Le règlement européen sur l'IA pour les PME : le vrai calendrier 2026 (avec le report de juin)

Cet article est une information générale sur le règlement IA. Il ne remplace pas les conseils d'un avocat ni l'analyse concrète de votre entreprise : utilisez-le comme carte, pas comme avis juridique.

Sommaire

1. Qu'est-ce que le règlement IA et pourquoi vous concerne-t-il même si vous ne "faites" pas d'IA ?
2. Quelles obligations sont déjà en vigueur aujourd'hui ?
3. Qu'est-ce qui change exactement le 2 août 2026 ?
4. Est-il vrai que le calendrier a été reporté ? Le « Digital Omnibus », expliqué
5. Qui surveille cela en Espagne : l'AEPD, AESIA ou les deux ?
6. Le calendrier complet, en un coup d'œil
7. Que doit faire votre PME avant août 2026 ? (15 minutes)
8. Que se passe-t-il si vous ne respectez pas les règles ?
9. Questions fréquentes

Qu'est-ce que le règlement IA et pourquoi vous concerne-t-il même si vous ne "faites" pas d'IA ?

Le Reglamento (UE) 2024/1689, connu sous le nom de « règlement IA » ou « AI Act », est la norme européenne qui encadre l'usage de l'intelligence artificielle. Il a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024, mais ses obligations n'arrivent pas toutes en même temps : elles s'appliquent par phases, et chaque phase a sa propre date (art. 113 du règlement).

Vous n'avez pas besoin de développer de l'intelligence artificielle pour être concerné. Vous l'êtes si vous l'utilisez : un chatbot de service client, un assistant vocal, ChatGPT ou une autre IA pour rédiger des textes, un générateur d'images pour votre site, un logiciel qui filtre des CV ou qui évalue les performances de votre équipe. La loi distingue celui qui crée un système d'IA (le fournisseur) de celui qui l'utilise dans son entreprise (le déployeur), et les PME relèvent presque toujours de cette seconde catégorie — avec des obligations plus légères, mais bien réelles.

Quelles obligations sont déjà en vigueur aujourd'hui ?

Deux choses sont obligatoires depuis plus d'un an, et rien de ce qui s'est passé en 2026 ne les a modifiées :

• Depuis le 2 février 2025 : les pratiques d'IA interdites (art. 5) — par exemple, les systèmes qui manipulent les personnes à leur insu, qui notent socialement les gens ou qui reconnaissent les émotions au travail ou dans l'éducation — et l'obligation, pour qui utilise l'IA dans son entreprise, de former a minima son équipe (« maîtrise de l'IA », art. 4).
• Depuis le 2 août 2025 : le régime de gouvernance et de sanctions du règlement (chapitre relatif aux autorités de contrôle et aux amendes) et les obligations de ceux qui développent des modèles d'IA à usage général, comme les modèles derrière ChatGPT ou similaires.

L'Agencia Española de Protección de Datos (AEPD, l'autorité espagnole de protection des données) elle-même l'a confirmé dans un communiqué de presse du 15 juillet 2025 : elle peut agir contre un système d'IA interdit si ce système traite des données personnelles, indépendamment du fait que l'Espagne devait alors — et doit toujours, à la date de cette révision — encore adopter sa loi nationale d'adaptation.

Qu'est-ce qui change exactement le 2 août 2026 ?

Pour la plupart des PME, le 2 août 2026 a un nom et un article : transparence, article 50. À partir de cette date :

• Si un client parle à un chatbot, à un assistant vocal ou à tout système qui interagit comme s'il était une personne, vous devez le lui dire clairement dès le début — sauf si c'est évident au vu du contexte. Une phrase visible du type « ce chat utilise l'intelligence artificielle » suffit.
• Si vous générez des images, de l'audio, de la vidéo ou du texte avec de l'IA et que vous les publiez d'une manière qui peut prêter à confusion avec un contenu réel, vous devez les marquer comme générés ou manipulés par IA.
• Si vous utilisez la reconnaissance des émotions ou la catégorisation biométrique, vous devez informer les personnes exposées, en plus de respecter le RGPD.

C'est l'obligation que le plus de PME vont ressentir, parce qu'elle ne dépend pas de votre secteur : elle dépend du fait que votre entreprise utilise ou non une IA qui parle à des clients ou qui génère du contenu. Le 2 août 2026 est aussi, de manière générale, la date à laquelle s'applique le reste du règlement qui n'a pas de date propre — mais, comme l'explique la section suivante, cette date générale a cessé d'être celle qui compte pour les obligations les plus exigeantes.

Est-il vrai que le calendrier a été reporté ? Le « Digital Omnibus », expliqué

Oui, et c'est la nouveauté la plus importante de cet article par rapport à n'importe quel guide écrit avant juin 2026. Fin 2025, il est devenu clair que ni les organismes de normalisation technique ni une bonne partie des États membres n'allaient être prêts au 2 août 2026 avec les outils nécessaires pour appliquer les obligations de « risque élevé ». La Commission européenne a alors proposé un paquet de simplification, le « Digital Omnibus on AI », que le Parlement européen a soutenu le 16 juin 2026 et que le Conseil de l'Union européenne a définitivement approuvé le 29 juin 2026.

Ce qui change, avec la date officielle de départ et d'arrivée :

• Les obligations des systèmes d'IA à « risque élevé » autonomes (annexe III — par exemple, sélection du personnel, évaluation du crédit, éducation ou certains usages de la biométrie) passent du 2 août 2026 au 2 décembre 2027.
• Les obligations de l'IA à risque élevé intégrée dans des produits réglementés (annexe I — dispositifs médicaux, jouets, machines) passent du 2 août 2026 au 2 août 2028.
• Le délai laissé à chaque pays pour créer ses « sandboxes » réglementaires (espaces contrôlés pour tester des systèmes d'IA sous supervision) est reporté au 2 août 2027, avec un accès prioritaire pour les PME.
• Une nouvelle pratique interdite est ajoutée, qui ne figurait pas auparavant : générer avec de l'IA du contenu sexuel non consenti de personnes réelles (par exemple, de faux nus) ou du matériel d'abus sexuel sur mineurs. Cette nouvelle interdiction s'ajoute au calendrier en décembre 2026.

Ce qui ne change pas avec ce paquet, d'après la documentation disponible à la date de cette révision : les interdictions de l'art. 5 (depuis février 2025), l'obligation de maîtrise de l'IA (art. 4, depuis février 2025), le régime de gouvernance (depuis août 2025) et, surtout, l'obligation de transparence de l'art. 50 conserve comme référence le 2 août 2026 pour ce qui touche le plus une PME : prévenir que l'on parle à une IA.

⚠️ Note honnête : à la date de cette révision (16 juillet 2026), le Conseil a déjà donné son approbation finale, mais le texte réformé du règlement n'a pas encore été publié au Journal officiel de l'Union européenne ; la publication est attendue avant le 2 août 2026, et le texte entre en vigueur trois jours après sa publication. Jusque-là, ces dates sont celles qui figurent dans les communiqués de presse officiels du Conseil, pas encore dans le texte légal consolidé. Si vous prenez une décision importante à partir de ce calendrier, confirmez-la avec votre gestoría (le cabinet espagnol qui gère vos formalités administratives et fiscales) ou avec un juriste avant août 2026.

Qui surveille cela en Espagne : l'AEPD, AESIA ou les deux ?

L'Espagne a été le premier pays de l'Union européenne à créer une agence d'État pensée pour cela : l'Agencia Española de Supervisión de Inteligencia Artificial (AESIA), l'agence espagnole de supervision de l'intelligence artificielle, dont le siège est à A Coruña et dont le statut a été approuvé par le Real Decreto 729/2023, de 22 de agosto (BOE-A-2023-18911) — avant même que le règlement IA n'existe comme norme définitive.

Cela dit, avoir créé l'agence n'est pas la même chose que l'avoir formellement désignée comme autorité du règlement IA : cela exige une loi nationale qui répartisse les compétences. Cette loi, le Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (le projet de loi sur le bon usage et la gouvernance de l'intelligence artificielle), a été approuvée par le gouvernement et transmise au Congreso (la chambre basse espagnole) le 12 juin 2026, et à la date de cette révision elle est toujours en cours d'examen parlementaire — ce n'est pas encore une loi en vigueur. Le projet prévoit qu'AESIA soit l'autorité de surveillance du marché pour la plupart des systèmes à risque élevé et pour les obligations de transparence de l'art. 50, et que l'AEPD (avec les autorités régionales de protection des données) s'occupe des systèmes de biométrie, de migration et de contrôle des frontières.

Tant que cette loi n'est pas adoptée, l'AEPD a déjà indiqué clairement par écrit, dans le communiqué de presse cité, qu'elle peut agir en tant qu'autorité de protection des données face à tout système d'IA qui traite des données personnelles de façon indue, que l'entreprise utilise ou non le mot « IA » pour le décrire.

Le calendrier complet, en un coup d'œil

Que doit faire votre PME avant août 2026 ? (15 minutes)

Pas besoin d'un grand projet. Pour la plupart des entreprises, ceci couvre l'essentiel :

1. Faites la liste de vos systèmes d'IA. Chatbot du site, IA de la messagerie, générateur d'images, correcteur ou traducteur automatique, tout logiciel doté d'IA que vous utilisez pour votre équipe ou vos clients.
2. Repérez lequel d'entre eux parle ou écrit à vos clients. C'est celui-là qui a besoin de la mention de transparence de l'art. 50 avant le 2 août 2026.
3. Ajoutez une phrase visible sur ce canal : « Ce chat utilise l'intelligence artificielle » (ou équivalent) suffit dans la plupart des cas.
4. Vérifiez si l'un de vos systèmes sélectionne des CV, évalue votre équipe ou décide automatiquement au sujet d'une personne. Si c'est le cas, une phrase ne suffira pas : prévenez votre gestoría, car cela entre dans la catégorie du risque élevé (annexe III) et, même si son délai a été déplacé à décembre 2027, il vaut mieux l'avoir identifié dès maintenant.
5. Gardez une trace écrite de l'IA que vous utilisez, depuis quand et pour quoi : c'est le minimum que vous demandera n'importe quelle autorité si elle vous interroge, et c'est aussi la base de l'obligation de maîtrise de l'IA de l'art. 4, déjà en vigueur.

Que se passe-t-il si vous ne respectez pas les règles ?

Le régime de sanctions du règlement IA (art. 99) comporte trois niveaux, selon la gravité du manquement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites de l'art. 5 (le niveau le plus élevé) ; jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires pour les autres obligations de celui qui utilise ou déploie de l'IA, y compris la transparence de l'art. 50 ; et jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires pour avoir donné des informations fausses ou trompeuses à une autorité. Dans chaque cas, c'est le plus élevé des deux montants qui s'applique — avec une exception importante pour les PME et les startups : pour elles, la loi inverse la règle et applique le montant le plus faible, et non le plus élevé, précisément pour ne pas compromettre la viabilité des petites entreprises.

En pratique, ces montants sont le plafond légal, pas la norme : l'autorité gradue la sanction selon la gravité, la taille de l'entreprise et votre degré de coopération. Une petite entreprise qui a identifié ses systèmes d'IA, qui a mis en place la mention de transparence et qui a formé a minima son équipe n'est pas dans le scénario des montants maximaux. C'est pourquoi il vaut mieux régler cela maintenant : non pas pour éviter une frayeur ponctuelle, mais pour arrêter d'y penser.

Questions fréquentes

Dois-je faire quelque chose si je n'utilise ChatGPT que pour rédiger des textes internes ?

S'il s'agit d'un usage interne, sans que le client parle directement à l'IA ni reçoive de contenu généré par IA présenté comme s'il était humain, l'art. 50 ne vous oblige à prévenir personne en dehors de votre entreprise. En revanche, l'obligation de former a minima celui qui l'utilise (art. 4) continue de s'appliquer à vous, en vigueur depuis février 2025.

Le report du Digital Omnibus signifie-t-il que je n'ai plus rien à faire en 2026 ?

Non. Le report concerne les systèmes à risque élevé de l'annexe III (sélection du personnel, évaluation du crédit et similaires), qui passent à décembre 2027. L'obligation de prévenir lorsqu'un client parle à votre IA (art. 50) conserve comme référence le 2 août 2026.

Une PME a-t-elle besoin d'un délégué ou responsable IA, comme le délégué à la protection des données du RGPD ?

Le règlement IA n'exige pas de figure équivalente au délégué à la protection des données pour les PME. Ce qu'il exige, c'est que celui qui utilise l'IA dans l'entreprise soit formé a minima (art. 4) et qu'il y ait de la transparence envers celui qui interagit avec elle (art. 50).

L'AEPD et AESIA peuvent-elles me sanctionner deux fois pour la même chose ?

Cela ne devrait pas arriver : chaque autorité agit dans son propre domaine. L'AEPD intervient lorsqu'il y a des données personnelles en jeu, en tant qu'autorité de protection des données ; la désignation complète des compétences spécifiques du règlement IA dépend de la loi nationale qui, à la date de cette révision, est toujours en cours d'examen.

Où consulter le texte légal exact du règlement IA ?

Sur EUR-Lex, le journal officiel de la législation de l'Union européenne, en cherchant le Reglamento (UE) 2024/1689 (lien dans « Sources », plus bas). C'est la seule source qui prévaut s'il y a la moindre différence avec cet article.

---

Vous utilisez un chatbot, un générateur d'images ou toute autre IA dans votre entreprise ? Tranquilia génère automatiquement votre registre de systèmes d'IA et votre clause de transparence de l'art. 50, à partir d'un questionnaire guidé avec les réponses de votre propre entreprise — sans jargon, en quelques minutes. Le niveau gratuit permet de l'essayer avec jusqu'à 2 entreprises, sans carte et sans limite de temps : visitez-le sur tranquilia.es. Si votre entreprise est une asesoría ou une gestoría (les cabinets espagnols qui gèrent la comptabilité, la fiscalité et les formalités sociales d'autres entreprises), consultez aussi le guide pour les asesorías et gestorías ou regardez les tarifs.

Article rédigé par Tranquilia by GRAC SA. Publié le 16 juillet 2026. Dernière révision : 16 juillet 2026. Le contenu s'appuie sur les sources officielles citées plus bas et ne constitue pas un conseil juridique individuel — plusieurs dates dépendent d'un texte légal (le « Digital Omnibus ») qui, à cette date, est approuvé par le Conseil de l'UE mais en attente de publication officielle : confirmez-les auprès du Journal officiel de l'Union européenne avant de prendre une décision importante.

Sources

• Reglamento (UE) 2024/1689 (Reglamento de IA) — EUR-Lex
• Conseil de l'UE — « Artificial Intelligence: Council gives final green light to simplify and streamline rules » (29 juin 2026)
• Conseil de l'UE — « Council and Parliament agree to simplify and streamline rules » (7 mai 2026)
• AEPD — « La AEPD recuerda que ya puede actuar ante sistemas de IA prohibidos que traten datos personales » (15 juillet 2025)
• BOE-A-2023-18911 — Real Decreto 729/2023, Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA)
• Gobierno de España (digital.gob.es) — Approbation du Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (mai 2026)