AI Act : le guide pratique pour PME et e-commerçants

Où en est l'AI Act fin 2026 ?

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Son application est progressive, et le calendrier a été modifié cet été par le « Digital Omnibus sur l'IA » (règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'UE le 24 juillet et entré en vigueur le 27 juillet 2026).

Le calendrier à retenir

• 2 février 2025 : Interdiction des pratiques d'IA inacceptables + obligation de « maîtrise de l'IA » (formation des équipes)
• 2 août 2025 : Règles pour les fournisseurs de modèles d'IA à usage général (GPAI : les grands LLM) et gouvernance européenne
• 2 août 2026 : Application générale du règlement, dont les obligations de transparence (article 50)
• 2 décembre 2026 : Fin du délai de grâce pour le marquage technique des contenus générés par les systèmes mis sur le marché avant le 2 août 2026 ; entrée en application de la nouvelle interdiction des applications de « nudification »
• 2 décembre 2027 : Obligations des systèmes à haut risque de l'annexe III (emploi, éducation, biométrie, accès aux services essentiels…), initialement prévues pour août 2026
• 2 août 2028 : Systèmes à haut risque intégrés dans des produits réglementés (annexe I : machines, jouets, ascenseurs…)

Ce qui vous concerne vraiment

1. La maîtrise de l'IA : déjà obligatoire

L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer la maîtrise de l'IA (« AI literacy ») de leurs collaborateurs qui utilisent ces outils. Le Digital Omnibus a précisé que cela n'impose pas de garantir un niveau donné pour chaque individu, mais l'obligation de moyens demeure.

En pratique : une sensibilisation documentée, adaptée aux usages réels (service client, marketing, développement), vaut mieux qu'un grand plan de formation théorique.

2. La transparence : en vigueur depuis le 2 août 2026

C'est le sujet le plus concret pour un site e-commerce :

• Chatbots et agents conversationnels : les personnes doivent être informées qu'elles échangent avec une IA, dès la première interaction, de façon claire et accessible, sauf si c'est évident pour une personne raisonnablement attentive. La Commission recommande d'interpréter cette exception de manière restrictive.
• Contenus générés : les fournisseurs de systèmes d'IA générative doivent marquer leurs productions (texte, image, audio, vidéo) dans un format lisible par machine.
• Hypertrucages (deepfakes) : une image ou une vidéo générée qui ressemble à une personne, un lieu ou un objet réel et pourrait passer pour authentique doit être signalée comme telle. Un mannequin virtuel photoréaliste qui porte votre collection mérite donc réflexion.
• Textes d'intérêt public : un texte généré par IA et publié pour informer le public sur des questions d'intérêt public doit être signalé, sauf s'il a fait l'objet d'une relecture humaine réelle sous responsabilité éditoriale. Vos fiches produits n'entrent en principe pas dans cette catégorie ; c'est différent pour un article d'information sur la sécurité des consommateurs ou la santé.

Les manquements aux obligations de transparence peuvent être sanctionnés jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial. Pour les PME, c'est le plus faible des deux montants qui sert de plafond.

3. Les pratiques interdites : à vérifier une fois pour toutes

Depuis février 2025, certaines pratiques sont purement interdites : manipulation ou tromperie préjudiciables, exploitation des vulnérabilités (âge, handicap, situation économique), notation sociale, reconnaissance des émotions sur le lieu de travail, etc. Un e-commerçant n'est généralement pas concerné… sauf si un outil de « persuasion » ou de pricing agressif exploite délibérément la vulnérabilité de certains clients. Cela mérite un contrôle de vos briques marketing.

4. Le haut risque : rarement le cœur d'un site e-commerce, mais attention aux RH

Les systèmes à haut risque (obligations à partir du 2 décembre 2027) concernent surtout des domaines sensibles. Pour une PME, le cas le plus fréquent est le recrutement : un outil qui trie ou classe des CV relève de l'annexe III. Si vous en utilisez un, ou si votre ATS propose ce type de fonction, inscrivez-le dès maintenant sur votre feuille de route.

5. Le RGPD reste la base

L'AI Act ne remplace pas le RGPD : il s'y ajoute. La CNIL rappelle qu'un déployeur qui connecte un modèle à sa propre base de connaissances (RAG) est responsable de ce traitement si elle contient des données personnelles. Elle recommande d'associer le DPO, de réaliser une analyse d'impact (AIPD) lorsque c'est nécessaire, et de privilégier, pour les données sensibles, des déploiements sur site ou un hébergement encadré par un contrat de sous-traitance, avec une vigilance particulière sur les transferts hors UE.

La conformité comme exigence d'ingénierie

Chez Caféfrappé, nous voyons l'AI Act comme une bonne pratique d'ingénierie plutôt que comme une contrainte : un système d'IA bien conçu est traçable, cloisonné, documenté et supervisé par un humain. C'est exactement ce que nous appliquons à nos propres usages (prototypage, développement assisté, qualification du support) et à notre socle d'agents IA.

Nous pouvons vous aider à :

• auditer vos usages et votre maturité Data & IA, volet gouvernance et conformité compris ;
• mettre à niveau vos interfaces (chatbot, génération de contenus) sur vos plateformes Symfony et Sylius ;
• concevoir des déploiements souverains, avec des modèles hébergés dans votre périmètre lorsque vos données l'exigent.

👉 Un échange de 30 minutes suffit pour faire le point sur vos usages d'IA. Échangeons sur votre projet ou découvrez notre Audit Data & IA.