Pour une PME qui utilise l'IA (rédaction, support, automatisation), l'AI Act impose surtout de favoriser la maîtrise de l'IA par le personnel et de respecter des règles de transparence. Les obligations lourdes visent les systèmes à haut risque (recrutement, crédit, éducation…), dont l'application est reportée au 2 décembre 2027. Certaines pratiques sont interdites depuis février 2025.
Le principe : des règles selon le niveau de risque.
Le règlement (UE) 2024/1689, dit « AI Act », est entré en vigueur le 1er août 2024. Il classe les usages de l'IA par niveau de risque et distingue les fournisseurs (ceux qui développent et mettent sur le marché un système ou un modèle, comme Anthropic ou OpenAI) des déployeurs (les organisations qui utilisent un système d'IA dans leur activité, comme la plupart des PME).
| Niveau | Exemples | Conséquence |
|---|---|---|
| Inacceptable | Notation sociale, manipulation, certaines utilisations biométriques | Interdit depuis le 2 février 2025 |
| Haut risque | IA utilisée pour le recrutement, l'éducation, l'accès au crédit, certaines infrastructures critiques (annexe III) ; IA intégrée à des produits réglementés (annexe I) | Obligations fortes (gestion des risques, documentation, supervision humaine…) |
| Risque de transparence | Chatbots, contenus générés ou manipulés par IA | Informer les personnes, marquer certains contenus |
| Risque minimal | Aide à la rédaction, tri de mails, synthèse de documents, planification | Pas d'obligation spécifique au-delà des règles générales |
Le calendrier, après l'omnibus de 2026.
Un « omnibus sur l'IA », proposé par la Commission en novembre 2025 et entré en vigueur en juillet 2026, a modifié une partie du calendrier. Selon la page officielle de la Commission (mise à jour le 3 août 2026) :
- 2 février 2025 : pratiques interdites et obligation de maîtrise de l'IA (article 4).
- 2 août 2025 : règles pour les modèles d'IA à usage général (concerne les fournisseurs de modèles).
- 2 août 2026 : application générale du règlement, règles de transparence, début de la supervision par les autorités.
- 2 décembre 2027 : règles pour les systèmes à haut risque de l'annexe III (reportées par l'omnibus).
- 2 août 2028 : règles pour les systèmes à haut risque intégrés à des produits réglementés (annexe I).
Concrètement, pour une PME qui utilise l'IA.
1. La maîtrise de l'IA par le personnel (article 4)
Les déployeurs doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent l'IA pour leur compte. Depuis l'omnibus, la Commission précise qu'il n'est plus exigé de garantir un niveau « suffisant » pour chaque personne, et qu'aucun certificat n'est nécessaire : un registre interne des formations et actions menées est une bonne pratique. Former les équipes reste donc une obligation, et c'est surtout une condition de réussite (voir comment former ses salariés).
2. La transparence
Si vous mettez un chatbot à disposition de vos clients, ils doivent savoir qu'ils échangent avec une IA. Certains contenus générés (notamment les « deepfakes ») doivent être signalés.
3. Vérifier que vous n'êtes pas en « haut risque »
C'est le point à surveiller. Un outil qui trie des candidatures ou évalue des salariés, qui intervient dans l'accès à l'éducation ou au crédit, peut relever du haut risque. Dans ce cas, les obligations du déployeur (supervision humaine, information, conservation des journaux…) s'appliqueront à partir du 2 décembre 2027 : mieux vaut concevoir l'outil en conséquence dès aujourd'hui.
4. Le RGPD continue de s'appliquer
L'AI Act s'ajoute au RGPD. Pour les données personnelles, les recommandations de la CNIL restent la référence (voir IA et RGPD).
5 actions à mener cette année.
- Faire l'inventaire des outils d'IA utilisés dans l'entreprise (y compris ceux adoptés spontanément par les équipes).
- Classer chaque usage par niveau de risque ; repérer tout usage RH, éducation ou crédit.
- Former les utilisateurs et garder une trace des formations.
- Adopter une charte d'utilisation de l'IA.
- Informer les clients lorsqu'ils interagissent avec une IA.
Ce que je fais concrètement pour vous.
Je conçois des agents IA qui gardent l'humain dans la boucle pour les décisions importantes, avec un journal des actions, ce qui correspond à l'esprit du règlement. Mes formations Claude en entreprise (dès 350 € la demi-journée) contribuent à vos actions de maîtrise de l'IA, avec un support que vous pouvez conserver pour garder la trace de la formation.
Je ne suis pas juriste : pour un usage susceptible d'être à haut risque, je travaille avec votre conseil. Pour un projet d'agent : Agent IA pour PME à Lyon.
Sources
- Commission européenne : Cadre réglementaire sur l'IA (calendrier, mise à jour du 3 août 2026)consulté le 13 octobre 2026
- Commission européenne : AI Literacy : questions & answers (article 4)consulté le 13 octobre 2026
- EUR-Lex : Règlement (UE) 2024/1689 sur l'intelligence artificielleconsulté le 13 octobre 2026
- CNIL : IA : comment se mettre en conformité ?consulté le 13 octobre 2026
Dernière vérification des informations : 13 octobre 2026. Information générale à jour à cette date, pas un avis juridique : pour un usage potentiellement à haut risque, faites valider par un conseil.