Règlement européen sur l'IA : ce qu'une PME qui utilise des agents doit faire en 2026

En bref

• Une PME qui utilise un agent IA est le plus souvent « déployeur » au sens du règlement européen sur l'IA. Elle peut aussi être « fournisseur » : le texte vise aussi celui qui « fait développer » un système et le met en service sous son nom. Faites vérifier votre cas par votre conseil, et écrivez le rôle de chacun dans le contrat.
• Depuis le 2 août 2026, un agent qui échange directement avec vos clients doit leur dire qu'il est une IA, au plus tard au premier échange.
• Les règles « haut risque » (recrutement, gestion des salariés, solvabilité de personnes physiques) s'appliqueront le 2 décembre 2027. C'est maintenant qu'il faut repérer ces usages.

Le règlement européen sur l'IA, souvent appelé « AI Act », est le règlement (UE) 2024/1689. Le règlement (UE) 2026/1744, dit « omnibus numérique sur l'IA », l'a modifié. Il est entré en vigueur le 27 juillet 2026.

Si le sujet vous paraît flou, vous n'êtes pas seul. En 2025, parmi les entreprises de l'UE d'au moins 10 salariés qui ont envisagé l'IA sans l'utiliser, 52,5 % citent le manque de clarté sur les conséquences juridiques (Eurostat).

Voici une lecture pratique pour une PME qui utilise des agents IA. Un « agent » désigne ici un logiciel qui s'appuie sur un modèle d'IA pour accomplir une tâche : trier des courriels, préparer une relance, répondre à un client. Cette lecture ne remplace pas l'avis d'un juriste.

Déployeur ou fournisseur : où se situe votre entreprise

Le règlement définit plusieurs rôles (article 3). Deux vous concernent :

• Le fournisseur développe un système d'IA, ou le « fait développer », puis le met sur le marché ou en service « sous son propre nom ou sa propre marque ». C'est en général l'éditeur du logiciel.
• Le déployeur utilise un système d'IA « sous sa propre autorité », dans un cadre professionnel. C'est le cas d'une PME qui se sert d'un agent pour trier ses courriels ou préparer ses relances. Vos salariés qui utilisent l'outil sur vos instructions ne sont pas des déployeurs à part : c'est l'entreprise qui l'est (lignes directrices de la Commission sur l'article 50, point 14).

Dans la plupart des cas, votre entreprise est déployeur. Deux situations demandent plus d'attention.

1. Vous faites développer un agent sur mesure et vous le mettez en service sous votre nom. La définition du fournisseur vise aussi celui qui « fait développer » un système. Les lignes directrices de la Commission citent un cas proche : une entreprise qui développe un chatbot en interne et le met en service pour son propre usage, sous son nom, est fournisseur. Selon le montage, ce rôle peut donc revenir à vous ou à votre prestataire. Faites vérifier votre montage par votre conseil, et écrivez le rôle de chacun noir sur blanc dans le contrat.
2. Vous changez l'usage d'un outil. Un déployeur est considéré comme fournisseur s'il « modifie la destination » d'un système d'IA au point de le faire entrer dans le haut risque (article 25). Par exemple, une PME de 30 salariés qui réutilise son agent de support pour trier des candidatures.

Et le modèle d'IA qui fait tourner l'agent ? C'est en général un « modèle d'IA à usage général » (considérant 99). Ses règles visent son éditeur, pas votre PME.

Le calendrier après le règlement omnibus 2026/1744

Sources : articles 113 et 111, calendrier de la Commission.

Article 50 : dire clairement à vos clients qu'ils parlent à une IA

La règle tient en deux phrases (article 50) :

• Un système d'IA destiné à « interagir directement avec des personnes physiques » doit les informer qu'elles échangent avec une IA. Exception : quand c'est évident pour une personne « normalement informée et raisonnablement attentive et avisée ».
• L'information est donnée « de manière claire et reconnaissable au plus tard au moment de la première interaction ». Elle respecte les règles d'accessibilité.

La Commission a publié le 20 juillet 2026 des lignes directrices sur l'article 50. Elles ne sont pas contraignantes : seule la Cour de justice de l'UE donne une interprétation qui fait foi. Elles précisent toutefois plusieurs points :

• l'interaction est « directe » quand l'IA communique elle-même avec la personne, y compris par courriel ou par téléphone ;
• un agent doit dire qu'il est une IA et pour le compte de qui il agit ;
• l'exception « c'est évident » s'interprète de façon stricte. Exemple cité : un assistant interne réservé à des salariés formés, qui savent qu'ils utilisent une IA.

En pratique :

• Chatbot sur votre site : le message d'accueil dit qu'il s'agit d'un assistant automatique.
• Agent vocal au téléphone : il l'annonce dès le début de l'appel.
• Agent qui répond seul aux courriels : la réponse le mentionne, par exemple en tête du message. Elle dit aussi pour quelle entreprise l'agent écrit.
• Brouillon relu et envoyé par un salarié : les lignes directrices excluent ce cas quand le salarié se sert de l'IA comme d'une aide et reste le véritable interlocuteur du client. Attention : la simple possibilité de relire ne suffit pas. Une relecture de pure forme ne doit pas servir à contourner l'obligation. Dans le doute, mentionnez l'IA quand même.

Cette obligation vise le fournisseur, qui conçoit l'outil. Si vous êtes vous-même fournisseur (voir plus haut), elle vous revient. Comme déployeur, vérifiez que la mention s'affiche et ne la désactivez pas.

Parmi les autres règles de l'article 50, deux peuvent vous concerner :

• Le marquage des contenus générés (§2) : le fournisseur rend les textes, images, sons et vidéos produits par l'IA détectables par une machine. Exception : une IA qui aide seulement à la mise en forme courante, ou qui ne change pas sensiblement le contenu fourni ni son sens. Les systèmes mis sur le marché avant le 2 août 2026 ont jusqu'au 2 décembre 2026.
• Les hypertrucages (§4) : une image, un son ou une vidéo générés ou modifiés par l'IA, qui ressemblent à des personnes, des lieux ou des événements réels et peuvent passer pour authentiques, doivent être signalés par le déployeur. Même règle pour un texte généré par l'IA et publié pour informer le public sur une question d'intérêt public, sauf relecture humaine sous la responsabilité éditoriale d'une personne.

Un manquement à l'article 50 expose à une amende plafonnée à 15 millions d'euros ou à 3 % du chiffre d'affaires annuel mondial de l'exercice précédent, le plus élevé des deux. Pour une PME, c'est le plus bas des deux (article 99).

Haut risque : les usages à surveiller

L'annexe III liste les usages dits « à haut risque ». Pour une PME, trois familles comptent :

• Le recrutement : cibler des offres d'emploi, analyser et filtrer des candidatures, évaluer des candidats.
• La gestion des salariés : décider d'une promotion ou d'une fin de contrat, répartir les tâches selon le comportement ou les traits personnels, surveiller et évaluer les performances et le comportement.
• Le crédit et l'assurance : évaluer la solvabilité de personnes physiques ou leur attribuer une note de crédit (sauf détection de fraude financière), évaluer le risque et fixer le prix d'une assurance vie ou santé pour des personnes physiques.

Un entrepreneur individuel, qui exerce sans créer de société, est une personne physique : en France, l'INPI rappelle que l'entreprise individuelle se confond juridiquement avec lui. Un agent qui noterait la solvabilité de tels clients pourrait entrer dans ce cas. À vérifier avec votre conseil.

Un usage de l'annexe III n'est pas à haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux. C'est le cas, par exemple, d'une tâche procédurale étroite ou d'une tâche préparatoire. Il l'est toujours s'il fait du « profilage », c'est-à-dire s'il évalue automatiquement des aspects personnels d'une personne à partir de ses données : travail, situation financière, fiabilité, comportement… (article 6 ; définition à l'article 4 du RGPD). Le fournisseur qui écarte ainsi le haut risque doit documenter son évaluation avant la mise sur le marché ou en service.

Ces règles s'appliqueront le 2 décembre 2027, au lieu du 2 août 2026 prévu au départ. Le déployeur devra alors notamment (article 26) :

• utiliser le système selon sa notice ;
• confier le contrôle humain à des personnes compétentes, formées et qui ont l'autorité nécessaire ;
• surveiller le fonctionnement et signaler les problèmes ;
• conserver au moins six mois les journaux d'activité produits automatiquement, quand ils sont sous son contrôle ;
• informer les représentants du personnel et les salariés concernés avant la mise en service au travail ;
• informer les personnes concernées quand le système prend ou aide à prendre des décisions les concernant.

Les usages prévus pour nos quatre agents types, en préparation (relances et factures, courriels et support, devis et prospects, pièces comptables), ne figurent pas, en principe, dans cette liste. Un point reste à examiner : la liste des clients « à risque » que préparera l'agent relances et factures, si ces clients sont des personnes physiques (voir plus haut). Nous appliquerons à tous nos agents des règles proches de celles du haut risque : au départ, l'agent propose et un humain décide ; chaque action sera journalisée ; l'agent s'arrête et passe la main en cas de doute.

Article 4 (maîtrise de l'IA) : l'essentiel

Depuis le 2 février 2025, les fournisseurs et les déployeurs doivent s'occuper de la « maîtrise de l'IA » de leur personnel. Le règlement 2026/1744 a assoupli cette règle (article 4) :

• les fournisseurs et les déployeurs « prennent des mesures pour favoriser » cette maîtrise, selon les connaissances de chacun et le contexte d'usage ;
• l'obligation « ne contraint pas » à garantir un niveau précis pour chaque personne ;
• la Commission et les États membres aident les entreprises, en particulier les PME ; la Commission publie des exemples pratiques.

Le texte n'impose pas de format. Une base simple : une courte formation à l'outil et une règle d'usage écrite. Nous détaillons ce point dans notre article sur la formation des équipes.

Ce que prévoit le contrat : qui porte quel rôle

Un contrat de mise en place d'agents devrait préciser, agent par agent :

• le rôle de chacun : qui est fournisseur, qui est déployeur ;
• la mention « vous échangez avec une IA » : qui la conçoit, où elle s'affiche ;
• l'usage prévu et les usages exclus, en particulier ceux de l'annexe III. Changer d'usage demande une nouvelle analyse ;
• le journal : ce qui est enregistré, combien de temps, qui y a accès ;
• les incidents : qui les détecte, qui prévient qui ;
• les données personnelles : le contrat de sous-traitance prévu par l'article 28 du RGPD (texte sur le site de la CNIL).

Chez Kendu Intelligence, la fiche de chaque agent, que vous validerez avant la construction, précisera sa mission et ses cas d'arrêt. Le rôle de chacun au regard du règlement sera défini avec vous dans le devis, selon le mode de déploiement choisi. Chaque action de nos agents sera journalisée.

Pour aller plus loin

• Notre méthode : fiche agent validée par vous, paliers d'autonomie de 0 à 3.
• Formation : formations en préparation, prise en main incluse dans chaque mise en place.
• Données et sécurité : où seront hébergées vos données, et où le modèle d'IA peut être opéré.
• L'audit : nous faisons le point sur vos outils, vos usages et les données personnelles traitées. Il est sur devis.