Le règlement européen sur l’intelligence artificielle, ou IA Act, est entré en vigueur le 1er août 2024 et s’applique par étapes jusqu’en 2027. Pour une PME qui utilise des outils d’IA sans en développer, trois obligations comptent : former les collaborateurs qui s’en servent (depuis le 2 février 2025), signaler les contenus générés et les interactions avec une IA, et respecter des obligations renforcées si l’entreprise déploie un système classé à haut risque, par exemple pour recruter ou évaluer ses salariés.
Ce guide explique la logique du texte, le calendrier et ce que chaque type d’entreprise doit préparer.
L’essentiel
- Une approche par le risque : pratiques interdites, haut risque, risque limité (transparence), risque minimal (libre).
- Deux rôles principaux : le fournisseur, qui développe ou commercialise le système, et le déployeur, qui l’utilise dans son activité. La plupart des PME sont déployeurs.
- Calendrier : pratiques interdites et maîtrise de l’IA depuis le 2 février 2025 ; modèles d’IA à usage général depuis le 2 août 2025 ; systèmes à haut risque de l’annexe III à partir du 2 août 2026 ; systèmes intégrés à des produits réglementés à partir du 2 août 2027.
- Sanctions jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, avec des plafonds réduits pour les PME.
- Le RGPD continue de s’appliquer en parallèle.
La logique du règlement : classer les systèmes par risque
| Niveau | Exemples | Ce que le règlement impose |
|---|---|---|
| Pratiques interdites | Notation sociale par les autorités, manipulation subliminale, reconnaissance des émotions au travail et à l’école, catégorisation biométrique sur des données sensibles | Interdiction depuis le 2 février 2025 |
| Haut risque (annexe III) | Tri de CV et évaluation des salariés, scoring de crédit, accès à l’éducation, infrastructures critiques, justice, migration | Pour le fournisseur : gestion des risques, qualité des données, documentation, surveillance humaine, marquage CE. Pour le déployeur : utiliser selon la notice, surveiller, informer les personnes et les salariés, conserver les journaux |
| Risque limité | Chatbots, générateurs de texte, d’image ou de voix, hypertrucages | Transparence : dire que l’on parle à une IA, marquer les contenus générés |
| Risque minimal | Filtres anti-spam, assistants de rédaction, outils de recommandation internes | Aucune obligation spécifique ; codes de conduite volontaires |
Les modèles d’IA à usage général, comme ceux qui alimentent les grands assistants conversationnels, relèvent d’un régime à part qui pèse sur leurs fournisseurs : documentation technique, respect du droit d’auteur, résumé des données d’entraînement, et obligations supplémentaires pour les modèles présentant un risque systémique.
Le calendrier d’application
| Date | Ce qui s’applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Pratiques interdites ; obligation de maîtrise de l’IA pour le personnel des fournisseurs et des déployeurs |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général ; mise en place des autorités nationales ; régime des sanctions |
| 2 août 2026 | Application générale, dont les systèmes à haut risque de l’annexe III et les obligations de transparence |
| 2 août 2027 | Systèmes à haut risque intégrés à des produits déjà soumis à une réglementation européenne (dispositifs médicaux, machines, jouets…) |
La Commission européenne a proposé fin 2025 d’assouplir et de décaler certaines obligations, notamment pour les systèmes à haut risque, dans le cadre d’un paquet de simplification numérique. Tant que ces propositions ne sont pas adoptées, le calendrier ci-dessus reste celui du texte en vigueur ; nous le mettons à jour à chaque évolution.
Ce qu’une PME utilisatrice doit faire
Si votre entreprise utilise des outils d’IA sans en développer, vous êtes « déployeur ». Trois chantiers couvrent vos obligations.
1. Former les équipes (article 4)
Depuis le 2 février 2025, l’entreprise doit garantir un niveau suffisant de maîtrise de l’IA aux personnes qui utilisent ces systèmes, en tenant compte de leur rôle et du contexte. Une sensibilisation de deux heures, adaptée aux outils réellement utilisés et conservée comme preuve, répond à l’obligation pour la plupart des PME.
2. Être transparent (article 50)
Un client qui échange avec un chatbot doit savoir qu’il parle à une IA. Un contenu généré ou manipulé (image, voix, vidéo) doit être signalé comme tel, et un texte d’information du public généré par IA doit l’indiquer. Ces règles s’appliquent pleinement à partir du 2 août 2026.
3. Encadrer les usages à haut risque (article 26)
Si vous utilisez un outil qui trie des candidatures, évalue des salariés, décide d’un crédit ou d’un accès à un service, vous devez l’utiliser conformément à la notice du fournisseur, désigner des personnes chargées de la surveillance humaine, informer les salariés et leurs représentants avant la mise en service, informer les personnes concernées par une décision, et conserver les journaux au moins six mois. Une analyse d’impact RGPD est en général nécessaire sur le même traitement.
Ce qu’un éditeur ou une startup doit faire
Une entreprise qui développe un système d’IA et le met sur le marché est fournisseur. Si le système relève du haut risque, elle doit mettre en place un système de gestion des risques, garantir la qualité et la gouvernance des données d’entraînement, rédiger une documentation technique, assurer la traçabilité et la surveillance humaine, passer une évaluation de conformité et apposer le marquage CE, puis s’enregistrer dans la base de données européenne.
Le règlement prévoit des allègements pour les PME et les startups : accès prioritaire aux bacs à sable réglementaires, documentation simplifiée et frais d’évaluation réduits. Les obligations RGPD du développement d’un système d’IA s’ajoutent à ce socle.
IA Act et RGPD : deux textes qui se cumulent
Le RGPD protège les personnes dont les données sont traitées ; l’IA Act encadre le produit et son usage. Une même application de tri de CV relève des deux : base légale, information et analyse d’impact côté RGPD ; notice, surveillance humaine et journaux côté IA Act. En France, la CNIL est l’autorité compétente pour le volet données personnelles et contribue à la mise en œuvre du règlement sur l’IA.
Ce que je constate en mission. Dans les PME, l’IA Act se résume aujourd’hui à une question : avons-nous un usage à haut risque sans le savoir ? La réponse est oui dans un cas sur cinq, presque toujours en recrutement, avec un outil de tri de candidatures activé par défaut dans le logiciel RH. L’inventaire des usages, que nous faisons pour le RGPD, règle la question en une heure ; le reste tient dans la charte IA et une session de formation.
Thomas Blanc, DPO externalisé et formateur IA
Pour les cabinets d’expertise comptable, l’obligation de maîtrise de l’IA de l’article 4 se traite le plus simplement par une journée documentée : notre formation IA pour experts-comptables couvre les cas d’usage comptables, les connecteurs et la charte IA du cabinet, et fournit l’attestation qui prouve la formation des équipes.
Questions fréquentes
Mon entreprise de 15 personnes est-elle concernée ?
Oui dès qu’elle utilise un outil d’IA : l’obligation de formation s’applique sans seuil d’effectif. Les obligations lourdes ne concernent que les usages à haut risque ou le développement de systèmes.
Utiliser ChatGPT fait-il de moi un déployeur à haut risque ?
Non. Rédiger, résumer ou traduire relève du risque minimal. Le haut risque dépend de la finalité : utiliser le même outil pour évaluer des candidats ou des salariés change la qualification.
Que vaut une « charte IA » au regard du règlement ?
Le texte ne l’impose pas, mais elle est le moyen le plus simple de prouver la maîtrise de l’IA, la transparence et le contrôle des usages. Elle sert aussi de support à la formation.
Faire le point sur vos obligations
Nous réalisons l’inventaire de vos usages d’IA, la qualification au regard du règlement et la charte IA, puis la formation des équipes. Un appel de 30 minutes permet de cadrer votre situation.
Sources
- Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle
- CNIL – Entrée en vigueur du règlement européen sur l’IA : questions-réponses
