L’AI Act n’est pas un sujet réservé aux grands groupes.
Une TPE ou une PME peut être concernée dès qu’elle utilise un système d’IA dans un contexte professionnel : relation client, recrutement, formation, production de contenus, analyse de documents, automatisation d’une décision ou intégration d’un outil fourni par un prestataire.
Le bon réflexe n’est pas de paniquer. Le bon réflexe est de classer les usages.
Cette ressource est construite à partir du règlement européen sur l’intelligence artificielle et des pages d’application de la Commission européenne. Elle ne remplace pas un avis juridique, mais elle donne une méthode de tri pour avancer proprement.
Ce que l’AI Act cherche à encadrer
L’AI Act pose un cadre européen pour les systèmes d’intelligence artificielle.
Son approche est fondée sur le risque. Plus un usage peut avoir d’impact sur les personnes, leurs droits, leur sécurité ou leur accès à un service important, plus les exigences sont fortes.
Pour une entreprise, cela change la question de départ.
Il ne suffit plus de demander : “Quel outil IA allons-nous utiliser ?”
Il faut demander :
- à quoi sert l’outil ;
- qui l’utilise ;
- quelles données sont traitées ;
- quel effet la réponse peut avoir sur une personne ;
- qui valide le résultat ;
- si l’entreprise fournit elle-même un système d’IA ou se contente de l’utiliser.
Les quatre niveaux à connaître
La logique générale du texte distingue des usages interdits, des systèmes à haut risque, des obligations de transparence et des usages à risque limité ou minimal.
Dans une TPE/PME, la plupart des usages simples relèvent souvent d’un usage assisté : rédiger une trame, résumer un texte, préparer une liste de questions, reformuler un message ou aider à classer des informations.
Mais certains cas demandent beaucoup plus d’attention :
- tri de candidatures ;
- évaluation de salariés ;
- accès à une formation ;
- scoring de clients ou de personnes ;
- biométrie ;
- vidéosurveillance augmentée ;
- décision automatique ayant un effet significatif ;
- outil intégré à un produit réglementé.
Le sujet n’est donc pas “IA ou pas IA”. Le sujet est le contexte d’usage.
Les dates à retenir au 9 juin 2026
Selon la Commission européenne, l’AI Act est entré en vigueur le 1er août 2024.
Certaines obligations sont déjà applicables :
- les pratiques d’IA interdites et les obligations de maîtrise de l’IA sont applicables depuis le 2 février 2025 ;
- les règles de gouvernance et les obligations liées aux modèles d’IA à usage général sont applicables depuis le 2 août 2025.
Le cadre général devient applicable progressivement. La Commission indique aussi un calendrier simplifié pour les systèmes à haut risque : certains domaines à haut risque sont annoncés pour le 2 décembre 2027, et les systèmes intégrés à des produits réglementés pour le 2 août 2028.
Ces dates doivent être vérifiées avant un projet sensible, car le calendrier peut dépendre du type de système, du rôle de l’entreprise et des textes d’application.
Fournisseur ou utilisateur : ne pas confondre les rôles
Une entreprise qui utilise un outil IA du marché n’a pas le même rôle qu’une entreprise qui conçoit, vend ou intègre un système IA pour ses propres clients.
Pour une TPE/PME, il faut distinguer :
- l’entreprise qui utilise un outil IA dans son organisation ;
- l’entreprise qui configure fortement un outil pour un usage métier précis ;
- l’entreprise qui vend un service intégrant de l’IA ;
- le prestataire qui traite des données ou fournit une brique technique.
Ce tri est important, parce que les obligations ne se répartissent pas de la même manière.
Dans le doute, il faut documenter le rôle de chacun : éditeur, intégrateur, sous-traitant, client, utilisateur interne.
Le premier travail : faire l’inventaire des usages IA
Avant de chercher une conformité complète, il faut savoir ce qui existe déjà.
Une petite entreprise peut commencer avec un tableau simple :
- outil utilisé ;
- équipe concernée ;
- objectif ;
- données utilisées ;
- résultat produit ;
- décision humaine associée ;
- fournisseur ;
- niveau de risque pressenti ;
- règles internes à prévoir.
Ce tableau évite les usages invisibles : un salarié qui colle des données clients dans un outil grand public, un service qui teste un assistant de recrutement, une équipe qui produit des contenus sans signaler l’usage de l’IA.
La maîtrise de l’IA n’est pas une formation gadget
L’AI Act introduit une obligation de maîtrise de l’IA pour les personnes qui utilisent ou déploient des systèmes d’IA dans un cadre professionnel.
Pour une TPE/PME, cela peut rester simple :
- expliquer ce que l’outil peut faire ;
- expliquer ce qu’il ne garantit pas ;
- rappeler les données interdites ou à anonymiser ;
- définir les usages autorisés ;
- imposer une validation humaine quand le résultat sort de l’entreprise ;
- documenter les cas testés.
Le but n’est pas de transformer tout le monde en expert juridique. Le but est que les équipes utilisent l’IA avec discernement.
La transparence compte aussi pour les contenus
Certains usages d’IA imposent des obligations de transparence : signaler qu’un contenu est généré ou manipulé par IA, informer les personnes lorsqu’elles interagissent avec un système, éviter les présentations trompeuses.
Dans une petite entreprise, cela touche par exemple :
- les images générées ;
- les textes publiés avec une assistance IA ;
- les réponses automatiques à des clients ;
- les contenus audio ou vidéo synthétiques ;
- les assistants conversationnels.
Une règle simple aide déjà : ne pas faire croire qu’une personne a produit ou validé quelque chose si ce n’est pas le cas.
Ce qu’il faut décider avant un projet IA
Avant de déployer un outil, l’entreprise doit répondre à quelques questions concrètes.
L’usage est-il interne ou externe ?
Les données sont-elles personnelles, confidentielles ou commerciales ?
Le résultat aide-t-il une personne à décider, ou décide-t-il à sa place ?
Peut-il produire un effet sur un salarié, un client, un candidat ou un fournisseur ?
Le fournisseur donne-t-il une documentation claire sur l’outil ?
Qui vérifie les réponses ?
Que fait-on si le résultat est faux, biaisé ou incomplet ?
Ces questions sont plus utiles qu’une discussion abstraite sur “la conformité IA”.
Une méthode simple pour TPE/PME
Pour avancer sans se disperser :
- Recenser les usages IA déjà présents.
- Classer les usages par niveau d’impact.
- Séparer les usages internes simples des usages sensibles.
- Identifier les données utilisées.
- Vérifier le rôle de l’entreprise : utilisatrice, intégratrice ou fournisseuse.
- Former les personnes concernées.
- Documenter les règles d’usage et de validation.
- Demander un avis spécialisé pour les usages à impact fort.
En résumé
L’AI Act n’interdit pas l’IA en entreprise. Il demande de la méthode, de la transparence et une attention renforcée pour les usages qui peuvent affecter les personnes.
Pour une TPE/PME, le bon premier pas est souvent très concret : savoir quels outils sont utilisés, avec quelles données, pour quel résultat et avec quel contrôle humain.
L’objectif n’est pas de ralentir l’innovation. L’objectif est d’éviter de déployer un outil sans comprendre son impact.
Sources de référence utilisées
- Règlement (UE) 2024/1689, texte officiel sur EUR-Lex
- AI Act, cadre et calendrier d'application, Commission européenne
- Utiliser l'IA générative dans les TPE et PME, CNIL
Il faut qu’on parle de vos usages IA
Si vous utilisez déjà l’IA sans inventaire clair, le diagnostic permet de repérer les usages simples, les usages sensibles et les règles à poser avant d’aller plus loin.