AI Act phase 2 en 2026 : ce qui devient obligatoire pour une PME qui utilise un système IA de prospection, relance ou accueil

Vous avez fait installer un système qui prend les demandes entrantes, relance vos devis ou lance vos premiers contacts. Bonne nouvelle : ça tourne. Question qui arrive juste après : est-ce que vous avez le droit ? Depuis le vote du règlement européen sur l'intelligence artificielle, une échéance revient dans les mails d'avocats et les newsletters — le 2 août 2026. C'est la date à laquelle les obligations de transparence de l'AI Act entrent en application. On fait le tri, sans vous vendre de la peur, entre ce qui vous concerne vraiment et ce qui ne vous concerne pas.

Le sujet croise deux cadres que les dirigeants confondent souvent : IA et RGPD. Le RGPD encadre les données personnelles que votre système manipule (adresses, noms, historiques de contact). L'AI Act, lui, encadre l'IA elle-même — et notamment l'obligation de dire à la personne en face qu'elle parle à une machine. Ce sont deux réglementations distinctes, elles s'additionnent, et pour une PME de 5 à 50 personnes, l'une comme l'autre se gèrent avec quelques réflexes simples plutôt qu'avec un service juridique interne.

AI Act : de quoi parle-t-on, et pourquoi 2026 change la donne

L'AI Act est le règlement (UE) 2024/1689 du 13 juin 2024, premier cadre européen sur l'intelligence artificielle. Il s'applique par vagues successives : certaines interdictions sont déjà en vigueur, et la vague qui touche directement une PME utilisatrice, c'est celle des obligations de transparence de l'article 50, applicables à partir du 2 août 2026.

La transparence, ici, veut dire une chose simple : quand une IA interagit avec un humain ou produit du contenu qui sera exposé au public, il faut que ce soit annoncé. On ne parle pas d'une couche de paperasse supplémentaire, mais d'une phrase honnête au bon endroit. Pour beaucoup de PME, c'est le seul point de l'AI Act qui déclenche une action concrète en 2026.

À noter tout de suite, parce que c'est la question numéro un qu'on nous pose : l'AI Act ne prévoit pas d'exemption fondée sur votre effectif. Une entreprise de moins de 50 salariés n'est pas dispensée de l'article 50 si elle entre dans son champ. Le déclencheur n'est pas votre taille, c'est ce que fait votre système.

AI Act : qui est concerné, et ce que ça vise vraiment

L'article 50 vise les fournisseurs et les déployeurs de certains systèmes d'IA — pas tous. Un déployeur, c'est vous : l'entreprise qui utilise le système dans le cadre de son activité. Les cas concernés, tels que la Commission européenne les liste dans ses lignes directrices, sont au nombre de quatre :

• L'interaction directe avec une personne — un chatbot d'accueil, un assistant vocal, une interface qui répond à un prospect.
• La génération de contenu synthétique — un texte, une image, une vidéo ou un audio produits par l'IA et destinés au public.
• La reconnaissance d'émotions ou la catégorisation biométrique — analyser le visage ou la voix pour en déduire un état ou une catégorie.
• Certains deepfakes et textes d'intérêt public publiés sans contrôle éditorial humain.

Pour une PME B2B qui prospecte, relance et accueille, ce sont surtout le premier et le deuxième cas qui comptent. Les deux derniers — biométrie, deepfakes — visent des usages que vous n'avez, dans l'immense majorité des cas, aucune raison de pratiquer. On y revient plus bas, parce qu'écarter clairement ce qui ne vous concerne pas, c'est aussi ça, décider en connaissance de cause.

Système IA de prospection, relance, accueil : ce qui devient obligatoire au 2 août 2026

Si votre système dialogue directement avec une personne, l'AI Act vous impose de le lui dire : la personne doit savoir qu'elle interagit avec une IA, sauf si c'est évident pour quelqu'un de raisonnablement avisé. C'est le cœur de l'article 50(1), applicable au 2 août 2026.

Concrètement, ça se joue à trois endroits d'un système de PME :

• L'accueil automatisé. Un chatbot sur votre site, un assistant qui prend un rendez-vous ou qualifie une demande entrante : il doit indiquer qu'il est une IA. Une phrase suffit — « Vous échangez avec un assistant automatisé » — visible dès le début de la conversation.
• La prospection conversationnelle. Si un agent IA mène un échange en votre nom avec un prospect, la même logique de transparence s'applique. Un message que vous rédigez et qu'un système envoie n'est pas la même chose qu'un agent qui converse : le déclencheur, c'est l'interaction directe, pas l'envoi d'un mail écrit par vous.
• Le contenu généré diffusé au public. C'est l'article 50(2) : un fournisseur qui met sur le marché un système générant du contenu synthétique doit permettre de marquer ce contenu dans un format lisible par machine. Une période de grâce court jusqu'au 2 décembre 2026 pour les systèmes génératifs déjà placés sur le marché avant le 2 août 2026.

La règle de transparence sur l'interaction directe est portée par l'obligation de transparence système IA prévue à l'article 50(1) du règlement. La CNIL et le RGPD, eux, continuent d'exiger que vous informiez la personne sur le traitement de ses données personnelles. Les deux se cumulent : une bonne mention d'accueil dit à la fois « vous parlez à une IA » et « voici comment vos données sont traitées ».

L'exception qui compte : « évident pour une personne raisonnablement avisée »

L'obligation d'informer disparaît quand le caractère artificiel de l'échange est évident. C'est l'exception explicite de l'article 50(1), et elle est plus large qu'on ne le croit.

Si votre interlocuteur voit clairement qu'il parle à une machine — parce que l'interface l'affiche, parce que le contexte ne laisse aucun doute — vous n'avez pas à ajouter un avertissement redondant. Mais attention : « évident » se juge du point de vue d'une personne normalement attentive, pas du vôtre. Dans le doute, la mention explicite coûte une phrase et vous met à l'abri. On conseille de la mettre systématiquement pour un accueil ou une prospection automatisés : le gain de sécurité juridique dépasse largement le coût.

Un point d'honnêteté : les sources officielles ne détaillent pas, à ce jour, une liste d'exceptions opérationnelles spécifiques aux outils de prospection et de relance au-delà de ce principe général d'évidence. Pour votre cas précis, votre conseil juridique reste l'interlocuteur qui tranche.

Ce qui reste hors périmètre pour une PME

Un système IA à usage purement interne, sans interaction directe avec des personnes et sans contenu synthétique exposé au public, ne relève pas de l'article 50. C'est ce que confirment les lignes directrices de la Commission.

Autrement dit, restent hors du champ de cette obligation de transparence :

• Un système qui trie, priorise ou score vos demandes en interne sans jamais parler au client — votre équipe voit le résultat, le prospect ne voit rien.
• Un outil qui prépare un brouillon de relance que vous relisez et envoyez vous-même : c'est vous qui écrivez au client, l'IA ne dialogue pas avec lui.
• Une automatisation qui range vos mails, remplit votre CRM ou génère un rapport interne.

Les usages biométriques et les deepfakes, eux, sont hors de votre quotidien : à moins d'analyser des émotions à partir de visages ou de fabriquer de fausses vidéos, l'article 50(3) et 50(4) ne vous concernent pas. Sur ces deux points précis, les sources officielles consultées ne mentionnent pas d'exception spécifique — logique, puisque ce sont des usages qu'une PME de prospection n'a aucune raison de pratiquer.

Une nuance sur laquelle il ne faut pas se tromper : « hors périmètre de l'AI Act » ne veut pas dire « hors de toute règle ». Le RGPD s'applique toujours dès qu'un système manipule des données personnelles, même en interne. La prospection B2B, elle, obéit à ses propres règles de consentement et d'opt-out. Le tri IA et RGPD reste donc à faire, même quand l'AI Act vous laisse tranquille.

AI Act et sanctions entreprise : quel risque réel

Les manquements aux obligations de transparence peuvent être sanctionnés jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, selon la présentation de la Commission reprise dans ses lignes directrices. C'est un plafond, pas un tarif automatique : les sanctions administratives se calibrent selon la gravité, la nature du manquement et la coopération de l'entreprise.

Pour une PME, le risque concret n'est pas de recevoir demain une amende maximale. Il est plutôt double :

• Un manquement visible — un chatbot qui se fait passer pour un humain, découvert et signalé — qui abîme votre réputation avant même toute procédure.
• Une dépendance à un prestataire qui a installé le système sans vous transmettre la maîtrise : si vous ne savez pas où votre outil interagit avec des humains ni ce qu'il génère, vous ne pouvez pas prouver votre conformité. Le jour d'un contrôle, c'est vous le déployeur responsable, pas le prestataire.

C'est là que la propriété du système change tout. Quand vous possédez vos comptes, vos accès et la carte de ce que fait votre système, ajouter une mention de transparence est l'affaire de dix minutes. Quand un prestataire détient tout à votre place, la moindre mise en conformité devient un devis et un délai.

Ce qu'une PME doit préparer avant le 2 août 2026

La mise en conformité tient en une checklist courte, pas en un chantier. Avant l'échéance, faites l'inventaire de chaque point où votre système touche un humain.

• Listez les points d'interaction directe. Chatbot, assistant de prise de rendez-vous, agent conversationnel de prospection : partout où une IA dialogue, une mention de transparence est requise.
• Ajoutez la mention d'information client système automatisé au bon endroit — visible dès le début de l'échange, pas enfouie dans des conditions générales.
• Vérifiez le contenu généré diffusé au public. Si un système publie des textes ou visuels synthétiques vers l'extérieur, assurez-vous que le marquage prévu à l'article 50(2) est en place, en tenant compte de la période de grâce jusqu'au 2 décembre 2026.
• Gardez la maîtrise. Assurez-vous de posséder vos accès et de savoir décrire, en une page, ce que votre système fait et où il parle à des humains. C'est votre meilleure preuve de conformité.
• Ne confondez pas les deux cadres. IA et RGPD se traitent ensemble : une mention réussie couvre le « vous parlez à une IA » de l'AI Act et le « voici comment vos données sont traitées » du RGPD.

Chez nous, c'est un réflexe intégré au produit : le Moteur de Visibilité publie chaque jour ouvré un article dans la voix de la marque, sur les comptes du client, et le client reste propriétaire de son site, de ses contenus et de ses accès. La transparence et la maîtrise ne sont pas des options qu'on ajoute après coup — c'est le principe de départ. upora.com est d'ailleurs lui-même produit par le Moteur : ce que vous lisez est la preuve.

Un dernier mot de cadrage : cet article explique un cadre pour décider, il ne remplace pas un avis juridique. L'application de l'AI Act et du RGPD dépend de votre situation précise ; pour votre cas, appuyez-vous sur les lignes directrices officielles de la Commission européenne et sur votre conseil.

Ce qu'il faut retenir

• Au 2 août 2026, l'AI Act impose de dire à une personne qu'elle interagit avec une IA — sauf si c'est évident ; aucune exemption fondée sur votre effectif.
• Un système de prospection, relance ou accueil est concerné s'il dialogue directement avec un humain ou diffuse du contenu généré au public ; un usage purement interne reste hors périmètre de l'article 50, mais le RGPD s'applique toujours.
• Les sanctions peuvent atteindre 15 M€ ou 3 % du chiffre d'affaires mondial, mais le vrai enjeu pour une PME est de posséder son système pour pouvoir prouver sa conformité en dix minutes.

Vous voulez savoir où votre système parle à des humains et si votre site est vu par les IA ? Commencez par un audit gratuit SEO & GEO de votre site. Ensuite, on fait le point ensemble lors d'un appel de 20 minutes : ce que ça implique, ce que ça coûte en ordre de grandeur, ce que le système fait — et ce qu'il ne fait pas.

Vous conseillez des dirigeants ? Parlons partenariat.

UPORA — des systèmes qui travaillent à votre place.