AI Act : ce que les PME doivent savoir
L'AI Act classe les usages de l'IA par niveau de risque. Pour une PME qui utilise l'IA, l'essentiel : recenser ses usages, informer et encadrer ses équipes.
L’AI Act est le règlement européen sur l’intelligence artificielle. Il classe les systèmes d’IA selon leur niveau de risque et impose des obligations proportionnées à ce risque, avec une entrée en application progressive. La plupart des PME utilisent l’IA pour des tâches courantes (rédaction, synthèse, assistance) qui relèvent des niveaux de risque faibles. Leurs obligations portent surtout sur la transparence, l’encadrement des usages et la vigilance sur les cas sensibles comme le recrutement.
Cet article présente les principes du texte en termes simples. Il ne remplace pas un avis juridique : pour les détails et le calendrier exact, reportez-vous aux sources officielles citées plus bas.
Qu’est-ce que l’AI Act ?
L’AI Act (règlement (UE) 2024/1689) a été adopté par l’Union européenne en 2024. C’est un règlement : il s’applique directement dans tous les États membres, sans loi de transposition. Il vise les entreprises qui développent des systèmes d’IA, celles qui les mettent sur le marché, et celles qui les utilisent dans un cadre professionnel.
Le texte distingue notamment deux rôles :
- Le fournisseur : celui qui développe un système d’IA et le met sur le marché sous son nom. Les éditeurs de ChatGPT, Claude ou Mistral sont des fournisseurs.
- Le déployeur : celui qui utilise un système d’IA dans le cadre de son activité professionnelle. Une PME qui équipe ses équipes d’un assistant IA est un déployeur.
La plupart des PME sont des déployeurs. Attention cependant : si vous développez un outil d’IA et le proposez à vos clients, vous pouvez devenir fournisseur, avec des obligations plus lourdes.
Comment fonctionne l’approche par les risques ?
Le cœur du règlement est une classification en quatre niveaux. Plus le risque pour les personnes est élevé, plus les règles sont strictes.
| Niveau de risque | Exemples | Conséquence |
|---|---|---|
| Inacceptable | Notation sociale des personnes, manipulation exploitant des vulnérabilités, certaines formes de reconnaissance des émotions au travail | Interdit |
| Élevé | IA utilisée pour trier des candidatures, évaluer des salariés, décider de l’accès au crédit ou à un service essentiel | Obligations importantes : gestion des risques, documentation, contrôle humain, qualité des données |
| Limité (transparence) | Chatbots, contenus générés ou modifiés par IA, hypertrucages (deepfakes) | Obligations d’information des personnes |
| Minimal | Filtres anti-spam, correcteurs, aide à la rédaction interne | Pas d’obligation spécifique au titre de l’AI Act |
Le texte prévoit aussi des règles propres aux modèles d’IA à usage général, comme les grands modèles de langage. Elles pèsent sur leurs fournisseurs, pas sur les entreprises qui les utilisent.
Quand l’AI Act s’applique-t-il ?
Le règlement est entré en vigueur après son adoption, mais ses obligations s’appliquent par étapes, étalées sur plusieurs années. Les interdictions ont été parmi les premières mesures applicables. Les règles sur les modèles à usage général, les obligations de transparence et celles des systèmes à haut risque suivent selon un calendrier échelonné.
Ce calendrier a fait l’objet de discussions et d’ajustements au niveau européen. Plutôt que de vous fier à une date lue sur un blog, vérifiez l’état à jour sur les sites officiels avant toute décision.
Quelles obligations concrètes pour une PME ?
Informer quand l’IA est en jeu
Les obligations de transparence visent à ce que les personnes sachent quand elles interagissent avec une IA ou quand un contenu a été généré artificiellement. En pratique :
- un chatbot sur votre site doit indiquer clairement qu’il s’agit d’un assistant automatisé (voir notre article Chatbot sur son site : utile ou gadget ?) ;
- les images, vidéos ou voix réalistes générées par IA et diffusées publiquement doivent être signalées comme telles ;
- certains textes générés par IA et publiés pour informer le public sur des sujets d’intérêt général sont aussi concernés, sauf relecture et responsabilité éditoriale humaines.
Former et encadrer vos équipes
Le texte demande aux entreprises qui utilisent l’IA de veiller à un niveau suffisant de maîtrise de ces outils chez les personnes qui s’en servent. Une formation courte et une règle écrite sont la manière la plus simple d’y répondre. Notre modèle de charte d’utilisation de l’IA vous donne une base.
Être très prudent sur les usages à haut risque
Si vous utilisez l’IA pour trier des candidatures, évaluer des collaborateurs ou décider de l’accès d’un client à un service, vous entrez potentiellement dans le haut risque. Le déployeur doit alors notamment respecter la notice du fournisseur, assurer un contrôle humain effectif, surveiller le fonctionnement et informer les personnes concernées. Avant de lancer ce type de projet, faites-vous accompagner juridiquement.
Une journée pour cadrer l’IA dans votre entreprise
Notre atelier IA pour dirigeants (690 € HT) vous aide à recenser vos usages, repérer les cas sensibles et poser des règles claires pour vos équipes.
Par où commencer ? La démarche en 5 étapes
- Recensez vos usages de l’IA : outils utilisés, par qui, pour quoi faire, avec quelles données. Incluez les fonctions d’IA intégrées à vos logiciels existants.
- Classez chaque usage selon les quatre niveaux de risque. La grande majorité tombera en risque minimal ou limité.
- Identifiez votre rôle pour chaque usage : simple déployeur ou fournisseur si vous proposez un outil à vos clients.
- Mettez en place les mesures proportionnées : mentions de transparence, charte interne, formation, contrôle humain pour les cas sensibles.
- Documentez et révisez une fois par an, ou dès qu’un nouvel usage apparaît.
Cette démarche rejoint celle que nous recommandons pour tout projet : partir d’usages précis et mesurables. Voir Intégrer l’IA dans une PME : par où commencer ?
AI Act et RGPD : quelle différence ?
Les deux textes se cumulent. Le RGPD encadre le traitement des données personnelles, quel que soit l’outil. L’AI Act encadre les systèmes d’IA eux-mêmes, selon leurs risques. Un assistant IA qui traite des données clients doit donc respecter les deux : base légale, information et sécurité côté RGPD, transparence et éventuelles obligations spécifiques côté AI Act.
Où trouver les sources officielles ?
- Le texte du règlement sur EUR-Lex, le site officiel du droit de l’Union.
- Les pages de la Commission européenne sur le cadre réglementaire de l’IA, qui présentent le calendrier et les lignes directrices.
- Le site de la CNIL, pour l’articulation avec la protection des données.
Questions fréquentes
L’AI Act s’applique-t-il aux petites entreprises ?
Oui, il n’y a pas d’exemption générale selon la taille. Le texte prévoit toutefois des mesures d’accompagnement pour les PME, et les obligations dépendent surtout du niveau de risque de vos usages, souvent faible pour une PME.
Utiliser ChatGPT pour rédiger des e-mails est-il encadré ?
Cet usage relève en général du risque minimal. Il reste soumis à vos règles internes et au RGPD si vous y collez des données personnelles. Relisez toujours ce que l’IA produit avant de l’envoyer.
Faut-il nommer un responsable de l’IA ?
Le règlement n’impose pas cette fonction à une PME qui utilise l’IA pour des tâches courantes. Désigner une personne référente reste une bonne pratique pour tenir l’inventaire des usages et répondre aux questions des équipes.
Quelles sanctions en cas de non-respect ?
Le règlement prévoit des amendes administratives, graduées selon la gravité du manquement, avec des plafonds adaptés pour les PME. Les montants exacts figurent dans le texte officiel sur EUR-Lex.
