L’AI Act de l’UE pour les petites entreprises

Le règlement européen sur l’IA (AI Act) concerne davantage de PME que l’expression « réglementation de l’IA » ne le laisse penser. Une petite entreprise n’entraîne peut-être pas de modèle de fondation, mais elle peut déployer l’IA dans le recrutement, le support client, le traitement de documents, les décisions de crédit ou la gestion du personnel. Le règlement distingue les fournisseurs, qui développent ou commercialisent des systèmes, des déployeurs, qui les utilisent dans un cadre professionnel, et les obligations dépendent fortement du cas d’usage.

Ce guide constitue un point de départ pratique, et non un avis juridique. Les orientations officielles de la Commission européenne et le texte final du règlement doivent servir de référence pour toute décision formelle, d’autant plus que le calendrier de mise en œuvre a évolué. En juin 2026, la Commission indique que les pratiques interdites et les obligations de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les règles relatives aux modèles d’IA à usage général depuis le 2 août 2025, et que les règles de transparence sont prévues pour août 2026. À la suite de l’accord politique de mai 2026 sur la simplification, certaines règles applicables aux systèmes autonomes à haut risque sont prévues pour le 2 décembre 2027 et celles applicables aux systèmes à haut risque intégrés à des produits pour le 2 août 2028.

L’idée centrale : réglementer l’usage, pas le mot à la mode

Le règlement repose sur une approche fondée sur le risque. La plupart des usages courants de l’IA présentent un risque minimal ou limité. Un filtre anti-spam et un assistant de rédaction interne ne reçoivent pas le même traitement qu’un système qui décide si une personne obtient un emploi, un prêt ou un service essentiel.

La première tâche de mise en conformité est donc un inventaire : quels systèmes sont utilisés, dans quel but, avec quelles données, et qui est concerné par leurs résultats ?

Quatre niveaux de risque en pratique

Risque inacceptable

Certaines pratiques sont interdites, notamment la manipulation préjudiciable, la notation sociale, certaines formes de catégorisation biométrique et la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement. Ces interdictions s’appliquent depuis février 2025. Une PME ne doit pas supposer qu’un produit acheté peut automatiquement être utilisé sans risque ; le déployeur doit tout de même comprendre ce que fait le produit.

Haut risque

Les catégories à haut risque comprennent certains usages de l’IA dans l’emploi, l’éducation, les services essentiels, les infrastructures critiques, la biométrie, l’application de la loi, la migration et la justice. Un outil de recrutement qui classe des candidats peut être bien plus réglementé qu’un chatbot répondant à des questions sur des produits.

Les obligations liées au haut risque peuvent inclure la gestion des risques, la gouvernance des données, la journalisation, la documentation technique, le contrôle humain, l’exactitude, la robustesse et la cybersécurité. Les PME devraient obtenir l’avis d’un juriste spécialisé avant de construire ou de déployer des systèmes dans ces domaines.

Risque lié à la transparence

Certains systèmes sont autorisés mais doivent être transparents. La Commission cite les chatbots comme exemple clair : les personnes doivent savoir lorsqu’elles interagissent avec une machine. Les contenus générés et les deepfakes peuvent également entraîner des obligations de marquage ou d’information. La transparence doit être intégrée dès la conception de l’interface plutôt qu’ajoutée après coup.

Risque minimal ou nul

Selon la Commission, la grande majorité des systèmes d’IA utilisés dans l’UE relèvent de cette catégorie. Cela ne supprime pas les obligations découlant du RGPD, du droit de la consommation, du droit du travail, du droit d’auteur ou des accords de confidentialité. « Risque minimal au sens de l’AI Act » ne signifie pas « aucune gouvernance nécessaire ».

Ce que signifie la maîtrise de l’IA pour une petite entreprise

Les obligations de maîtrise de l’IA s’appliquent déjà. En pratique, les collaborateurs doivent comprendre les capacités et les limites des systèmes qu’ils utilisent. Une présentation annuelle générique ne suffit pas pour tous les rôles. Les équipes du support client doivent savoir repérer les réponses hallucinées et les conditions d’escalade. Les équipes RH doivent comprendre les biais et savoir quand des recommandations automatisées ne doivent pas remplacer le jugement humain. Les développeurs ont besoin de pratiques sécurisées de traitement des données et d’évaluation.

Maintenez une formation proportionnée et consignez ce qui a été dispensé, à qui et pour quels outils.

Les chatbots : le cas d’usage courant des PME

Un chatbot destiné aux clients n’est généralement pas à haut risque du seul fait qu’il utilise l’IA. Il doit toutefois le signaler clairement, sauf si l’interaction avec une IA est évidente au vu du contexte. Une mise en œuvre responsable devrait également :

se présenter comme automatisée dès le début de la conversation ;
offrir un moyen fiable de joindre un humain ;
limiter les réponses à des connaissances validées lorsque c’est approprié ;
éviter de collecter des données personnelles inutiles ;
journaliser les sources et le niveau de confiance pour une revue interne ;
définir des règles de conservation et de suppression des conversations.

Ces contrôles améliorent le produit, même lorsque la loi ne prescrit pas l’interface exacte.

Une checklist de conformité proportionnée pour les PME

Établissez un inventaire de l’IA. Incluez les fonctionnalités d’IA intégrées aux produits SaaS.
Consignez la finalité et les personnes concernées. Le risque dépend du contexte.
Identifiez votre rôle. Les obligations des fournisseurs, déployeurs, importateurs et distributeurs diffèrent.
Classez le cas d’usage. Faites remonter les usages liés à l’emploi, au crédit, à l’éducation, à la santé et à la biométrie.
Documentez le contrôle humain. Définissez qui peut outrepasser, arrêter ou réexaminer le système.
Ajoutez des mentions de transparence. Rendez explicites l’interaction avec une IA et les contenus générés.
Formez les équipes. Adaptez la maîtrise de l’IA aux responsabilités réelles.
Évaluez les fournisseurs. Demandez la documentation, les conditions de sécurité, la localisation des données et les notifications de changement.
Surveillez les incidents et la qualité. La gouvernance se poursuit après le lancement.

Ne traitez pas l’AI Act et le RGPD comme un seul et même projet

Les deux cadres se recoupent mais répondent à des questions différentes. L’AI Act porte sur le risque des systèmes et les obligations de mise sur le marché. Le RGPD porte sur les données personnelles et les droits des personnes. Un chatbot peut être transparent au sens de l’AI Act tout en collectant des données personnelles excessives au regard du RGPD. Une base légale de traitement des données valable ne rend pas automatiquement conforme un système d’IA à haut risque.

Traitez la protection de la vie privée, la sécurité et la gouvernance de l’IA comme des chantiers liés, chacun avec un responsable clairement désigné.

Concevoir pour la preuve, pas seulement pour la fonctionnalité

Un logiciel d’IA responsable doit permettre d’expliquer quelle version de modèle et de prompt a produit un résultat, quelles données sources ont été utilisées, qui a revu le résultat et ce qui a changé au fil du temps. Les journaux, les jeux d’évaluation, les workflows de validation et les solutions de repli sont des fonctionnalités produit. Les ajouter après le déploiement est plus lent et plus coûteux.

FKT Software peut aider les PME à concevoir des workflows d’IA intégrant dès le départ la transparence, la revue humaine, l’auditabilité et un traitement sécurisé des données. Découvrez nos services d’IA et d’automatisation, nos informations sur la confidentialité et la présentation officielle de l’AI Act par la Commission européenne.

L’AI Act de l’UE expliqué aux petites entreprises (guide 2026)