Liste d’attente

AI Act : ce qui change pour une TPE ou une PME

Guide pratique · , 8 min de lecture

Si tu utilises ChatGPT, Claude ou Gemini pour écrire, traduire ou résumer, l’AI Act te concerne déjà, mais modestement. Deux obligations te touchent : faire en sorte que ton équipe sache se servir de l’IA et en connaisse les risques, et signaler certains contenus générés. Les règles lourdes visent les usages à haut risque, comme le tri automatique de CV, et elles ont été repoussées.

L’AI Act, en deux phrases

L’AI Act, ou règlement européen sur l’intelligence artificielle, encadre la façon dont on conçoit et dont on utilise l’IA dans l’Union européenne. Il ne remplace pas le RGPD, qui protège les données personnelles : les deux s’additionnent (voir RGPD et IA générative).

Le texte distingue deux rôles. Le fournisseur développe le système d’IA : par exemple, OpenAI pour ChatGPT ou Anthropic pour Claude. Le déployeur l’utilise dans son activité : c’est ton entreprise, dès que toi ou un salarié vous servez d’un assistant d’IA pour travailler. Une PME qui utilise des outils conçus par d’autres est donc, en général, déployeur.

Quatre niveaux de risque

Le règlement classe les usages de l’IA selon le risque qu’ils font courir aux personnes. Plus le risque est élevé, plus les règles sont strictes.

Les quatre niveaux de l’AI Act

  1. Inacceptableinterdit : notation sociale, reconnaissance des émotions au travail, manipulation nuisible
  2. Haut risquerègles strictes : tri de CV, notation de crédit, notation d’examens
  3. Transparenceobligation d’informer : chatbots, deepfakes, contenus générés
  4. Minimalpas de règles : filtres anti-spam, jeux vidéo

Selon la Commission européenne, la grande majorité des systèmes d’IA utilisés dans l’Union tombent dans la dernière catégorie. En principe, rédiger une annonce ou résumer un document avec un assistant ne fait pas partie des usages à haut risque cités par la Commission.

Le calendrier, après l’Omnibus

Le calendrier a bougé. L'« AI Omnibus », un texte de simplification proposé par la Commission le 19 novembre 2025, est entré en vigueur le 27 juillet 2026. Il a notamment repoussé les règles du haut risque et allégé l’obligation de formation.

  • 2 février 2025interdictions et maîtrise de l’IA applicables
  • 2 août 2026application générale, dont les règles de transparence
  • 2 décembre 2027haut risque : emploi, éducation, biométrie
  • 2 août 2028haut risque intégré à des produits : machines, jouets, ascenseurs

Pour l’obligation de maîtrise de l’IA, les autorités nationales de surveillance du marché contrôlent et sanctionnent à partir du 2 août 2026, sur la base des lois nationales.

Obligation n° 1 : que ton équipe sache utiliser l’IA

C’est l’article 4 du règlement, sur la « maîtrise de l’IA » (AI literacy, en anglais). Toute entreprise qui utilise un système d’IA doit prendre des mesures pour que son personnel, et les personnes qui l’utilisent pour son compte, comme un prestataire, aient les connaissances nécessaires.

La Commission a répondu à la question qu’on se pose tous : une entreprise dont les salariés utilisent ChatGPT pour écrire des textes publicitaires ou traduire est-elle concernée ? Oui. Ils doivent être informés des risques, par exemple des hallucinations, ces réponses fausses mais plausibles que l’IA invente.

Depuis l’Omnibus, l’obligation demeure, mais aucun niveau précis n’est exigé. Ce que la Commission précise aussi :

  • il n’y a pas d’obligation de mesurer les connaissances de tes salariés ;
  • il n’y a pas besoin de certificat : tu peux tenir un registre interne des formations ou des actions ;
  • aucune formation obligatoire ni format unique n’est imposé, et les niveaux peuvent varier selon les personnes ;
  • aucun « responsable IA » ni comité n’est obligatoire.

Attention, faire lire la notice de l’outil est souvent insuffisant, selon la Commission. Elle attend des actions adaptées à ce que chacun sait déjà et à l’usage qu’il en fait.

La méthode en quatre questions

La Commission recommande de se poser au moins ces questions. Traduites pour une petite entreprise :

  1. Explique ce qu’est l’IAcomment elle fonctionne, quels outils tu utilises, leurs atouts et leurs dangers
  2. Situe ton rôleutilises-tu des outils faits par d’autres (déployeur) ou développes-tu le tien (fournisseur) ?
  3. Liste les risques de tes usageserreurs inventées, données clients, textes publiés sans relecture
  4. Adapte à chaque personneplus de détails pour celui qui s’en sert tous les jours, l’essentiel pour les autres

Par exemple, si tu diriges un cabinet de cinq personnes qui utilise Claude pour préparer des courriers, tu pourrais prévoir une réunion d’une heure sur les erreurs à repérer et les données à ne jamais coller, une page de règles partagée, et une ligne dans un tableau qui dit qui a assisté, et quand. C’est une illustration : la Commission ne valide aucun format précis. Pour t’inspirer, la Commission tient un répertoire d’exemples de ce que font d’autres organisations, mais les reproduire ne vaut pas, à lui seul, conformité.

Le prompt pour préparer ta séance interne
Tu es mon assistant pour préparer une courte séance de sensibilisation à l'IA dans mon entreprise de [ton métier], [nombre] personnes. Nous utilisons [tes outils] pour [tes usages]. Propose un déroulé d'une heure qui couvre : ce qu'est l'IA et comment elle fonctionne, les risques de nos usages (erreurs inventées, données personnelles, textes publiés sans relecture), et cinq règles simples à afficher. Pose-moi d'abord les questions qui te manquent.

Le résultat reste un brouillon : relis-le, et vérifie chaque règle à la lumière de la page officielle de la Commission.

Obligation n° 2 : signaler certains contenus générés

Ce sont les règles de transparence, applicables depuis le 2 août 2026. Les fournisseurs doivent concevoir leurs outils pour que les gens sachent qu’ils parlent à une IA, et marquer les contenus générés de façon lisible par une machine. Pour les outils d’IA générative mis sur le marché avant le 2 août 2026, ce marquage bénéficie d’un délai jusqu’en décembre 2026.

Toi, en tant que déployeur, tu dois notamment signaler deux choses par une mention claire et visible :

  • un deepfake : une image, un son ou une vidéo généré ou retouché par IA qui ressemble à des personnes, objets, lieux ou événements existants et paraîtrait faussement authentique ;
  • un texte d’intérêt public généré par IA et publié pour informer le public, sans relecture humaine ni contrôle éditorial.

Pour t’aider, l’Union européenne a créé trois icônes facultatives qui signalent un contenu généré par IA. Les deepfakes produits avant le 2 août 2026 n’ont pas à être étiquetés après coup, mais c’est encouragé. Et si tu utilises un outil de reconnaissance des émotions ou de catégorisation biométrique, tu dois en informer les personnes concernées.

Le haut risque : surtout le recrutement

Pour une petite entreprise, le cas le plus probable est le recrutement : un logiciel qui trie les CV fait partie des exemples d’usages à haut risque, comme la notation de crédit qui décide de l’accès à un prêt. Les règles strictes pour ces domaines sensibles, dont l’emploi, s’appliquent à partir du 2 décembre 2027. Ceux qui utilisent ces systèmes devront assurer un contrôle humain et former leur personnel à l’exercer.

Es-tu concerné ?

  • Si tu utilises un assistant pour écrire, résumer ou traduiremaîtrise de l’IA : informe ton équipe des risques et note ce que tu as fait
  • Si tu publies des images, des vidéos ou des voix générées réalistessignale-les clairement comme générées par IA
  • Si un outil trie des CV ou évalue la solvabilité de particuliersusage à haut risque : demande à ton éditeur où il en est, et prévois un contrôle humain
  • Si tu développes ton propre outil d’IA pour le vendretu passes du côté des fournisseurs, aux obligations plus lourdes : fais-toi conseiller

Les PME bénéficient aussi de certains allégements, surtout utiles à celles qui développent des systèmes d’IA, comme une documentation technique simplifiée, désormais étendue aux petites entreprises de taille intermédiaire. Pour bien démarrer avec les outils eux-mêmes, voir utiliser l’IA en entreprise.

Passe à l’action

Questions fréquentes

L’AI Act s’applique-t-il aux petites entreprises ?

Oui, dès que tu utilises un système d’IA dans ton activité : la Commission cite l’exemple de salariés qui utilisent ChatGPT pour écrire ou traduire. Pour un usage courant d’un assistant d’IA, les obligations principales sont la maîtrise de l’IA et, le cas échéant, la transparence ; les interdictions valent pour tous, et le RGPD s’ajoute. La Commission prévoit une proportionnalité des amendes pour les PME, notamment pour les règles de transparence.

La formation à l’IA est-elle obligatoire ?

L’obligation porte sur des mesures, pas sur une formation précise. La Commission indique qu’aucune formation obligatoire n’est imposée et qu’aucun certificat n’est nécessaire. Elle précise aussi que se contenter de la notice de l’outil est souvent insuffisant.

Dois-je dire à mes clients que j’utilise ChatGPT ?

L’AI Act ne l’impose pas de façon générale. L’obligation de signaler vise les deepfakes et les textes d’intérêt public publiés sans relecture humaine. Pour un chatbot, ce sont les fournisseurs qui doivent concevoir l’outil pour que la personne sache qu’elle parle à une IA. D’autres règles, comme le RGPD ou ton contrat, peuvent demander d’informer tes clients.

Qui contrôle et à partir de quand ?

Pour la maîtrise de l’IA, les autorités nationales de surveillance du marché, depuis le 2 août 2026. Selon la Commission, les sanctions sont proportionnées et décidées au cas par cas, et elles seraient plus probables en cas d’incident causé par un manque de formation.

Sources

Cet article donne des informations générales, pas un avis juridique : pour ta situation, consulte un juriste ou les pages officielles ci-dessous.

La formation ouvre bientôt.