Règlement européen sur l'IA : ce qui change concrètement pour une PME
Le règlement européen sur l'intelligence artificielle (AI Act) s'applique progressivement. Ce qu'il impose réellement à une PME qui utilise l'IA : maîtrise de l'IA, transparence, usages interdits et à haut risque.
Le règlement européen sur l'intelligence artificielle, souvent appelé AI Act (règlement (UE) 2024/1689), est entré en vigueur le 1er août 2024. Ses obligations s'appliquent par étapes, entre 2025 et 2027. Beaucoup de dirigeants de PME se demandent s'ils sont concernés. La réponse courte : oui, mais pour la plupart des usages courants, les obligations sont légères et de bon sens.
Cet article est une information générale ; il ne remplace pas le conseil d'un professionnel du droit pour votre situation.
Fournisseur ou déployeur : quel est votre rôle ?
Le règlement distingue principalement deux rôles :
- le fournisseur, qui développe un système d'IA et le met sur le marché ;
- le déployeur, qui utilise un système d'IA dans le cadre de son activité professionnelle.
Une PME qui utilise des agents IA pour sa comptabilité, sa relation client ou son marketing est déployeur. Les obligations les plus lourdes pèsent sur les fournisseurs.
Une approche par niveaux de risque
| Niveau | Exemples | Conséquence |
|---|---|---|
| Inacceptable | Notation sociale, manipulation exploitant des vulnérabilités, reconnaissance des émotions au travail (sauf exceptions) | Interdit depuis le 2 février 2025 |
| Haut risque | Recrutement, évaluation des salariés, accès au crédit ou à des services essentiels | Obligations renforcées : contrôle humain, journalisation, information |
| Risque de transparence | Chatbot qui dialogue avec le public, contenus générés diffusés | Informer que l'on interagit avec une IA ou que le contenu est généré |
| Risque minimal | Tri de factures, rédaction de brouillons, relances, veille | Pas d'obligation spécifique, au-delà des règles générales |
La grande majorité des usages d'une PME se situe dans les deux dernières lignes.
Ce que vous devez faire dès maintenant
1. Assurer la maîtrise de l'IA dans l'équipe
Depuis le 2 février 2025, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes. Pour une PME, cela peut se traduire par des règles internes claires et une courte formation : ce que fait chaque outil, ses limites, ce qu'on n'y met pas, comment vérifier un résultat.
2. Cartographier vos usages
Listez les outils d'IA utilisés dans l'entreprise, par qui et pour quoi. Cette liste, proche du registre RGPD, permet de repérer un éventuel usage à haut risque (un outil de tri de candidatures, par exemple).
3. Être transparent quand c'est nécessaire
Si un chatbot répond à vos clients sur votre site, indiquez clairement qu'il s'agit d'une IA. Pour vos usages internes, la transparence passe surtout par l'information de vos équipes.
4. Garder un contrôle humain sur les décisions importantes
C'est l'esprit du règlement, comme du RGPD : les décisions qui ont un effet significatif sur une personne doivent rester sous contrôle humain. Des validations explicites et tracées en sont la meilleure preuve.
Le calendrier, en bref
- 1er août 2024 : entrée en vigueur.
- 2 février 2025 : interdictions et obligation de maîtrise de l'IA.
- 2 août 2025 : règles applicables aux modèles d'IA à usage général, gouvernance et sanctions.
- 2026 et 2027 : application des autres dispositions, dont celles sur les systèmes à haut risque. Ce calendrier fait l'objet d'ajustements discutés au niveau européen : vérifiez les dates à jour sur les sites officiels avant de planifier un projet sensible.
En résumé
Pour une PME qui utilise l'IA dans ses tâches courantes, l'AI Act n'est pas un frein : il formalise de bonnes pratiques que toute entreprise prudente applique déjà. Formez l'équipe, listez vos usages, soyez transparents avec vos clients, et gardez la main sur les décisions qui comptent.
