AI Act : ce qui change le 2 août 2026 pour les entrepreneurs et e-commerçants

Le 2 août 2026, c'est dans cinq semaines. C'est la date à laquelle toutes les entreprises utilisant des systèmes d'IA classés à "risque élevé" doivent être pleinement conformes au Règlement européen sur l'IA (AI Act, Règlement 2024/1689). Les sanctions sont lourdes sur le papier. La réalité pour la plupart des entrepreneurs e-commerce est moins dramatique, mais ça vaut le coup de comprendre où vous en êtes.

Ce que le 2 août change

Le calendrier de l'AI Act est progressif. Certaines obligations sont en vigueur depuis février 2025 (interdictions absolues : notation sociale de masse, manipulation subliminale, certains usages biométriques). D'autres arrivent le 2 août 2026 : les systèmes d'IA à risque élevé doivent être pleinement conformes.

Conformité "complète" pour les systèmes à risque élevé signifie :

• Documentation technique complète du système
• Système de gestion des risques en place
• Traçabilité des données d'entraînement documentée
• Supervision humaine effective et démontrée
• Enregistrement dans la base de données EU si applicable

Ce n'est pas anodin. Mais avant de stresser, il faut savoir si vous utilisez réellement un "système à risque élevé".

Ce qui est à risque élevé, et ce qui ne l'est pas

Le règlement liste les catégories à risque élevé. Pour un entrepreneur, les cas concrets qui pourraient s'appliquer :

Risque élevé (obligations lourdes) :

• Logiciel de recrutement automatisé (tri de CV, scoring de candidats)
• Outil de scoring de crédit ou d'évaluation de solvabilité
• Système de notation ou d'évaluation de salariés
• Outils d'accès à certains services essentiels (crédit, logement, éducation)

Risque limité (obligation de transparence seulement) :

• Chatbot sur votre site e-commerce (doit se signaler comme IA)
• Moteur de recommandation produit (doit indiquer qu'il y a personnalisation algorithmique)
• Générateur de texte marketing ou de fiches produit
• Outil d'analyse de performance publicitaire

Risque minimal (aucune obligation spécifique) :

• Correcteur orthographique IA
• Filtres spam IA
• Suggestions dans votre outil de tableur

La grande majorité des outils qu'un e-commerçant ou indépendant utilise au quotidien tombent dans les catégories "risque limité" ou "risque minimal". Ce n'est pas une raison de rien faire, mais c'est une raison de ne pas paniquer.

Ce que vous devez faire concrètement d'ici le 2 août

1. Listez vos outils IA

Faites un inventaire honnête. Chatbot sur votre site, outil de recommandation produit, CRM avec scoring automatique, logiciel RH si vous recrutez. Pour chaque outil : vous l'avez acheté (vous êtes "déployeur"), vous l'avez développé vous-même (vous êtes "fournisseur"), ou les deux.

La distinction compte car les obligations ne sont pas les mêmes. En tant que déployeur, votre responsabilité principale est de vous assurer que le système est utilisé conformément à sa documentation, avec supervision humaine.

2. Évaluez la catégorie de risque

Pour chaque outil, une question simple : est-ce que ce système prend des décisions qui affectent des droits ou des opportunités de personnes physiques (emploi, crédit, accès à des services) ? Si oui, vérifiez si votre fournisseur l'a classé dans les systèmes à risque élevé. Si le fournisseur ne peut pas répondre à cette question, c'est déjà un signal.

3. Vérifiez les obligations de transparence

Même pour les systèmes à risque limité, il faut que les utilisateurs sachent qu'ils interagissent avec un système IA. Si vous avez un chatbot sur votre site, il doit se présenter comme tel. Si vous utilisez des contenus générés par IA à destination du public, vérifiez les règles de marquage (le règlement croise ici avec les obligations de transparence du DSA).

4. Gardez une trace

Même pour les petites structures, commencer à documenter l'utilisation de vos outils IA est une bonne pratique. Pas un dossier de 200 pages, mais une ligne par outil : nom, fournisseur, usage, catégorie de risque, mesures de supervision en place.

Les sanctions : la réalité pour une PME

Les chiffres circulent beaucoup : 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. En pratique, pour une PME ou indépendant, le règlement prévoit une "protection mathématique" explicite : le montant retenu est le plus faible entre le pourcentage du CA mondial et le montant fixe.

Pour une micro-entreprise à 50 000 euros de CA, 7 % c'est 3 500 euros. La proportion est réelle mais pas le chiffre absolu.

Les autorités de contrôle (en France, la CNIL coordonnera avec les régulateurs sectoriels) vont commencer par les grandes entreprises et les cas de risque élevé avéré. Personne ne va épingler en priorité un e-commerçant solo qui utilise Canva AI pour ses fiches produit.

Ce qui vous exposerait vraiment : un outil de recrutement automatisé non documenté qui discrimine de façon systémique, ou un système de scoring client qui traite des données sensibles sans base légale.

Ce que ça change à moyen terme

L'AI Act normalise ce que les grands fournisseurs d'outils IA vont mettre dans leurs CGU et leur documentation. Attendez-vous à voir de nouvelles clauses de conformité dans les contrats des outils SaaS que vous utilisez, des certifications IA affichées par les fournisseurs, et des demandes de documentation si vous travaillez avec des partenaires de taille ETI ou grande entreprise.

Pour les e-commerçants qui vendent sur des marketplaces européennes, certaines vont commencer à demander des attestations sur les outils IA utilisés dans la chaîne de valeur (surtout pour les allégations produit et le service client).

Pour aller plus loin sur l'impact de la réglementation IA pour les créateurs de contenu (différent des obligations business traitées ici), l'article EU AI Act et obligations pour les créateurs IA couvre spécifiquement les marquages et transparences exigés pour les contenus publiés en ligne.

Si vous êtes en train de structurer l'usage de l'IA dans votre activité e-commerce, le hub IA & business regroupe les cas d'usage concrets, des emails de relance aux visuels produit.

Sources : AI Act : ce que les TPE et PME doivent faire avant le 2 août 2026 (Crescendo Avocats, mai 2026) ; AI Act 2 août 2026 : sanctions, plan d'action, méthode 5C (Diamond Solutions, 2026) ; AI Act : guide de conformité 2026 pour les PME (Fragments Studio, 2026) ; AI Act 2026 : obligations, échéances et guide pratique pour PME (Blog-IA, 2026).