L’AI Act, le règlement européen sur l’intelligence artificielle (règlement (UE) 2024/1689), est entré en vigueur le 1er août 2024. Il ne s’applique pas d’un coup : ses obligations arrivent par étapes. Et en juillet 2026, l’Union européenne a modifié son calendrier avec un second règlement, dit « Omnibus numérique sur l’IA » (règlement (UE) 2026/1744), en vigueur depuis le 27 juillet 2026.
Résultat : certaines règles s’appliquent déjà à votre entreprise, d’autres ont été repoussées. Voici ce qui compte vraiment pour une PME belge, sans jargon.
En bref
- La plupart des PME sont des utilisatrices d’IA (le texte dit « déployeurs ») : leurs obligations sont surtout de la transparence.
- Depuis le 2 août 2026, un chatbot doit indiquer clairement qu’il est une IA, au plus tard au premier échange.
- Les règles lourdes pour les systèmes à haut risque (recrutement, crédit, éducation…) sont reportées au 2 décembre 2027.
- La formation à l’IA de votre personnel reste une obligation depuis février 2025, mais elle a été assouplie.
- Les amendes peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires pour un manquement à la transparence. Pour une PME, c’est le plus bas des deux montants qui s’applique.
Le calendrier, à jour en octobre 2026
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Pratiques interdites et obligation de formation à l’IA (article 4) |
| 2 août 2025 | Obligations des fournisseurs de grands modèles d’IA (OpenAI, Google, Mistral…) |
| 2 août 2026 | Obligations de transparence (article 50) : chatbots, contenus truqués (« deepfakes ») |
| 2 décembre 2026 | Fin du délai pour le marquage technique des contenus générés par les outils d’IA déjà sur le marché avant août 2026 |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III (recrutement, crédit, éducation, biométrie…). Initialement prévu au 2 août 2026 |
| 2 août 2028 | IA intégrée à des produits réglementés (machines, jouets, dispositifs médicaux…). Initialement prévu au 2 août 2027 |
Ce calendrier tient compte du règlement Omnibus publié au Journal officiel de l’Union européenne le 24 juillet 2026. Beaucoup d’articles écrits avant cette date annoncent encore le 2 août 2026 pour le haut risque : ce n’est plus le cas.
Votre entreprise est-elle concernée ?
Oui, dès qu’elle utilise un système d’IA dans le cadre de son activité professionnelle. Mais le texte distingue deux rôles, aux obligations très différentes :
- Le fournisseur développe un système d’IA et le met sur le marché sous son nom. C’est OpenAI pour ChatGPT, ou une entreprise qui vend un logiciel avec de l’IA intégrée.
- Le déployeur utilise un système d’IA dans son activité. C’est le cas d’une PME qui installe un chatbot sur son site, trie des e-mails avec l’IA ou fait rédiger des fiches produits.
La grande majorité des PME wallonnes sont déployeuses. Leurs obligations sont limitées, à condition de ne pas utiliser l’IA dans un domaine à haut risque.
Les quatre niveaux de risque
L’AI Act classe les usages de l’IA selon le risque qu’ils font courir aux personnes.
- Risque inacceptable : interdit. Notation sociale des citoyens, manipulation qui exploite la vulnérabilité des personnes, reconnaissance des émotions au travail ou à l’école, collecte massive de visages sur internet pour en faire des bases de données… Ces pratiques sont interdites depuis le 2 février 2025.
- Haut risque : encadré. L’IA qui intervient dans des décisions importantes pour les personnes : tri de CV et recrutement, évaluation de la solvabilité, accès à l’enseignement, infrastructures critiques. Ces systèmes devront respecter des règles strictes (gestion des risques, qualité des données, documentation, contrôle humain) à partir du 2 décembre 2027.
- Risque de transparence : à signaler. Chatbots, contenus générés ou modifiés par l’IA. La personne doit savoir qu’elle a affaire à une IA.
- Risque minimal : libre. Filtre anti-spam, correcteur, suggestions de produits, outils d’aide à la rédaction utilisés en interne. Pas d’obligation particulière, en dehors de la formation du personnel.
Une PME qui utilise un outil de tri de candidatures basé sur l’IA entre dans la catégorie haut risque comme déployeuse. Elle a jusqu’à décembre 2027 pour s’organiser, mais c’est le bon moment pour demander à son fournisseur comment il compte se mettre en conformité.
Chatbots : l’obligation de transparence depuis le 2 août 2026
C’est l’obligation qui concerne le plus de PME aujourd’hui. L’article 50 de l’AI Act impose que les personnes qui échangent avec un système d’IA en soient informées, sauf si c’est évident dans le contexte. L’information doit être donnée de manière claire et reconnaissable, au plus tard au moment du premier échange.
Concrètement, pour un chatbot sur votre site :
- Affichez une mention visible dès l’ouverture, par exemple « Vous échangez avec un assistant IA ».
- Ne donnez pas à l’assistant un prénom et une photo qui font croire à un humain.
- Prévoyez un moyen de joindre une personne réelle quand la question l’exige.
Beaucoup de widgets installés avant 2026 ne respectent pas ces règles. Si vous en avez un, vérifiez-le : c’est rapide à corriger.
Deux autres cas sont visés par l’article 50 :
- Les contenus truqués (images, vidéos ou sons générés par l’IA qui ressemblent à des personnes, lieux ou événements réels) doivent être signalés comme tels.
- Les textes générés par l’IA publiés pour informer le public sur des questions d’intérêt général doivent aussi être signalés, sauf s’ils ont été relus par un humain et qu’une personne ou une entreprise en assume la responsabilité éditoriale. Un article de blog d’entreprise relu et publié sous votre nom n’est donc normalement pas concerné.
La formation à l’IA : une obligation assouplie
Depuis le 2 février 2025, l’article 4 demande aux entreprises qui utilisent l’IA de veiller à ce que leur personnel sache s’en servir. Le règlement Omnibus de juillet 2026 a adouci la formule : il s’agit désormais de « prendre des mesures pour soutenir le développement » des compétences en IA du personnel, en tenant compte de son niveau et du contexte d’utilisation.
Cette obligation n’est pas assortie d’une amende européenne spécifique. Elle reste néanmoins attendue, et c’est surtout du bon sens : un collaborateur qui colle des données de clients dans un outil d’IA gratuit fait courir un risque à l’entreprise, AI Act ou pas.
Pour une PME, des mesures simples suffisent souvent :
- une charte d’une page qui dit quels outils sont autorisés et quelles données ne doivent jamais y être copiées ;
- une courte formation sur les forces et les limites de l’IA (elle invente parfois, elle doit être relue) ;
- une personne de référence pour les questions.
En Wallonie, les formations dans un centre agréé peuvent être financées en partie par les chèques-formation.
Les amendes
L’article 99 prévoit trois niveaux d’amendes :
- jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite ;
- jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations, dont la transparence des chatbots ;
- jusqu’à 7,5 millions d’euros ou 1 % pour des informations inexactes fournies aux autorités.
Pour les grandes entreprises, c’est le montant le plus élevé qui s’applique. Pour les PME et les start-up, c’est le plus bas. Le texte demande aussi de tenir compte de la taille de l’entreprise et du caractère intentionnel ou non du manquement.
Qui contrôle l’AI Act en Belgique ?
À l’heure où nous écrivons, la Belgique n’avait pas encore notifié à la Commission européenne son autorité de surveillance pour l’AI Act (la liste officielle de la Commission, mise à jour en septembre 2026, indique un tiret pour la Belgique). L’IBPT, le régulateur des télécommunications, est pressenti pour ce rôle, avec le SPF Économie pour la coordination.
En attendant, deux ressources officielles sont utiles :
- le AI Act Service Desk de la Commission européenne, avec un outil qui vous aide à savoir quelles obligations vous concernent ;
- l’Autorité de protection des données, pour tout ce qui touche aux données personnelles traitées par l’IA.
AI Act et RGPD : deux textes qui s’additionnent
L’AI Act ne remplace pas le RGPD. Dès qu’un outil d’IA traite des données personnelles (nom d’un client, e-mail, historique de commandes), le RGPD s’applique en plus : base légale, information des personnes, sous-traitant encadré par un contrat, données limitées au nécessaire, et transferts hors de l’Union européenne justifiés.
En pratique, choisissez des fournisseurs d’IA qui s’engagent à ne pas utiliser vos données pour entraîner leurs modèles, et qui proposent un hébergement en Europe quand c’est possible.
La check-list d’une PME en 2026
- Faites la liste des outils d’IA utilisés dans l’entreprise, y compris les comptes gratuits personnels des collaborateurs.
- Vérifiez votre chatbot : la mention « assistant IA » est-elle visible dès le premier message ?
- Signalez les images et vidéos réalistes générées par l’IA dans vos publicités et réseaux sociaux.
- Rédigez une charte IA d’une page et présentez-la à l’équipe.
- Repérez les usages à haut risque (recrutement, crédit) et interrogez vos fournisseurs sur leur conformité avant décembre 2027.
- Contrôlez les données que vous envoyez à l’IA : contrats avec les fournisseurs, registre RGPD à jour.
Comment nous l’appliquons
Les assistants IA que nous installons sur les sites de nos clients affichent la mention de transparence dès leur ouverture, répondent uniquement à partir des contenus de l’entreprise et proposent un rappel par une personne quand il le faut. Les numéros de téléphone laissés par les visiteurs ne sont pas envoyés à l’IA. Dans nos propres applications, comme Komplet, l’IA n’est appelée qu’à la demande de l’utilisateur et après son accord.
Vous voulez savoir si un projet ou un outil est concerné ? Parlons-en : le premier échange est gratuit.
Cet article donne une information générale, pas un avis juridique. Sources : règlement (UE) 2024/1689 et règlement (UE) 2026/1744 sur EUR-Lex, AI Act Service Desk et liste des autorités de surveillance de la Commission européenne, consultés le 7 octobre 2026.
