes erreurs d’un outil à l’autre.

Erreur n°5 : Traiter la gouvernance IA comme un projet uniquement IT

La gouvernance IA n’est pas un projet uniquement informatique. C’est un projet organisationnel qui implique la direction, les managers, les équipes opérationnelles et — dans les entreprises de plus de 50 salariés — les représentants du personnel. La confier uniquement au responsable informatique, c’est s’assurer qu’elle restera technique, incomprise et peu adoptée.

Conséquence concrète : une politique IA sur papier que personne n’applique, et des usages informels qui continuent exactement comme avant.

Ce qu’une PME doit mettre en place : le minimum viable de gouvernance IA

Pas besoin d’une équipe dédiée ni d’un budget de grand groupe. Le minimum viable de gouvernance IA pour une PME tient en quatre éléments.

1. Un inventaire des usages IA existants

Avant de définir des règles, il faut savoir ce qui existe. Cela passe par un recensement simple : quels outils IA sont utilisés, par qui, pour quoi, et avec quelles données. Cet inventaire est aussi la base de votre documentation AI Act.

2. Une plateforme centralisée pour unifier les accès

Plutôt que de laisser chaque collaborateur utiliser l’outil de son choix, une plateforme de gouvernance IA centralise les accès à plusieurs modèles (ChatGPT, Claude, Gemini, Mistral…) dans un environnement unique, sécurisé et traçable. Chaque interaction est enregistrée, les accès sont gérés par profil, et les données restent hébergées en Europe.

C’est la brique fondamentale de toute gouvernance IA sérieuse — et elle est aujourd’hui accessible aux PME sans infrastructure technique complexe.

3. Une charte IA simple et opérationnelle

Pas un document juridique de 40 pages. Une charte IA lisible et applicable, qui répond aux trois questions que se posent les collaborateurs :

• Quels outils puis-je utiliser ?
• Quelles informations je ne dois jamais saisir dans un outil IA ?
• Que faire si j’obtiens un résultat qui me semble faux ou problématique ?

Cette charte est aussi la preuve documentaire que votre entreprise a pris ses responsabilités vis-à-vis de l’AI Act.

4. Une formation concrète, pas théorique

La formation doit partir des situations réelles de vos équipes : comment rédiger un email commercial avec l’IA sans divulguer de données clients ? Comment utiliser l’IA pour préparer une réunion sans risquer de fuite d’informations confidentielles ? Comment vérifier qu’un résultat IA est fiable ?

Des méthodes comme CARTEL — qui structure la rédaction de prompts efficaces — permettent aux collaborateurs de monter en compétence rapidement, sur leurs propres cas d’usage métiers.

Choisir le bon niveau de gouvernance selon la taille et la maturité de votre PME

Toutes les PME ne partent pas du même point. La gouvernance IA doit être proportionnée à la réalité de l’entreprise — sa taille, son secteur, le niveau d’exposition de ses données et la maturité de ses équipes face à l’IA.

Pour les TPE et PME de moins de 20 salariés

L’enjeu principal est de poser un cadre minimal rapidement : définir les outils autorisés, sensibiliser les collaborateurs aux risques de base (données sensibles, RGPD) et centraliser les accès sur une plateforme commune. Une demi-journée de formation et quelques règles simples suffisent à réduire considérablement l’exposition au risque.

Pour les PME de 20 à 50 salariés

À ce stade, les usages sont plus diversifiés et les risques plus importants. Il faut aller plus loin : une charte IA formalisée, une formation adaptée par métier, des cas d’usage identifiés et un premier niveau de reporting sur les usages. L’audit initial permet de cartographier précisément ce qui se passe et de prioriser les actions.

Pour les PME de 50 à 150 salariés

Les entreprises de cette taille ont souvent des processus plus complexes, des données plus sensibles et des équipes plus hétérogènes dans leur rapport à l’IA. La gouvernance doit intégrer des assistants IA métiers configurés sur les processus spécifiques de l’entreprise, un comité de suivi régulier et une veille active sur les évolutions réglementaires (AI Act, RGPD, sectorielles).

C’est également à ce niveau que les automatisations deviennent un levier stratégique réel : connecter l’IA aux outils existants (CRM, ERP, messagerie, outils métiers) pour créer des flux de travail intelligents qui libèrent du temps sur les tâches répétitives à forte volumétrie.

Gouvernance IA et compétitivité : le vrai enjeu pour les PME en 2026

Au-delà de la conformité, la gouvernance IA est un avantage compétitif durable.

Les PME qui ont mis en place un cadre structuré observent des bénéfices que leurs concurrentes sans gouvernance ne peuvent pas atteindre :

Des automatisations durables. Quand les processus sont documentés et les règles claires, il est possible de construire des agents IA et des automatisations qui s’intègrent réellement dans les flux de travail — et pas juste des raccourcis individuels non maintenus. Selon plusieurs retours terrain, les entreprises qui automatisent des tâches récurrentes via des agents IA bien configurés économisent en moyenne 30 à 60 heures par mois sur des postes clés.

Une mémoire organisationnelle préservée. Les bases de connaissance, les règles métiers et les configurations d’assistants IA sont hébergées dans un environnement maîtrisé. Si vous changez de modèle IA demain — parce qu’un nouveau modèle est plus performant, moins cher ou mieux adapté à votre secteur — vous ne repartez pas de zéro. Votre contexte métier, vos règles et votre historique restent intacts.

Des équipes plus autonomes et plus confiantes. Une formation adaptée et des règles claires réduisent l’anxiété face à l’IA — un frein souvent sous-estimé dans l’adoption. Les collaborateurs qui comprennent ce qu’ils font avec l’IA, et pourquoi c’est sécurisé, l’utilisent davantage et mieux. Ils se concentrent sur les usages à forte valeur ajoutée plutôt que sur les tâches que l’IA peut traiter seule.

Une réputation de confiance renforcée. Vis-à-vis de vos clients, de vos partenaires et de vos futurs collaborateurs, être en mesure de dire « nous utilisons l’IA de façon responsable, documentée et conforme » est déjà un différenciateur. Dans certains secteurs — santé, juridique, finance, industrie de défense — c’est même en train de devenir un critère de sélection dans les appels d’offres.

Un avantage dans le recrutement. Les jeunes talents qui entrent sur le marché du travail en 2026 ont grandi avec l’IA. Ils cherchent des employeurs qui leur permettent d’utiliser ces outils de façon professionnelle et encadrée. Une PME qui dispose d’une gouvernance IA mature et d’assistants métiers bien configurés attire et retient plus facilement ces profils.

Foire aux questions : AI Act et gouvernance IA pour les PME

Mon entreprise est-elle concernée par l’AI Act si j’utilise juste ChatGPT ? 

Oui. Dès lors que vous utilisez un système d’IA dans vos processus métiers — même un outil grand public comme ChatGPT — vous êtes considéré comme « déployeur » au sens de l’AI Act et vous avez des obligations, notamment en matière de formation et de transparence.

Quelles sont les sanctions en cas de non-conformité à l’AI Act ? 

Les sanctions varient selon le type de violation : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et jusqu’à 15 millions d’euros ou 3 % du CA pour les autres obligations. Pour une PME, même une sanction de faible montant peut être déstabilisante sur le plan opérationnel et réputationnel.

Faut-il arrêter d’utiliser l’IA le temps de se mettre en conformité ? 

Non. L’objectif n’est pas de bloquer les usages, mais de les encadrer. La mise en place d’une gouvernance IA peut se faire en quelques semaines sans interrompre les pratiques existantes.

Quelle est la différence entre RGPD et AI Act ? 

Le RGPD encadre le traitement des données personnelles. L’AI Act encadre les systèmes d’intelligence artificielle. Les deux se cumulent : un outil IA qui traite des données personnelles doit être conforme aux deux réglementations simultanément.

Combien de temps faut-il pour mettre en place une gouvernance IA dans une PME ?

Avec un accompagnement structuré, les premières briques (plateforme, règles de base, formation initiale) peuvent être opérationnelles en 4 à 8 semaines. La gouvernance est ensuite un processus continu d’amélioration, pas un projet à date fixe.

Qu’est-ce qu’un agent IA et en ai-je besoin dans ma PME ? 

Un agent IA est un assistant configuré pour effectuer des tâches spécifiques de façon autonome : répondre aux emails entrants selon des règles définies, extraire des informations de documents, générer des rapports à partir de données internes… Pour une PME, les agents IA les plus utiles sont ceux qui automatisent des tâches répétitives à forte volumétrie. Leur déploiement est pertinent une fois le cadre de gouvernance en place.

Conclusion : l’AI Act n’est pas une contrainte, c’est une opportunité de prendre de l’avance

Les PME qui vont souffrir de l’AI Act sont celles qui vont l’aborder comme une obligation administrative à cocher. Celles qui vont en tirer un avantage compétitif sont celles qui vont le traiter comme ce qu’il est vraiment : une invitation à structurer leurs usages IA avant leurs concurrents.

Mettre en place une gouvernance IA, c’est reprendre le contrôle sur ce qui se passe déjà dans votre entreprise. C’est protéger vos données, former vos équipes, et construire les bases d’une utilisation de l’IA qui crée de la valeur dans la durée — pas juste des gains individuels non tracés.

ORIS accompagne les PME des Hauts-de-France — Dunkerque, Lille, Béthune, Hazebrouck, Calais, Arras, Valenciennes et toute la région — pour passer de l’usage informel à la gouvernance opérationnelle. Premier échange sans engagement.

👉 Prenez rendez-vous avec un expert ORIS : 03 28 20 21 32 — oris-it.fr