En bref — AI Act, règlement IA européen : calendrier, niveaux de risque, obligations pour les PME qui utilisent l'IA. Checklist conformité et FAQ.

ia act Image : 666isMONEY ☮ ♥ & ☠ — Openverse (by-sa)

AI Act : ce que la loi européenne change concrètement pour ta boîte

Le règlement européen sur l'intelligence artificielle — l'IA Act — est entré en vigueur le 1er août 2024. Mais entre la date de publication au Journal officiel et le moment où tes équipes doivent réellement changer leurs pratiques, il y a un calendrier en plusieurs étapes que la plupart des dirigeants de PME n'ont pas encore eu le temps de déchiffrer.

Ce guide va droit au but : qui est concerné, quand, et surtout ce que ça change pour une entreprise qui utilise l'IA sans en développer elle-même.

1. Le calendrier d'application : ce qui est déjà en vigueur et ce qui arrive

L'IA Act ne s'est pas appliqué d'un seul coup. Le législateur européen a prévu une montée en charge progressive sur trois ans.

Échéance Ce qui entre en vigueur
Août 2024 Publication officielle du règlement
Février 2025 Interdictions des pratiques IA à risque inacceptable (manipulation, notation sociale, etc.)
Août 2025 Obligations pour les modèles d'IA à usage général (GPAI) — dont GPT-4, Gemini, Claude
Août 2026 Règles pour les systèmes IA à haut risque (RH, crédit, recrutement…)
Août 2027 Extension aux systèmes IA embarqués dans des produits réglementés existants

Ce que ça signifie concrètement : si tu utilises aujourd'hui un outil d'IA pour trier des CV, scorer des leads ou prendre des décisions de crédit, tu as jusqu'à août 2026 pour être en conformité. Ce n'est pas loin. Et les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les violations les plus graves.

2. Les 4 niveaux de risque expliqués par l'exemple

L'IA Act classe tous les systèmes d'IA en quatre catégories selon leur niveau de risque. Voici comment les comprendre sans jargon juridique.

Risque inacceptable — interdit depuis février 2025

Ce sont les usages que l'Europe a décidé de bannir purement et simplement.

Exemple concret : un système qui analyserait les émotions de tes employés via leur webcam pendant les réunions pour évaluer leur engagement. Ou un outil qui noterait les citoyens sur la base de leur comportement social pour leur accorder ou refuser des services.

Si un de tes prestataires SaaS proposait ce type de fonctionnalité, il doit l'avoir désactivée. Si ce n'est pas le cas, tu es co-responsable de son utilisation.

Haut risque — obligations strictes dès août 2026

C'est là que se concentre l'essentiel des obligations pour les PME. Un système IA est considéré à haut risque s'il intervient dans des décisions qui affectent significativement des personnes.

Exemples concrets :

  • Un ATS (logiciel de recrutement) qui filtre automatiquement les candidatures
  • Un outil de scoring crédit pour tes clients
  • Un système de surveillance de la productivité individuelle
  • Un logiciel d'évaluation de performance des salariés
  • La gestion automatisée des accès à des services essentiels

Pour ces usages, les obligations sont sérieuses : documentation technique, supervision humaine obligatoire, journaux d'audit, information des personnes concernées.

Risque limité — obligations de transparence

Ces systèmes doivent simplement être identifiés comme tels.

Exemple concret : ton chatbot de service client. Si un utilisateur interagit avec un bot, il doit savoir qu'il parle à une IA — pas à un humain. C'est tout. Pas de certification, pas de dossier technique. Juste une mention claire.

Risque minimal — aucune obligation spécifique

La grande majorité des outils IA du quotidien entre dans cette catégorie.

Exemples concrets : les filtres anti-spam, les recommandations de produits sur un e-commerce, les outils de génération de texte marketing, les assistants de rédaction.

Pour ces usages, l'IA Act ne t'impose rien de particulier. Tu restes soumis au RGPD et aux lois habituelles, mais pas à des obligations IA supplémentaires.

3. Ce qui concerne une PME qui utilise l'IA (et non qui en développe)

C'est le point que beaucoup de guides ratent : l'IA Act distingue les "fournisseurs" (ceux qui développent et commercialisent des systèmes IA) des "déployeurs" (ceux qui les utilisent dans leur activité). Une PME qui souscrit à un SaaS IA est un déployeur, pas un fournisseur.

Bonne nouvelle : les obligations des déployeurs sont moins lourdes que celles des fournisseurs. Mauvaise nouvelle : elles existent quand même, et beaucoup de dirigeants l'ignorent.

Ce que tu dois faire en tant que déployeur

Pour les systèmes à haut risque :

  • Utiliser le système conformément à sa notice d'utilisation. Si le fournisseur dit que son outil de recrutement ne doit pas être utilisé comme seul critère de décision, tu dois respecter ça — et le documenter.
  • Assurer une supervision humaine effective. La décision finale sur un recrutement, un crédit ou une évaluation de performance doit rester entre les mains d'un humain identifié, capable de comprendre et de contester la recommandation de l'IA.
  • Informer les personnes concernées. Tes candidats, tes clients, tes salariés doivent savoir qu'un système IA intervient dans les décisions qui les concernent.
  • Tenir un registre des usages. Pas un dossier de 200 pages, mais une trace de quels outils tu utilises, pour quels usages, avec quelles règles de supervision.
  • Signaler les incidents graves. Si un système IA cause un préjudice sérieux à une personne, tu as l'obligation de le signaler aux autorités.

Pour les systèmes à risque limité :

  • Mentionner clairement qu'il s'agit d'une IA dans toute interaction avec des utilisateurs ou clients.

Ce que le fournisseur doit faire (et que tu peux exiger)

Quand tu signes un contrat avec un éditeur SaaS qui propose de l'IA à haut risque, ce fournisseur doit te fournir :

  • La documentation technique du système
  • Les instructions d'utilisation conformes
  • Une déclaration de conformité UE

Conseil pratique : ajoute une clause dans tes contrats SaaS qui oblige le fournisseur à te notifier si son outil entre dans le périmètre haut risque de l'IA Act, et à te fournir la documentation nécessaire. Si un fournisseur refuse ou ne peut pas répondre à ces questions, c'est un signal d'alerte.

Le cas des modèles d'IA à usage général (GPAI)

Tu utilises ChatGPT, Claude, Gemini ou Mistral en direct via API ou interface ? Ces modèles sont soumis aux obligations GPAI depuis août 2025. Leurs éditeurs doivent publier des résumés de leurs données d'entraînement et respecter le droit d'auteur européen. En tant qu'utilisateur, tu n'as pas d'obligation directe liée au GPAI — mais tu dois rester vigilant sur l'usage que tu en fais : si tu construis un système de décision automatisée avec ces modèles, tu redeviens potentiellement déployeur d'un système à haut risque.

4. Checklist conformité minimale pour une PME

Pas besoin d'un cabinet juridique spécialisé pour commencer. Voici les étapes concrètes à faire dans les prochains mois.

Étape 1 — Inventorier tes usages IA (à faire maintenant)

  • Lister tous les outils SaaS qui utilisent de l'IA dans ton entreprise
  • Identifier ceux qui interviennent dans des décisions RH, financières ou de sécurité
  • Demander à chaque fournisseur si son outil entre dans le périmètre haut risque de l'IA Act

Étape 2 — Qualifier le niveau de risque (d'ici fin 2025)

  • Pour chaque outil identifié : est-ce qu'il influence des décisions qui affectent des personnes de manière significative ?
  • Si oui : est-ce que tu as une supervision humaine en place ?
  • Si non : mettre en place un processus de validation humaine avant toute décision finale

Étape 3 — Mettre à jour tes mentions légales et politiques internes (avant août 2026)

  • Informer tes salariés si des outils IA sont utilisés dans leur évaluation ou gestion
  • Informer tes clients si des outils IA interviennent dans les décisions les concernant
  • Ajouter une mention IA dans les CGU ou politique de confidentialité si nécessaire
  • Vérifier que tes chatbots et assistants virtuels s'identifient clairement comme IA

Étape 4 — Documenter (avant août 2026)

  • Créer un registre simple des usages IA (outil, usage, niveau de risque, responsable humain)
  • Conserver les contrats et documentations fournisseurs
  • Définir un responsable interne du suivi conformité IA (peut être le DPO existant)

Étape 5 — Réviser tes contrats fournisseurs (avant août 2026)

  • Ajouter des clauses IA Act dans les nouveaux contrats SaaS
  • Demander des avenants aux contrats existants pour les outils à haut risque
  • Vérifier que les fournisseurs hors UE respectent bien le règlement (il s'applique dès lors que l'outil est utilisé sur le territoire européen)

5. FAQ — Les questions que tout le monde se pose

Mon entreprise est trop petite pour être concernée ?

Non. L'IA Act ne prévoit pas de seuil de taille d'entreprise pour les déployeurs. Une TPE de 5 personnes qui utilise un logiciel de recrutement IA est soumise aux mêmes obligations qu'un grand groupe. En revanche, les micro-entreprises (moins de 10 salariés et moins de 2 M€ de CA) bénéficient d'obligations allégées côté fournisseur — mais pas côté déployeur.

Si mon fournisseur SaaS est américain, l'IA Act s'applique quand même ?

Oui. Le règlement s'applique à tous les systèmes IA utilisés dans l'Union européenne, quelle que soit la nationalité de l'éditeur. C'est le même principe d'extraterritorialité que le RGPD. Si Salesforce, Workday ou HubSpot proposent des fonctionnalités IA à haut risque, ils doivent être conformes pour leurs clients européens.

Qui contrôle l'application de l'IA Act en France ?

La France a désigné plusieurs autorités selon les secteurs. La CNIL joue un rôle central pour tout ce qui touche aux données personnelles. D'autres régulateurs sectoriels (ACPR pour la finance, ANSSI pour la cybersécurité) interviendront dans leurs domaines. Un coordinateur national IA sera désigné pour coordonner l'ensemble.

L'IA Act remplace-t-il le RGPD ?

Non, les deux textes coexistent et se complètent. Le RGPD régit la protection des données personnelles, l'IA Act régit les systèmes d'intelligence artificielle. Dans la pratique, beaucoup d'usages IA impliquent des données personnelles et tombent donc sous les deux règlements simultanément. Si tu as déjà un DPO, c'est naturellement lui qui devrait piloter la conformité IA Act.

Qu'est-ce qui se passe si je ne fais rien ?

Les sanctions sont graduées. Pour les violations les plus graves (utilisation d'IA à risque inacceptable), les amendes peuvent atteindre 35 M€ ou 7 % du CA mondial. Pour les violations des obligations des systèmes à haut risque, le plafond est de 15 M€ ou 3 % du CA. Pour des informations incorrectes fournies aux autorités, 7,5 M€ ou 1,5 % du CA. Dans la pratique, les premières années seront probablement concentrées sur les grands acteurs — mais les PME qui utilisent des outils à haut risque sans supervision humaine documentée prennent un risque réel, notamment en cas de litige avec un salarié ou un client.

Comment savoir si un outil est "à haut risque" ?

L'annexe III du règlement liste les catégories précises. Les grandes familles à retenir pour une PME : tout ce qui touche au recrutement et à la gestion RH, à l'accès au crédit, à l'évaluation scolaire ou professionnelle, aux services essentiels (eau, gaz, électricité, internet), et à l'application de la loi. En cas de doute, demande directement à ton fournisseur — il a l'obligation de te répondre.

En résumé

L'IA Act n'est pas une contrainte réservée aux géants de la tech. Si tu utilises des outils IA pour recruter, évaluer tes équipes, scorer tes clients ou automatiser des décisions qui affectent des personnes, tu as des obligations concrètes à remplir avant août 2026.

La bonne nouvelle : pour une PME qui utilise (et non développe) de l'IA, la conformité se résume principalement à trois choses — savoir quels outils tu utilises, t'assurer qu'un humain supervise les décisions importantes, et en informer les personnes concernées. Pas de certification obligatoire, pas de dossier technique à produire toi-même.

Le meilleur moment pour commencer cet inventaire, c'était hier. Le deuxième meilleur moment, c'est maintenant.

Tu sais quoi utiliser : reste à le brancher sur ton business. Le diagnostic IA gratuit te dit quoi automatiser en premier. ai-prompt est un produit du studio de Sébastien Debollivier.

À lire aussi : les statistiques IA & PME · l’annuaire d’outils IA.