AI Act et PME : août 2026 ne demande rien de neuf, juste quatre vérifications

Le règlement européen sur l’intelligence artificielle, l’AI Act (règlement UE 2024/1689), est applicable de façon générale depuis le 2 août 2026, et le report annoncé fin juillet ne vous dispense de rien de ce qui vous concerne réellement. Ce report laisse intact l’article 50, celui que votre PME croise vraiment : le chatbot qui doit se déclarer, le contenu généré par IA qui doit être signalé.

Août 2026 n’a donc rien ajouté à faire dans une PME. Il a ajouté quatre choses à vérifier, et ma position va à contre-courant des titres sur les nouveautés à adopter tout de suite : n’accélérez rien. Une phrase de transparence sur votre chatbot, un responsable éditorial nommé, un plafond de dépense sur vos abonnements, et aucun agent qui agit seul.

Qu’est-ce que l’AI Act change pour une PME ?

Pour une PME qui n’édite pas de logiciel, l’AI Act ne demande pas une direction conformité, mais de la transparence sur les usages visibles par vos clients. Le calendrier d’application de l’AI Act publié par la Commission européenne fixe les étapes suivantes :

• 2 février 2025 : pratiques interdites (risque inacceptable).
• 2 août 2025 : gouvernance, modèles à usage général (les grands modèles polyvalents, du type de celui qui fait tourner ChatGPT), régime général de sanctions actif.
• 2 août 2026 : application générale, dont les obligations de transparence de l’article 50.
• 2 décembre 2027 : systèmes à haut risque de l’annexe III (RH, crédit, éducation, accès à des services essentiels), date issue du Digital Omnibus.
• 2 août 2028 : annexe I, l’IA embarquée dans des produits déjà réglementés (machines, jouets, dispositifs médicaux), date issue du Digital Omnibus elle aussi.

Ce que ça change pour vous : vous n’êtes presque jamais dans la case « haut risque ». Vous êtes dans la case transparence, et celle-là est ouverte depuis le 2 août 2026.

Le calendrier de l’AI Act a-t-il changé en 2026 ?

Oui, et six jours avant l’échéance. Le règlement (UE) 2026/1744, dit Digital Omnibus, adopté le 8 juillet 2026, publié au Journal officiel le 24 juillet 2026 et entré en vigueur trois jours plus tard, décale les deux échéances de haut risque de la liste ci-dessus (texte au Journal officiel, synthèse du Blog du Modérateur du 29 juillet 2026). Le même texte allège l’article 4 sur la littératie IA, c’est-à-dire la capacité de vos équipes à comprendre l’outil qu’elles utilisent : l’obligation de garantir un niveau suffisant devient celle de prendre des mesures qui en soutiennent le développement, sans niveau garanti par personne. L’article 50, lui, n’est pas reporté.

Si votre prestataire vous a écrit que « l’AI Act est reporté », il a lu le titre et pas le texte. Le report concerne les systèmes de scoring RH, de crédit, d’éducation. Pas votre site, pas votre newsletter.

Faut-il prévenir qu’un chatbot est une IA ?

Oui, et l’information doit arriver au plus tard lors de la première interaction. L’article 50 de l’AI Act prévoit à son paragraphe 1 que les systèmes destinés à interagir directement avec des personnes physiques soient conçus de manière que ces personnes soient informées qu’elles parlent à une IA, sauf si c’est évident pour une personne raisonnablement informée. Le paragraphe 5 fixe le moment : au plus tard lors de la première interaction.

Ce que ça change pour vous : un bandeau discret en pied de widget ne suffit pas si le premier message est signé d’un prénom humain. Dans les quinze jours, ouvrez votre chatbot en navigation privée, lisez le premier message tel qu’un client le lit, et ajoutez une phrase du type « Assistant automatisé, un humain prend le relais sur demande ».

Faut-il indiquer qu’un texte a été écrit par une IA ?

Cela dépend du sujet et de votre relecture. L’article 50 §4 impose au déployeur, c’est-à-dire à vous qui publiez avec l’outil, par opposition à l’éditeur qui le fabrique, d’indiquer qu’un texte publié pour informer le public sur des sujets d’intérêt public a été généré ou manipulé par IA, avec une exception nette : le contenu ayant fait l’objet d’une révision éditoriale humaine, sous la responsabilité d’une personne identifiée. Le §2 met le marquage lisible par machine à la charge du fournisseur du système, avec un délai transitoire jusqu’au 2 décembre 2026 pour les systèmes déjà déployés, selon la FAQ de la Commission sur les obligations de transparence de l’article 50.

Ne collez donc pas une mention « écrit par IA » partout, c’est un aveu commercial inutile. Nommez un responsable éditorial qui approuve ou rejette chaque publication, et écrivez-le dans vos mentions. C’est la même décision qui protège votre référencement et votre conformité.

Comment maîtriser le coût d’un abonnement IA en PME ?

Le 27 août 2026, Google Cloud a publié en anglais Flexible billing and cost controls for agents : facturation à l’usage sans abonnement de base pour Gemini Enterprise, plafonds de dépense mensuels par projet, alertes à 50 %, 80 % et 100 % du budget, et mise en pause des appels d’API au plafond. Le 10 août 2026, OpenAI annonçait de son côté des sièges Premium sur l’offre ChatGPT Business documentée par OpenAI, à 125 dollars par utilisateur et par mois, ou 100 dollars par mois en facturation annuelle, contre 25 dollars par mois pour le siège standard, ou 20 dollars par mois en annuel.

Ce que ça change pour vous : quand deux acteurs sortent le même mois des plafonds de dépense et des sièges premium, c’est que les factures dérapent chez leurs clients. Le geste des quinze jours tient dans un tableur : une ligne par abonnement IA, son porteur, son montant mensuel, un plafond décidé. Si vos outils se sont multipliés sans arbitrage, c’est exactement le dossier que je traite en mission de conseil, en remettant à plat outils, coûts et responsabilités avant d’ajouter quoi que ce soit.

Peut-on laisser un agent IA agir seul dans une entreprise ?

Non, et août fournit l’argument. Le 26 août 2026, OpenAI a publié son rapport technique sur l’incident Hugging Face de juillet 2026, au cours duquel des modèles en évaluation cybersécurité ont enchaîné des vulnérabilités jusqu’à atteindre l’internet public (couverture TechCrunch du 26 août 2026). Précision qui compte : la version impliquée tournait sans ses garde-fous standard, ce n’est donc pas le scénario de votre PME. Mais l’éditeur y annonce une surveillance renforcée de ses agents et des outils d’arrêt d’urgence, et le lendemain, plus de 100 entreprises dont Google, Microsoft, Anthropic, IBM, Mastercard et Visa signaient l’appel commun en anglais A call for collective action on cyber defence, qui annonce des attaques assistées par IA plus nombreuses dans les prochains mois.

Quand ceux qui vendent les agents renforcent leurs propres freins, la règle chez vous s’écrit toute seule : aucun agent ne détient seul un droit d’écriture, d’envoi ou de paiement. Un humain valide, l’agent prépare. C’est le point que je verrouille en premier dans un audit des usages IA.

Ce que je ferais à votre place avant la mi-septembre

Quatre gestes, pas un de plus : la phrase du chatbot, le nom du responsable éditorial, le tableau des abonnements avec plafond, la règle « aucun agent seul ». Le reste attend le 2 décembre 2027, au titre du règlement UE 2026/1744, et vous aurez le temps. Si vous voulez faire ces quatre gestes une bonne fois, avec vos équipes et vos outils réels, c’est une journée de cadrage, et c’est précisément ce que je fais en mission de conseil IA. Les prochains points d’actualité paraissent dans les actualités IA du blog.