Le règlement européen sur l'intelligence artificielle, appelé AI Act, encadre le développement et l'utilisation des systèmes d'IA dans l'Union européenne. Il ne concerne pas seulement les éditeurs de logiciels : une PME qui utilise un assistant IA, un chatbot ou un outil de tri de candidatures a aussi des obligations. Voici ce qu'il faut savoir, en termes simples, pour une entreprise utilisatrice. Pour une situation précise, faites valider votre analyse par votre conseil.
Ce qu'est l'AI Act
L'AI Act est le règlement (UE) 2024/1689. Entré en vigueur le 1er août 2024, il s'applique directement dans tous les pays de l'Union, sans transposition, selon un calendrier progressif. Son principe : plus un usage de l'IA présente de risques pour la santé, la sécurité ou les droits des personnes, plus les obligations sont fortes.
Il s'ajoute au RGPD sans le remplacer : dès qu'un outil d'IA traite des données personnelles, les deux textes s'appliquent.
Fournisseur ou déployeur : quel est votre rôle ?
Le règlement distingue principalement deux rôles :
- le fournisseur développe un système d'IA ou le met sur le marché sous son nom (par exemple l'éditeur d'un assistant IA) ;
- le déployeur utilise un système d'IA dans le cadre de son activité professionnelle.
Une PME qui utilise ChatGPT, Copilot, un chatbot sur son site ou un logiciel intégrant de l'IA est le plus souvent déployeur. Ses obligations sont plus légères que celles du fournisseur, mais elles existent. Attention : une entreprise qui modifie substantiellement un système ou le commercialise sous son propre nom peut devenir fournisseur.
Quatre niveaux de risque
- Risque inacceptable : des pratiques interdites, comme la notation sociale, la manipulation exploitant les vulnérabilités des personnes ou la reconnaissance des émotions sur le lieu de travail (sauf exceptions médicales ou de sécurité).
- Haut risque : des usages encadrés de près, listés par le règlement, par exemple dans le recrutement et la gestion des salariés, l'accès à l'éducation, l'évaluation de la solvabilité ou certains services essentiels.
- Risque limité : des usages soumis à des obligations de transparence, comme les chatbots ou les contenus générés par l'IA.
- Risque minimal : la grande majorité des usages courants (aide à la rédaction, traduction, filtres anti-spam), sans obligation spécifique au-delà de la maîtrise de l'IA.
À retenir
La plupart des usages d'une PME (rédaction, synthèse, automatisation de tâches administratives) relèvent du risque minimal ou limité. Les points de vigilance sont surtout les chatbots en contact avec le public et tout usage lié au recrutement ou à la gestion des salariés.
Les obligations qui concernent déjà toutes les entreprises
Depuis le 2 février 2025, deux séries de règles s'appliquent :
- Les pratiques interdites ne doivent pas être utilisées, quel que soit le rôle de l'entreprise.
- La maîtrise de l'IA (article 4) : fournisseurs et déployeurs prennent des mesures pour garantir, autant que possible, un niveau suffisant de maîtrise de l'IA de leur personnel et des personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances et du contexte d'utilisation.
Concrètement, la maîtrise de l'IA passe par une formation adaptée aux usages réels et par des règles écrites. Une charte IA accompagnée d'une formation des équipes en est la traduction la plus directe. Gardez une trace de ces actions.
Les obligations de transparence
Le règlement prévoit des obligations de transparence pour certains systèmes, applicables à partir du 2 août 2026 :
- les personnes doivent être informées qu'elles interagissent avec un système d'IA, par exemple avec un chatbot sur votre site, sauf si c'est évident ;
- les images, sons ou vidéos générés ou modifiés par l'IA et présentés comme réels (hypertrucages) doivent être signalés comme tels ;
- les textes générés par l'IA et publiés pour informer le public sur des questions d'intérêt général doivent l'être aussi, sauf s'ils ont fait l'objet d'une relecture humaine et d'une responsabilité éditoriale.
Pour un chatbot ou un agent IA en contact avec vos clients, l'indication claire « vous échangez avec un assistant IA » est donc à prévoir dès la conception.
Les usages à haut risque
Si vous utilisez un outil d'IA pour trier des candidatures, évaluer des salariés ou décider de l'accès d'une personne à un service essentiel, vous êtes probablement dans le cas d'un usage à haut risque. Le déployeur doit alors notamment :
- utiliser le système conformément à sa notice ;
- confier son contrôle à des personnes compétentes, capables d'intervenir sur ses résultats ;
- surveiller son fonctionnement et conserver les journaux générés ;
- informer les personnes concernées, et notamment les salariés et leurs représentants avant une utilisation sur le lieu de travail.
Pour ces usages, faites-vous accompagner juridiquement : les obligations sont plus lourdes et le calendrier spécifique.
Le calendrier d'application
- 1er août 2024 : entrée en vigueur du règlement.
- 2 février 2025 : interdictions et obligation de maîtrise de l'IA.
- 2 août 2025 : règles applicables aux modèles d'IA à usage général (les grands modèles de langage) et gouvernance.
- 2 août 2026 : application générale, dont les obligations de transparence et une grande partie des règles sur les systèmes à haut risque.
- 2 août 2027 : systèmes à haut risque intégrés à des produits réglementés.
La Commission européenne a proposé fin 2025 d'ajuster certaines échéances, notamment pour les systèmes à haut risque. Vérifiez le calendrier en vigueur au moment de votre analyse.
Par où commencer
- Faites l'inventaire des outils d'IA utilisés dans l'entreprise, y compris les fonctions IA intégrées aux logiciels.
- Classez chaque usage selon son niveau de risque, et repérez les cas sensibles (recrutement, salariés, clients).
- Formez les équipes et rédigez des règles d'usage.
- Prévoyez la transparence pour vos chatbots et vos contenus générés.
- Coordonnez avec le RGPD : registre des traitements, information des personnes, contrats avec les éditeurs (voir notre article sur ChatGPT en entreprise et le RGPD).
Conclusion
Pour la plupart des PME, l'AI Act se traduit par quelques obligations concrètes : connaître les outils utilisés, former les équipes, être transparent avec les clients qui échangent avec une IA et redoubler de prudence sur les usages liés aux personnes, comme le recrutement. C'est aussi l'occasion de structurer l'usage de l'IA dans l'entreprise, ce qui la rend plus efficace.
Questions fréquentes
Une PME qui utilise ChatGPT est-elle concernée par l'AI Act ?
Oui, en tant que déployeur. Pour un usage courant (rédaction, synthèse), les obligations portent surtout sur la maîtrise de l'IA par le personnel et, le cas échéant, sur la transparence envers les personnes qui échangent avec un système d'IA.
L'obligation de formation à l'IA est-elle déjà en vigueur ?
Oui. L'article 4 sur la maîtrise de l'IA s'applique depuis le 2 février 2025. Il demande de prendre des mesures pour que le personnel qui utilise des systèmes d'IA en ait une maîtrise suffisante, adaptée au contexte.
Un chatbot sur mon site doit-il indiquer qu'il est une IA ?
Oui. Le règlement prévoit que les personnes soient informées qu'elles interagissent avec un système d'IA, sauf si c'est évident. Prévoyez une mention claire dans l'interface du chatbot.
Utiliser l'IA dans un cadre clair ? Parlons-en.