AI Act : ce que doit faire une TPE ou une PME qui utilise l'IA

À retenir

• L’AI Act (en français, le règlement européen sur l’intelligence artificielle, ou RIA) ne vise pas que les géants de la tech : il concerne aussi l’entreprise qui utilise un outil d’IA dans son activité.
• Depuis le 2 février 2025, toute entreprise qui utilise l’IA doit prendre des mesures pour soutenir la maîtrise de l’IA de son personnel (article 4). Pas de certificat, pas de niveau imposé.
• Depuis le 2 août 2026, les règles de transparence s’appliquent (article 50) : on doit savoir qu’on parle à une IA, et un hypertrucage doit être signalé.
• L’omnibus adopté le 24 juillet 2026 a décalé les règles sur les systèmes à haut risque au 2 décembre 2027 (annexe III, par exemple le recrutement) et au 2 août 2028 (annexe I).
• La grande majorité des usages d’une TPE ou d’une PME (rédiger, résumer, répondre à des questions) relève du risque minimal, sans obligation spécifique au-delà de l’article 4.

Cette page explique le texte tel qu’il s’applique au 11 novembre 2026. Elle ne remplace pas un avis juridique : z.ax conçoit et intègre des outils d’IA, nous ne faisons pas de conseil juridique. Pour un cas sensible, interrogez un avocat ou votre fédération professionnelle.

Votre usage, votre obligation : le tableau rapide

Voici les usages que l’on rencontre le plus souvent dans une TPE ou une PME, et ce que le règlement demande pour chacun. Dans tous les cas, l’article 4 (maîtrise de l’IA par le personnel) s’applique, et le RGPD aussi dès que des données personnelles sont en jeu.

Ce tableau simplifie. Un même outil peut changer de case selon l’usage : un assistant de rédaction reste à risque minimal tant qu’il rédige, il bascule dans le haut risque s’il sert à noter des candidats.

L’AI Act en quelques mots

Le règlement européen sur l’IA classe les systèmes d’intelligence artificielle selon le risque qu’ils font courir aux personnes. La CNIL résume ces quatre niveaux :

Le texte vise aussi à part les modèles d’IA à usage général, comme les grands modèles de langage (les « LLM » qui font tourner ChatGPT, Mistral ou Claude). Ces obligations pèsent sur les éditeurs de ces modèles, pas sur vous.

Fournisseur ou déployeur : de quel côté êtes-vous ?

Le règlement distingue deux rôles principaux :

• le fournisseur, qui développe un système d’IA et le met sur le marché ou en service ;
• le déployeur, qui utilise un système d’IA dans le cadre de son activité professionnelle.

Une boulangerie qui utilise ChatGPT pour rédiger ses affiches est déployeur. L’éditeur de ChatGPT est fournisseur. Quand un outil est construit spécialement pour vous et mis en service sous votre nom, la question devient plus fine : faites préciser par écrit, dans le contrat avec votre prestataire, qui assume quelles obligations. C’est ce que nous faisons pour chaque agent IA sur mesure que nous livrons.

Le calendrier d’application, vérifié au 11 novembre 2026

Le règlement a été publié au Journal officiel de l’Union européenne le 12 juillet 2024 et il est entré en vigueur le 1er août 2024. Il a ensuite été modifié par un « omnibus » de simplification, adopté le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Voici le calendrier révisé publié par la CNIL :

Beaucoup d’articles publiés avant l’été 2026 annoncent encore le 2 août 2026 pour le haut risque. Cette date n’est plus la bonne pour l’annexe III.

Ce que l’AI Act demande concrètement à une PME qui utilise l’IA

La maîtrise de l’IA (article 4)

L’omnibus a reformulé l’article 4. Selon la Commission européenne, les fournisseurs et les déployeurs doivent désormais prendre des mesures pour soutenir le développement de la maîtrise de l’IA de leur personnel. Le texte n’impose plus de niveau « suffisant » à atteindre pour chaque salarié.

La Commission précise aussi ce qui n’est pas exigé : aucun certificat, aucun format de formation particulier, aucun « responsable IA » obligatoire. Elle recommande en revanche de :

1. donner à l’équipe une compréhension générale de ce qu’est l’IA et de ses limites ;
2. savoir si vous êtes fournisseur ou déployeur ;
3. évaluer les risques des outils utilisés, y compris s’ils sont à haut risque ;
4. adapter les actions au niveau des personnes et à l’usage réel de l’outil ;
5. ne pas se contenter de la notice d’utilisation, généralement insuffisante.

Un registre interne des actions menées suffit à garder une trace. Pour une TPE, cela peut tenir sur une page : qui utilise quel outil, pour quoi faire, quelle séance de prise en main a eu lieu, quelles règles ont été fixées. Notre guide comment utiliser l’IA dans son entreprise donne une base pour ces règles d’usage.

La transparence (article 50)

L’article 50 s’applique depuis le 2 août 2026. Il contient cinq règles principales :

• Interaction avec une IA : le fournisseur doit concevoir le système pour que la personne sache qu’elle échange avec une IA, sauf si c’est évident pour une personne raisonnablement informée.
• Marquage des contenus générés : le fournisseur d’un système qui génère du texte, de l’image, du son ou de la vidéo doit marquer ces contenus dans un format lisible par machine.
• Reconnaissance des émotions et catégorisation biométrique : le déployeur doit informer les personnes exposées.
• Hypertrucages et textes d’intérêt public : le déployeur qui publie un hypertrucage (image, son ou vidéo truqués qui ressemblent à du vrai) doit indiquer qu’il est artificiel. Pour un texte publié afin d’informer le public sur une question d’intérêt général, l’obligation tombe si un humain l’a relu et en assume la responsabilité éditoriale.
• Moment de l’information : elle doit être claire, au plus tard lors de la première interaction ou exposition.

Un chatbot sur votre site internet ou un assistant téléphonique IA entre directement dans la première règle. La solution la plus simple est aussi la plus honnête : le message d’accueil annonce que c’est un assistant automatique.

Les sanctions

L’article 99 fixe des plafonds : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour d’autres manquements (transparence comprise), 7,5 millions ou 1 % pour des informations inexactes données aux autorités. Pour les PME et les start-up, c’est le montant le plus bas des deux qui s’applique. L’omnibus a étendu cette règle aux petites entreprises de taille intermédiaire pour une partie des amendes.

Cas par métier

Un artisan qui installe un chatbot pour répondre aux demandes de devis

Le chatbot répond la nuit aux questions sur les délais et les zones d’intervention. C’est un système qui interagit avec des personnes : l’article 50 s’applique. L’obligation pèse d’abord sur le fournisseur, qui doit concevoir l’outil pour que le visiteur sache qu’il parle à une IA ; en pratique, l’artisan vérifie que cette information s’affiche dès le premier message. Il n’y a pas de haut risque ici. Il reste l’article 4 (expliquer à l’équipe comment l’outil fonctionne et ce qu’il ne doit pas promettre) et le RGPD, puisque des noms et des numéros de téléphone sont collectés. Voir aussi notre page sur l’IA pour les artisans.

Un commerçant qui génère des images pour ses réseaux sociaux

Une fleuriste crée un visuel de bouquet avec un générateur d’images. Le marquage technique de l’image revient au fournisseur de l’outil. Si l’image peut passer pour une vraie photo d’une personne, d’un lieu ou d’un événement existant, c’est un hypertrucage et la fleuriste, en tant que déployeur, doit signaler qu’il est généré. Un visuel manifestement artistique demande seulement une mention discrète. Plus de cas sur notre page IA pour les commerçants.

Une PME qui trie des CV avec l’IA

Le recrutement fait partie des domaines de l’annexe III : un système d’IA qui trie ou évalue des candidats est en principe à haut risque. Les règles correspondantes s’appliquent à partir du 2 décembre 2027. Ce délai sert à se préparer, pas à attendre. À cette date, l’entreprise qui utilise un tel système en tant que déployeur devra notamment, selon l’article 26 : l’utiliser conformément à la notice du fournisseur, confier la surveillance à une personne compétente qui a l’autorité pour corriger, conserver les journaux générés par le système au moins six mois, informer les représentants du personnel et les salariés concernés avant la mise en service, et informer les candidats que le système est utilisé. Dès aujourd’hui, le RGPD s’applique au traitement des CV. Notre conseil : garder une personne qui décide à chaque étape, et n’utiliser l’IA que pour des tâches sans jugement sur la personne (accuser réception, regrouper les pièces, transmettre au bon recruteur).

Une entreprise qui utilise un assistant interne sur ses documents

Un assistant documentaire IA qui répond aux salariés à partir des procédures internes est le plus souvent à risque minimal. Les obligations portent sur l’article 4 et, si les documents contiennent des données personnelles, sur le RGPD. Le choix de l’hébergement compte davantage ici que l’AI Act.

Erreurs fréquentes

• Croire que l’AI Act ne concerne que les éditeurs. Le déployeur a ses propres obligations : maîtrise de l’IA, transparence sur les hypertrucages, information sur la reconnaissance des émotions.
• Se fier à une date dépassée. Le 2 août 2026 n’est plus la date du haut risque de l’annexe III : c’est le 2 décembre 2027 depuis l’omnibus.
• Acheter une « certification AI Act » pour ses salariés. Aucun certificat n’est exigé par l’article 4. Une formation utile et tracée vaut mieux qu’un diplôme.
• Oublier le RGPD. Le règlement IA ne remplace pas le RGPD : lisez notre page IA et RGPD.
• Cacher qu’un assistant est une IA. C’est désormais une obligation de le dire, et c’est aussi une question de confiance avec vos clients.
• Ne pas savoir quels outils sont utilisés. Un salarié qui colle des données clients dans un outil grand public crée un risque que personne n’a évalué. Un audit IA commence par cet inventaire.

Par où commencer

1. Faites la liste des outils d’IA utilisés dans l’entreprise, y compris ceux installés « à titre personnel » sur les postes de travail.
2. Pour chacun, notez l’usage réel et classez-le : risque minimal, transparence, ou domaine sensible (recrutement, décisions sur des clients).
3. Écrivez des règles d’usage simples et organisez une séance de prise en main ; gardez-en la trace.
4. Vérifiez les messages d’accueil de vos chatbots et assistants.
5. Pour tout nouveau projet, posez la question du cadre dès la conception. C’est ce que nous faisons quand nous intégrons l’IA dans vos outils : rôle de chacun, hébergement, information des utilisateurs.

Si vous voulez faire ce point sur un projet précis, décrivez-nous votre usage. Nous vous dirons ce que nous pouvons construire et quelles questions poser à votre conseil juridique.

Sources

Les dates et obligations de cette page proviennent de la CNIL (questions-réponses sur le règlement IA, mises à jour le 17 août 2026), de la Commission européenne (page sur le cadre réglementaire mise à jour le 19 octobre 2026, questions-réponses sur la maîtrise de l’IA mises à jour le 20 octobre 2026), du service d’assistance AI Act de la Commission (articles 50 et 99, version consolidée au 27 juillet 2026) et du texte du règlement (UE) 2024/1689 sur EUR-Lex. La liste complète figure en bas de page.