Conformité · IA · Cybersécurité · Juillet 2026 · ~20 min de lecture

Règlement IA UE · obligations à compter du 2 août 2026 pour les PME espagnoles

Le Règlement (UE) 2024/1689 — plus connu sous le nom d'EU AI Act — est entré en vigueur le 1er août 2024, mais s'applique par phases. Les obligations qui entrent en vigueur le 2 août 2026 touchent directement les PME espagnoles : gouvernance des systèmes à haut risque visés à l'Annexe III et transparence des chatbots, deepfakes et autres contenus générés par IA en vertu de l'article 50. Le non-respect peut entraîner des amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel — un régime de sanctions qui, à l'instar de l'obligation de culture IA de l'article 4, est déjà en vigueur depuis 2025. Ce guide résume ce qu'il faut faire avant août 2026, ce qui arrive en 2027, le rôle de l'AESIA et comment éviter les pratiques interdites de l'article 5.

Calendrier d'application du Règlement IA

Le Règlement (UE) 2024/1689 a été publié au Journal officiel de l'UE le 12 juillet 2024 et est entré en vigueur vingt jours plus tard, le 1er août 2024. Son application est échelonnée : pratiques interdites (art. 5) et culture IA (art. 4) le 2 février 2025 ; GPAI (chapitre V), sanctions (chapitre XII) et autorités notifiantes le 2 août 2025 ; le reste du Règlement, y compris les systèmes à haut risque de l'Annexe III, le 2 août 2026 ; et les systèmes à haut risque énumérés à l'Annexe I le 2 août 2027.

Article 5 · pratiques d'IA interdites depuis février 2025

L'article 5 liste les pratiques d'IA interdites en toutes circonstances dans l'UE. Il ne s'agit pas de systèmes à haut risque soumis à contrôle : ce sont des pratiques inacceptables. Catégories : manipulation subliminale ou exploitation de vulnérabilités ; scoring social par des autorités publiques ; police prédictive fondée sur le seul profilage ; collecte non ciblée d'images faciales ; inférence d'émotions sur le lieu de travail et dans l'éducation ; catégorisation biométrique fondée sur des données sensibles ; identification biométrique à distance en temps réel dans des espaces accessibles au public (sous réserve d'exceptions légales strictement définies).

Article 4 · culture IA du personnel

L'article 4 impose aux fournisseurs et aux déployeurs de veiller, dans la mesure du possible, à ce que le personnel et toute personne opérant des systèmes d'IA en leur nom disposent d'un niveau suffisant de culture IA. Il s'applique depuis le 2 février 2025. Pour une PME déployeuse, cela se traduit par : inventaire des systèmes d'IA utilisés (y compris l'IA intégrée dans les SaaS) ; classification du personnel d'exploitation ; formation proportionnelle au risque et au rôle ; preuves documentées (participants, dates, contenus, évaluation).

Annexe III · systèmes à haut risque

L'Annexe III liste huit domaines dans lesquels un système d'IA est considéré à haut risque et soumis aux obligations du chapitre III à compter d'août 2026 : biométrie ; infrastructures critiques ; éducation et formation ; emploi et RH ; services essentiels (scoring de crédit, assurance vie/santé) ; application de la loi ; migration et frontières ; justice et processus démocratiques. Les PME déployeuses utilisant un système à haut risque (par exemple un ATS avec IA de filtrage de CV) doivent respecter l'article 26 : utiliser le système conformément aux instructions du fournisseur, affecter une supervision humaine compétente, contrôler les données d'entrée, conserver les journaux, informer les employés concernés et notifier les incidents graves.

GPAI · modèles d'IA à usage général (chapitre V)

Le chapitre V réglemente les modèles fondamentaux ou à usage général (GPAI). Il s'applique depuis le 2 août 2025. Les PME sont rarement fournisseurs de GPAI (OpenAI, Anthropic, Google, Meta, Mistral le sont), mais peuvent être déployeuses intégrant l'un d'eux, ce qui déclenche des obligations de transparence et de marquage des contenus synthétiques à compter d'août 2026 : informer l'utilisateur lorsqu'il interagit avec un système d'IA, marquer les contenus générés par IA comme synthétiques (deepfakes, informations d'intérêt public), permettre l'identification automatique via un tatouage numérique interopérable.

AESIA et l'écosystème de gouvernance espagnol

L'Espagne a été pionnière dans la création de l'organe de supervision national : l'Agence espagnole de supervision de l'intelligence artificielle (AESIA), dont le siège est à La Corogne, créée par le Décret royal 729/2023. Elle agit comme autorité nationale notifiante et de surveillance du marché. Elle est l'interlocuteur espagnol pour les demandes de sandbox, les notifications d'incidents graves, les procédures de sanction et la coordination avec le Comité européen de l'IA.

Régime de sanctions

L'article 99 prévoit trois niveaux de sanctions : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial (le plus élevé des deux) pour les violations de l'article 5 ; jusqu'à 15 M€ ou 3 % pour le non-respect des obligations des fournisseurs/déployeurs/importateurs/distributeurs ; jusqu'à 7,5 M€ ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses à l'autorité. Pour les PME et les startups, le Règlement permet aux États membres d'appliquer le montant le plus bas entre la valeur absolue et le pourcentage.

Bac à sable réglementaire

L'article 57 oblige chaque État membre à mettre en place au moins un bac à sable réglementaire avant le 2 août 2026. L'Espagne a lancé le sien en 2023 — le premier sandbox national d'IA de l'UE — coordonné par le Secrétariat d'État à la Numérisation et à l'IA avec le soutien de l'AESIA. Pour les PME développant un système à haut risque, la participation réduit le risque réglementaire et apporte des preuves de conformité de bonne foi susceptibles d'atténuer les sanctions en cas de problèmes ultérieurs.

Checklist opérationnel pour les PME espagnoles — 6 actions avant août 2026

  1. Inventaire des systèmes d'IA (y compris l'IA intégrée dans les SaaS : HubSpot, Salesforce Einstein, ATS, outils d'automatisation, ChatGPT Enterprise/Team, Copilot, Gemini Workspace).
  2. Classification des risques (interdit, haut risque, transparence, GPAI, risque faible/minimal).
  3. Plan de culture IA proportionnel au rôle, avec preuves documentées.
  4. Politique IA interne définissant les usages autorisés/interdits, la supervision humaine, la gestion des prompts avec données personnelles, le marquage des contenus synthétiques.
  5. Contrats avec les fournisseurs révisés pour délimiter les responsabilités, exiger l'accès à l'information de l'art. 13 et les clauses d'audit.
  6. Procédure de notification des incidents : qui détecte, qui évalue, qui notifie l'AESIA dans les délais de l'art. 73.

Questions fréquentes

Quelles obligations du Règlement IA me concernent en tant que PME déployeuse ?

Si votre PME utilise uniquement des systèmes d'IA développés par des tiers (déployeuse), les principales obligations sont : vérifier qu'aucun ne relève des pratiques interdites de l'article 5 ; assurer la culture IA du personnel (art. 4) depuis février 2025 ; si vous déployez des systèmes de l'Annexe III, respecter l'art. 26 (supervision humaine, contrôle des données d'entrée, conservation des journaux, information des personnes concernées, notification des incidents) ; respecter les obligations de transparence de l'art. 50 à compter d'août 2026.

Quelle amende risque-t-on en cas de non-conformité au Règlement IA ?

Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel (le plus élevé des deux) pour violation de l'article 5 (pratiques interdites). Pour les manquements aux obligations générales, le plafond est de 15 M€ ou 3 % du chiffre d'affaires. Pour la fourniture d'informations inexactes à l'autorité : 7,5 M€ ou 1 %. Le Règlement permet à l'Espagne d'appliquer le montant le plus bas entre la valeur absolue et le pourcentage pour les PME et les startups.

Quand le Règlement IA s'applique-t-il concrètement à mon entreprise ?

Il s'applique par phases. Art. 4 (culture IA) et art. 5 (interdit) le 2 février 2025. Chapitre V (GPAI) et sanctions le 2 août 2025. Le 2 août 2026, l'essentiel du Règlement incluant les systèmes à haut risque de l'Annexe III, la transparence de l'art. 50 et la gouvernance complète. L'Annexe I le 2 août 2027. Si votre entreprise utilise un quelconque système d'IA, la date qui vous concerne aujourd'hui est août 2026.

Faut-il un Responsable IA ou le DPO suffit-il ?

Le Règlement n'exige pas formellement un « Responsable IA » analogue au DPO du RGPD. Cependant, pour les PME déployant des systèmes à haut risque, les obligations de supervision humaine, de conservation des journaux, de notification des incidents et de documentation de la culture IA nécessitent un responsable identifiable. La solution logique est d'élargir les fonctions du DPO existant à la gouvernance IA, ou de désigner un référent IA spécifique lorsque le volume le justifie.

La culture IA de l'art. 4 exige-t-elle une certification officielle ?

Non. L'art. 4 exige un « niveau suffisant » de culture, proportionnel au rôle de chaque personne, sans requérir de qualification officielle. Ce qu'il exige, c'est une formation démontrable : contenus, participants, dates, évaluation. Les lignes directrices publiées par le Bureau IA de la Commission européenne en 2025 incluent des exemples de plans de formation par rôle.

ChatGPT, Claude ou Copilot sont-ils des systèmes à haut risque ?

En eux-mêmes, pas nécessairement. Ce sont des modèles à usage général (GPAI) soumis au chapitre V. La qualification « haut risque » dépend de l'usage : si votre PME intègre Claude ou ChatGPT dans un système de notation des candidats ou d'évaluation des admissions scolaires, ce système devient à haut risque (Annexe III) et vous assumez en tant que déployeur les obligations de l'art. 26.

Quelle est la relation entre le Règlement IA et le RGPD ?

Ils sont complémentaires, non substitutifs. Le RGPD réglemente le traitement des données personnelles. Le Règlement IA réglemente les systèmes d'IA eux-mêmes. Une entreprise utilisant l'IA pour le scoring de crédit (Annexe III) respecte simultanément le RGPD (base légale, information des personnes concernées, droits de l'art. 22, analyse d'impact) et le Règlement IA (supervision humaine, conservation des journaux, notification à l'AESIA). L'AEPD et l'AESIA ont signé des protocoles de coordination.