Règlement (UE) 2024/1689 · Mis à jour le 22 septembre 2026
Calendrier AI Act 2024–2028 pour les PME
Les dates d'application du règlement européen sur l'IA, ce qu'elles changent pour une PME qui utilise ChatGPT, Copilot ou un chatbot, et ce qui a été reporté par l'omnibus numérique. Une page de référence, datée, sans jargon.
- Mis à jour le 22 septembre 2026
- Source : règlement (UE) 2024/1689
- Omnibus numérique : accord du 6 mai 2026
- Ne constitue pas un conseil juridique
Les sept échéances
Du 1er août 2024 au 2 août 2028
| Date | Ce qui entre en application | Qui est concerné | Ce que ça change pour une PME |
|---|---|---|---|
| 1er août 2024 | Entrée en vigueur du règlement (UE) 2024/1689.En vigueur | Tous les acteurs : fournisseurs, déployeurs, importateurs, distributeurs. | Rien à faire à cette date. Le texte est publié ; les obligations arrivent par paliers. |
| 2 février 2025 | Pratiques interdites (Art. 5) et obligation de maîtrise de l'IA (Art. 4).En vigueur | Fournisseurs et déployeurs, donc toute entreprise dont le personnel utilise un système d'IA. | Vous devez veiller à un niveau suffisant de maîtrise de l'IA de vos salariés, et pouvoir le montrer (programme daté, feuille d'émargement, attestation). Vous devez vérifier qu'aucun usage ne relève des pratiques interdites. |
| 2 août 2025 | Obligations des modèles à usage général (GPAI), gouvernance, régime des sanctions.En vigueur | Fournisseurs de modèles (OpenAI, Google, Microsoft, Mistral…) ; autorités nationales. | Pas d'obligation nouvelle pour un déployeur. Les sanctions deviennent applicables : c'est à partir de cette date que les manquements aux Art. 4 et 5 peuvent être sanctionnés. |
| 2 août 2026 | Transparence (Art. 50) et nouvelle pratique interdite (Art. 5, contenus intimes non consentis).En vigueur | Déployeurs de chatbots et de systèmes générant du texte, des images, de l'audio ou de la vidéo. | Informer les personnes qu'elles interagissent avec une IA (chatbot de site, SAV, téléphone). Marquer les contenus générés de façon lisible par machine. Étiqueter les deepfakes. |
| 2 décembre 2026 | Fin du délai de grâce pour le marquage des contenus générés par les systèmes déjà sur le marché.À venir | Déployeurs utilisant des outils de génération mis sur le marché avant le 2 août 2026. | À cette date, tous vos contenus générés par IA doivent être marqués, quel que soit l'outil. Vérifiez que vos outils l'appliquent et que votre politique d'usage le prévoit. |
| 2 décembre 2027 | Obligations « haut risque » de l'Annexe III (report par l'omnibus numérique, initialement 2 août 2026).Omnibus — sous réserve de publication au JO | Fournisseurs et déployeurs de systèmes à haut risque : recrutement, évaluation des salariés, scoring de crédit, accès aux services essentiels, éducation. | Si vous utilisez un outil de tri de CV, de scoring ou d'évaluation automatisée, vous devrez appliquer des obligations renforcées (contrôle humain, information des personnes, tenue de journaux). Identifiez ces usages dès maintenant dans votre registre. |
| 2 août 2028 | Obligations « haut risque » de l'Annexe I (IA intégrée à des produits réglementés), report par l'omnibus.Omnibus — sous réserve de publication au JO | Fabricants de produits couverts par une législation d'harmonisation de l'UE (machines, dispositifs médicaux, jouets…). | Concerne surtout les PME industrielles qui intègrent de l'IA dans un produit soumis au marquage CE. Les autres PME ne sont pas concernées par ce palier. |
Omnibus numérique 2026
Ces informations sont fournies à titre général et ne constituent pas un conseil juridique. Adaptez-les à votre situation et faites-les valider si nécessaire.
Ce qui s'applique déjà
Une PME qui utilise ChatGPT ou Copilot a déjà six points à traiter.
Depuis le 2 février 2025
Sensibiliser le personnel (Art. 4)
Toute entreprise dont les salariés utilisent un outil d'IA doit veiller à leur maîtrise de l'IA. La preuve est à votre charge : programme daté, feuille d'émargement, attestation de sensibilisation nominative.
Depuis le 2 février 2025
Ne pas relever d'une pratique interdite (Art. 5)
Manipulation, exploitation de vulnérabilités, notation sociale, reconnaissance des émotions au travail… Une PME classique n'y est pas exposée par ChatGPT, mais elle doit s'en assurer avant d'adopter un outil RH ou de surveillance.
Depuis le 2 août 2026
Signaler vos chatbots (Art. 50)
Toute personne qui interagit avec un système d'IA (chatbot de site, assistant SAV, agent téléphonique) doit en être informée de façon claire, sauf si c'est évident.
Depuis le 2 août 2026 · délai de grâce jusqu'au 2 décembre 2026
Marquer les contenus générés (Art. 50)
Textes, images, audio et vidéos générés par IA doivent être marqués de façon lisible par machine ; les deepfakes doivent être étiquetés.
En parallèle, depuis 2018
Respecter le RGPD dans les prompts
Chaque donnée personnelle saisie dans un outil d'IA reste soumise au RGPD : base légale, information des personnes, sous-traitance, analyse d'impact si nécessaire. Une politique d'usage l'encadre.
Recommandé dès maintenant
Tenir un inventaire de vos usages
Le règlement n'impose pas de registre aux déployeurs d'outils à risque limité, mais c'est la seule façon de savoir quels usages relèveront du haut risque au 2 décembre 2027 et de répondre à un client ou à une autorité.
Sanctions
Trois plafonds, et une règle favorable aux PME.
| Infraction | Plafond (règle générale) | Pour une PME |
|---|---|---|
| Pratiques interdites (Art. 5) | Jusqu'à 35 M€ ou 7 % du CA mondial, le montant le plus élevé | Le montant le plus bas des deux plafonds |
| Autres obligations (dont Art. 4 et Art. 50) | Jusqu'à 15 M€ ou 3 % du CA mondial, le montant le plus élevé | Le montant le plus bas des deux plafonds |
| Informations inexactes fournies aux autorités | Jusqu'à 7,5 M€ ou 1 % du CA mondial, le montant le plus élevé | Le montant le plus bas des deux plafonds |
Pour les PME, le règlement retient le montant le plus bas des deux plafonds, et l'omnibus 2026 prévoit des amendes plafonnées. « Plafonné » ne veut pas dire « nul ». Avant toute amende, le premier risque reste une fuite de données dans un prompt, un litige avec un salarié ou une question d'un client à laquelle vous ne pouvez pas répondre.
Omnibus numérique 2026
Ce que l'omnibus change, et ce qu'il ne change pas.
- Haut risque Annexe III (RH et recrutement, scoring, services essentiels, éducation) : reporté du 2 août 2026 au 2 décembre 2027.
- Haut risque Annexe I (IA intégrée à des produits réglementés) : reporté au 2 août 2028.
- Obligation de maîtrise de l'IA (Art. 4) : formulation assouplie (« soutenir le développement de la maîtrise de l'IA »), mais l'obligation demeure.
- Allègements pour les PME : documentation simplifiée, amendes plafonnées, accès prioritaire aux bacs à sable réglementaires.
Ce qui ne bouge pas
Questions fréquentes
AI Act et PME : les questions que l'on nous pose
Ma PME utilise seulement ChatGPT ou Copilot. Est-elle concernée par l'AI Act ?
Oui. Le règlement s'applique aux « déployeurs », c'est-à-dire à toute entreprise qui utilise un système d'IA dans un cadre professionnel. Depuis le 2 février 2025, vous devez veiller à la maîtrise de l'IA de votre personnel (Art. 4). Depuis le 2 août 2026, vous devez signaler vos chatbots et marquer les contenus générés (Art. 50). Le RGPD s'applique en parallèle à chaque donnée personnelle saisie dans un prompt.
Quelles sont les dates clés de l'AI Act pour une PME ?
1er août 2024 : entrée en vigueur. 2 février 2025 : pratiques interdites (Art. 5) et maîtrise de l'IA (Art. 4). 2 août 2025 : modèles à usage général, gouvernance, sanctions. 2 août 2026 : transparence (Art. 50). 2 décembre 2026 : fin du délai de grâce pour le marquage des contenus. 2 décembre 2027 : haut risque Annexe III. 2 août 2028 : haut risque Annexe I. Les deux dernières dates résultent de l'omnibus numérique, sous réserve de publication au Journal officiel de l'UE.
Qu'est-ce que l'omnibus numérique change pour les PME ?
L'omnibus numérique (accord politique du 6 mai 2026, publication au Journal officiel attendue) reporte les obligations « haut risque » de l'Annexe III au 2 décembre 2027 et celles de l'Annexe I au 2 août 2028. Il assouplit la formulation de l'Art. 4 sans supprimer l'obligation, et prévoit pour les PME une documentation simplifiée, des amendes plafonnées et un accès prioritaire aux bacs à sable réglementaires. Il ne modifie ni l'Art. 5 ni l'Art. 50, déjà applicables.
Quelles sanctions risque une PME ?
Le règlement prévoit des amendes jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres obligations, 7,5 M€ ou 1 % pour des informations inexactes. Pour les PME, c'est le montant le plus bas des deux plafonds qui s'applique. En France, les autorités compétentes (CNIL notamment) sont désignées par la loi de mise en œuvre. Avant toute amende, le premier risque reste une fuite de données, un litige salarié ou une question d'un client à laquelle vous ne pouvez pas répondre.
Par quoi commencer ?
Dans cet ordre : inventorier les outils d'IA réellement utilisés ; rédiger une charte et une politique d'usage (données autorisées, relecture, marquage) ; sensibiliser le personnel avec une trace (attestation, émargement) ; signaler vos chatbots et marquer vos contenus. La checklist gratuite vous situe en trois minutes ; le Kit Conformité IA Act pour PME contient les documents à personnaliser.
Cette page est-elle un conseil juridique ?
Non. Cette page synthétise les dates et obligations du règlement (UE) 2024/1689 à titre d'information générale, à la date du 22 septembre 2026. Elle ne remplace pas l'analyse de votre situation par un conseil qualifié. Les échéances liées à l'omnibus numérique sont indiquées sous réserve de sa publication au Journal officiel de l'UE.
Page mise à jour le . Pour aller plus loin : AI Act : ce qui s'applique à votre PME en 2026.
Ces informations sont fournies à titre général, à la date indiquée, et ne constituent pas un conseil juridique. Les échéances issues de l'omnibus numérique sont mentionnées sous réserve de sa publication au Journal officiel de l'UE. Adaptez-les à votre situation et faites-les valider si nécessaire.
Vous voulez savoir où votre entreprise en est ?
Un premier échange de 30 minutes suffit pour situer vos usages par rapport à ce calendrier. Si vous préférez commencer seul : la checklist gratuite vous situe en trois minutes, le Kit Conformité vous donne les documents, l'Audit Stratégique IA vous donne les priorités.
Réponse sous un jour ouvré · Valdem Corp SL, Madrid · Interventions France, Espagne, Portugal