L'AI Act pour une PME qui utilise l'IA, ce qui s'applique vraiment

L'AI Act, le règlement européen sur l'intelligence artificielle, inquiète beaucoup de dirigeants de PME. Faut-il un juriste pour utiliser ChatGPT ? Un chatbot sur le site devient-il illégal ? La réalité est plus simple. Pour la grande majorité des entreprises qui utilisent l'IA sans la développer, les obligations sont limitées et concrètes. Quelques usages demandent en revanche une vraie attention. Voici ce qui s'applique vraiment, et à partir de quand.

Fournisseur ou utilisateur, la distinction qui change tout

Le règlement (UE) 2024/1689 distingue le fournisseur et le déployeur. Le fournisseur développe un système d'IA et le met sur le marché, comme OpenAI, Microsoft, Anthropic ou un éditeur de logiciel. Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle.

Une PME qui équipe ses équipes d'un assistant IA, installe un chatbot sur son site ou automatise le tri de ses emails est un déployeur. La plupart des obligations lourdes du règlement pèsent sur les fournisseurs, pas sur elle.

Attention cependant. Une entreprise qui développe son propre outil d'IA et le propose à ses clients, ou qui modifie substantiellement un système existant, peut devenir fournisseur à son tour.

Le calendrier, après l'omnibus de 2026

Le règlement est entré en vigueur en août 2024, et ses obligations s'appliquent par étapes. Un texte de simplification, l'omnibus sur l'IA, publié au Journal officiel de l'Union le 24 juillet 2026, a décalé plusieurs échéances.

Ce qui s'applique déjà à toutes les entreprises

Les pratiques interdites. Depuis février 2025, certains usages sont purement interdits, quelle que soit la taille de l'entreprise. Par exemple la manipulation qui exploite les vulnérabilités des personnes, la notation sociale, la reconnaissance des émotions sur le lieu de travail (sauf raisons médicales ou de sécurité) ou la constitution de bases de reconnaissance faciale par collecte massive d'images. Une PME ordinaire n'est pas concernée, mais il faut le vérifier avant de déployer un outil de surveillance ou d'analyse des salariés.

La culture de l'IA. Les entreprises qui utilisent l'IA doivent prendre des mesures pour développer les compétences de leurs collaborateurs qui s'en servent. L'omnibus a assoupli la formulation. Il ne s'agit plus de garantir un niveau donné, mais de favoriser cette montée en compétences. Concrètement, une charte d'usage, une formation de prise en main et des exemples de bonnes pratiques constituent une base solide.

La transparence, depuis août 2026

Depuis le 2 août 2026, les règles de transparence s'appliquent.

• Chatbots et assistants. Les personnes qui échangent avec une IA doivent en être informées, sauf si c'est évident. Pour un assistant de service client sur votre site, une mention claire suffit.
• Contenus truqués. Les images, vidéos ou sons générés ou modifiés par IA qui imitent des personnes, des lieux ou des événements réels (les hypertrucages) doivent être signalés comme tels.
• Textes d'information publiés. Un texte généré par IA et publié pour informer le public sur des sujets d'intérêt général doit être signalé, sauf s'il a fait l'objet d'une relecture humaine sous la responsabilité éditoriale de l'entreprise.

Les usages à haut risque, à surveiller de près

C'est le point qui concerne le plus de PME sans qu'elles le sachent. Certains usages courants sont classés à haut risque par l'annexe III du règlement, en particulier :

• le recrutement et la gestion du personnel, par exemple un outil qui trie les candidatures, classe les candidats ou évalue les performances ;
• l'accès à des services essentiels, comme l'évaluation de la solvabilité de particuliers ;
• l'éducation et la formation professionnelle, pour l'évaluation des apprenants.

À partir du 2 décembre 2027, un déployeur de ces systèmes devra notamment les utiliser conformément aux instructions du fournisseur, assurer un contrôle humain par des personnes compétentes, surveiller leur fonctionnement, conserver les journaux et informer les personnes concernées. Un outil de tri de CV par IA n'est donc pas anodin, même acheté sur étagère.

Les sanctions

Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions d'euros ou 3 % pour les autres manquements. Pour les PME, c'est le montant le plus bas des deux qui s'applique. Le règlement se combine par ailleurs avec le RGPD, qui reste pleinement applicable dès que des données personnelles passent par une IA.

Votre plan d'action

1. Recensez les outils d'IA utilisés dans l'entreprise, y compris ceux adoptés individuellement par les équipes.
2. Classez chaque usage, usage courant, transparence ou haut risque.
3. Fournissez des outils professionnels plutôt que des comptes personnels, avec des garanties sur les données.
4. Rédigez une charte d'usage courte et formez les équipes.
5. Ajoutez les mentions de transparence sur vos chatbots et vos contenus générés.
6. Traitez à part les usages à haut risque, en particulier en ressources humaines, avant décembre 2027.

Ce qu'il faut retenir

Pour la plupart des PME, l'AI Act demande surtout de l'organisation. Savoir quels outils sont utilisés, former les équipes, être transparent avec ses clients et regarder de près les rares usages à haut risque. Les entreprises qui posent ce cadre dès maintenant peuvent ensuite développer leurs usages de l'IA en toute sérénité.