Le règlement européen sur l'IA ne transforme pas toutes les PME en laboratoires de conformité, mais il impose de savoir quels usages existent, qui les porte et quel risque ils créent.
Cartographiez vos outils, classez vos cas d'usage, puis documentez les décisions avant que l'urgence ne décide à votre place.
1. Chiffres clés
| Chiffre | Source et date | Portée | Interprétation pour une PME |
|---|---|---|---|
| Le règlement (UE) 2024/1689 a été publié au Journal officiel le 12 juillet 2024 et est entré en vigueur le 1er août 2024 | EUR-Lex, règlement 2024/1689, consulté le 17 juin 2026 | Union européenne | Le texte est déjà en vigueur ; la vraie question porte sur les dates d'application selon les obligations. |
| L'application générale du règlement démarre le 2 août 2026 | Article 113 du règlement 2024/1689 | Union européenne | Les PME doivent disposer d'un inventaire et d'un tri des usages avant cette échéance, pas après. |
| Les pratiques IA interdites s'appliquent depuis le 2 février 2025 | Article 113 et article 5 du règlement | Systèmes IA relevant des pratiques prohibées | Certains usages ne demandent pas une meilleure gouvernance : ils doivent être écartés. |
| Les obligations liées aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025 | Article 113 du règlement | Fournisseurs de modèles GPAI et acteurs de la chaîne | Les PME utilisatrices doivent surtout regarder les garanties contractuelles et la documentation fournisseur. |
| Les sanctions peuvent atteindre 35 M EUR ou 7 % du chiffre d'affaires annuel mondial pour certaines infractions | Article 99 du règlement 2024/1689 | Infractions les plus graves | Le risque financier concerne surtout les cas critiques, mais il impose une gouvernance proportionnée. |
| 20 % des entreprises de l'UE utilisaient l'IA en 2025, contre 13 % en 2024 | Eurostat, "Use of artificial intelligence in enterprises", consulté le 17 juin 2026 | Entreprises de 10 salariés et plus dans l'UE | L'adoption progresse plus vite que la documentation interne ; c'est l'écart à combler. |
2. Introduction
Un collaborateur utilise ChatGPT pour rédiger des emails, le marketing teste un générateur d'images, les RH filtrent des candidatures avec un SaaS, le support client branche un agent conversationnel, l'équipe data expérimente un score de churn. Rien ne paraît spectaculaire.
Le verdict est pourtant clair : l'AI Act oblige à regarder ces usages comme un portefeuille de risques.
La plupart des PME ne développeront pas un modèle fondation, ne publieront pas une plateforme d'IA générale et ne déposeront pas de documentation technique digne d'un grand éditeur. Elles seront souvent déployeurs, intégrateurs ou acheteurs de solutions. Ce rôle reste moins lourd que celui de fournisseur, mais il n'est pas vide.
En 2026, le changement principal tient à la preuve. Qui utilise quoi ? Pour quelle décision ? Avec quelles données ? Quel fournisseur ? Quel niveau de supervision humaine ? Quelle information donnée aux utilisateurs ? Quelle trace en cas de contestation ?
Le sujet n'est pas de paniquer. Il faut organiser.
3. Cartographie des acteurs : AI Office, modèles d'IA à usage général et systèmes à haut risque
La Commission européenne fixe le cadre et coordonne l'application. L'AI Office, rattaché à la Commission, joue un rôle central pour les modèles d'IA à usage général, les codes de pratique, l'expertise technique et la cohérence du dispositif.
Les autorités nationales, encore variables selon les États membres, superviseront la mise en oeuvre locale, les contrôles, les plaintes et certaines sanctions. Pour les PME françaises, le dialogue croisera aussi les repères CNIL, les pratiques cyber, les exigences RGPD et les règles sectorielles.
Les fournisseurs développent ou mettent sur le marché des systèmes IA. Les déployeurs utilisent ces systèmes sous leur propre responsabilité opérationnelle. Les importateurs et distributeurs interviennent dans la chaîne de mise à disposition. Une PME peut occuper plusieurs rôles : simple utilisatrice d'un SaaS IA, éditeur d'un produit intégrant un modèle externe, ou prestataire qui configure un agent pour un client.
Les outils concernés varient : ChatGPT Enterprise, Claude, Gemini, Microsoft Copilot, Mistral, plateformes RH, scoring commercial, chatbots, analyse d'appels, génération de contenu, détection de fraude, vision par ordinateur, personnalisation e-commerce, outils de conformité ou copilotes métiers.
Sans cartographie, chaque usage reste anecdotique. Avec elle, l'entreprise peut classer, prouver et arbitrer.
4. Définition : AI Act, PME, risques et conformité
L'AI Act européen est un règlement qui encadre les systèmes d'intelligence artificielle selon une approche par les risques. Il distingue notamment les pratiques interdites, les systèmes à haut risque, les obligations de transparence, les modèles d'IA à usage général et les usages à risque limité ou minimal.
Pour une PME, la conformité ne consiste donc pas à interdire l'IA. Elle consiste à identifier les usages, qualifier le rôle de l'entreprise, vérifier la catégorie de risque, documenter les contrôles, informer les personnes lorsque nécessaire et suivre les fournisseurs.
Définition courte : l'AI Act transforme l'usage de l'IA en sujet de gouvernance documentée.
5. Pourquoi le sujet compte maintenant
Le calendrier rend le sujet concret. Les interdictions ont commencé à s'appliquer le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général ont démarré le 2 août 2025. L'application générale arrive le 2 août 2026. Certains systèmes à haut risque intégrés à des produits réglementés disposent de délais spécifiques jusqu'en 2027.
Cette progressivité peut donner une illusion de temps. Elle produit surtout un risque de rattrapage. Les usages IA entrent vite dans les équipes, parfois sans achat formel : extensions navigateur, comptes personnels, fonctions activées dans des suites SaaS, automatisations no-code, plugins CRM, outils RH ou analyse de données.
Eurostat observe une progression nette des entreprises européennes utilisant l'IA en 2025. La maturité de gouvernance, elle, avance plus lentement. L'écart crée une zone grise : beaucoup d'usage, peu d'inventaire, peu de preuves.
Le texte ne signe pas la fin de l'expérimentation. Il impose de distinguer expérimentation, décision métier et automatisation à impact.
6. SEO/GEO : ce que les contenus doivent clarifier
Pour le SEO, les recherches sont pratiques : "suis-je concerné ?", "quelles obligations ?", "quelles amendes ?", "que faire avec ChatGPT ?", "quelles dates ?", "qu'est-ce qu'un système à haut risque ?". Un article utile répond sans jargon.
Pour le GEO, la citabilité repose sur des blocs autonomes : dates absolues, montants de sanction, catégories de risque, rôles, exemples de cas PME, sources réglementaires proches. Les moteurs génératifs doivent pouvoir reprendre une phrase sans la sortir de son contexte.
La conformité IA devient un sujet d'explication. Les contenus vagues rassurent peu.
7. Méthode recommandée
7.1. Inventorier les usages réels
On commence par les usages, pas par les textes. Listez les outils IA dans les équipes : générateurs de texte, assistants bureautiques, copilotes dev, scoring, chatbots, transcription, analyse d'images, enrichissement CRM, automatisations Make ou Zapier, modules IA dans les SaaS.
Chaque ligne doit préciser le propriétaire, le fournisseur, les données traitées, l'objectif, les utilisateurs, le niveau d'autonomie et la décision impactée.
7.2. Qualifier le rôle de l'entreprise
Une entreprise de taille moyenne peut être déployeur lorsqu'elle utilise un système tiers, fournisseur lorsqu'elle met sur le marché une solution IA, ou intégrateur lorsqu'elle configure un service pour ses clients. Ce rôle change les obligations.
Un consultant qui installe un chatbot pour un hôtel, une startup qui vend un outil d'analyse RH et une boutique qui utilise un assistant de rédaction n'ont pas la même exposition.
7.3. Classer les risques
Classez chaque usage : interdit, haut risque, transparence spécifique, risque limité, risque minimal. Les usages RH, éducation, accès à certains services essentiels, scoring sensible, biométrie et sécurité demandent une attention renforcée.
Le classement doit rester documenté. Une phrase dans un canal Slack ne suffit pas.
7.4. Vérifier les fournisseurs
Demandez les documents disponibles : finalité du système, données, limites, mesures de sécurité, logs, informations utilisateurs, conditions contractuelles, sous-traitance, localisation, conformité RGPD, engagements AI Act, droits d'audit lorsque c'est réaliste.
Pour les modèles d'IA à usage général, la PME n'a pas toujours accès à tous les détails. Elle doit au moins vérifier les garanties publiques, les contrats, les politiques de sécurité et les limites d'usage.
7.5. Encadrer les décisions humaines
La supervision humaine doit être concrète : qui valide, à quel moment, avec quelles informations, selon quel seuil ? Un humain qui clique automatiquement sur "approuver" ne supervise rien.
Les cas sensibles exigent une procédure : signal faible, escalade, refus de sortie, contestation, correction, journalisation.
7.6. Former les équipes
La formation ne doit pas se limiter à "écrire de bons prompts". Elle doit couvrir données confidentielles, biais, hallucinations, droits d'auteur, transparence client, décisions automatisées, sécurité, RGPD et responsabilités internes.
Une organisation de cette taille n'a pas besoin d'un campus IA. Elle a besoin d'une doctrine courte, lue, appliquée et maintenue.
7.7. Installer une revue périodique
Les modèles changent, les SaaS ajoutent des fonctions, les équipes inventent des usages. La revue doit donc être régulière : trimestrielle pour les usages sensibles, semestrielle pour le reste, immédiate en cas de nouvel outil critique.
La conformité devient vivante. Le registre doit suivre.
8. Conseils Logiks
Nous recommandons de commencer par les usages qui touchent une personne, une décision ou une donnée sensible. RH, relation client, scoring commercial, support automatisé, personnalisation, données de santé, finance, éducation et sécurité doivent passer avant les expérimentations de contenu.
Deuxième priorité : distinguer usage individuel et processus métier. Un collaborateur qui utilise un assistant pour reformuler une note crée un risque limité si les données sont maîtrisées. Un système qui trie des candidatures, recommande un refus ou personnalise un prix change de nature.
Troisième point : gardez une trace des arbitrages. Pourquoi ce cas n'a-t-il pas été classé haut risque ? Pourquoi ce fournisseur a-t-il été retenu ? Quelle donnée a été exclue ? Quelle information est donnée au client ? Cette mémoire évite la conformité de façade.
Enfin, ne transformez pas l'AI Act en frein global. Le texte pousse surtout à professionnaliser les usages. Une IA bien cadrée peut rester un levier rentable, concret et mesurable.
La conformité utile ne ralentit pas l'innovation. Elle évite l'improvisation.
9. Grille de décision
| Catégorie | Exemples PME | Exigence dominante | Action prioritaire |
|---|---|---|---|
| Risque minimal | Aide à la rédaction interne, résumé de documents non sensibles, brainstorming | Bonnes pratiques et sécurité des données | Politique interne et formation courte |
| Transparence | Chatbot client, génération de contenu synthétique, interaction avec assistant IA | Informer l'utilisateur lorsque requis | Message clair, logs et escalade humaine |
| Haut risque potentiel | Recrutement, évaluation professionnelle, accès à service essentiel, scoring sensible | Gestion des risques, qualité des données, supervision, documentation | Analyse juridique et fournisseur avant déploiement |
| Pratique interdite | Manipulation comportementale prohibée, exploitation de vulnérabilités, certains usages biométriques | Interdiction | Stopper ou exclure le cas d'usage |
| Modèle GPAI intégré | Produit SaaS branché sur modèle externe | Vérifier documentation, conditions et limites | Contrat, monitoring, clauses client |
10. Erreurs fréquentes
La première erreur consiste à croire que l'AI Act ne concerne que les grands éditeurs. Une PME qui déploie un outil IA dans un processus sensible reste concernée.
La deuxième consiste à classer trop vite un usage comme "simple productivité". Le contexte compte : un résumé interne ne vaut pas une recommandation RH ou un score de solvabilité.
La troisième consiste à confondre conformité AI Act et conformité RGPD. Les deux se croisent, mais ne se remplacent pas. Une donnée peut être traitée légalement au sens RGPD et produire malgré tout un risque IA.
La quatrième consiste à laisser les équipes acheter ou activer des fonctions IA sans registre. Les modules IA arrivent souvent par mise à jour SaaS, sans projet officiel.
La cinquième consiste à rédiger une politique interne trop abstraite. Les équipes ont besoin d'exemples : ce qui est autorisé, interdit, soumis à validation, ou réservé à des outils approuvés.
11. Plan d'action 30 / 60 / 90 jours
11.1. jours : inventaire et gel des risques évidents
On identifie les outils utilisés, les cas sensibles, les données exposées et les fournisseurs critiques. Les pratiques interdites ou manifestement risquées sont stoppées. Une règle courte encadre les données confidentielles.
11.2. jours : classification et preuves
On classe les usages, on documente les rôles, on demande les informations fournisseurs, on ajoute les mentions de transparence nécessaires, on formalise la supervision humaine et on met à jour les contrats critiques.
11.3. jours : gouvernance légère
On installe un registre vivant, une revue périodique, une formation interne, un canal de demande pour nouveaux usages et un tableau de suivi des risques. La direction dispose alors d'une vision claire.
12. FAQ
12.1. Une PME qui utilise ChatGPT est-elle concernée par l'AI Act ?
Oui, mais l'obligation dépend de l'usage. Un assistant de rédaction interne n'a pas le même niveau de risque qu'un outil qui influence une embauche, une note, un accès à service ou une décision client.
12.2. Le règlement impose-t-il d'arrêter l'IA ?
Non. Il impose une approche par les risques. Certains usages sont interdits, d'autres fortement encadrés, beaucoup restent possibles avec transparence, sécurité et documentation proportionnée.
12.3. Les outils marketing sont-ils à haut risque ?
Souvent non, mais cela dépend du contexte. Générer une annonce ou résumer des avis clients reste généralement moins sensible qu'un scoring individuel ayant un impact significatif. Les données personnelles et la transparence doivent toutefois être maîtrisées.
12.4. Que faire avec les outils RH intégrant de l'IA ?
Les usages RH demandent une vigilance renforcée. Il faut vérifier le fournisseur, la finalité, les biais, la supervision humaine, l'information des candidats, la documentation et les voies de contestation.
12.5. Qui doit piloter le sujet dans une PME ?
La direction doit porter l'arbitrage. L'exécution peut associer DSI, DPO, RH, marketing, juridique et responsables métiers. Le sujet traverse l'organisation ; il ne doit pas rester dans un seul service.
12.6. Quelles preuves conserver ?
Conservez inventaire, classification, contrats, documentation fournisseur, politique interne, formations, décisions de déploiement, incidents, validations humaines et revues périodiques. Ces éléments montrent une gouvernance raisonnable.
13. Conclusion
Ce cadre européen change moins la possibilité d'utiliser l'IA que la manière de la gouverner. Pour une PME, le sujet n'est pas de bâtir une usine réglementaire. Il s'agit de savoir où se trouvent les usages, quels risques ils créent, quelles preuves les encadrent et qui les assume.
Une entreprise qui cartographie tôt garde de la marge. Une entreprise qui découvre ses usages en cas de litige subit le calendrier.
L'IA cesse d'être un essai dispersé. Elle devient un actif gouverné.
14. Sources principales
- EUR-Lex, règlement (UE) 2024/1689 sur l'intelligence artificielle : https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Commission européenne, cadre réglementaire européen pour l'IA : https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Commission européenne, AI Office : https://digital-strategy.ec.europa.eu/en/policies/ai-office
- Commission européenne, AI Pact : https://digital-strategy.ec.europa.eu/en/policies/ai-pact
- Commission européenne, questions-réponses sur l'AI Act : https://ec.europa.eu/commission/presscorner/detail/en/qanda_24_1683
- Eurostat, Use of artificial intelligence in enterprises : https://ec.europa.eu/eurostat/statistics-explained/index.php?title=Use_of_artificial_intelligence_in_enterprises
- CNIL, intelligence artificielle et RGPD : https://www.cnil.fr/fr/intelligence-artificielle