AI Act, 2 août 2026 : contrôles et vrai risque pour une TPE

À partir du 2 août 2026, l'essentiel de l'AI Act devient applicable, et son respect pourra être contrôlé et sanctionné. Vous allez voir passer beaucoup d'articles alarmistes agitant des amendes à plusieurs millions d'euros. Prenons le temps de séparer ce qu'un dirigeant de TPE ou de PME doit vraiment surveiller de ce qui ne le concerne pas.

Mise à jour du 15 août 2026. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a reporté au 2 décembre 2027 les obligations applicables aux systèmes d'IA à haut risque. Les pouvoirs de contrôle et de sanction, la transparence et l'obligation de maîtrise de l'IA, seuls sujets concernant une TPE, ne sont pas concernés par ce report. Le texte ci-dessous a été corrigé sur ce point, ainsi que sur la date du régime de sanctions, applicable depuis le 2 août 2025 et non depuis le 2 août 2026. Le périmètre exact de ce report est détaillé dans ce que le report du 24 juillet change pour une TPE.

Ce qui change vraiment le 2 août 2026

À cette date, le volet de surveillance du marché devient applicable et les autorités obtiennent leurs pouvoirs de contrôle. Le régime de sanctions, lui, ne date pas de ce jour-là : le chapitre XII de l'AI Act s'applique depuis le 2 août 2025. Le calendrier a toutefois changé six jours après la publication de cet article : le règlement (UE) 2026/1744, dit omnibus numérique IA, en vigueur depuis le 27 juillet 2026, reporte au 2 décembre 2027 les obligations qui pèsent sur les systèmes dits à haut risque de l'annexe III. Ce report ne concerne ni la transparence, ni les pouvoirs de sanction, ni l'obligation de maîtrise de l'IA, qui restent applicables et qui sont les seuls sujets de cet article pour une TPE. En France, le schéma retenu fait de la CNIL l'autorité pivot et confie la coordination des contrôles à la DGCCRF, avec l'Arcom et d'autres autorités sectorielles selon les domaines. À l'heure où nous publions, la loi qui formalise cette désignation, votée au Sénat en février 2026, attend encore son adoption définitive, mais la direction est claire : ces autorités pourront contrôler, demander des comptes et sanctionner. L'obligation de maîtrise de l'IA, applicable depuis le 2 février 2025, cesse donc d'être une règle sur le papier : elle devient contrôlable.

Pas de big bang pour autant : la régulation passe simplement de l'intention à la capacité d'agir.

Les amendes record de l'AI Act : à qui elles s'adressent vraiment

L'AI Act prévoit bien des sanctions pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Ces montants ne menacent pas l'artisan qui utilise ChatGPT pour rédiger ses devis.

Ce plafond, fixé par l'article 99 du règlement, vise les manquements aux obligations liées aux systèmes d'IA dits « à haut risque » et à certaines obligations de transparence. Les usages interdits, comme la manipulation ou la notation sociale, relèvent d'un plafond distinct, encore plus élevé : 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Un plombier, un cabinet de conseil ou un commerce qui se sert d'outils d'IA courants pour gagner du temps n'est pas dans cette catégorie. Le règlement prévoit d'ailleurs, pour les PME et les jeunes entreprises, que c'est le montant le plus bas de chaque fourchette qui s'applique, et que l'amende doit tenir compte de leur viabilité économique.

Vous faire croire que vous risquez une amende à sept chiffres, c'est de la vente par la peur. Nous préférons vous dire les choses telles qu'elles sont.

Le risque, pour une TPE, ne s'appelle pas quinze millions d'euros. Il s'appelle « je ne peux pas montrer que mes équipes maîtrisent ce qu'elles utilisent ».

Le vrai risque pour une TPE ou une PME

Il est plus discret, et bien plus concret. L'obligation qui vous concerne directement, c'est l'article 4 : prendre des mesures pour assurer, autant que possible, un niveau suffisant de maîtrise de l'IA aux personnes qui l'utilisent chez vous (nous l'avons détaillé dans notre article sur l'article 4 et la maîtrise de l'IA).

À partir du 2 août, ne pas y avoir répondu devient un point faible. Pas nécessairement une amende immédiate, mais un facteur aggravant : si un incident survient (une donnée confidentielle qui fuite via un outil mal utilisé, une décision automatisée contestée, un client mécontent), l'absence totale de formation et de règles internes joue contre vous. À l'inverse, avoir formé votre équipe et posé quelques règles écrites vous place du bon côté.

À quoi ressemble un contrôle, concrètement

N'imaginez pas une descente. Comme pour le RGPD, un contrôle commence le plus souvent sur pièces : pouvez-vous montrer que vous avez sensibilisé les personnes qui utilisent l'IA, et que vous avez des règles minimales (confidentialité, vérification, décision humaine) ? Une entreprise qui répond « oui, voici notre formation et notre note interne » aborde l'échange sereinement. Celle qui découvre le sujet ce jour-là est nettement moins à l'aise.

Ce qu'il est raisonnable de faire avant le 2 août

Rien d'énorme, mais quelque chose. Faites l'inventaire des outils d'IA utilisés chez vous. Posez trois ou quatre règles simples par écrit. Et formez, même brièvement, les personnes concernées, sur vos cas réels. Une demi-journée suffit à couvrir l'essentiel (nous avons détaillé le pas à pas complet de cette demi-journée), c'est l'objet de notre formation IA.

Pour savoir où vous en êtes et si une action est justifiée chez vous, appelez-nous : vingt minutes avec Jennifer, cofondatrice, sans engagement. Nous vous dirons franchement, sans dramatiser, ce qui mérite d'être fait.