L'AI Act en bref pour une PME
Le règlement européen sur l'intelligence artificielle, dit « AI Act » (règlement (UE) 2024/1689), est entré en vigueur le 1er août 2024 et s'applique par étapes ; sa date générale d'application est le 2 août 2026. Il classe les usages selon leur niveau de risque. D'après la Commission européenne, la grande majorité des systèmes d'IA utilisés dans l'Union présentent un risque minimal ou nul, et l'AI Act ne crée pas de règles pour eux.
Le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l'IA » ou « Digital Omnibus », publié au Journal officiel le 24 juillet, est entré en vigueur le 27 juillet 2026. Il reporte les obligations « haut risque », réécrit l'obligation de maîtrise de l'IA, ajoute une interdiction et accorde un délai pour le marquage des contenus générés.
Fournisseur ou déployeur : votre rôle détermine vos obligations
L'AI Act distingue deux rôles principaux :
- le fournisseur développe ou fait développer un système d'IA et le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre gratuit ou payant ;
- le déployeur utilise un système d'IA sous sa propre autorité, sauf dans le cadre d'une activité personnelle non professionnelle.
Quand vos équipes utilisent ChatGPT, Claude ou Copilot dans leur travail, l'éditeur de l'outil est le fournisseur et votre entreprise est déployeur. C'est le cas le plus courant, et les obligations les plus lourdes pèsent sur les fournisseurs.
Une PME peut pourtant devenir fournisseur sans éditer de logiciel. Les lignes directrices de la Commission sur l'article 50 citent l'organisation qui développe un chatbot en interne et le met en service sous son nom pour son propre usage, ou qui modifie un système d'IA générative existant avant de le mettre en service sous son nom. Un assistant à vos couleurs, développé pour vous, mérite donc une vérification.
| Situation | Votre rôle | Ce qui vous concerne surtout |
|---|---|---|
| Salariés qui rédigent ou traduisent avec ChatGPT, Claude ou Copilot | Déployeur | Maîtrise de l'IA, pratiques interdites |
| Chatbot d'un éditeur, utilisé tel quel sur votre site | Déployeur | Vérifier qu'il annonce être une IA (obligation de l'éditeur) |
| Chatbot ou agent développé pour vous, mis en service sous votre nom | Fournisseur possible | Le concevoir pour qu'il annonce être une IA |
| Image ou vidéo réaliste d'une personne ou d'un lieu existants | Déployeur | Signaler l'hypertrucage |
| IA pour trier des candidatures ou évaluer des salariés | Déployeur, voire fournisseur | Régime « haut risque » à partir du 2 décembre 2027 |
Maîtrise de l'IA : ce que l'article 4 exige après l'Omnibus
L'obligation de « maîtrise de l'IA » s'applique depuis le 2 février 2025 à tous les fournisseurs et déployeurs, donc à une PME dont les salariés utilisent un assistant d'IA. Dans sa version d'origine, l'article 4 demandait de garantir, « dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA ».
Depuis le 27 juillet 2026, le texte est plus souple : fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel et des personnes qui utilisent les systèmes pour leur compte, selon leurs connaissances et le contexte d'utilisation. Ils ne sont pas tenus de garantir un niveau spécifique pour chaque individu. La Commission doit publier des exemples pratiques, en particulier pour les PME.
Les questions-réponses de la Commission précisent que :
- une entreprise dont les salariés utilisent ChatGPT pour rédiger des textes publicitaires ou traduire est concernée : ils doivent être informés des risques de ces outils, par exemple les « hallucinations » ;
- aucun certificat n'est exigé : un registre interne des formations et des consignes permet d'en garder la trace ;
- ni référent IA ni mesure du niveau des salariés ne sont imposés ;
- le contrôle relève des autorités nationales de surveillance du marché, à partir du 2 août 2026.
À retenir
Formation « obligatoire » ? Ni format ni nombre d'heures ne sont imposés. Mais selon la Commission, faire lire la notice d'un outil est souvent inefficace : une courte session adaptée à vos usages, avec quelques consignes écrites, reste la voie la plus simple.
Les pratiques interdites depuis le 2 février 2025
Depuis le 2 février 2025, l'article 5 interdit, quelle que soit la taille de l'entreprise, de mettre sur le marché, de mettre en service ou d'utiliser un système d'IA qui :
- manipule ou trompe les personnes en altérant substantiellement leur comportement, d'une manière qui cause ou peut causer un préjudice important ;
- exploite la vulnérabilité liée à l'âge, à un handicap ou à la situation sociale ou économique, avec le même effet ;
- attribue une « note sociale » conduisant à un traitement préjudiciable injustifié ;
- prédit le risque d'infraction d'une personne sur la seule base de son profilage ou de sa personnalité ;
- constitue des bases de reconnaissance faciale par moissonnage non ciblé d'images ;
- infère les émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf raisons médicales ou de sécurité ;
- classe les personnes d'après leurs données biométriques pour en déduire, par exemple, leurs opinions politiques ou leur orientation sexuelle ;
- sert à l'identification biométrique en temps réel dans l'espace public à des fins répressives, hors exceptions strictes.
L'Omnibus ajoute une neuvième interdiction, applicable à partir du 2 décembre 2026 : les systèmes qui génèrent des contenus sexuellement explicites d'une personne identifiable sans son consentement, ou du matériel pédopornographique.
Le cas à surveiller en PME
Un outil qui analyse la voix ou le visage des salariés pour en déduire leurs émotions, pendant des appels par exemple, peut tomber sous l'interdiction visant le lieu de travail. Le non-respect de l'article 5 expose à une amende administrative pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial ; pour une PME, le plafond est le plus faible de ces deux montants.
Transparence : ce que l'article 50 impose depuis le 2 août 2026
Applicables depuis le 2 août 2026, ces obligations ne pèsent pas toutes sur la même personne :
| Situation | Qui doit agir | Obligation |
|---|---|---|
| Système qui échange directement avec des personnes (chatbot, agent, assistant vocal) | Fournisseur | Le concevoir pour que les personnes sachent qu'elles échangent avec une IA, sauf si c'est évident |
| Contenus produits par une IA générative | Fournisseur | Les marquer dans un format lisible par machine |
| Hypertrucage : image, son ou vidéo réaliste pouvant passer pour authentique | Déployeur | Indiquer que le contenu a été généré ou manipulé par une IA |
| Texte publié pour informer le public sur une question d'intérêt public | Déployeur | Indiquer son origine, sauf relecture humaine et responsabilité éditoriale |
S'y ajoute l'information des personnes exposées à une reconnaissance des émotions ou à une catégorisation biométrique, rare en PME. L'information doit être claire et donnée au plus tard lors de la première interaction ou exposition. Seul le marquage des contenus bénéficie d'un délai : jusqu'au 2 décembre 2026 pour les systèmes mis sur le marché avant le 2 août 2026.
Faut-il écrire « généré par IA » sur un email, un devis ou un post ?
Le plus souvent, non. Les lignes directrices publiées par la Commission le 20 juillet 2026 précisent qu'une correspondance professionnelle entre personnes n'est pas un texte « publié », et placent hors du champ de l'étiquetage les textes publicitaires et descriptions de produits, sauf allégations touchant par exemple à la santé, à la sécurité des consommateurs ou à la durabilité.
Pour un article ou un post qui informe sur un sujet d'intérêt public (une réglementation, la santé, l'environnement…), la mention n'est pas nécessaire si le texte a été réellement relu par une personne compétente et qu'une personne assume la responsabilité de la publication. Une correction d'orthographe ne compte pas comme relecture.
Deux cas demandent de la vigilance. Une image ou une vidéo réaliste qui pourrait passer pour authentique doit être signalée. Et un agent IA qui échange lui-même avec vos clients doit, selon la Commission, être conçu pour révéler sa nature artificielle et pour le compte de qui il agit. L'obligation d'information ne vise pas, en revanche, les messages qu'une personne prépare avec un assistant d'IA, relit réellement et envoie elle-même en restant l'interlocuteur principal.
À retenir
La Commission propose des icônes facultatives pour signaler les contenus générés par IA et un code de bonnes pratiques volontaire. Un manquement à l'article 50 peut être sanctionné d'une amende pouvant aller jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial ; pour une PME, le plus faible des deux montants.
Haut risque : les rares cas qui peuvent concerner une PME
Les obligations les plus lourdes visent les systèmes « à haut risque », listés par domaine à l'annexe III : biométrie, infrastructures critiques, éducation, emploi, accès aux services essentiels (dont la solvabilité des particuliers et la tarification en assurance-vie et santé), répression, migrations, justice. Un agent qui prépare vos devis, vos relances ou vos réponses aux clients n'y figure pas.
Le domaine le plus susceptible de toucher une PME est l'emploi : outils de recrutement (diffusion ciblée d'offres, filtrage de candidatures, évaluation de candidats) et outils servant à décider de promotions ou de licenciements, à attribuer des tâches selon la personnalité ou à évaluer les performances des salariés. Un système de l'annexe III peut échapper au régime s'il ne présente pas de risque important, par exemple s'il n'accomplit qu'une tâche procédurale étroite ou préparatoire, mais jamais s'il effectue un profilage.
Avec l'Omnibus, ces obligations s'appliquent à partir du 2 décembre 2027 pour l'annexe III, et du 2 août 2028 pour l'IA intégrée à des produits réglementés (annexe I, comme les ascenseurs ou les jouets). Le déployeur d'un système à haut risque devra notamment :
- l'utiliser conformément à sa notice ;
- confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire ;
- conserver les journaux du système au moins six mois, lorsqu'il en a le contrôle ;
- informer les représentants du personnel et les salariés concernés avant de l'utiliser au travail ;
- informer les personnes visées par des décisions prises ou facilitées par le système.
Trier des CV avec un assistant généraliste
Selon l'article 25, celui qui modifie la destination d'un système d'IA, y compris à usage général, de sorte qu'il devient à haut risque, est considéré comme son fournisseur. Demander à un assistant généraliste de classer ou d'écarter des candidats peut relever de ce cas. Faites examiner cet usage, et laissez la décision à une personne : le RGPD donne déjà à chacun le droit, sauf exceptions, de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui l'affecte de manière significative.
Le calendrier de l'AI Act après l'Omnibus
| Date | Ce qui s'applique | Pour une PME utilisatrice |
|---|---|---|
| 2 février 2025 | Pratiques interdites, maîtrise de l'IA | Former les utilisateurs, écarter les usages interdits |
| 2 août 2025 | Modèles d'IA à usage général, gouvernance, sanctions | Surtout les éditeurs de modèles |
| 27 juillet 2026 | Entrée en vigueur de l'Omnibus | Maîtrise de l'IA assouplie |
| 2 août 2026 | Application générale, transparence, contrôle par les autorités | Chatbots, hypertrucages, textes d'intérêt public |
| 2 décembre 2026 | Fin du délai de marquage des contenus, nouvelle interdiction | Surtout les fournisseurs d'IA générative |
| 2 décembre 2027 | Haut risque, annexe III (emploi, crédit, éducation…) | Recrutement, gestion du personnel |
| 2 août 2028 | Haut risque, produits réglementés (annexe I) | Surtout les fabricants |
La check-list d'une PME qui utilise l'IA
- Faites l'inventaire de vos outilsListez les outils d'IA utilisés, y compris sur des comptes personnels : qui s'en sert, pour quoi, avec quelles données.
- Identifiez votre rôle pour chacunOutil du marché utilisé tel quel : vous êtes déployeur. Chatbot ou agent développé pour vous et mis en service sous votre nom, ou système modifié : vérifiez si vous devenez fournisseur.
- Formez et gardez une traceUne session courte, adaptée aux usages réels : vérifier ce que produit l'IA, repérer les erreurs, savoir quelles données ne pas y saisir. Notez qui a été formé et quand.
- Informez quand c'est requisUn chatbot ou un agent qui échange directement avec vos clients annonce qu'il est une IA dès le premier échange. Signalez les hypertrucages. Un texte d'intérêt public se relit vraiment, ou porte une mention.
- Gardez une validation humaineFaites relire et envoyer par une personne les messages qui engagent l'entreprise ; ne laissez jamais une IA décider seule d'une embauche ou d'une sanction.
- Écartez les usages sensiblesPas d'analyse des émotions des salariés, pas de tri automatique de candidatures sans examen préalable de votre situation.
Enfin, l'AI Act ne remplace pas le RGPD, qui continue de s'appliquer aux données personnelles.
Notre approche chez JoinTheClub
Nos agents IA préparent des brouillons, qu'une personne de votre équipe valide avant tout envoi : relances de devis, réponses aux clients, tâches administratives. C'est un choix de méthode : la décision et la responsabilité du message restent chez vous. Voir notre page agents IA pour PME.
Sources officielles consultées le 22/10/2026, listées ci-dessous. Ce guide est une information générale et ne constitue pas un conseil juridique.