AI Act : ce que doit savoir une PME qui utilise l’IA

Le règlement européen sur l’intelligence artificielle, appelé AI Act, s’applique par étapes. Pour une PME qui utilise des outils d’IA sans les développer, les points à retenir sont la transparence envers les personnes qui échangent avec un chatbot, l’effort de sensibilisation des équipes et la vigilance si l’IA sert à des décisions sensibles (recrutement, par exemple), dont les règles de haut risque ont été repoussées à fin 2027. Cet article fait le point sur le calendrier tel que le présente la Commission européenne et sur une méthode simple pour vérifier vos outils.

Ce guide est un repère de lecture, pas un avis juridique. Le texte a été modifié en 2026 et les lignes directrices continuent d’évoluer : pour un cas précis, appuyez-vous sur les sources officielles citées en bas de chaque section et, si l’enjeu est important, sur un juriste.

Qu’est-ce que l’AI Act, en une minute ?

L’AI Act est le règlement (UE) 2024/1689, consultable sur EUR-Lex. Il encadre la mise sur le marché et l’utilisation des systèmes d’IA dans l’Union européenne selon une logique de risque : certaines pratiques sont interdites, d’autres usages dits « à haut risque » sont strictement encadrés, certains outils ont de simples obligations de transparence, et la grande majorité des usages courants n’est pas soumise à des exigences spécifiques.

Le règlement distingue plusieurs rôles. Le fournisseur conçoit ou met sur le marché un système d’IA (un éditeur de logiciel, par exemple). Le déployeur l’utilise dans le cadre de son activité professionnelle. Une PME qui s’abonne à un assistant de rédaction, qui installe un chatbot sur son site ou qui utilise un outil de tri de candidatures est le plus souvent déployeur. Si elle fait développer ou personnalise un système sous son propre nom, son rôle peut changer : c’est un point à clarifier par écrit avec le prestataire.

Quel est le calendrier de l’AI Act en octobre 2026 ?

La page de la Commission européenne consacrée au cadre réglementaire de l’IA donne les repères suivants.

La Commission précise que l’« omnibus IA », adopté sous forme de proposition en novembre 2025, a fait l’objet d’un accord politique le 7 mai 2026 et est entré en vigueur le 27 juillet 2026. Il a notamment repoussé les échéances des systèmes à haut risque et étendu certaines exigences simplifiées à une catégorie d’entreprises de taille intermédiaire. Si vous avez lu un article datant de 2025 ou du début 2026 qui annonce le haut risque pour août 2026, il est dépassé.

Quelles sont les obligations d’une PME qui utilise un outil d’IA ?

Pour une PME déployeur, quatre sujets reviennent. Ils ne s’appliquent pas tous à tous les outils.

Faut-il informer les personnes qu’elles parlent à une IA ?

Oui, dans le cas d’un chatbot ou d’un autre système qui interagit directement avec des personnes. La Commission indique que les règles de transparence couvrent le fait d’informer les gens lorsqu’ils interagissent avec un système d’IA, l’identification des contenus générés par l’IA pour les fournisseurs d’IA générative, et l’étiquetage de certains contenus truqués ou de certains textes générés par IA publiés pour informer le public sur des questions d’intérêt public.

En pratique, un chatbot de site web ou de messagerie doit se présenter comme un assistant automatisé dès le début de l’échange (« Je suis un assistant virtuel »), et proposer un contact humain quand le sujet l’exige. C’est aussi une bonne pratique de confiance, indépendante de l’obligation. Notre guide sur le coût et la mise en place d’un chatbot IA prévoit d’ailleurs cette étape dans le cahier des charges.

Faut-il former les équipes à l’IA ?

L’obligation de « maîtrise de l’IA » s’applique depuis le 2 février 2025 aux fournisseurs et aux déployeurs. Sa formulation a été ajustée par l’omnibus de 2026 : relisez le texte consolidé en vigueur plutôt qu’une version antérieure. Dans tous les cas, l’esprit est clair : les personnes qui utilisent l’IA au travail doivent savoir ce qu’elle peut et ne peut pas faire, connaître ses limites (erreurs, informations inventées) et les règles internes d’usage.

Pour une PME, cela peut se traduire simplement : une courte session de présentation, une charte d’usage d’une page, la liste des outils autorisés et ce qu’il est interdit de leur confier. Notre guide pratique d’utilisation de l’IA en entreprise peut servir de base.

Quels usages sont interdits ?

Le règlement interdit certaines pratiques depuis le 2 février 2025. Elles concernent des usages que l’on ne rencontre pas dans une PME ordinaire (manipulation nuisible, exploitation de vulnérabilités, certaines pratiques de notation sociale ou de surveillance biométrique). Le plus utile est de connaître la liste complète dans le texte, puis de vérifier qu’aucun de vos outils ne s’en approche. Si un fournisseur vous propose, par exemple, de « détecter les émotions » de vos salariés ou de vos clients, demandez-lui précisément sur quelle base juridique l’outil est proposé en Europe.

Et si l’IA sert à recruter ou à évaluer des personnes ?

Les systèmes utilisés dans des domaines comme l’emploi, l’éducation ou le crédit relèvent de la catégorie haut risque de l’annexe III, dont la Commission indique l’application à compter du 2 décembre 2027. Les déployeurs doivent alors, selon la Commission, assurer la surveillance humaine et le suivi du système, et signaler les incidents graves avec le fournisseur, lequel doit leur fournir des informations claires. Si votre PME trie des CV avec un outil automatisé ou note des candidats, anticipez dès maintenant : gardez toujours une personne qui décide réellement, et demandez à l’éditeur sa documentation de conformité.

Comment vérifier ses outils d’IA, étape par étape ?

1. Inventoriez les outils : assistant de rédaction, chatbot, outil de transcription, tri de candidatures, automatisations utilisant un modèle de langage. Notez aussi les usages « sauvages » des équipes avec des comptes personnels.
2. Identifiez votre rôle pour chaque outil : simple utilisateur (déployeur) ou entreprise qui personnalise ou commercialise un système sous son nom.
3. Classez l’usage : interaction avec le public (transparence), contenu publié (étiquetage éventuel), décision concernant des personnes (vigilance haut risque), usage interne banal.
4. Demandez les informations au fournisseur : où est traité le modèle, quelle documentation de conformité il fournit, quelles limites d’usage il indique.
5. Écrivez la règle interne : outils autorisés, données interdites, relecture humaine obligatoire avant tout envoi à un client.
6. Planifiez une revue à chaque nouvel outil et au moins une fois par an, car le cadre évolue encore.

Ce travail se mêle naturellement à celui du RGPD, traité dans notre article sur l’IA et les données clients : les deux textes se complètent et ne se substituent pas l’un à l’autre.

AI Act, RGPD, facturation électronique : que faut-il traiter en premier ?

Un exemple fictif : une PME de services avec un chatbot et un tri de candidatures

Cet exemple est fictif et ne décrit ni un client ni un résultat mesuré.

Une entreprise de services de dix personnes installe un chatbot sur son site et teste un outil qui présélectionne les candidatures reçues. Le chatbot affiche d’emblée qu’il est un assistant automatisé, renvoie vers un humain pour les demandes de devis et ne conserve que les informations nécessaires. L’outil de présélection est traité avec plus de prudence : l’entreprise demande la documentation à l’éditeur, interdit tout rejet automatique et fait relire chaque présélection par la gérante, en notant les motifs. Dans cet exemple, la PME n’a rien développé elle-même, mais elle a identifié son rôle, informé le public et gardé l’humain dans la boucle.

Comment se faire accompagner sans perdre de temps ?

Les éditeurs sérieux savent répondre aux questions de conformité. Notre service automatisation IA et notre offre d’agents IA incluent la discussion des données traitées, des validations humaines et de la traçabilité. Pour savoir par où commencer, l’audit IA et automatisation permet de recenser les usages et de prioriser. Vous pouvez aussi nous écrire via la page contact.

En résumé

• L’AI Act s’applique par étapes ; selon la Commission, les règles de transparence s’appliquent depuis août 2026 et le haut risque de l’annexe III est repoussé au 2 décembre 2027.
• La plupart des PME sont déployeurs : elles utilisent des outils conçus par d’autres.
• Un chatbot doit informer qu’il s’agit d’une IA ; prévoyez un accès à un humain.
• L’exigence de maîtrise de l’IA se traduit par une charte d’usage et une courte formation.
• Recrutement, évaluation de personnes et crédit demandent une vigilance particulière : décision humaine réelle et documentation de l’éditeur.
• Faites un inventaire de vos outils et vérifiez les sources officielles avant toute décision engageante.

FAQ

L’AI Act s’applique-t-il aux TPE et PME ?

Oui, dès lors qu’elles fournissent ou utilisent un système d’IA dans l’Union européenne. Les obligations dépendent toutefois du rôle (fournisseur ou déployeur) et du niveau de risque de l’usage, pas de la taille seule. L’omnibus de 2026 a par ailleurs étendu des exigences simplifiées à certaines entreprises de taille intermédiaire, selon la Commission.

Utiliser ChatGPT au travail est-il concerné par l’AI Act ?

L’usage d’un assistant généraliste pour rédiger ou résumer n’entre en principe dans aucune catégorie à haut risque. Les principaux sujets sont la sensibilisation des équipes, la transparence si vous publiez des contenus générés dans certains contextes, et surtout la protection des données, couverte par le RGPD.

Mon chatbot doit-il vraiment dire qu’il est une IA ?

La Commission européenne indique que les personnes doivent être informées lorsqu’elles interagissent avec un système d’IA, comme un chatbot. Affichez-le clairement dès le premier message.

Quand les règles sur le haut risque s’appliquent-elles ?

Selon la Commission européenne, le 2 décembre 2027 pour les cas d’usage de l’annexe III et le 2 août 2028 pour l’IA intégrée à des produits réglementés, après le report décidé par l’omnibus IA entré en vigueur le 27 juillet 2026.

Faut-il un juriste pour se mettre en conformité ?

Pas pour un usage courant : un inventaire, une charte et des questions à vos fournisseurs couvrent l’essentiel. Un avis juridique devient utile si vous avez un usage à haut risque, si vous commercialisez un système d’IA ou si vous traitez des données sensibles.

Où trouver les textes officiels ?

Le règlement est publié sur EUR-Lex et la page de la Commission européenne sur le cadre réglementaire de l’IA tient à jour le calendrier.