AI Act : ce que le règlement européen sur l'IA change en PME
L'AI Act est le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689). Il classe les systèmes d'IA selon leur niveau de risque : certaines pratiques sont interdites depuis le 2 février 2025, les obligations de transparence s'appliquent depuis le 2 août 2026, et celles des systèmes à haut risque (recrutement, évaluation des salariés, accès au crédit) ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744. Une PME qui utilise l'IA pour ses relances, son CRM ou ses documents a surtout deux obligations : informer les personnes qui échangent avec une IA, et former ses équipes. Les obligations lourdes visent les usages à haut risque et les entreprises qui fournissent des systèmes d'IA.
Qu'est-ce que l'AI Act ?
Le règlement (UE) 2024/1689, dit AI Act ou RIA, établit des règles communes pour les systèmes d'intelligence artificielle mis sur le marché ou utilisés dans l'Union européenne. Comme le RGPD, c'est un règlement : il s'applique directement dans chaque État membre, sans transposition, et sans seuil de taille d'entreprise.
Sa logique est celle du risque : plus un usage de l'IA peut porter atteinte à la santé, à la sécurité ou aux droits fondamentaux des personnes, plus les obligations sont fortes. La CNIL en présente les grandes lignes dans ses premières questions-réponses sur le règlement européen sur l'IA, notamment son articulation avec le RGPD.
AI Act et RGPD : deux textes qui se cumulent
L'AI Act ne remplace pas le RGPD. Le RGPD encadre les données personnelles, quelle que soit la technologie ; l'AI Act encadre les systèmes d'IA, qu'ils traitent des données personnelles ou non. Un agent IA qui lit les e-mails de vos clients relève donc des deux. Dans la plupart des usages d'une PME, c'est d'ailleurs le RGPD qui pèse le plus. Notre guide IA et RGPD détaille ses obligations pour un projet d'IA.
Quels sont les niveaux de risque de l'AI Act ?
| Niveau | Exemples | Ce qui s'applique |
|---|---|---|
| Risque inacceptable | Notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail (sauf exceptions) | Interdiction |
| Haut risque | Tri de candidatures, évaluation ou gestion des salariés, évaluation de solvabilité, composants de sécurité de produits réglementés | Obligations renforcées pour le fournisseur et pour l'utilisateur |
| Risque de transparence | Chatbots, agents qui échangent avec le public, contenus générés ou truqués | Informer les personnes |
| Risque minimal | Filtre anti-spam, relance de factures, classement d'e-mails, aide à la rédaction | Pas d'obligation spécifique, en dehors de la maîtrise de l'IA |
Les systèmes à haut risque sont listés dans deux annexes du règlement : l'annexe III vise des usages (emploi, éducation, crédit, services publics essentiels, entre autres), l'annexe I vise l'IA intégrée à des produits déjà soumis à une réglementation de sécurité (machines, dispositifs médicaux, jouets).
La plupart des usages d'une PME (relances, CRM, tri d'e-mails, préparation de devis, résumé de réunions) relèvent du risque minimal ou du risque de transparence. Le niveau dépend de l'usage, pas de l'outil : le même modèle de langage peut être à risque minimal pour rédiger une relance et à haut risque pour classer des candidats.
Quel est le calendrier d'application de l'AI Act ?
Le règlement est entré en vigueur le 1er août 2024 et s'applique par étapes. Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, adopté le 8 juillet 2026 et publié au Journal officiel de l'Union le 24 juillet 2026, a décalé plusieurs échéances. Le calendrier qui en résulte :
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques à risque inacceptable, obligation relative à la maîtrise de l'IA |
| 2 août 2025 | Règles applicables aux modèles d'IA à usage général (fournisseurs de grands modèles) |
| 2 août 2026 | Application générale, dont les obligations de transparence de l'article 50 |
| 2 décembre 2026 | Fin de la période transitoire de marquage des contenus générés, pour les systèmes mis sur le marché avant le 2 août 2026 |
| 2 décembre 2027 | Obligations des systèmes à haut risque de l'annexe III (recrutement, salariés, crédit…) |
| 2 août 2028 | Obligations des systèmes à haut risque intégrés à des produits réglementés (annexe I) |
Ce calendrier a déjà changé une fois. Avant une décision juridique, vérifiez les dates sur le texte consolidé publié sur EUR-Lex ou auprès d'un conseil. Un report n'est pas une suppression : les usages à haut risque que vous concevez aujourd'hui devront être conformes à l'échéance.
Fournisseur ou déployeur : quel est votre rôle ?
L'AI Act répartit les obligations selon le rôle de chacun. C'est la première question à vous poser, pour chaque outil d'IA utilisé.
- Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom. L'éditeur d'un logiciel de tri de CV est fournisseur.
- Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle. L'entreprise qui utilise ce logiciel pour recruter est déployeur.
La grande majorité des PME sont des déployeurs. Une PME peut toutefois devenir fournisseur si elle développe un outil d'IA et le commercialise, ou si elle modifie substantiellement un système à haut risque. Faire développer un outil sur mesure pour son propre usage soulève la même question : précisez dans le contrat qui porte quelles obligations.
Quelles obligations pour une PME qui utilise l'IA ?
La maîtrise de l'IA (article 4)
Depuis le règlement de 2026, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir la maîtrise de l'IA des personnes qui utilisent ces systèmes. En pratique : expliquer aux équipes ce que font les outils, leurs limites, les erreurs possibles, et ce qu'il ne faut pas leur confier. Notre guide sur la formation à l'IA en entreprise propose une méthode adaptée aux PME sans expert interne.
La transparence (article 50)
Si un système d'IA échange directement avec des personnes (chatbot sur votre site, agent qui répond aux e-mails de vos clients), elles doivent savoir qu'elles s'adressent à une IA, sauf si c'est évident. Les contenus truqués générés par IA (images, sons ou vidéos réalistes de personnes ou d'événements) doivent être signalés comme tels. Les fournisseurs de systèmes génératifs ont en plus des obligations de marquage technique des contenus.
Les obligations du déployeur d'un système à haut risque (article 26)
Si vous utilisez un système à haut risque, par exemple un outil de tri de candidatures, l'article 26 du règlement vous demande notamment :
- d'utiliser le système conformément à sa notice d'utilisation ;
- de confier le contrôle humain à des personnes compétentes, formées et disposant de l'autorité nécessaire ;
- de veiller à la pertinence des données d'entrée que vous fournissez ;
- de surveiller le fonctionnement du système et de signaler les risques et incidents graves au fournisseur ;
- de conserver les journaux générés automatiquement pendant au moins six mois, quand ils sont sous votre contrôle ;
- d'informer les représentants des salariés et les salariés concernés avant de l'utiliser sur le lieu de travail ;
- d'informer les personnes qu'elles font l'objet d'un tel système quand il sert à prendre ou à préparer des décisions les concernant.
Ces obligations s'appliqueront au 2 décembre 2027 pour les usages de l'annexe III. Elles se combinent avec le RGPD, qui impose déjà de ne pas laisser une décision importante reposer uniquement sur un traitement automatisé.
Les obligations du fournisseur
Une PME qui développe et commercialise un système à haut risque porte des obligations bien plus lourdes : système de gestion des risques et de la qualité, documentation technique, évaluation de la conformité, marquage CE, enregistrement dans la base de données de l'Union. Le règlement de 2026 a étendu à toutes les PME la version simplifiée du système de gestion de la qualité, auparavant réservée aux microentreprises, et leur ouvre un accès prioritaire aux bacs à sable réglementaires.
Quelles sanctions prévoit l'AI Act ?
L'article 99 du règlement fixe des plafonds d'amende par catégorie de manquement : jusqu'à 35 millions d'euros pour les pratiques interdites, jusqu'à 15 millions d'euros pour la plupart des autres obligations (dont celles des déployeurs et la transparence), et jusqu'à 7,5 millions d'euros pour des informations inexactes fournies aux autorités. Pour une entreprise, le plafond peut aussi être exprimé en part du chiffre d'affaires annuel mondial.
Point important pour une PME : le paragraphe 6 de l'article 99 prévoit que, pour les PME et les jeunes pousses, c'est le plus faible des deux montants (somme fixe ou part du chiffre d'affaires) qui sert de plafond. Les sanctions restent dissuasives, mais proportionnées à la taille de l'entreprise.
Plan d'action AI Act pour une PME, en six étapes
- Recenser les usages de l'IA. Outils achetés, fonctions d'IA intégrées à vos logiciels (CRM, messagerie, comptabilité), assistants utilisés par les salariés, outils développés pour vous. Notez pour chacun à quoi il sert et sur quelles données.
- Classer chaque usage. Interdit, haut risque, transparence ou minimal, en vous appuyant sur l'article 5, l'annexe III et l'article 50. Dans le doute, faites valider par un conseil.
- Identifier votre rôle. Déployeur dans la plupart des cas, fournisseur si vous commercialisez un système d'IA.
- Mettre en place la transparence. Mention claire sur le chatbot du site, signature des e-mails rédigés par un agent quand il échange directement avec des clients, signalement des contenus générés.
- Former les équipes. Ce que fait chaque outil, ses limites, les données à ne jamais y coller, la façon de signaler une erreur. Gardez une trace des formations.
- Traiter à part les usages à haut risque. Recrutement, évaluation des salariés : vérifiez auprès du fournisseur sa démarche de conformité, organisez le contrôle humain et la conservation des journaux, informez les représentants du personnel, et préparez l'analyse d'impact RGPD.
Ce recensement sert deux fois : il alimente aussi votre registre de traitements RGPD. Tenez un seul tableau, avec une colonne pour le niveau de risque AI Act et une pour la base légale RGPD.
Quels exemples d'usages en PME, et quel niveau ?
| Usage | Niveau AI Act probable | Ce qu'il faut faire |
|---|---|---|
| Agent qui prépare les relances de factures, validées par l'équipe | Risque minimal | Former les utilisateurs ; RGPD applicable |
| Chatbot qui répond aux visiteurs du site | Transparence | Indiquer qu'il s'agit d'une IA |
| Agent qui répond directement aux e-mails des clients | Transparence | Informer les destinataires qu'ils échangent avec une IA |
| Génération d'images pour les réseaux sociaux | Transparence si contenu truqué réaliste | Signaler le contenu généré |
| Tri automatique des candidatures | Haut risque (annexe III) | Obligations de l'article 26 au 2 décembre 2027, contrôle humain, information |
| Scoring des prospects pour prioriser les appels | Risque minimal en principe | Vérifier que l'outil n'évalue pas la solvabilité de particuliers |
Notre article qu'est-ce qu'un agent IA explique comment ces agents fonctionnent, et notre guide sur l'intelligence artificielle en entreprise replace ces obligations dans la démarche d'un projet.
L'AI Act s'applique-t-il aux PME ?
Oui, sans seuil de taille, dès qu'une entreprise fournit ou utilise un système d'IA dans l'Union européenne. Pour la plupart des usages d'une PME, les obligations se limitent à la transparence et à la maîtrise de l'IA par les équipes. Le règlement prévoit aussi des allègements pour les PME, notamment des plafonds de sanction plus bas.
Quand l'AI Act entre-t-il en application ?
Il est entré en vigueur le 1er août 2024 et s'applique par étapes : interdictions depuis le 2 février 2025, application générale et transparence depuis le 2 août 2026, systèmes à haut risque de l'annexe III au 2 décembre 2027 et ceux de l'annexe I au 2 août 2028, selon le calendrier modifié par le règlement (UE) 2026/1744.
Utiliser ChatGPT ou un assistant IA en entreprise est-il soumis à l'AI Act ?
Les obligations propres aux grands modèles pèsent sur leurs fournisseurs. L'entreprise qui les utilise est déployeur : elle doit former ses équipes et respecter la transparence si l'outil échange avec des tiers ou produit des contenus truqués. Le niveau de risque dépend de l'usage : rédiger un e-mail n'est pas trier des candidats.
Quelle différence entre l'AI Act et le RGPD ?
Le RGPD protège les données personnelles, quel que soit le traitement. L'AI Act encadre les systèmes d'IA selon le risque de leur usage, même sans données personnelles. Les deux se cumulent : un outil d'IA qui traite des données clients doit respecter les deux textes.
Qui contrôle l'application de l'AI Act en France ?
Le règlement confie le contrôle à des autorités nationales de surveillance du marché, désignées par chaque État, et à un Bureau de l'IA au niveau européen pour les modèles à usage général. En France, plusieurs autorités sont concernées selon les secteurs, et la CNIL joue un rôle central pour les usages qui touchent aux données personnelles et aux droits fondamentaux.
Une conformité qui se construit dès la conception
L'AI Act ne demande pas aux PME de renoncer à l'IA. Il demande de savoir quels outils elles utilisent, pour quoi faire, de prévenir les personnes qui échangent avec une IA, de former les équipes, et de traiter avec sérieux les rares usages à haut risque. Ces exigences sont simples à respecter quand elles sont prises en compte dès la conception d'un outil : traçabilité des actions, validation humaine, transparence vis-à-vis des clients. Chez Tellao, nos agents IA sont conçus de cette façon, c'est votre équipe qui valide ce qui part. Pour faire le point sur vos usages actuels ou à venir, demandez un audit gratuit de vos processus.
