IA Act 2026 : ce qui change vraiment pour votre PME

Au 24 juillet 2026, ce qui change vraiment pour votre PME tient en une phrase : l'obligation de former vos équipes à l'IA existe déjà depuis février 2025, elle vient d'être assouplie, et ce qui est reporté à plus tard ne concerne que les usages à haut risque — pas votre usage quotidien de ChatGPT ou d'un outil interne. Le 2 août 2026, très commenté, n'ouvre pas une nouvelle vague d'obligations : il marque le début de la supervision concrète par les autorités et l'application pleine des règles de transparence.

Chez Blyx, cabinet d'experts IA et développement pour les TPE et PME, on nous pose la même question depuis des mois : « suis-je en tort ? ». La réponse honnête est nuancée, et c'est justement ce que cet article détaille, sans alarmisme et sans minimiser. Nos trois services — l'Audit IA, les solutions sur mesure et la formation — partent tous du même principe : cadrer avant d'agir. C'est aussi la bonne méthode pour la conformité.

Suis-je concerné par l'IA Act en tant que dirigeant de PME

Oui, presque à coup sûr. Le règlement européen sur l'IA (UE 2024/1689) impose depuis le 2 février 2025 une obligation de « littératie IA » (article 4) à toute entreprise qui utilise un outil d'intelligence artificielle dans son activité professionnelle. Cette obligation vise les fournisseurs d'IA, mais aussi les déployeurs — c'est-à-dire vous, dès que vos salariés (ou vous-même) utilisez un outil comme ChatGPT, Claude, ou un outil interne construit sur un modèle de langage.

Il n'y a aucun seuil d'effectif. Une entreprise d'une seule personne qui utilise l'IA au travail est concernée exactement comme un groupe de plusieurs milliers de salariés. C'est la première chose à corriger : « je suis trop petit pour être concerné » est une idée fausse.

Qu'est-ce qui change vraiment le 2 août 2026

Le 2 août 2026, deux choses se passent, et aucune n'est une nouvelle obligation créée de toutes pièces :

• les autorités nationales de surveillance commencent concrètement leur mission de contrôle ;
• les obligations de transparence s'appliquent pleinement, notamment celle d'informer une personne qu'elle interagit avec une IA (un agent conversationnel sur votre site, par exemple).

Ce que cette date ne fait PAS : elle n'introduit pas l'obligation de littératie IA (qui existe depuis février 2025), et elle n'active aucun barème de sanction financière dédié. Beaucoup de contenus en ligne présentent le 2 août 2026 comme un couperet. Ce n'est pas ce que dit le texte.

Un événement plus concret s'est produit le même mois : un règlement modificatif, le « Digital Omnibus » (règlement UE 2026/1744), a été publié au Journal officiel de l'UE le 24 juillet 2026 et entre en vigueur le 27 juillet 2026. Il assouplit justement l'article 4 : l'entreprise n'a plus une obligation de « garantir un niveau suffisant de maîtrise de l'IA » chez ses salariés, mais une obligation de « soutenir le développement » de cette maîtrise — sans obligation de résultat sur une personne donnée. Concrètement, on vous demande de faire des efforts sérieux, pas d'atteindre un score.

Le report à 2027-2028 me concerne-t-il

Sans doute pas, et c'est une confusion fréquente à corriger. Le report largement commenté (à décembre 2027, voire août 2028 selon les cas) concerne uniquement les systèmes d'IA classés à haut risque : recrutement automatisé, scoring de crédit, biométrie, évaluation d'éligibilité à des prestations, et quelques autres catégories sensibles listées par le règlement.

Si votre PME utilise l'IA pour rédiger des e-mails, résumer des documents, automatiser une tâche administrative, ou construire un outil interne de gestion, vous n'êtes pas dans ce périmètre. Vous êtes dans le périmètre de la littératie IA — celui qui s'applique déjà, assoupli mais bien réel.

Quels sont les risques réels si je ne fais rien

Ils sont plus faibles et plus flous qu'on ne le dit, et c'est justement le point qui mérite d'être dit clairement. Il n'existe aucune amende spécifique attachée à l'article 4. Les plafonds très médiatisés — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial — concernent les pratiques interdites (article 5 : notation sociale, manipulation comportementale, etc.), pas le défaut de formation de vos équipes.

Un manquement à l'obligation de littératie IA relève du régime de sanctions national, à la main de chaque État membre, sans plafond européen chiffré. La France n'a pas publié de barème spécifique à ce jour. Concrètement, une TPE qui n'a rien formalisé s'expose aujourd'hui davantage à un avertissement ou une mesure corrective qu'à une sanction financière lourde.

Cela ne veut pas dire qu'il faut ignorer le sujet. Le vrai risque n'est pas juridique, il est opérationnel : un salarié qui colle des données clients dans un outil grand public, une réponse générée par l'IA envoyée sans relecture, une décision prise sur la base d'un résultat non vérifié. C'est là que la formation a un intérêt réel, indépendamment de la peur d'une amende. Le règlement lui-même le reconnaît d'ailleurs : la littératie IA devrait être une priorité stratégique, indépendamment des obligations et des sanctions. Sur ce point précis des risques d'usage, notre article sur la sécurité des données face à l'IA en entreprise détaille les erreurs les plus fréquentes.

Comment mettre mon entreprise en conformité simplement

La loi n'impose aucun format. C'est un point confirmé par la FAQ officielle de la Commission européenne : pas de présentiel obligatoire, pas d'à-distance obligatoire, pas de certification imposée. Une entreprise peut se contenter de garder une trace interne simple de ses actions — qui a été formé, à quoi, quand.

En pratique, trois étapes suffisent pour la plupart des PME :

1. Cartographier les usages IA réels dans l'entreprise — qui utilise quoi, sur quelles données. C'est exactement l'objet d'un audit IA : on regarde vos process avant de décider quoi faire.
2. Fixer des règles simples : quelles données ne doivent jamais sortir de l'entreprise via un outil IA, qui vérifie les résultats avant envoi.
3. Garder une trace des actions de formation ou de sensibilisation menées, même informelles.

Si vous cherchez un financement, une formation peut être prise en charge par un OPCO à condition que l'organisme soit certifié Qualiopi — obligatoire depuis le 1er janvier 2022 pour les financements mutualisés. C'est une piste à vérifier avec votre OPCO, pas une obligation légale de l'IA Act en tant que telle.

Faut-il former mes équipes ou attendre

Il vaut mieux ne pas attendre, mais pas pour la raison qu'on entend le plus souvent. La bonne raison de former ses équipes n'est pas la peur d'une amende immédiate : sur ce point précis, le risque de sanction pour une PME est aujourd'hui faible et mal défini, on vient de le voir. La bonne raison est économique et pratique : moins d'erreurs, moins de données mal utilisées, des décisions mieux vérifiées avant d'être appliquées.

C'est la thèse que Blyx défend dans ses formations : les outils changent d'une année sur l'autre, mais les réflexes restent — savoir formuler une demande précise, savoir déléguer une tâche à l'IA sans perdre le contrôle, savoir vérifier un résultat avant de s'en servir. Une formation sur vos cas réels, dans vos locaux, ancre ces réflexes mieux qu'un module générique en ligne. Nous détaillons pourquoi cette obligation existe et comment l'aborder sans céder à la panique dans notre article dédié à la formation IA obligatoire.

Ce qu'il faut retenir

• L'obligation de littératie IA (article 4) existe depuis février 2025 et concerne toute entreprise, sans seuil d'effectif — elle vient d'être assouplie le 27 juillet 2026, pas supprimée.
• Le 2 août 2026 n'est pas une date de sanction : c'est le début de la supervision et l'application pleine des règles de transparence.
• Le report à 2027-2028 ne concerne que les systèmes à haut risque (recrutement, crédit, biométrie), pas l'usage courant de l'IA en entreprise.
• Aucune amende spécifique n'existe pour le manquement à l'article 4 ; le vrai enjeu est la réduction des erreurs d'usage, pas la peur d'un contrôle.

Pour savoir précisément où vous en êtes et ce qui mérite d'être cadré en priorité, un audit IA pose ce diagnostic sur vos process réels, sans jargon et sans généralités.

Bon à savoir

Questions fréquentes

Le 2 août 2026 est-il une date d'entrée en vigueur de sanctions pour ma PME ?+

Non. Le cadre des sanctions existe depuis le 2 août 2025. Le 2 août 2026 marque le début de la supervision concrète par les autorités nationales, et l'application pleine des obligations de transparence (signaler qu'on parle à une IA).

Suis-je concerné si mon entreprise utilise seulement ChatGPT au quotidien ?+

Oui. L'obligation de littératie IA (article 4) s'applique à toute entreprise qui utilise un outil d'IA à titre professionnel, sans seuil d'effectif. Une TPE d'une personne est concernée au même titre qu'un grand groupe.

Risque-t-on une amende de 35 millions d'euros pour ne pas avoir formé nos équipes ?+

Non, ce plafond concerne les pratiques interdites (article 5), pas la littératie IA. Un manquement à l'article 4 relève du régime de sanctions national, sans plafond européen chiffré et sans barème publié en France à ce jour.

Le report de l'IA Act à 2027 ou 2028 me dispense-t-il de tout ?+

Non. Ce report concerne uniquement les systèmes à haut risque (recrutement automatisé, scoring de crédit, biométrie). L'obligation générale de littératie IA, elle, existe déjà depuis février 2025.

Dois-je faire certifier ma formation IA pour être en conformité ?+

Non, aucune obligation de format ni de certification n'est imposée par la loi selon la FAQ officielle de la Commission européenne. Une simple trace interne des actions menées suffit. Une certification Qualiopi n'est utile que pour un financement OPCO.

Qui contrôle l'IA Act en France pour les entreprises ?+

La DGCCRF coordonne le dispositif, avec la CNIL, l'Arcom et l'ACPR compétentes sur des périmètres précis. Ce n'est pas la CNIL seule, contrairement à une idée répandue.