IA Act 2026 : obligations PME selon le niveau de risque de votre agent IA
Découvrez les obligations de l'IA Act 2026 selon le niveau de risque de votre agent IA en PME : transparence, sanctions et grille AIPD à connaître.
La taille de votre entreprise ne vous met pas à l'abri des obligations de l'IA Act. Depuis le 2 août 2026, la quasi-totalité des obligations de transparence et de gestion des risques s'applique quel que soit votre effectif : ce qui déclenche vos obligations, c'est le niveau de risque de votre agent IA, pas votre chiffre d'affaires. Un simple agent qui relance vos devis par courriel entre par exemple dans la catégorie « risque limité » et doit respecter l'article 50 du règlement.
Les 4 niveaux de risque de l'IA Act et ce qu'ils changent pour votre agent IA
L'IA Act classe chaque système en quatre niveaux de risque, et chaque niveau porte des obligations différentes. Un agent IA de relance de devis ou un chatbot client relève presque toujours du « risque limité », avec une obligation de transparence issue de l'article 50.
| Niveau de risque | Exemples en PME | Obligations principales | Statut au 9 septembre 2026 |
|---|---|---|---|
| Inacceptable | Notation sociale des clients, manipulation comportementale, biométrie sensible non consentie | Interdiction totale d'usage | Interdit depuis le 2 février 2025 |
| Élevé | Scoring de crédit, tri automatisé de candidatures, évaluation RH | Registre de risques, documentation technique, supervision humaine, enregistrement UE | Obligations applicables depuis le 2 août 2026 pour la majorité des cas d'usage |
| Limité | Agent de relance de devis, chatbot client, générateur de contenu marketing | Transparence : informer l'utilisateur qu'il échange avec une IA, marquer les contenus générés | Applicable depuis le 2 août 2026 (article 50) |
| Minimal | Correcteur orthographique, assistant de rédaction interne | Aucune obligation spécifique IA Act (le RGPD reste applicable) | Pas d'obligation nouvelle |
Faites défiler
Ces catégories sont des repères de classification, pas des cases figées : un même agent peut basculer de « minimal » à « limité » dès qu'il envoie du contenu à un client. C'est précisément le cas d'un agent qui relance vos devis, un usage détaillé dans le mythe de la vitesse pour automatiser vos relances.
Pourquoi votre PME n'est pas exemptée, même à 5 salariés
L'IA Act ne prévoit aucune exemption liée à la taille de l'entreprise pour l'interdiction des pratiques à risque inacceptable, ni pour l'obligation de transparence de l'article 50. Seules des mesures d'accompagnement existent pour les PME sur les systèmes à haut risque : accès prioritaire aux bacs à sable réglementaires et documentation technique allégée. Ce n'est pas une exemption, c'est un accompagnement pour se conformer plus facilement.
Depuis le 2 août 2026, l'obligation de mention IA a changé la donne pour toutes les structures qui font parler une IA à leurs clients, quelle que soit leur taille. Le détail de ce que cette date a réellement changé est disponible dans notre article sur la mention IA obligatoire depuis le 2 août 2026.
Faut-il réaliser une AIPD pour votre agent IA ? La grille volume x sensibilité
Une analyse d'impact relative à la protection des données (AIPD) ne se déclenche jamais sur le seul volume de données traitées. Il faut systématiquement croiser ce volume avec la sensibilité des données et l'existence ou non d'un profilage client.
| Volume annuel de contacts traités | Sans donnée sensible ni profilage | Avec donnée sensible ou profilage |
|---|---|---|
| Moins de 1 000 | AIPD non requise a priori (indicatif) | AIPD recommandée (indicatif) |
| Entre 1 000 et 10 000 | AIPD à évaluer au cas par cas (indicatif) | AIPD requise (indicatif) |
| Plus de 10 000 | AIPD recommandée (indicatif) | AIPD requise (indicatif) |
Faites défiler
Ces seuils sont des repères indicatifs de gestion du risque, pas des seuils légaux formels : la CNIL apprécie le risque au cas par cas. Indépendamment de ce tableau, le contrat de sous-traitance prévu par l'article 28 du RGPD est obligatoire dès le premier enregistrement confié à un prestataire IA, quel que soit le volume traité. Pour aller plus loin sur ce point, notre article sur le mythe de la conformité RGPD par défaut détaille les erreurs les plus fréquentes.
Sanctions IA Act PME : ce que vous risquez réellement
Le règlement (UE) 2024/1689 fixe trois paliers d'amende selon la gravité du manquement, et prévoit un traitement spécifique pour les PME et start-up.
| Type de manquement | Amende maximale (grandes entreprises) | Amende maximale (PME et start-up) |
|---|---|---|
| Pratique interdite (article 5) | 35 M€ ou 7 % du chiffre d'affaires mondial | Le montant le plus bas entre les deux |
| Non-respect des autres obligations (haut risque, transparence article 50) | 15 M€ ou 3 % du chiffre d'affaires mondial | Le montant le plus bas entre les deux |
| Information incorrecte fournie aux autorités | 7,5 M€ ou 1 % du chiffre d'affaires mondial | Le montant le plus bas entre les deux |
Faites défiler
Pour une PME, l'article 99 retient systématiquement le montant le plus bas entre le pourcentage et la somme fixe, contrairement aux grandes entreprises pour lesquelles c'est le montant le plus élevé qui s'applique.
En France, ces sanctions viendront s'articuler avec celles déjà prononcées par les autorités indépendantes existantes : la CNIL fait partie des autorités administratives indépendantes habilitées à prononcer des sanctions pécuniaires, au même titre que l'AMF ou l'Arcep [1]. Une PME dont l'agent IA traite des données clients peut donc être exposée à un double front de contrôle : RGPD et IA Act.
Tableau de suivi : les signaux qui doivent déclencher une action
| Indicateur à suivre | Seuil d'alerte | Action recommandée |
|---|---|---|
| Agents IA en production sans classification de risque documentée | 1 agent non classé | Geler le déploiement et classer l'agent sous 30 jours |
| Contenus IA envoyés à des clients sans mention de transparence | 1 envoi identifié | Ajouter la mention article 50 avant le prochain envoi |
| Prestataires IA sans contrat de sous-traitance article 28 signé | 1 prestataire concerné | Suspendre les transferts de données jusqu'à signature |
| Traitement à risque élevé identifié sans AIPD réalisée | 1 traitement concerné | Lancer l'AIPD avant toute mise en production |
Faites défiler
Conformité IA Act PME : par où commencer cette semaine
Commencez par lister vos agents IA actifs et classez chacun selon le tableau du premier chapitre. Vérifiez ensuite, pour chaque agent qui échange avec un client, que la mention de transparence de l'article 50 est bien en place depuis le 2 août 2026. Enfin, croisez volume et sensibilité des données avant de conclure qu'une AIPD n'est pas nécessaire.
Questions fréquentes
Une PME de moins de 10 salariés est-elle exemptée de l'IA Act ?
Non. Aucune exemption liée à la taille n'existe pour les interdictions de l'article 5 ni pour l'obligation de transparence de l'article 50.
Mon chatbot de service client est-il concerné ?
Oui, dans la quasi-totalité des cas il relève du risque limité et doit informer l'utilisateur qu'il échange avec une IA.
Faut-il une AIPD pour chaque agent IA ?
Non. Le déclenchement dépend du croisement entre le volume de données traitées et leur sensibilité ou l'existence d'un profilage, jamais du volume seul.
Quelles sanctions risque une PME en cas de non-conformité ?
Le montant le plus bas entre le pourcentage du chiffre d'affaires mondial et la somme fixe prévue à l'article 99, selon la gravité du manquement.
L'obligation de mention IA du 2 août 2026 s'applique-t-elle aux PME ?
Oui, depuis cette date, sans exception liée à la taille de l'entreprise.
Rédigé par Zakaria Barji
Vous vous reconnaissez dans cet article ?
Trente minutes au téléphone suffisent généralement à savoir si le sujet vous concerne vraiment, et ce que ça représenterait chez vous.
Prendre contact