Pour une PME qui utilise des outils IA sans en développer, l'AI Act impose aujourd'hui trois choses : former les équipes qui s'en servent (article 4, applicable depuis le 2 février 2025), ne pas recourir aux pratiques interdites, et respecter les obligations de transparence sur les chatbots et les contenus générés, applicables depuis le 2 août 2026. Les obligations lourdes ne concernent que les systèmes à haut risque, et leur échéance a été repoussée au 2 décembre 2027 par le règlement omnibus du 8 juillet 2026. Voici ce que ça change, usage par usage, avec le calendrier vérifié et 10 points pour ce trimestre.
Que change l'AI Act pour une PME qui utilise des outils IA ?
Dans le vocabulaire du règlement (UE) 2024/1689, une PME qui utilise ChatGPT, un CRM à scoring intégré ou un chatbot fourni par un éditeur est un « déployeur ». Elle n'est pas « fournisseur », sauf si elle développe ou modifie substantiellement un système. Le déployeur utilise les outils selon la notice, forme ses équipes, informe les personnes concernées et garde la main sur les décisions qui touchent des individus. Le fournisseur porte la documentation technique, l'évaluation de conformité et le marquage CE.
Le calendrier d'application a été modifié par le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026. Il reporte les systèmes à haut risque sans toucher aux échéances déjà passées. Dates telles que la Commission européenne les publie au 21 septembre 2026.
| Date | Ce qui s'applique | Pour une PME déployeuse |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et maîtrise de l'IA (article 4) | Aucun outil de notation sociale ni de reconnaissance des émotions au travail ; formation des équipes lancée |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance, sanctions | Rien à faire directement |
| 2 août 2026 | Application générale du règlement, dont la transparence (article 50) | Chatbots identifiés comme IA, hypertrucages signalés |
| 2 décembre 2026 | Fin de la période de grâce du marquage des contenus pour les outils antérieurs à août 2026 | Vérifier le marquage chez vos éditeurs |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III (RH, crédit, éducation, biométrie, infrastructures) | Supervision humaine, journaux, salariés informés |
| 2 août 2028 | Haut risque intégré à des produits réglementés (annexe I : machines, jouets, dispositifs médicaux) | Industriels qui vendent ces produits |
Comprendre les quatre niveaux de risque de l'IA
Le règlement classe chaque système selon son usage, pas sa technologie. Le même modèle de langage est à risque minimal quand il résume des comptes rendus et à haut risque quand il présélectionne des candidats. Quatre familles reviennent dans presque tous les audits de PME : RH, relation client, chatbots, contenus.
| Usage courant en PME | Niveau de risque | Obligation pour le déployeur |
|---|---|---|
| Tri de CV, scoring de candidats, évaluation des salariés, attribution des tâches | Haut risque (annexe III, emploi) | Dès le 2 décembre 2027 : supervision humaine, salariés informés, journaux conservés six mois |
| Reconnaissance des émotions au travail ou au recrutement | Interdit | Retrait immédiat, en vigueur depuis février 2025 |
| Chatbot de relation client, assistant sur le site | Risque de transparence | L'utilisateur doit savoir qu'il parle à une IA |
| Contenus marketing générés (textes, images, voix) | Risque de transparence | Marquage côté outil ; mention explicite pour les hypertrucages |
| Scoring de crédit, tarification d'assurance vie et santé | Haut risque (annexe III) | Mêmes obligations que les RH, échéance décembre 2027 |
| Résumé de réunions, extraction de factures, prévision de stocks, aide à la rédaction | Risque minimal | Aucune obligation spécifique au-delà de la maîtrise de l'IA et du RGPD |
Dans les PME que nous auditons, l'essentiel tombe dans la dernière ligne. Le point de vigilance : un outil RH en SaaS dont le module de « matching » trie des candidats sans que la direction l'ait qualifié comme haut risque.
Comment classifier les systèmes d'IA de votre entreprise
Trois passes, un tableur, une demi-journée par service.
Inventorier, y compris ce que personne n'a déclaré
Listez les logiciels qui embarquent une fonction d'IA : CRM avec scoring, outil de recrutement, suite bureautique avec assistant, extensions de navigateur, comptes ChatGPT ouverts par les équipes. Un sondage anonyme de dix minutes remonte en général deux à trois fois plus d'outils que la DSI n'en connaît.
Qualifier l'usage réel, pas la fiche produit
Trois questions par outil. Influence-t-il une décision sur une personne (embauche, évaluation, crédit) ? Sert-il à informer le public ? Traite-t-il des données personnelles ? Le premier oui oriente vers le haut risque, le deuxième vers la transparence, le troisième vers l'audit RGPD des données utilisées par l'IA.
Vérifier les domaines de l'annexe III
L'annexe III liste les domaines à haut risque : biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels (crédit, assurance, prestations sociales), répression, migration, justice. Si aucun outil ne les touche, votre plan se résume à la transparence et à la formation. Notre article sur l'AI Act en entreprise détaille les rôles fournisseur, importateur et déployeur.
Maîtrise de l'IA (article 4) : comment remplir l'obligation ?
L'article 4 demande aux déployeurs de prendre des mesures pour que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA, selon ses connaissances, le contexte d'utilisation et les personnes concernées. Le règlement omnibus en a fait une obligation de moyens (« favoriser le développement »), ce qui ne dispense pas d'agir : un contrôleur demandera ce que vous avez mis en place.
Ce qui tient face à un contrôle : deux heures pour tous les salariés qui utilisent des outils IA (ce qu'un modèle invente, ce qu'on ne lui donne pas), une demi-journée pour ceux qui supervisent un outil à décision (RH, crédit, service client), une charte IA en entreprise signée par chaque utilisateur et une feuille d'émargement archivée. Un programme structuré est décrit dans notre article sur le programme d'acculturation IA en entreprise. Les OPCO financent ces formations quand la demande cite l'obligation légale.
Obligations de transparence pour les chatbots et les contenus générés
Depuis le 2 août 2026, l'article 50 impose d'informer toute personne qui interagit avec un système d'IA, sauf si c'est évident. Sur un chatbot de service client, une mention dès le premier message suffit ; l'obligation de conception pèse sur l'éditeur, mais c'est la PME qui l'expose à ses clients. Un transfert vers un humain doit rester possible.
Pour les contenus, deux cas. Les images, voix ou vidéos qui imitent une personne réelle (hypertrucages) doivent être signalés comme générés par IA. Les textes publiés pour informer le public sur des sujets d'intérêt général aussi, sauf relecture et responsabilité éditoriale humaine : une fiche produit rédigée avec une IA puis relue et assumée n'est pas concernée. Le filigrane lisible par machine incombe aux fournisseurs de générateurs, avec une grâce jusqu'au 2 décembre 2026 pour les outils antérieurs à août 2026. Faites-le écrire dans le contrat.
Résumé de la vidéo : dans cet explicatif diffusé le 2 août 2026, jour d'entrée en application de l'article 50, la Commission européenne montre en anglais comment les contenus générés par IA doivent être signalés au public. Le lecteur y voit à quoi ressemble concrètement le marquage attendu de ses éditeurs.
Obligations de conformité essentielles pour l'IA à haut risque
Si l'inventaire fait remonter un système à haut risque, l'article 26 fixe les obligations du déployeur, plus organisationnelles que techniques, applicables au 2 décembre 2027 pour l'annexe III.
- Utiliser le système conformément à la notice du fournisseur.
- Confier la supervision à des personnes formées, avec l'autorité d'interrompre l'outil ou d'écarter sa recommandation.
- Conserver les journaux générés par le système, au moins six mois.
- Informer les salariés et leurs représentants avant la mise en service d'un système à haut risque au travail.
- Informer toute personne visée par une décision prise avec le système.
- Signaler tout incident grave au fournisseur et à l'autorité, et suspendre l'usage.
La situation change si la PME affine un modèle ou développe. Développer en interne un outil qui trie les candidatures fait de l'entreprise un fournisseur de système à haut risque : documentation technique, gestion des risques, jeux de données contrôlés, évaluation de conformité. Idem si vous modifiez substantiellement un système acheté ou changez sa destination vers un usage à haut risque (article 25). Affiner un modèle de langage sur vos documents pour un assistant interne de recherche ne crée en revanche aucune obligation nouvelle. Notre règle en mission : on développe librement sur le risque minimal, et on n'écrit pas une ligne de code RH ou crédit sans avoir chiffré la conformité fournisseur, qui coûte souvent plus que le développement.
Sanctions proportionnées aux PME et soutien dédié
Les plafonds sont élevés : 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, 15 millions ou 3 % pour les autres manquements, 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. Pour une PME, l'article 99 paragraphe 6 du règlement 2024/1689 retient le montant le plus faible entre le pourcentage et la somme fixe, là où une grande entreprise se voit appliquer le plus élevé. Pour une PME de 5 millions de chiffre d'affaires, le plafond d'un manquement courant tombe donc à 150 000 euros. En France, la CNIL rappelle que l'AI Act ne remplace pas le RGPD : un tri de CV mal encadré expose aux deux régimes.
L'article 62 prévoit pour les PME un accès prioritaire et gratuit aux bacs à sable réglementaires, des frais d'évaluation réduits et des formulaires de documentation simplifiés ; l'omnibus en étend une partie aux petites ETI. Ces dispositifs servent surtout à ceux qui développent ; pour un déployeur, l'aide utile reste la formation financée.
Ce qu'il faut faire ce trimestre : la checklist en 10 points
La liste qu'on déroule avec un dirigeant en une réunion de deux heures, puis en quatre à six semaines de mise en œuvre.
- Inventorier tous les outils IA, comptes individuels et modules des logiciels existants compris.
- Qualifier chaque outil : minimal, transparence, haut risque, interdit.
- Retirer sans délai tout usage interdit (reconnaissance des émotions au travail, notation sociale).
- Ajouter une mention visible sur chaque chatbot exposé aux clients et prévoir le transfert humain.
- Signaler les hypertrucages et les textes d'information publique générés ; vérifier le marquage chez vos éditeurs.
- Former les utilisateurs (deux heures) et les superviseurs d'outils à décision (une demi-journée), avec émargement.
- Rédiger et faire signer une charte d'usage : données interdites en saisie, validation humaine, signalement des erreurs.
- Nommer un référent IA, articulé avec le DPO, et ouvrir un registre des systèmes et des incidents.
- Relire les contrats des éditeurs : conformité AI Act, hébergement, marquage, documentation.
- Pour tout système à haut risque identifié, planifier avant le 2 décembre 2027 la supervision, les journaux et l'information des salariés.
Chez JUWA, l'AI Act est un chantier de gouvernance, pas un dossier juridique isolé : inventaire des usages réels, grille de risque croisée avec le RGPD, puis registre, charte, plan de formation et calendrier des obligations du déployeur avec des responsables nommés. Pour un groupe mutualiste de 800 collaborateurs, cette cartographie a servi de socle à la feuille de route : 24 cas d'usage IA priorisés et 6 pilotes lancés, chacun qualifié sur son niveau de risque avant lancement. Notre offre de gouvernance et conformité IA détaille livrables et délais, de quatre à huit semaines selon le nombre d'outils et la présence d'un système à haut risque.
