AI Act en PME : les obligations des entreprises qui utilisent l'IA

Appliquer l'AI Act en PME commence par une question simple : quel est votre rôle face à chaque outil d'IA ? Le règlement (UE) 2024/1689 ne dispense pas les petites entreprises. Il fixe des obligations selon le rôle et l'usage, et prévoit des plafonds d'amende plus bas pour les PME.

Votre rôle : déployeur ou fournisseur

L'article 3 définit plusieurs rôles. Deux concernent la plupart des PME :

• déployeur : vous utilisez un système d'IA sous votre autorité, dans un cadre professionnel. C'est le cas dès que vos équipes utilisent un assistant de rédaction, de traduction ou de code ;
• fournisseur : vous développez un système d'IA, ou le faites développer, et vous le mettez sur le marché ou en service sous votre nom. Une entreprise qui construit un outil pour son propre usage en est à la fois fournisseur et déployeur.

Un déployeur peut devenir fournisseur d'un système à haut risque (article 25) : s'il le vend sous son nom, s'il le modifie de façon substantielle, ou s'il en change la destination.

Ce qui s'applique à toute PME qui utilise l'IA

La maîtrise de l'IA (article 4)

Depuis le 2 février 2025, fournisseurs et déployeurs prennent des mesures pour que leur personnel sache utiliser l'IA. Le règlement 2026/1744 a réécrit cet article sans imposer de durée ni de diplôme. Le détail est sur la page formation IA obligatoire.

Les pratiques interdites (article 5)

Depuis la même date, certains usages sont interdits. Exemple utile en entreprise : la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité.

La transparence (article 50)

Depuis le 2 août 2026, il faut informer les personnes qu'elles dialoguent avec une IA, sauf si c'est évident. Les contenus générés qui imitent la réalité (hypertrucages) se signalent. Certaines obligations visent le fournisseur, d'autres le déployeur.

Le haut risque, pour quelques usages précis

Les systèmes à haut risque sont listés par l'article 6 et les annexes I et III. Pour une PME, les cas les plus fréquents sont le tri de candidatures, l'évaluation des salariés, l'évaluation du crédit ou la tarification en assurance vie et santé.

Un déployeur de ces systèmes a des obligations propres (article 26) : utiliser le système selon sa notice, confier le contrôle humain à des personnes compétentes, conserver les journaux, informer les personnes concernées. Elles s'appliquent au 2 décembre 2027 pour l'annexe III, après le report décidé en 2026. Le calendrier de l'AI Act donne toutes les dates.

Les sanctions

L'article 99 prévoit des amendes administratives :

• jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites ;
• jusqu'à 15 millions d'euros ou 3 % pour la plupart des autres obligations, dont celles des déployeurs et la transparence.

Pour une PME, c'est le plus faible des deux montants qui sert de plafond. Au sens européen, une PME emploie moins de 250 personnes, avec un chiffre d'affaires d'au plus 50 millions d'euros ou un bilan d'au plus 43 millions d'euros.

Appliquer l'AI Act en PME : par où commencer

1. Listez les outils d'IA réellement utilisés, y compris ceux qui n'ont pas été déclarés (shadow AI).
2. Notez votre rôle pour chacun : déployeur, fournisseur, ou les deux.
3. Écrivez une politique d'usage courte, à partir de notre modèle de charte IA.
4. Organisez une première sensibilisation et gardez-en la trace.