L'essentiel à retenir
- L'AI Act concerne aussi les PME. Dès lors qu'une entreprise utilise des systèmes d'intelligence artificielle, elle peut être soumise à certaines obligations, même si elle n'a pas développé ces outils elle-même.
- Toutes les utilisations de l'IA ne sont pas soumises aux mêmes règles. Rédiger un email avec ChatGPT, utiliser un agent IA dans son CRM ou automatiser le tri de candidatures ne présente pas les mêmes risques et n'implique pas les mêmes obligations.
- Certaines règles s'appliquent déjà, d'autres ont été reportées. Les interdictions de certains usages, la maîtrise de l'IA par les équipes et les obligations de transparence sont notamment entrées en application. Les principales obligations concernant les systèmes à haut risque ont été repoussées à 2027 ou 2028, selon les cas.
L’IA s’installe progressivement dans les entreprises. Beaucoup utilisent ChatGPT pour rédiger des emails, des logiciels métiers intègrent de nouvelles fonctionnalités d’IA et certaines organisations commencent à déployer leurs premiers agents IA.
Avec ces nouveaux usages, une question se pose : quelles sont réellement les obligations des entreprises lorsqu’elles utilisent l’IA ?
C’est justement pour encadrer le développement et l’utilisation de l’intelligence artificielle que l’Union européenne a adopté l’AI Act, le règlement (UE) 2024/1689. Ce règlement fixe des règles différentes selon les usages de l’IA et les risques qu’ils présentent. Il ne concerne pas uniquement les grandes entreprises ou les éditeurs de solutions : les PME qui utilisent ces technologies dans leur activité sont également concernées.
Le calendrier a été modifié par le règlement (UE) 2026/1744, publié le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Voici ce que l’AI Act demande concrètement aux entreprises, ce qui s’applique déjà et par où commencer.
Comment fonctionne l’AI Act ?
L’AI Act est entré en vigueur le 1er août 2024. Pour comprendre son fonctionnement, trois principes sont à retenir.
Il encadre les usages de l’IA, pas simplement la technologie. Une IA utilisée pour rédiger des emails ne présente pas les mêmes risques qu’une IA utilisée pour sélectionner des candidats à un emploi. Les règles dépendent donc de ce que l’on fait concrètement avec l’IA.
Il distingue ceux qui fournissent l’IA de ceux qui l’utilisent. Une entreprise qui développe et commercialise un système d’IA n’a pas les mêmes responsabilités qu’une entreprise qui l’utilise dans son activité. Le règlement parle de fournisseurs et de déployeurs.
Enfin, il entre en application progressivement. Certaines obligations s’appliquent depuis février 2025, d’autres depuis août 2026. Les principales échéances concernant les systèmes à haut risque s’étendent désormais jusqu’en 2028.
Les quatre niveaux de risque de l’AI Act
L’AI Act repose sur une logique simple : plus un système d’IA présente de risques pour les personnes, plus les règles qui l’encadrent sont strictes.
| Niveau de risque | Exemples | Ce que le règlement impose |
|---|---|---|
| Inacceptable | Notation sociale, certaines pratiques de manipulation, reconnaissance des émotions au travail | Interdiction, depuis le 2 février 2025 pour les pratiques concernées |
| Haut risque | IA utilisée pour trier des candidatures, évaluer des salariés ou apprécier la solvabilité de particuliers | Obligations renforcées : gestion des risques, documentation, contrôle humain et traçabilité |
| Transparence | Agents conversationnels, certains contenus générés par IA, deepfakes | Obligations d’information ou de signalement selon les usages |
| Minimal ou nul | Filtres anti-spam, certaines fonctionnalités d’assistance ou de recommandation | Aucune obligation spécifique au titre de l’AI Act |
Et pour les usages courants de l’IA en entreprise ?
Prenons quelques exemples : un agent IA qui prépare un compte rendu de rendez-vous, retrouve des informations dans un CRM ou aide à rédiger un email commercial.
Ces usages ne relèvent généralement pas des catégories à haut risque prévues par l’AI Act. Ils peuvent néanmoins être concernés par certaines obligations, notamment de transparence, selon leur fonctionnement et leur utilisation.
À l’inverse, un système utilisé pour sélectionner des candidats ou évaluer des salariés peut entrer dans la catégorie des systèmes à haut risque. Ce n’est donc pas uniquement l’outil utilisé qui compte, mais surtout l’usage qui en est fait.
Fournisseur ou déployeur : quel est votre rôle ?
L’AI Act ne s’adresse pas uniquement aux entreprises qui développent des solutions d’intelligence artificielle. Les entreprises qui utilisent ces technologies dans leur activité sont également concernées.
Le fournisseur est l’entreprise qui développe un système d’IA, ou le fait développer, et le commercialise ou le met en service sous son propre nom ou sa propre marque. Le déployeur est l’entreprise qui utilise un système d’IA dans le cadre de son activité professionnelle, sous sa propre autorité.
Une PME qui utilise un agent IA intégré à son CRM pour préparer ses rendez-vous commerciaux est généralement considérée comme un déployeur. L’entreprise qui fournit cet agent IA peut, quant à elle, être considérée comme un fournisseur.
Une entreprise peut toutefois cumuler plusieurs rôles. Un éditeur de logiciel qui intègre une solution d’IA tierce et la commercialise sous sa propre marque peut notamment être considéré comme fournisseur. De même, certaines modifications importantes apportées à un système d’IA peuvent entraîner de nouvelles responsabilités.
Il est donc essentiel d’identifier son rôle et celui de ses prestataires, notamment lorsqu’on intègre de l’IA à ses logiciels métiers.
Calendrier de l’AI Act : ce qui s’applique déjà, ce qui a été reporté
Le calendrier ci-dessous reprend les échéances publiées par la Commission européenne après l’entrée en vigueur de l’Omnibus IA.
| Date | Ce qui s’applique |
|---|---|
| 2 février 2025 | Pratiques interdites concernées et mesures de maîtrise de l’IA par les équipes |
| 2 août 2025 | Obligations des modèles d’IA à usage général et règles de gouvernance |
| 2 août 2026 | Application générale du règlement et obligations de transparence pour certains systèmes |
| 2 décembre 2026 | Nouvelles interdictions concernant certains contenus intimes non consentis et certains contenus pédocriminels |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III, notamment dans l’emploi, le crédit, l’éducation et la biométrie |
| 2 août 2028 | Systèmes à haut risque intégrés à des produits réglementés, relevant de l’annexe I |
Le report des obligations concernant les systèmes à haut risque ne signifie pas que les entreprises peuvent attendre 2027 pour s’intéresser à l’AI Act. Les pratiques interdites, la maîtrise de l’IA par les équipes et les obligations de transparence concernées sont déjà dans le calendrier d’application.
Pour une PME, la priorité est d’identifier les usages de l’IA déjà présents dans son organisation et de vérifier quelles obligations les concernent.
AI Act : ce qu’une PME doit faire dès maintenant
Pas besoin de développer ses propres solutions d’intelligence artificielle pour être concerné par l’AI Act. Dès lors qu’une entreprise utilise des systèmes d’IA dans son activité, certaines règles peuvent s’appliquer. Les obligations dépendent cependant des usages et des risques associés.
1. Vérifier que les usages de l’IA ne sont pas interdits
Depuis février 2025, certaines pratiques d’intelligence artificielle sont interdites dans l’Union européenne. C’est notamment le cas de certains systèmes qui cherchent à déduire les émotions des salariés à partir de leur voix ou de leurs expressions faciales sur leur lieu de travail, sauf exceptions prévues par le règlement.
Ces interdictions ne concernent pas la majorité des usages courants de l’IA en entreprise, mais elles rappellent l’importance de vérifier la finalité des outils utilisés.
2. Respecter les obligations de transparence
L’AI Act prévoit des obligations de transparence pour certains usages de l’intelligence artificielle. Lorsqu’une personne échange directement avec un système d’IA, comme un chatbot de service client, elle doit en principe pouvoir savoir qu’elle interagit avec une machine, sauf lorsque cela est évident.
Des règles spécifiques concernent également certains contenus générés ou manipulés par IA, notamment les deepfakes et les textes publiés pour informer le public sur des sujets d’intérêt public. Cela ne signifie pas qu’une entreprise doit systématiquement signaler chaque email ou document rédigé avec l’aide de l’IA : les obligations varient selon la nature du contenu, son utilisation et le rôle de l’entreprise.
3. Accompagner les équipes dans l’utilisation de l’IA
L’AI Act prévoit des mesures destinées à développer la maîtrise de l’intelligence artificielle par les personnes qui utilisent ces systèmes. L’objectif n’est pas de transformer chaque collaborateur en expert de l’IA, mais de lui permettre de comprendre les outils qu’il utilise, leurs limites et les précautions à prendre.
Une PME peut commencer par sensibiliser ses équipes aux risques d’erreur, à la confidentialité des données et à la nécessité de vérifier certains résultats avant de les utiliser. Ces actions doivent être adaptées aux usages réels de l’entreprise.
4. Faire le point sur les outils d’IA déjà utilisés
ChatGPT, Copilot, fonctionnalités d’IA intégrées au CRM ou à l’ERP, outils de transcription de réunions… Les usages peuvent être nombreux, parfois sans avoir été identifiés au niveau de l’organisation.
Réaliser un inventaire des usages n’est pas une obligation générale explicitement imposée par l’AI Act, mais c’est une bonne pratique pour identifier les risques et les responsabilités. Pour chaque outil, quelques questions permettent de commencer : à quoi sert-il ? Qui l’utilise ? À quelles données accède-t-il ? Qui le fournit ? Des décisions sont-elles prises automatiquement à partir de ses résultats ?
5. Identifier les éventuels systèmes d’IA à haut risque
Certaines utilisations de l’IA sont soumises à des obligations beaucoup plus strictes, notamment dans les domaines du recrutement, de l’évaluation des salariés ou de certaines décisions financières.
Si une PME utilise ce type de système, elle doit vérifier sa classification et anticiper les obligations applicables : contrôle humain, surveillance du fonctionnement, traçabilité et information des personnes concernées. Le report de l’échéance ne dispense pas de vérifier dès maintenant les usages concernés.
Si vous utilisez un système à haut risque
Tri de candidatures, évaluation des salariés, notation de solvabilité de particuliers : si l’un de vos outils relève de l’annexe III, les obligations du déployeur s’appliquent à partir du 2 décembre 2027, selon le calendrier révisé. L’article 26 fixe notamment les obligations suivantes :
- utiliser le système conformément à sa notice ;
- confier le contrôle humain à des personnes formées et dotées de l’autorité nécessaire ;
- veiller à la pertinence des données d’entrée que vous maîtrisez ;
- surveiller le fonctionnement et signaler les incidents graves ;
- conserver les journaux au moins six mois ;
- informer les représentants du personnel et les salariés concernés avant tout usage sur le lieu de travail ;
- informer les personnes visées par une décision prise avec l’aide du système.
Pour la notation de crédit et la tarification en assurance vie ou santé, l’article 27 ajoute une analyse d’impact sur les droits fondamentaux. Le délai gagné est celui d’un projet, pas d’une pause : identifier ces systèmes et interroger leurs fournisseurs peut commencer aujourd’hui.
AI Act et PME : des règles adaptées, mais des sanctions possibles
Le règlement prévoit des aménagements pour les PME : documentation technique simplifiée, système de gestion de la qualité proportionné et accès prioritaire aux bacs à sable réglementaires. L’Omnibus IA étend certains de ces aménagements aux petites entreprises à moyenne capitalisation.
Les plafonds d’amende restent élevés : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour une pratique interdite, et jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres manquements, transparence comprise. Pour une PME, c’est le plus faible des deux montants qui sert de plafond.
En France, la répartition précise des compétences entre autorités est encore en cours de mise en place. Les travaux parlementaires prévoient notamment l’intervention de la CNIL, de la DGCCRF, de l’Arcom, de l’ACPR et d’autres autorités selon les usages concernés. Le projet de loi examiné au Sénat permet de suivre cette mise en place.
L’AI Act ne remplace pas le RGPD
Dès qu’un système d’IA traite des données personnelles, le RGPD continue de s’appliquer en parallèle : base légale, information des personnes, sécurité et analyse d’impact si nécessaire. L’Omnibus IA n’y a rien changé. Les deux textes se cumulent, l’un ne dispense pas de l’autre.
IA dans les logiciels métiers : cinq questions à poser à votre fournisseur
Une entreprise qui ajoute des capacités d’IA à son ERP, à son CRM ou à un autre logiciel métier reste responsable de l’usage qu’elle en fait. Avant de s’engager, cinq questions cadrent l’essentiel :
- À quelles données le système accède-t-il, et selon quels droits ?
- Les opérations sont-elles tracées, et pouvez-vous consulter cet historique ?
- Quelles actions exigent une validation humaine ?
- Les utilisateurs savent-ils qu’ils interagissent avec une IA ?
- Quelle documentation recevrez-vous pour qualifier votre usage ?
Chez Crysalia, ces sujets relèvent de la conception de la plateforme : les agents assistent avant d’agir, les actions sont encadrées par les droits et les règles du logiciel, et le niveau de contrôle humain se définit avec vous. Cela ne dispense aucune entreprise d’analyser ses propres usages, car la conformité tient à ce que l’on fait d’un système autant qu’au système lui-même.
Par où commencer cette semaine ?
Dressez la liste de vos usages d’IA, classez-les par niveau de risque, traitez la transparence et la sensibilisation des équipes, puis repérez les éventuels systèmes à haut risque pour préparer l’échéance de décembre 2027.
Et si vous voulez voir comment des agents IA s’intègrent à vos logiciels dans un cadre maîtrisé, demandez une démonstration.
Questions utiles sur ce sujet
Une PME est-elle concernée par l'AI Act ?
Oui. Une entreprise qui utilise un système d'intelligence artificielle dans le cadre de son activité peut être concernée par certaines obligations, même si elle n'a pas développé elle-même le système. Les règles dépendent surtout de l'usage et du niveau de risque.
Quelles sont les prochaines échéances importantes de l'AI Act ?
Les obligations de transparence s'appliquent depuis le 2 août 2026. Les systèmes à haut risque de l'annexe III sont concernés à partir du 2 décembre 2027 et les systèmes à haut risque intégrés à des produits réglementés à partir du 2 août 2028, selon le calendrier révisé par l'Omnibus IA.
L'AI Act remplace-t-il le RGPD ?
Non. Lorsque l'IA traite des données personnelles, le RGPD continue de s'appliquer en parallèle. Les deux textes répondent à des questions différentes et doivent être pris en compte ensemble.
