AI Act : ce qui s'applique à votre PME depuis le 2 août 2026, et ce que l'omnibus a reporté

Le 2 août 2026 est passé et, avec lui, une partie des obligations du règlement européen sur l'intelligence artificielle est entrée en application. Dans le même temps, l'omnibus numérique adopté cet été a repoussé le volet « haut risque » de plus d'un an. Beaucoup de dirigeants de PME en retiennent une impression de flou : faut-il s'en occuper maintenant ou attendre ? Nous faisons le point sur ce qui s'applique réellement, ce qui est reporté, et sur ce que cela change concrètement pour une PME romande.

Ce qui s'applique depuis le 2 août 2026

Le cœur du sujet pour la plupart des PME tient dans l'article 50 du règlement, consacré à la transparence. Depuis le 2 août 2026, trois obligations sont en vigueur pour les entreprises qui déploient de l'IA à destination de leurs clients, de leurs candidats ou du public :

• Les chatbots doivent se déclarer. Un assistant conversationnel sur votre site, dans votre application ou au téléphone doit indiquer clairement à la personne qu'elle échange avec une machine, sauf si cela est évident dans le contexte.

• Les contenus générés par IA doivent être marqués. Les textes, images, sons ou vidéos produits ou manipulés par un système d'IA doivent porter un marquage lisible par machine. Les systèmes mis sur le marché avant le 2 août 2026 bénéficient d'un sursis jusqu'au 2 décembre 2026 pour ce marquage technique, mais pas pour l'obligation de déclaration des chatbots.

• Les hypertrucages et les contenus d'intérêt public doivent être étiquetés explicitement. Une vidéo « générée » d'un dirigeant, un visuel de synthèse présenté comme une photo, un article de fond rédigé par IA : le lecteur doit en être informé.

À cela s'ajoutent des obligations plus anciennes que l'on oublie souvent : depuis février 2025, les pratiques manipulatrices et la notation sociale sont interdites, et l'article 4 impose aux entreprises de garantir un niveau suffisant de « maîtrise de l'IA » à leur personnel qui utilise ces systèmes. Le régime de sanctions, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial, est actif depuis août 2025.

Ce que l'omnibus numérique a reporté

Le règlement omnibus, publié au Journal officiel de l'Union européenne fin juillet 2026 après l'accord des colégislateurs du 7 mai, décale deux échéances majeures. Les systèmes dits « à haut risque » de l'annexe III, c'est-à-dire l'IA utilisée dans le recrutement, l'évaluation des salariés, le scoring de crédit, l'accès à l'éducation ou aux services essentiels, ne seront soumis à leurs obligations complètes qu'à partir du 2 décembre 2027, au lieu du 2 août 2026. L'IA embarquée dans des produits déjà réglementés (machines, dispositifs médicaux, jouets) passe d'août 2027 à août 2028.

Ces nouvelles dates sont fixes : contrairement à ce qui avait été discuté, elles ne dépendent plus de la disponibilité des normes harmonisées. L'omnibus apporte aussi trois allègements explicites pour les PME : une documentation technique simplifiée que les organismes notifiés devront accepter, des amendes plafonnées au plus faible des deux montants (valeur absolue ou pourcentage du chiffre d'affaires), et un accès prioritaire aux bacs à sable réglementaires.

Il faut lire ce report pour ce qu'il est : du temps pour se préparer, pas une dispense. Une PME qui utilise un outil de tri de CV ou de notation de clients devra, en décembre 2027, être en mesure de documenter le système, de superviser ses décisions et d'informer les personnes concernées. Seize mois, c'est court quand il faut d'abord inventorier ce que l'on utilise.

Et pour une PME suisse ?

La Suisse n'a pas transposé l'AI Act et ne le fera pas. Le Conseil fédéral a tranché le 12 février 2025 en faveur d'une approche sectorielle et technologiquement neutre, appuyée sur le droit existant : nouvelle loi sur la protection des données, droit de la FINMA pour la finance, cadre de Swissmedic pour la santé. La Confédération a signé la Convention-cadre du Conseil de l'Europe sur l'IA le 27 mars 2025 et prévoit de la ratifier d'ici fin 2026 ; une consultation sur les adaptations législatives est attendue à la même échéance, pour une entrée en vigueur au plus tôt en 2028.

Cela ne met pas les PME romandes à l'abri du règlement européen, pour deux raisons. La première est juridique : l'AI Act s'applique dès qu'un système d'IA est mis sur le marché de l'Union ou que ses résultats y sont utilisés. Un chatbot accessible à des clients français ou allemands, un outil de qualification de prospects européens, un service de génération de contenu vendu à Lyon : tout cela entre dans le champ. La seconde est contractuelle : les grands donneurs d'ordre européens exigent déjà de leurs fournisseurs suisses des garanties de conformité, souvent avant même l'application formelle des textes. C'est ce que l'on appelle l'effet Bruxelles, et il se manifeste dans les appels d'offres bien avant de se manifester dans les tribunaux.

Un exemple : une fiduciaire genevoise de 25 collaborateurs

Prenons une fiduciaire de Genève qui sert des clients suisses et français. Elle utilise un assistant IA sur son site pour répondre aux questions courantes, un outil de génération de synthèses fiscales que les collaborateurs relisent avant envoi, et un module de présélection des candidatures dans son logiciel RH. Voici comment nous lirions sa situation.

Le chatbot du site est concerné dès aujourd'hui : il doit annoncer qu'il s'agit d'une machine et, comme il s'adresse à des clients en France, il relève de l'AI Act au titre de l'article 50. Le coût de mise en conformité est marginal : un message d'accueil, une mention dans les conditions d'utilisation, une procédure de transfert vers un humain. Les synthèses fiscales, elles, sont relues et signées par un collaborateur : c'est un usage assisté, pas une décision automatisée, et l'obligation principale porte sur la formation des équipes (article 4) et sur la traçabilité de qui a validé quoi. Le module de présélection RH, enfin, est un système à haut risque au sens de l'annexe III : la fiduciaire a jusqu'au 2 décembre 2027 pour disposer d'une documentation fournisseur, d'une supervision humaine formalisée et d'une information claire aux candidats.

Sur trois outils, un seul demande un chantier réel. C'est le résultat que nous observons le plus souvent : l'inventaire fait tomber la charge perçue de moitié, parce qu'il distingue ce qui est assisté, ce qui est automatisé et ce qui est décisionnel. Selon les données publiées par Bpifrance au premier semestre 2026, un quart des PME françaises utilisent déjà l'IA au quotidien ; la plupart ne savent pas dans quelle catégorie tombe chacun de leurs usages, et c'est là que tout commence.

Ce que nous en retenons

La bonne réponse au report n'est ni la précipitation ni l'attente. Nous recommandons à nos clients de traiter, dans cet ordre, quatre choses : d'abord un inventaire honnête des systèmes d'IA utilisés, y compris ceux que les équipes ont adoptés sans le dire ; ensuite la mise en conformité immédiate des usages de transparence, chatbots et contenus générés, qui coûte peu ; puis un plan de formation qui documente que le personnel comprend les outils qu'il manipule ; enfin, pour les rares usages à haut risque, un calendrier vers décembre 2027 aligné avec le fournisseur de la solution.

Cette approche a un mérite qui dépasse la conformité : elle oblige à mettre des mots sur ce que l'IA fait réellement dans l'entreprise, et c'est souvent la première fois que la direction en a une vue complète. Pour situer votre PME sur ce chemin, notre Baromètre IA 2026 propose un diagnostic sectoriel en quelques minutes. Et si vous préférez en parler de vive voix, nous sommes à Carouge, à quelques minutes du centre de Genève.