AI Act : ce que le règlement européen sur l'IA change pour votre PME

L'AI Act distingue plusieurs rôles, et c'est la clé pour comprendre vos obligations. Le fournisseur développe et met un système d'IA sur le marché : c'est Microsoft, OpenAI, Google. Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle : c'est vous, dès que vos équipes utilisent Copilot, un chatbot ou un outil d'IA métier. La très grande majorité des PME sont des déployeurs, pas des fournisseurs, et les obligations d'un déployeur sont nettement plus légères. Attention toutefois : si vous personnalisez fortement un système d'IA, si vous le commercialisez sous votre marque ou si vous en modifiez la finalité, vous pouvez basculer dans le rôle de fournisseur, avec les obligations lourdes qui vont avec.

Le règlement classe les systèmes d'IA selon quatre niveaux de risque. Les pratiques à risque inacceptable sont purement interdites (notation sociale, manipulation subliminale, certaines formes de reconnaissance des émotions au travail). Les systèmes à haut risque, listés dans les annexes du règlement, sont soumis à des obligations lourdes : c'est là que beaucoup de PME se trompent, car cela couvre notamment l'IA utilisée pour le recrutement, la sélection de candidats, l'évaluation ou la promotion des salariés, mais aussi l'accès au crédit. Les systèmes à risque limité (chatbots, génération de contenu) sont soumis à des obligations de transparence. Enfin le risque minimal, qui couvre l'écrasante majorité des usages bureautiques, n'impose pas d'obligation spécifique. En clair : utiliser Copilot pour résumer des réunions ou rédiger des e-mails est du risque minimal. Utiliser une IA pour trier des CV vous fait basculer en haut risque.

L'application est progressive. Depuis le 2 février 2025, les pratiques interdites sont proscrites et une obligation de littératie en IA pèse sur toutes les organisations : vous devez veiller à ce que les collaborateurs qui utilisent l'IA disposent d'un niveau de compréhension suffisant de ses capacités, de ses limites et de ses risques. C'est l'obligation la plus concrète et la plus universelle, et beaucoup de PME l'ignorent encore. Depuis le 2 août 2025, les règles sur les modèles d'IA à usage général et la gouvernance sont entrées en application. Le 2 août 2026 marque l'application générale du règlement, notamment pour les systèmes à haut risque listés en annexe III. Une dernière échéance en 2027 vise l'IA intégrée à des produits déjà réglementés. Les sanctions sont dissuasives (jusqu'à plusieurs dizaines de millions d'euros ou un pourcentage du chiffre d'affaires mondial selon l'infraction), avec des plafonds adaptés pour les PME.

Quatre chantiers, dans cet ordre. D'abord, l'inventaire : recensez les outils d'IA réellement utilisés dans l'entreprise, y compris ceux que vos équipes ont adoptés sans vous prévenir. C'est souvent la plus grosse surprise. Ensuite, la qualification : pour chaque usage, déterminez le niveau de risque, en portant une attention particulière aux RH et au recrutement. Puis la littératie : formez les utilisateurs, tracez ces formations, c'est une obligation déjà applicable. Enfin la gouvernance : encadrez les données que l'IA peut atteindre (les permissions SharePoint mal réglées sont un risque au moins aussi concret que le règlement lui-même) et articulez le tout avec le RGPD, qui continue de s'appliquer pleinement en parallèle. Cet article donne un cadre général et ne constitue pas un conseil juridique : pour un usage à haut risque, faites valider votre analyse par un juriste spécialisé.