L'étiquetage IA s'impose à des entreprises qui ne savent pas quels outils d'IA elles utilisent

Depuis le 2 août 2026, toute PME utilisant ChatGPT ou Copilot risque jusqu'à 15 millions d'euros d'amende — sans savoir qui, en France, est chargé de vérifier quoi que ce soit.

Le statut de « déployeur » au sens du règlement européen sur l'intelligence artificielle existe depuis l'entrée en vigueur du texte, sans seuil de taille, dès le premier usage d'un système d'IA par une entreprise. Certaines obligations — notamment pour les systèmes à haut risque — s'appliquaient déjà auparavant. Mais c'est le 2 août 2026 qu'entrent en vigueur les obligations de transparence prévues à l'article 50 du règlement, celles qui concernent le plus directement l'utilisateur professionnel ordinaire. Une PME dont les salariés se servent de ChatGPT, de Copilot ou d'un chatbot de service client entre dans le même régime qu'un groupe du CAC 40. En cas de manquement, l'amende peut atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

Le règlement adopte une approche par les risques, du risque minimal au risque inacceptable, rappelle la Direction générale des Entreprises. La CNIL précise que les chatbots et les outils de génération de contenu artificiel relèvent le plus souvent du risque minimal, catégorie pour laquelle le texte ne prévoit pas d'obligation spécifique — à l'exception, justement, de cette obligation de transparence : à partir du 2 août 2026, selon le Blog du Modérateur, les dispositifs interagissant avec le public à l'aide de l'IA, comme les chatbots, les agents ou les avatars virtuels, devront être clairement identifiés comme tels.

Le cas de Copilot, l'assistant que Microsoft a intégré à Word, Excel, Outlook et Teams, illustre les zones grises de cette classification. Selon un guide de conformité publié par Leto, un usage à des fins jugées « à haut risque » — recrutement, scoring de crédit, décisions automatisées — soumettrait l'entreprise aux obligations strictes de l'AI Act. Cette lecture, si elle se confirme, distinguerait nettement l'usage courant de rédaction ou de synthèse d'un usage engageant des décisions affectant directement un salarié ou un client.

Cette obligation d'information ne doit pas être confondue avec le marquage numérique lisible par machine — la technique qui permet à un logiciel de détecter automatiquement qu'un contenu est généré par IA. Selon Studeria, NXL Forge et Pasquale Pillitteri, le Digital Omnibus a accordé un sursis jusqu'au 2 décembre 2026 pour la mise en œuvre de ce marquage technique (article 50-2), mais uniquement pour les systèmes déjà mis sur le marché avant le 2 août 2026 — pas pour les nouveaux systèmes, qui restent soumis à l'échéance initiale. Pour l'utilisateur professionnel, l'échéance qui compte reste donc celle du 2 août. Elle porte sur ce que l'entreprise dit à ses clients, pas sur ce que ses logiciels écrivent dans leurs métadonnées.

L'obligation, telle qu'elle est rédigée, se joue usage par usage : informer l'utilisateur, et depuis le 2 février 2025, assurer un niveau suffisant de maîtrise de l'IA au sein du personnel — c'est l'article 4 du règlement. Aucune clause n'impose un inventaire centralisé des outils.

Mais on ne signale pas un usage qu'on ignore.

Un marché naissant de la cartographie

Des cabinets de conseil proposeraient désormais aux PME et ETI des services de cartographie des outils d'IA : recensement des logiciels utilisés, identification des modules d'IA déjà intégrés aux outils existants, entretiens avec les responsables opérationnels. Unifix, par exemple, présente sur son site un accompagnement destiné aux PME et ETI « qui refusent de rester spectateurs de la révolution IA ». L'existence même d'un tel marché, quelle qu'en soit l'ampleur exacte, suggère que l'inventaire ne relève pas encore de la routine interne des entreprises concernées.

En 2026, 92 % des entreprises n'interdisent plus l'usage de l'IA générative, contre 8 % qui le proscrivent encore, selon le Blog du Modérateur. L'usage s'est généralisé plus vite que sa structuration.

Le Tour de France de l'IA

Les organisations patronales ne peuvent pas dire qu'elles n'ont rien produit. France Num diffuse, depuis le 23 septembre 2025, quatre fiches pratiques sur l'IA générative, montées à l'initiative de la CNIL et de la CPME, avec le Medef, le Hub France IA, l'U2P, l'Inria, CCI France, CMA France, ECTI et Cerfrance. Numeum a publié dès le 7 janvier 2025 un guide de mise en œuvre du règlement, coécrit avec le Cigref. Le Medef et Numeum avaient auparavant organisé un Tour de France de l'IA — trois mois, vingt étapes — achevé le 4 février 2025 après avoir réuni plus de 3 000 participants.

Onze à dix-neuf mois séparent ces publications de l'échéance du 2 août 2026. Le matériau existait avant l'obligation. Sa diffusion jusqu'au poste de travail ne se mesure pas.

23 sanctions de la CNIL

Aucune source ne nomme l'autorité chargée, en France, de faire appliquer ces obligations de transparence aux utilisateurs professionnels. La CNIL, compétente sur la protection des données, a de son côté prononcé, depuis janvier 2026, 23 sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé de 133 750 euros — soit une moyenne d'environ 5 815 euros par dossier —, selon les chiffres que la CNIL a elle-même publiés et que reprend Yahoo. Dix-neuf de ces dossiers auraient pour origine une plainte, précise le site czsyn.com.

« Mais on ne signale pas un usage qu'on ignore. »

Le détail des structures visées par ces sanctions et la liste précise des dossiers ne figurent pas dans les publications disponibles de la CNIL. Il n'est donc pas possible d'affirmer qu'aucun grand groupe du numérique n'y figure, ni de caractériser avec certitude le profil des entreprises sanctionnées.

« Le matériau existait avant l'obligation. »

Le règlement européen sur l'IA mentionne les petites et moyennes entreprises trente-huit fois. Les formulaires de conformité simplifiés promis pour elles n'ont, à ce jour, pas de date de publication.

Une obligation sans gendarme, pour des entreprises sans boussole

Reste un constat qui résume à lui seul le problème : la France a bâti, en un an et demi, des fiches pratiques, un guide de mise en œuvre, un Tour de France avec plus de 3 000 participants — mais aucune autorité n'a été officiellement désignée pour vérifier que les TPE et PME respectent, concrètement, l'obligation d'information née le 2 août 2026. La CNIL sanctionne, mais sur son propre terrain, celui des données personnelles ; rien n'indique qu'elle soit, ou qu'elle deviendra, le point de contrôle de cette obligation de transparence sur l'usage de l'IA. En l'absence de désignation claire, chaque TPE et PME est sommée de s'auto-évaluer, de cartographier ses propres outils, parfois à ses frais via des prestataires privés, sous la menace d'une amende qui peut représenter jusqu'à 3 % de son chiffre d'affaires mondial — un niveau de sanction pensé, à l'origine, pour dissuader des géants du numérique, pas pour un cabinet comptable de dix salariés utilisant Copilot pour rédiger ses e-mails.

Cette asymétrie interroge la logique même du texte : un règlement conçu pour encadrer les usages à haut risque de l'intelligence artificielle finit par peser, dans les faits, sur les structures les moins armées pour y répondre — sans guichet unique, sans autorité identifiée, sans seuil de tolérance pour la découverte tardive d'un outil déjà en poste. Tant que la France n'aura pas nommé qui, concrètement, contrôle quoi, l'obligation du 2 août 2026 restera ce qu'elle est aujourd'hui : une épée suspendue au-dessus d'entreprises qui ignorent, pour beaucoup, jusqu'à l'existence des outils qu'elles sont censées déclarer.

Repères

• 2 août 2026 — entrée en vigueur des obligations de transparence pour les déployeurs (article 50 du règlement européen sur l'IA)
• Amende maximale — 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial
• 23 sanctions CNIL depuis janvier 2026, 133 750 euros au total, selon la CNIL (chiffres au 12 juillet 2026)
• Marquage lisible par machine — sursis jusqu'au 2 décembre 2026, mais uniquement pour les systèmes déjà commercialisés avant le 2 août 2026
• 4 février 2025 — fin du Tour de France de l'IA (3 mois, 20 étapes, plus de 3 000 participants)
• Règlement européen sur l'IA — 38 mentions des PME, sans date pour les formulaires simplifiés