AI Act : les nouvelles obligations que les PME doivent anticiper dès aujourd’hui
Une PME utilise peut-être déjà l’intelligence artificielle pour rédiger des réponses aux clients, trier des candidatures ou extraire des informations de factures. Le sujet n’est donc plus seulement de choisir les bons outils. Il faut aussi savoir à quoi ils servent, quelles données ils traitent et quelles responsabilités l’entreprise assume.
L’AI Act, le règlement européen sur l’intelligence artificielle, prévoit des obligations différentes selon le niveau de risque et le rôle de l’entreprise. Pour une PME, la première étape consiste à repérer les usages concernés, puis à organiser une gouvernance de l’IA adaptée à ses activités. Voici les points à examiner pour préparer une mise en conformité concrète, sans transformer chaque projet en chantier juridique.
En bref
- Les pratiques interdites et l’obligation de développer les compétences en IA s’appliquent depuis le 2 février 2025.
- La plupart des dispositions du règlement s’appliquent à compter du 2 août 2026, avec des calendriers distincts pour certains systèmes.
- Le niveau de risque dépend de l’usage du système, pas seulement de la technologie utilisée.
- Une entreprise qui utilise un outil doit vérifier son rôle, ses consignes d’utilisation, la qualité des données et le contrôle humain nécessaire.
- Un inventaire des usages constitue un point de départ pratique pour la conformité réglementaire.
Comprendre les catégories de risques de l’AI Act
L’AI Act classe les systèmes selon les risques qu’ils peuvent présenter pour la santé, la sécurité et les droits fondamentaux. Cette classification porte sur la fonction réelle du système et son contexte d’utilisation. Un assistant qui reformule des courriels internes n’a donc pas automatiquement les mêmes implications qu’un outil qui contribue à décider de l’accès d’une personne à un emploi.
Le règlement interdit certaines pratiques, notamment des usages qui exploitent les vulnérabilités de personnes ou qui évaluent les personnes à partir de leur comportement social dans certaines circonstances. Ces interdictions s’appliquent depuis le 2 février 2025, conformément au règlement (UE) 2024/1689. Une PME doit donc vérifier les usages envisagés, même si elle ne développe pas elle-même les outils.
Les systèmes à haut risque font l’objet d’exigences renforcées. Ils peuvent concerner, selon leur finalité, des domaines comme le recrutement ou l’évaluation des travailleurs. L’entreprise doit alors déterminer si elle agit comme fournisseur ou comme déployeur, c’est-à-dire l’organisation qui utilise le système sous sa responsabilité.
Les autres usages ne sont pas tous exemptés de règles. Certains systèmes doivent notamment respecter des exigences de transparence algorithmique, par exemple lorsque des personnes interagissent directement avec une IA ou lorsqu’un contenu généré doit être signalé. Pour classer un usage, demandez-vous d’abord quelle décision ou interaction il influence.
Identifier le rôle de votre entreprise
Une PME peut concevoir un système, le faire développer sous son nom, ou simplement utiliser une solution conçue par un tiers. Ces rôles ne sont pas interchangeables. Les obligations les plus lourdes incombent souvent au fournisseur du système, mais le déployeur conserve des responsabilités liées à la manière dont il l’utilise.
Pour un système à haut risque, l’article 26 du règlement (UE) 2024/1689 prévoit notamment que le déployeur suive les instructions fournies, assure une surveillance humaine appropriée et utilise les données d’entrée pertinentes dans la mesure où il les contrôle. Il doit aussi conserver les journaux générés automatiquement lorsque ceux-ci sont sous son contrôle, selon les conditions prévues par le règlement.
Concrètement, une société qui utilise un outil pour aider au tri des candidatures ne devrait pas laisser une recommandation automatisée devenir, sans examen, une décision définitive. Il faut déterminer qui vérifie les résultats, comment les erreurs sont remontées et quelles informations sont expliquées aux personnes concernées. La protection des données doit également être examinée séparément, car l’AI Act ne remplace pas les règles applicables aux données personnelles.
Un inventaire simple peut préciser le nom interne de l’usage, le service concerné, la finalité, le fournisseur, les catégories de données et le responsable métier. Pour approfondir l’effet de ces outils sur les activités, consultez cette analyse sur l’impact de l’IA générative en entreprise. Un usage bien décrit est plus facile à évaluer et à encadrer.
Organiser la gouvernance et les contrôles
La gouvernance de l’IA ne demande pas nécessairement de créer un service spécialisé. Dans une PME, elle peut commencer par désigner un responsable par usage et convenir d’un circuit de validation. La direction, les métiers, les ressources humaines et la DSI doivent savoir qui évalue un nouvel outil et qui intervient en cas d’incident.
Une règle interne utile distingue les usages autorisés, ceux qui nécessitent une validation et ceux qui sont proscrits. Par exemple, une équipe commerciale peut être autorisée à utiliser un assistant pour préparer un brouillon, mais devoir vérifier les faits avant envoi et ne pas y saisir des informations confidentielles sans accord interne. Cette règle est plus opérante qu’une consigne générale invitant simplement à « faire attention ».
La formation compte également. L’article 4 du règlement (UE) 2024/1689 impose aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de connaissances en IA auprès des personnes qui exploitent des systèmes pour leur compte. Les actions doivent tenir compte des compétences, de l’expérience et du contexte d’utilisation. Une sensibilisation courte, complétée par des exemples métier, aide les équipes à reconnaître les limites d’un résultat généré.
Une formation à l’intelligence artificielle adaptée aux équipes peut partir de situations concrètes : vérifier une réponse, repérer une information inventée ou éviter de transmettre des données sensibles. L’objectif est que chacun sache quoi faire, et à qui s’adresser, lorsque l’outil donne un résultat douteux.
Pour que ces contrôles tiennent dans la durée, rattachez chaque usage à un processus métier existant, plutôt que de créer une procédure isolée qui ne sera pas suivie.
Suivre un calendrier réaliste
Le calendrier du règlement est progressif. Depuis le 2 février 2025, les interdictions relatives à certaines pratiques et les dispositions sur la maîtrise de l’IA sont applicables. Les obligations visant les modèles d’IA à usage général suivent un calendrier distinct, commencé le 2 août 2025, avec des règles transitoires prévues par le texte.
La date générale d’application de l’AI Act est le 2 août 2026. Des dispositions portant sur certains systèmes à haut risque intégrés à des produits réglementés ont une échéance ultérieure, fixée au 2 août 2027. Ces dates ne signifient pas que chaque PME devra mettre en place les mêmes mesures au même moment. Le calendrier dépend notamment de la catégorie du système et du rôle de l’entreprise.
| Échéance | Point à retenir pour une PME | Action pratique |
|---|---|---|
| 2 février 2025 | Interdictions ciblées et dispositions sur les connaissances en IA applicables | Vérifier les usages internes et sensibiliser les équipes concernées |
| 2 août 2025 | Début d’application de certaines obligations concernant les modèles d’IA à usage général | Demander au fournisseur les informations utiles sur le service utilisé |
| 2 août 2026 | Date générale d’application du règlement | Examiner la classification, les consignes et les contrôles nécessaires |
| 2 août 2027 | Échéance de certaines règles pour des systèmes à haut risque liés à des produits réglementés | Vérifier si les outils utilisés entrent dans ce périmètre particulier |
Pour éviter une course de dernière minute, une entreprise peut avancer par étapes : recenser les usages, évaluer leur finalité, demander la documentation au fournisseur, puis définir les contrôles et la formation. Le texte officiel et ses échéances sont consultables dans le règlement européen sur l’intelligence artificielle. En cas de doute sur la qualification d’un cas précis, faites vérifier l’analyse par un juriste.
Mettre en conformité les usages prioritaires
Commencez par les usages qui peuvent influencer une personne, une décision importante ou l’accès à un service. Un outil d’aide au recrutement, d’évaluation professionnelle ou d’accès au crédit mérite généralement un examen plus approfondi qu’un assistant utilisé pour reformuler une note interne. Cette priorité aide à mobiliser les bonnes compétences là où l’enjeu est le plus fort.
Pour chaque usage, posez quelques questions précises : quelle tâche est confiée à l’outil, qui vérifie son résultat, quelles données lui sont transmises, et que se passe-t-il en cas d’erreur ? Conservez les réponses et les consignes utiles dans un document accessible aux équipes. Il ne s’agit pas de produire un dossier volumineux, mais de pouvoir expliquer le fonctionnement réel du processus.
Dans une entreprise fictive de distribution, l’équipe finance pourrait automatiser l’extraction des champs d’une facture. Le contrôle humain reste nécessaire pour traiter les écarts, les documents illisibles ou les coordonnées bancaires inhabituelles. Pour cet usage, l’entreprise documente les données transmises, les règles de validation et la personne qui tranche les exceptions. L’automatisation ne dispense pas de vérifier le processus de bout en bout.
Les responsabilités liées aux données personnelles doivent être examinées au regard du texte applicable, notamment le règlement (UE) 2016/679 lorsque des données personnelles sont traitées. La conformité réglementaire passe aussi par des échanges précis avec les fournisseurs : demandez la documentation, les limites connues, les conditions de conservation des données et les moyens de signaler un problème.
Une mise en conformité proportionnée repose sur des preuves simples : inventaire à jour, consignes compréhensibles, rôles attribués et contrôles réellement effectués.
FAQ sur les obligations des PME
Les réponses ci-dessous donnent des repères généraux. L’analyse d’un outil particulier dépend de sa fonction, de son usage et du rôle de l’entreprise.
L’AI Act concerne-t-il aussi les PME qui utilisent des outils existants ?
Oui. Une PME peut être concernée comme déployeur lorsqu’elle utilise un système d’IA dans le cadre de ses activités. Les obligations dépendent du type de système, de sa finalité et du rôle exact de l’entreprise.
Tous les outils d’intelligence artificielle sont-ils à haut risque ?
Non. Le niveau de risque s’apprécie selon la finalité et le contexte d’utilisation. Un assistant de rédaction interne n’est pas automatiquement classé comme système à haut risque.
Que faut-il faire en premier pour préparer la conformité ?
Dressez l’inventaire des usages, identifiez leur finalité et les données traitées, puis vérifiez les instructions du fournisseur. Priorisez les systèmes susceptibles d’influencer des décisions importantes concernant des personnes.
La formation des équipes est-elle prévue par le règlement ?
L’article 4 du règlement (UE) 2024/1689 prévoit des mesures visant à assurer un niveau suffisant de connaissances en IA pour les personnes qui exploitent des systèmes pour le compte d’un fournisseur ou d’un déployeur.
Dans votre entreprise, quel usage de l’IA vous semble aujourd’hui le plus difficile à encadrer, et pourquoi ?
Twenty One AI Solutions fait partie du groupe Twenty One, avec Twenty One Nexus (logiciel de recrutement pour cabinets), Twenty One Jobs (emploi des cadres) et Twenty One Talents (conseil et talents IT).
