AI Act : ce qu’une PME doit faire, et quand

Ce qu’il faut retenir

Le règlement européen sur l’intelligence artificielle, dit AI Act, est entré en vigueur le 1er août 2024 et s’applique par paliers. Pour une PME ou une ETI qui utilise des outils d’IA sans en fabriquer, l’essentiel tient en trois points.

• Deux volets s’appliquent déjà depuis le 2 février 2025 : l’interdiction de certaines pratiques et l’obligation de garantir la maîtrise de l’IA aux personnes qui l’utilisent (article 4).
• Le 2 août 2026 marque l’application générale du texte, dont les obligations de transparence. Les obligations liées aux systèmes à haut risque ont été reportées par l’omnibus IA, en vigueur depuis le 27 juillet 2026 : 2 décembre 2027 pour les domaines sensibles comme le recrutement ou le crédit, 2 août 2028 pour les systèmes intégrés à des produits réglementés.
• La plupart des PME sont des déployeurs, pas des fournisseurs : elles utilisent des systèmes conçus par d’autres. Leurs obligations sont proportionnées, mais réelles : inventaire des usages, information des personnes, contrôle humain et formation.

Le calendrier, tel qu’il est écrit aujourd’hui

Le calendrier initial prévoyait l’essentiel des obligations au 2 août 2026. L’omnibus IA, proposé par la Commission le 19 novembre 2025 et entré en vigueur le 27 juillet 2026, a décalé les échéances du haut risque. Voici les dates en vigueur au moment où nous écrivons.

Une entreprise qui avait planifié ses travaux sur août 2026 a gagné du temps, pas une dispense. Les volets déjà applicables, dont l’article 4, ne sont pas concernés par le report.

Quatre niveaux de risque, et ce qu’ils déclenchent

Le règlement ne classe pas les technologies mais les usages. Le même modèle de langage peut relever d’un niveau minimal quand il résume un compte rendu et du haut risque quand il trie des candidatures.

La majorité des usages que nous rencontrons en PME relève des deux derniers niveaux. Le recrutement fait exception : un outil qui présélectionne des candidats est un système à haut risque, ce qui suppose un contrôle humain organisé et une documentation sérieuse avant de s’y engager.

Fournisseur ou déployeur : ne pas se tromper de rôle

Le fournisseur développe un système d’IA ou le fait développer pour le mettre sur le marché sous son nom. Le déployeur l’utilise sous sa propre autorité dans le cadre de son activité. Une entreprise qui active les fonctions IA de sa suite bureautique, souscrit un assistant conversationnel ou fait relier un agent à son ERP par un prestataire est déployeur.

Le rôle peut changer. Une entreprise qui modifie substantiellement un système à haut risque, qui appose sa marque dessus ou qui en change la destination devient fournisseur, avec les obligations qui vont avec (article 25). Quand un agent est construit sur mesure pour vous, la répartition des rôles entre votre entreprise et le prestataire doit être écrite dans le contrat, avec la documentation que chacun s’engage à tenir.

Ce qu’un déployeur doit faire concrètement

Les obligations dépendent du niveau de risque. Voici celles qui concernent une PME utilisatrice, par ordre d’entrée en application.

• Maîtrise de l’IA (article 4, depuis le 2 février 2025) : s’assurer que les personnes qui utilisent des systèmes d’IA pour le compte de l’entreprise en comprennent le fonctionnement, les limites et le contexte d’usage. Le texte ne fixe ni programme ni format : formation, tutorat interne et supports comptent, à condition de pouvoir le montrer.
• Transparence (article 50, à partir du 2 août 2026) : indiquer aux personnes qu’elles échangent avec une IA quand ce n’est pas évident, signaler qu’un contenu publié a été généré ou manipulé, en particulier pour les images, sons et vidéos réalistes.
• Systèmes à haut risque (article 26, à partir du 2 décembre 2027) : utiliser le système conformément à sa notice, confier la surveillance humaine à des personnes formées et habilitées, veiller à la pertinence des données d’entrée, conserver les journaux au moins six mois, informer les salariés et leurs représentants avant la mise en service, informer les personnes concernées par une décision, signaler les incidents graves au fournisseur et à l’autorité.
• Analyse d’impact sur les droits fondamentaux (article 27) : elle vise les organismes publics et certains acteurs privés, notamment le crédit et l’assurance, avant d’utiliser un système à haut risque.
• Le RGPD continue de s’appliquer en parallèle : base légale, information des personnes, minimisation des données et analyse d’impact quand le traitement le justifie.

Les autorités et les sanctions, en clair

Au niveau européen, le Bureau de l’IA de la Commission supervise les modèles à usage général et coordonne l’application. Chaque État membre désigne ses autorités de surveillance du marché. En France, la CNIL publie des recommandations sur l’IA et reste l’interlocuteur naturel dès qu’un système traite des données personnelles, ce qui est le cas de la plupart des usages en entreprise. Vérifiez la désignation officielle avant de vous adresser à une autorité.

Pour les PME, c’est le montant le plus bas des deux qui s’applique (article 99). L’article 4 n’a pas de sanction propre, mais l’absence de formation pèse dans l’appréciation de tout autre manquement.

Le plan d’action en six étapes

Un programme de conformité pour une PME tient en six étapes. Les trois premières se traitent en quelques semaines, les trois dernières deviennent une routine.

• Inventorier. Lister tous les usages d’IA, y compris les fonctions IA déjà présentes dans les logiciels en place et les usages individuels que personne n’a déclarés.
• Classer. Pour chaque usage, déterminer le niveau de risque et le rôle de l’entreprise, fournisseur ou déployeur. Sortir sans attendre de tout ce qui relève de l’interdit.
• Former. Couvrir l’article 4 avec des sessions adaptées aux fonctions, et conserver programme, liste des participants et attestations.
• Encadrer. Rédiger une charte d’usage, placer une validation humaine sur ce qui engage l’entreprise, informer les salariés et les clients quand une IA intervient.
• Contractualiser. Demander aux fournisseurs leur documentation, leurs conditions d’usage et leur propre calendrier de conformité. Préciser les rôles dans les contrats de prestation.
• Suivre. Tenir un registre des usages, journaliser les incidents, revoir la classification à chaque nouveau déploiement et à chaque échéance du calendrier.

Comment nous l’intégrons dans un projet

Le cadrage d’un cas d’usage commence par sa classification : niveau de risque, rôle de l’entreprise, données concernées. Un usage à haut risque est signalé comme tel, avec le contrôle humain et la documentation qu’il exige, avant toute décision de lancement.

La validation humaine fait partie de chaque déploiement, le journal des actions aussi. Les formations couvrent l’article 4 et laissent une trace exploitable. Le maintien en condition inclut la mise à jour du registre des usages à chaque évolution. Cela ne vaut pas certification, mais cela permet d’arriver à chaque échéance avec des réponses documentées.