Les réponses claires sur l'AI Act

L'AI Act est-il reporté ?

En partie seulement

Non, l'AI Act n'est pas reporté dans son ensemble. Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, repousse uniquement les obligations applicables aux systèmes « à haut risque » : au 2 décembre 2027 pour l'annexe III (recrutement, crédit, éducation) et au 2 août 2028 pour l'annexe I. Les obligations qui concernent réellement une TPE — la maîtrise de l'IA (article 4) depuis février 2025 et la transparence (article 50) depuis le 2 août 2026 — ne sont pas reportées.

Ma TPE est-elle concernée par l'AI Act ?

Oui, dès qu'un salarié utilise l'IA

Oui, dès qu'une personne de votre entreprise utilise un outil d'IA dans son travail — ChatGPT, Copilot, Gemini ou une fonction d'IA intégrée à un logiciel métier. L'article 4 de l'AI Act, applicable depuis le 2 février 2025, ne prévoit aucun seuil d'effectif ni de chiffre d'affaires. En revanche, les obligations lourdes du règlement visent les fournisseurs de systèmes d'IA et les usages « à haut risque », ce qu'une TPE n'est presque jamais.

Quelle amende risque-t-on avec l'AI Act ?

Bien moins que les montants annoncés

Le plafond de 35 millions d'euros ou 7 % du chiffre d'affaires, souvent cité, ne vise que les pratiques d'IA interdites par l'article 5 du règlement. Les manquements aux obligations de transparence de l'article 50 relèvent d'un plafond de 15 millions d'euros ou 3 %, et pour une PME c'est toujours le montant le plus faible des deux qui s'applique. L'article 4, sur la maîtrise de l'IA, ne figure dans aucune liste d'amendes. En France, aucune sanction ne peut encore être prononcée : la loi qui désigne les autorités compétentes est en cours d'adoption.

Le registre des systèmes d'IA est-il obligatoire ?

Non pour une TPE, mais fortement recommandé

Non, une TPE qui utilise des outils d'IA courants n'a aucune obligation légale de tenir un « registre IA » au sens de l'AI Act. L'enregistrement prévu à l'article 49 ne vise que les systèmes à haut risque, dont les obligations sont reportées au 2 décembre 2027. Le registre reste néanmoins la façon la plus simple de prouver votre démarche à un client, un assureur ou une autorité — et il recoupe le registre des traitements que le RGPD, lui, vous impose déjà si vous manipulez des données personnelles.

La formation à l'IA est-elle obligatoire en entreprise ?

Oui, depuis février 2025

Oui. L'article 4 de l'AI Act impose depuis le 2 février 2025 de prendre des mesures pour développer la maîtrise de l'IA des personnes qui l'utilisent dans l'entreprise, sans aucun seuil d'effectif. Le règlement n'impose ni organisme agréé, ni durée, ni programme : une sensibilisation interne documentée satisfait l'obligation. Ce qui est attendu, c'est la preuve — une attestation nominative datée vaut mieux qu'une formation informelle dont il ne reste aucune trace.

Quelles règles pour utiliser ChatGPT en entreprise ?

Utiliser ChatGPT au travail est parfaitement légal, mais trois cadres s'appliquent en même temps : l'AI Act vous impose de sensibiliser vos équipes (article 4) et de signaler les contenus réalistes générés par IA que vous publiez (article 50), le RGPD encadre les données personnelles que vous y versez, et le secret des affaires comme le secret professionnel limitent ce que vous pouvez y coller. La bonne pratique tient en trois points : des règles écrites, des réglages de confidentialité vérifiés et une relecture systématique.

Charte IA ou registre IA : quelle différence ?

La charte est tournée vers vos équipes : elle fixe par écrit ce qu'elles peuvent et ne peuvent pas faire avec l'IA, et se fait signer. Le registre est tourné vers l'extérieur : il recense vos outils d'IA, leurs finalités et les données qu'ils traitent, et se présente à un client, un assureur ou une autorité. Les deux sont complémentaires — la charte prévient les incidents, le registre prouve la démarche — et aucun des deux n'est imposé nommément par l'AI Act à une TPE.

Qui contrôle l'application de l'AI Act en France ?

Aucune autorité française n'est encore pleinement armée pour contrôler et sanctionner au titre de l'AI Act. Le projet de loi DDADUE, qui désigne les autorités compétentes, a été adopté en première lecture par le Sénat le 18 février 2026 et reste en examen à l'Assemblée nationale. Il confie un rôle central à la CNIL, fait de la DGCCRF le point de contact unique prévu par le règlement, et répartit le reste entre une quinzaine d'autorités sectorielles.