IA Act : les obligations d'une TPE depuis le 2 août 2026

Vous avez cinq salariés. Deux d’entre eux ouvrent ChatGPT tous les matins. Personne ne l’a jamais décidé. Et depuis le 2 août, c’est vous, le responsable. Pas de panique. Ce que la loi vous demande tient sur une feuille. On vous explique.

Le problème : « l’IA Act, c’est pour les grands groupes »

C’est la phrase qu’on entend partout. Elle est fausse.

L’IA Act est le règlement européen sur l’intelligence artificielle. Depuis le 2 août 2026, l’essentiel de son régime, dont les sanctions nationales, est applicable. Trois obligations vous concernent dès aujourd’hui :

les pratiques interdites (article 5) ;
la transparence vis-à-vis de vos interlocuteurs (article 50) ;
l’obligation de formation et de maîtrise de l’IA pour les personnes qui l’utilisent (article 4).

Bonne nouvelle au passage : le « Digital Omnibus », adopté par le Conseil de l’UE le 29 juin 2026, a repoussé au 2 décembre 2027 les obligations sur les systèmes dits à haut risque, dont le tri automatisé de CV et l’évaluation des salariés. Vous avez donc du temps sur ce volet-là. Mais pas sur les trois autres.

Et la responsabilité s’applique dès le premier salarié qui utilise un outil d’IA dans son travail. Cinq personnes, trois personnes, deux personnes : c’est pareil.

Le diagnostic : faites le test du shadow IA

Le « shadow IA », c’est l’IA qui tourne chez vous sans que vous le sachiez. Ni interdite, ni cadrée. Juste invisible.

Quatre questions. Répondez honnêtement.

Quelqu’un dans l’équipe a un compte ChatGPT, Claude ou Gemini (parfois personnel) et s’en sert pour le travail ?
Copilot est activé dans votre Microsoft 365 ?
Vos outils métier ont ajouté des fonctions IA (Canva, Notion, votre CRM, votre logiciel de compta) ?
Une automatisation quelque part appelle un modèle de langage ?

Une seule case cochée = votre entreprise déploie de l’IA au sens du règlement. Et c’est vous qui en répondez. Pas l’éditeur du logiciel.

Rassurez-vous : pour une TPE, la quasi-totalité des usages (rédiger un e-mail, générer un visuel, résumer un compte rendu) relève du risque limité ou minimal. On vous demande de la transparence et de la maîtrise. Pas un dossier réglementaire de 200 pages.

Le vrai risque, c’est de ne pas savoir. Vous ne pouvez pas cadrer ce que vous ne voyez pas.

La résolution : trois actions, quatre semaines

Dans cet ordre. Sans bloquer personne à temps plein.

1. Recensez vos usages de l’intelligence artificielle

Un tableau. Cinq colonnes : quel outil, qui l’utilise, pour quoi faire, avec quelles données, quel niveau de sensibilité. Un tableur suffit.

La méthode qui marche : une réunion d’équipe de 45 minutes, avec une règle annoncée d’entrée : personne ne sera sanctionné pour ce qu’il déclare. Sinon, le shadow IA reste dans l’ombre et votre tableau ne vaut rien.

2. Posez une charte informatique intégrant l’IA

Une fois les usages visibles, vous arbitrez. Trois colonnes : autorisé, encadré, interdit.

Par exemple :

rédiger un brouillon d’e-mail commercial → autorisé ;
coller un fichier client dans un chatbot grand public → interdit ;
utiliser l’IA pour présélectionner des candidats → encadré, avec validation humaine systématique.

Deux à quatre pages. Pas quarante. Elle doit être lisible par tout le monde et vécue comme une protection, pas comme un règlement intérieur de plus.

3. Désignez un référent IA

L’article 4 impose la maîtrise de l’IA. En version TPE, ça veut dire : une personne formée sérieusement, qui transmet le socle à l’équipe et fait vivre la charte.

Ni juriste ni ingénieur. La bonne personne, c’est celle qui connaît vos process, utilise déjà l’IA, et a envie de porter le sujet.

Votre planning sur 4 semaines : semaine 1, le recensement. Semaine 2, les arbitrages et la charte v1. Semaine 3, une heure de présentation à l’équipe. Semaine 4, vous nommez le référent et planifiez sa formation.

Ce que vous risquez vraiment (indice : ce n’est pas l’amende)

Vous avez peut-être vu passer un post LinkedIn qui agite des amendes à 35 millions d’euros. Respirez.

Ces montants visent les géants de la tech et les pratiques interdites. Ils sont proportionnés à la taille de l’entreprise, et le texte demande explicitement aux autorités de tenir compte des intérêts des PME. En France, la logique des régulateurs est constante : accompagner d’abord.

Le vrai enjeu est commercial.

Dès cette année, vos donneurs d’ordre, vos clients grands comptes et vos assureurs intègrent la conformité IA dans leurs questionnaires fournisseurs et leurs appels d’offres. Pouvoir répondre « oui, nos usages sont recensés, notre charte existe, notre référent est formé », c’est un argument qui rassure et qui vend. Un silence gêné coûtera toujours plus cher qu’une amende.

Et il y a un angle mort : 77 % des dirigeants de TPE estiment que l’IA va faire augmenter les cyberattaques, contre 66 % un an plus tôt (baromètre Mastercard/Ifop sur la digitalisation des indépendants et des TPE, 6e édition, réalisée auprès de 630 dirigeants de TPE de 1 à 9 salariés en avril 2026). La crainte pour la sécurité des données est même devenue le motif de refus de l’IA pour 20 % des dirigeants réticents, soit deux fois plus qu’en 2024. Une charte qui dit clairement ce qu’on ne colle jamais dans un chatbot grand public, c’est aussi de la cybersécurité.

Les quatre erreurs qu’on voit partout

Attendre. Le recensement demande de la franchise, la charte demande des arbitrages, le référent demande une formation. Rien d’énorme. Mais rien qui se fait la veille.

Tout interdire. Vous bloquez ChatGPT ? Les usages passent sur les téléphones personnels. Vous obtenez exactement l’inverse de ce que demande le règlement. Encadrer protège mieux qu’interdire.

Acheter un audit et le ranger dans un tiroir. Un livrable daté de juin 2026 ne dit rien de vos usages de janvier 2027.

Ne confier le sujet à personne. Une obligation que tout le monde porte un peu, personne ne la porte vraiment. Sans référent nommé, la charte devient un PDF oublié.

Et maintenant ?

L’IA Act n’est pas un examen à date unique. Vos outils changent tous les mois, les usages de votre équipe aussi. Votre recensement d’août sera partiellement périmé en décembre.

C’est pour ça que la bonne réponse n’est pas un audit ponctuel, mais un réflexe interne : quelqu’un qui met à jour le tableau, fait évoluer la charte et cadre les nouveaux usages au fil de l’eau.

Trois actions. Quatre semaines. Une personne qui porte le sujet. À vous de jouer !

Vous ne savez pas par où commencer votre recensement des IA dans votre entreprise ? iokoo, c’est un expert informatique disponible 24h/24 et 7j/7 pour les TPE : il peut déjà vous aider à mettre en place vos documents, en vous accompagnant et en cas de besoin, un expert IA vous proposera un échange précis. Testez iokoo et faisons le point ensemble sur vos usages.

Sources : règlement (UE) 2024/1689 sur l’intelligence artificielle, échéance du 2 août 2026 ; « Digital Omnibus », adoption par le Conseil de l’UE le 29 juin 2026 ; baromètre Mastercard/Ifop « La digitalisation des indépendants et des TPE », 6e édition, juin 2026.

IA Act : ce qu'une entreprise de 5 personnes doit avoir en place depuis le 2 août