AI Act PME : les obligations d’une entreprise utilisatrice

Votre PME est un déployeur, et cela change tout

Le règlement européen sur l’intelligence artificielle, qu’on appelle AI Act ou RIA, distingue deux rôles principaux. Le fournisseur développe un système et le met sur le marché sous son nom. Le déployeur s’en sert. La quasi-totalité des PME de 10 à 50 personnes sont dans le second cas : elles utilisent ChatGPT, Copilot, un CRM qui rédige des relances, un logiciel comptable qui lit les factures.

Le texte définit le déployeur ainsi, à son article 3 : « une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel ».

Cette distinction est la bonne nouvelle de l’article. L’essentiel des 144 pages du règlement pèse sur les fournisseurs : documentation technique, marquage CE, évaluation de conformité, surveillance après commercialisation. Le déployeur, lui, a des obligations courtes et ciblées. Si vous cherchez une vue d’ensemble sur la façon d’installer l’IA dans une entreprise de votre taille, elle est sur notre page intégrer l’IA dans une PME. Ici, on ne parle que de droit.

Un point de vigilance tout de même. Le fournisseur, selon le même article 3, est celui qui « développe ou fait développer un système d’IA » et le met en service « sous son propre nom ou sa propre marque ». Si vous faites construire un assistant sur mesure et que vous le présentez à vos clients sous votre marque, la question de votre rôle se pose. Elle se tranche par écrit avec le prestataire, avant la mise en service, pas après.

Les quatre niveaux de risque, vus depuis une PME

La CNIL résume l’architecture du texte en quatre niveaux : risque inacceptable, haut risque, risque spécifique en matière de transparence, risque minimal. Voici ce que chacun veut dire pour une entreprise de services, de commerce ou du bâtiment.

La dernière ligne concerne la plupart des usages qu’on installe en PME. Un agent qui prépare un devis à partir d’une demande entrante, un système qui route les factures fournisseurs vers le bon dossier comptable, une relance automatique : rien de tout cela n’entre dans les listes du haut risque. Ces usages restent soumis au RGPD dès qu’ils traitent des données personnelles, et à l’article 4 comme tout usage de l’IA.

Le niveau inacceptable mérite une ligne de plus, parce qu’il touche le travail. L’article 5 interdit « l’utilisation de systèmes d’IA pour inférer les émotions d’une personne physique sur le lieu de travail », sauf raisons médicales ou de sécurité. Un module d’analyse « du ton » des commerciaux au téléphone, vendu comme outil de coaching, peut tomber dedans. Lisez la fiche produit avant d’activer l’option.

Ce qui s’applique déjà

Trois blocs sont en vigueur. Ce ne sont pas des projets.

Les pratiques interdites

Depuis le 2 février 2025 : manipulation subliminale, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail, et quelques autres pratiques qui concernent surtout les autorités publiques. Le règlement modificatif de juillet 2026 en ajoute deux, applicables le 2 décembre 2026 : les systèmes qui génèrent des contenus intimes non consentis ou des contenus pédocriminels.

La maîtrise de l’IA, article 4

C’est l’obligation que tout le monde a lue de travers. Dans sa version de 2024, l’article 4 demandait de « garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA » du personnel. Le règlement modificatif l’a réécrit. La version en vigueur depuis le 27 juillet 2026 dispose que les fournisseurs et les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel », et précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu. »

Lecture honnête : l’obligation de formation à l’IA des salariés n’a pas disparu, elle est devenue une obligation de moyens. Il faut pouvoir montrer qu’on a fait quelque chose, adapté à ce que fait chaque poste.

La transparence, article 50

Applicable depuis le 2 août 2026, inchangée par le report. Pour un déployeur, elle tient en trois cas :

• un système de reconnaissance des émotions ou de catégorisation biométrique : informer les personnes exposées ;
• une image, un son ou une vidéo qui constitue un hypertrucage : indiquer que le contenu a été généré ou manipulé par une IA ;
• un texte publié « dans le but d’informer le public sur des questions d’intérêt public » : le signaler, sauf s’il a fait l’objet d’une relecture humaine et qu’une personne en assume la responsabilité éditoriale.

L’obligation d’informer une personne qu’elle parle à une IA, elle, pèse d’abord sur le fournisseur du système. En pratique, si vous mettez un agent IA au service client sur votre site, affichez-le clairement dès le premier message. C’est la règle du texte pour le fournisseur, et la bonne pratique pour vous.

Le report de juillet 2026 : les dates à retenir

Beaucoup d’articles encore en ligne annoncent « tout le règlement applicable en août 2026 ». C’est faux depuis l’été. Le train de mesures dit « omnibus numérique sur l’IA », adopté par le Parlement européen et le Conseil, est devenu le règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Il décale les obligations du haut risque à une date fixe.

Calendrier établi à partir du texte modificatif adopté (article 113 modifié) et des questions-réponses de la CNIL mises à jour le 17 août 2026.

Le seul vrai sujet haut risque d’une PME : le recrutement et la gestion du personnel

L’annexe III liste les usages à haut risque. Dans une entreprise de 10 à 50 personnes, un seul point revient vraiment, le point 4, « Emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant ». Il vise les systèmes destinés au recrutement, « en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats », et ceux qui servent à décider d’une promotion, d’un licenciement, ou à « suivre et évaluer les performances et le comportement » des personnes.

Si votre logiciel de recrutement classe automatiquement les candidatures, vous êtes concerné à partir du 2 décembre 2027. L’article 26 fixe alors les obligations du déployeur :

1. utiliser le système conformément à sa notice d’utilisation ;
2. confier le contrôle humain à une personne qui a « les compétences, la formation et l’autorité nécessaires » ;
3. surveiller le fonctionnement et prévenir le fournisseur en cas de risque ou d’incident ;
4. conserver les journaux du système au moins six mois quand ils sont sous votre contrôle ;
5. avant la mise en service sur le lieu de travail, informer les représentants du personnel et les salariés concernés.

Le cinquième point est celui qu’on oublie. Il ne remplace pas les règles françaises sur l’information du CSE, il s’y ajoute. Un outil de suivi de performance installé sans prévenir personne était déjà une mauvaise idée. En décembre 2027, ce sera aussi une infraction au règlement.

Ce qu’une PME de 10 à 50 personnes doit faire, concrètement

Sept gestes, dans cet ordre. Une demi-journée de travail pour le dirigeant et la personne qui gère l’informatique, puis une révision par an.

1. Faire l’inventaire. Listez tous les outils qui utilisent de l’IA, y compris ceux que les salariés ont adoptés seuls : le compte ChatGPT personnel de la comptable, le plugin de rédaction du commercial, l’option « résumé automatique » de la visioconférence.
2. Classer chaque outil. Avec le tableau des niveaux plus haut. Dans la grande majorité des PME, tout tombe en risque minimal, sauf peut-être un outil RH.
3. Écrire une charte d’usage. La CNIL recommande « d’encadrer l’utilisation d’un système d’IA générative par des politiques ou chartes internes ». Une page suffit : ce qu’on peut y mettre, ce qu’on n’y met jamais (données de santé, salaires, dossiers clients nominatifs dans un service grand public), qui valide une sortie avant qu’elle parte chez un client.
4. Former l’équipe sur ses vrais outils. C’est l’article 4. Gardez une trace : programme, date, participants.
5. Signaler ce qui doit l’être. Assistant de discussion, contenus générés publiés, vidéos de synthèse.
6. Relire les contrats des fournisseurs. Où vont les données, sont-elles réutilisées pour entraîner un modèle, qui est sous-traitant au sens du RGPD. La CNIL parle d’une attention particulière aux « questions de transferts de données en dehors de l’UE ».
7. Mettre les outils RH à part. S’il y en a un qui trie, note ou évalue des personnes, préparez dès maintenant l’information du CSE et le nom de la personne qui contrôle ses résultats.

Pour l’inventaire, une grille suffit. Une ligne par outil :

Ce que vous risquez vraiment

L’article 99 fixe les plafonds d’amende. Pour la transparence et les obligations du déployeur d’un système à haut risque, jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Pour les pratiques interdites, jusqu’à 35 millions ou 7 %. Ces montants font peur et ne disent rien de votre cas : pour une PME, le texte retient le plus faible des deux, montant fixe ou pourcentage, et demande aux États de tenir compte « des intérêts des PME » et « de leur viabilité économique ».

L’article 4 ne figure pas dans la liste des manquements chiffrés de l’article 99. Ce n’est pas une raison pour l’ignorer. Le jour où un salarié envoie au client un chiffre inventé par un outil, la première question sera : qu’aviez-vous mis en place ?

Côté contrôle, le schéma français présenté par la Direction générale des Entreprises en septembre 2025 confie la coordination à la DGCCRF et une large part des contrôles à la CNIL, notamment sur les systèmes à haut risque liés à l’emploi. Ce schéma devait passer par une loi. Vérifiez où il en est au moment où vous lisez.

Notre position : le règlement n’est pas votre premier risque

Pour une PME qui utilise l’IA sans la développer, l’AI Act tient en quelques gestes de bon sens. Le vrai risque juridique est ailleurs : dans les données personnelles qu’on envoie à un outil sans savoir où elles partent. La CNIL le rappelle sans détour : « il ne remplace pas les exigences du RGPD ».

Méfiez-vous donc des offres de « mise en conformité AI Act » vendues au forfait à des PME qui n’ont aucun système à haut risque. Si le diagnostic tient en sept gestes et une grille, il ne justifie pas un projet. Selon l’Insee, 36 % des entreprises de 10 à 49 salariés qui n’utilisent pas l’IA citent le manque de clarté juridique parmi leurs freins. Le texte est long, mais pour vous, il est court.

Sur les systèmes que nous installons, la règle de construction va déjà dans le sens du texte : le système prépare, alerte et classe, la décision qui engage reste humaine. Les comptes sont ouverts à votre nom, ce qui répond aussi à la question « qui est le fournisseur, qui est le déployeur ». Le détail est sur la page méthode. Posez ces deux questions à tout prestataire avant de le choisir : qui décide, et à qui sont les comptes.

Questions fréquentes

Une PME qui utilise seulement ChatGPT est-elle concernée par l’AI Act ?

Oui, comme déployeur. Elle doit respecter les pratiques interdites, prendre des mesures pour que ses salariés sachent se servir de l’outil (article 4) et signaler les contenus qui doivent l’être (article 50). Elle n’a pas les obligations lourdes du haut risque tant qu’elle n’utilise pas l’outil pour trier des candidats ou évaluer des salariés.

Les obligations de l’AI Act s’appliquent-elles en août 2026 ?

En partie. La transparence de l’article 50 s’applique depuis le 2 août 2026. Les obligations des systèmes à haut risque de l’annexe III ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Celles de l’annexe I passent au 2 août 2028.

Faut-il former tous les salariés à l’IA ?

Il faut prendre des mesures pour développer leur maîtrise de l’IA, adaptées à leur poste et à l’usage qu’ils en font. Depuis le 27 juillet 2026, le texte précise que l’entreprise n’a pas à garantir un niveau précis pour chaque personne. Une formation sur les outils réellement utilisés, datée et documentée, répond à l’obligation.

Un logiciel de recrutement avec IA est-il à haut risque ?

S’il sert à filtrer les candidatures, classer ou évaluer des candidats, oui : c’est le point 4 de l’annexe III. Les obligations du déployeur s’appliqueront à partir du 2 décembre 2027 : contrôle humain par une personne compétente, conservation des journaux, information des représentants du personnel et des salariés avant la mise en service.

Quelle amende risque une PME ?

Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour la transparence ou les obligations du déployeur, 35 millions ou 7 % pour une pratique interdite. Pour une PME, c’est le plus faible des deux montants qui s’applique, et les sanctions doivent tenir compte de sa viabilité économique.

Sources

• Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle, Journal officiel de l’Union européenne, 12 juillet 2024.
• Règlement du Parlement européen et du Conseil modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 (train de mesures omnibus numérique sur l’IA), PE-CONS 30/26, Parlement européen et Conseil de l’Union européenne, 18 juin 2026.
• Document summary, Regulation (EU) 2026/1744, Observatoire législatif du Parlement européen, 2026.
• Entrée en vigueur du règlement européen sur l’IA : les premières questions-réponses de la CNIL, CNIL, mise à jour du 17 août 2026.
• Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, CNIL, 18 juillet 2024.
• Les autorités compétentes pour la mise en œuvre du règlement européen sur l’intelligence artificielle, Direction générale des Entreprises, 9 septembre 2025.
• Les technologies de l’information et de la communication dans les entreprises en 2025, Insee Première n° 2120, 21 juillet 2026.