AI Act : ce qui a changé à l’été 2026, vu d’une PME normande

Vous avez sans doute vu passer le message. La formation à l’IA serait obligatoire. Les amendes tomberaient depuis août 2026. Un post, une plaquette, un courriel de prestataire.

C’est plus nuancé que ça. Et depuis l’été 2026, c’est plus simple à lire.

Nous avons lu les textes pour vous. Voici ce qui compte pour une boîte normande qui utilise ChatGPT, Copilot, Gemini ou Claude sans rien développer elle-même. Les bases sont sur notre page AI Act.

Ce qui s’est passé le 27 juillet 2026

Le règlement européen sur l’IA (l’AI Act, règlement (UE) 2024/1689) a été retouché. Le texte qui le modifie est connu sous le nom d’omnibus IA. Son nom officiel : règlement (UE) 2026/1744.

La Commission l’a proposé le 19 novembre 2025. Parlement et Conseil ont trouvé un accord le 7 mai 2026. Il est en vigueur depuis le 27 juillet 2026.

Deux changements vous concernent. Les règles des systèmes à haut risque sont reportées. Et l’article 4, celui de la maîtrise de l’IA par vos équipes, est réécrit.

Le nouveau calendrier, date par date

Avant l’omnibus, les premières obligations des systèmes à haut risque devaient s’appliquer le 2 août 2026. Ce n’est plus le cas. Voici les dates en vigueur au 12 novembre 2026.

Retenez deux lignes. Le haut risque de l’annexe III, celui qui touche l’emploi ou l’éducation, attendra le 2 décembre 2027. Celui des produits réglementés, le 2 août 2028.

Ces dates sont désormais fixes, relève le site spécialisé donneespersonnelles.fr. Elles ne dépendent plus de la disponibilité des normes harmonisées.

L’article 4 : des mesures, pas un niveau garanti

C’est l’article qui concerne tout le monde. Il s’applique depuis le 2 février 2025 à toute entreprise qui utilise un système d’IA. Dans le texte, vous êtes un « déployeur ».

L’ancienne version demandait de garantir un niveau suffisant de maîtrise de l’IA chez le personnel. L’omnibus reconnaît que cela créait une charge de conformité pour les petites entreprises.

La nouvelle version demande autre chose. Vous devez prendre « des mesures pour favoriser le développement de la maîtrise de l’IA » par votre personnel. Et par ceux qui utilisent ces outils pour votre compte.

Une phrase a été ajoutée, et elle compte. L’obligation ne vous contraint pas à garantir « un niveau spécifique de maîtrise de l’IA par un individu ».

On vous demande d’agir, pas de certifier chacun.

L’obligation n’a pas disparu. Elle a changé de nature.

Si vos équipes utilisent ChatGPT ou Copilot

La Commission européenne tient à jour des questions-réponses sur cet article. La version que nous avons lue date du 20 octobre 2026. Elle parle de cas ordinaires, et c’est ce qui la rend utile.

Son exemple : des salariés qui utilisent ChatGPT pour rédiger des textes publicitaires ou pour traduire. Ils doivent être informés des risques propres à cet usage. Les hallucinations, par exemple.

Le reste tient en six points.

• Aucune formation n’est imposée, aucune certification n’est exigée, aucun certificat n’est nécessaire.
• S’en remettre à la seule notice d’utilisation est souvent jugé insuffisant.
• Sont concernés vos salariés et, selon les cas, les prestataires qui utilisent ces outils pour votre compte.
• Vous pouvez tenir un registre interne de vos formations et de vos actions de sensibilisation : c’est votre preuve.
• Aucune fonction dédiée n’est imposée : ni référent IA, ni comité.
• Le contrôle revient aux autorités nationales de surveillance du marché, depuis le 2 août 2026.

Trois autres points méritent un coup d’œil. Ils viennent de notre lecture du règlement, à faire valider par un juriste.

• Les pratiques interdites par l’article 5 le restent, par exemple la reconnaissance des émotions sur le lieu de travail.
• Depuis le 2 août 2026, l’article 50 demande de signaler les hypertrucages. Il vise aussi certains textes générés publiés pour informer le public, sauf relecture humaine avec responsabilité éditoriale.
• Trier des candidatures avec l’IA relève de l’annexe III : les obligations des déployeurs s’appliqueront le 2 décembre 2027.

Et le RGPD ? Il s’applique toujours aux données personnelles que vos équipes mettent dans l’outil. Le volet données de l’omnibus est encore en négociation, selon donneespersonnelles.fr. Notre page RGPD et IA fait le point.

Les sanctions, sans se faire peur

Les montants qui circulent sont exacts. Ils ne visent pas tous la même chose.

Pour une PME, c’est le plus faible des deux montants qui sert de plafond. Chaque État fixe son propre régime. Il peut prévoir des avertissements et des mesures non monétaires.

Et pour l’article 4 ? À notre lecture, il ne figure pas parmi les manquements assortis d’un plafond d’amende européen. Selon la Commission, les sanctions éventuelles relèvent du droit national et doivent être proportionnées.

En France, aucune autorité n’est encore désignée

C’est le point que les plaquettes oublient. Au 12 novembre 2026, aucune loi française en vigueur ne désigne les autorités chargées de contrôler l’AI Act.

Le Gouvernement a présenté un schéma le 9 septembre 2025 : une coordination par la DGCCRF et des autorités par secteur, dont la CNIL. Ce schéma attend le vote du Parlement.

Le projet de loi qui le porte a été adopté par le Sénat le 18 février 2026. Il est toujours en première lecture à l’Assemblée nationale.

Si quelqu’un vous écrit que la CNIL est « déjà désignée », demandez la source. Nous ne l’avons pas trouvée.

Lundi matin, trois gestes

Rien de tout cela ne demande un projet. Trois gestes vont dans le sens de ce que demande l’article 4.

• Listez les outils d’IA réellement utilisés chez vous : par qui, pour quoi faire.
• Informez vos équipes des risques de ces usages, hallucinations comprises, et gardez-en une trace datée.
• Écrivez la règle en une page : ce qu’on ne met jamais dans l’outil, ce qui est toujours relu.

La trace, c’est votre registre. La règle, c’est votre charte IA. Une journée de formation, notée dans le registre, est une mesure parmi d’autres. Le texte n’impose pas de format.

Le règlement ne vous demande pas d’être expert. Il vous demande de ne pas laisser vos équipes seules avec l’outil.