L'AI Act et les obligations à appliquer dans une PME

Qu'est-ce que l'AI Act, et qui est concerné dans votre entreprise ?

Une définition large du système d'IA, fondée sur l'usage

Le règlement (UE) 2024/1689, dit « AI Act » ou « RIA », définit un système d'intelligence artificielle comme un système basé sur une machine, conçu pour fonctionner avec différents niveaux d'autonomie, capable de faire preuve d'adaptabilité après son déploiement et qui, à partir des données qu'il reçoit, génère des résultats (= prédictions, contenus, recommandations ou décisions) susceptibles d'influencer des environnements physiques ou virtuels.

Cette définition volontairement large couvre aussi bien un algorithme de scoring crédit qu'un outil d'IA générative ou un logiciel de tri de candidatures. Le règlement ne régule pas une technologie en tant que telle, mais l'usage qui en est fait : deux entreprises utilisant le même outil peuvent être soumises à des obligations différentes selon le contexte dans lequel elles l'exploitent. Sont exclus du champ d'application les systèmes développés exclusivement à des fins militaires, ceux utilisés par des autorités de pays tiers dans le cadre d'accords de coopération judiciaire avec l'UE, ainsi que les systèmes dédiés à la seule recherche scientifique.

Fournisseur ou déployeur : quel rôle pour votre PME ?

L'AI Act distingue plusieurs catégories d'acteurs, avec des obligations propres à chacune :

• le fournisseur, qui développe un système d'IA ou le fait développer pour le mettre sur le marché sous son nom ou sa marque ;

• le déployeur, qui utilise un système d'IA sous sa propre autorité dans le cadre d'une activité professionnelle, comme c'est le cas de la grande majorité des dirigeants de TPE et PME, qui recourent à des outils développés par des éditeurs tiers (solution de recrutement, chatbot client, logiciel de scoring, IA générative) ;

• l'importateur et le distributeur, qui mettent sur le marché européen des systèmes d'IA développés par un fournisseur établi hors de l'UE ;

• le mandataire, qui représente dans l'UE un fournisseur non établi sur le territoire européen.

Le règlement s'applique dès lors qu'un système d'IA, ou les résultats qu'il produit, est utilisé dans l'Union européenne, y compris lorsque le fournisseur ou le déployeur est établi hors de l'UE. La première étape pour un dirigeant consiste donc à identifier, pour chaque outil d'IA utilisé dans l'entreprise, le rôle qu'il occupe réellement.

Quelles obligations selon le niveau de risque de vos systèmes d'IA ?

Risque inacceptable : des pratiques interdites depuis le 2 février 2025

L'article 5 de l'AI Act interdit, depuis le 2 février 2025, plusieurs pratiques jugées incompatibles avec les droits fondamentaux. Sont notamment prohibés :

• le recours à des techniques subliminales ou l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation économique d'une personne, pour altérer substantiellement son comportement ;

• la notation sociale, c'est-à-dire l'évaluation ou la classification de personnes selon leur comportement ou leurs caractéristiques personnelles ;

• la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité : une interdiction qui concerne directement les outils RH utilisant l'IA pour analyser des entretiens ou du contenu vidéo ;

• la catégorisation biométrique fondée sur des données sensibles (opinions politiques, religieuses, orientation sexuelle, etc.) ;

• la constitution de bases de données de reconnaissance faciale par collecte non ciblée d'images sur internet ou via la vidéosurveillance.

À compter du 2 décembre 2026 s'ajoutera l'interdiction des systèmes générant du matériel à caractère pédocriminel ou des contenus intimes non consentis. Pour le dirigeant, le premier réflexe consiste donc à vérifier qu'aucun outil utilisé en interne, en particulier dans les ressources humaines ou le contrôle d'accès, ne recoupe l'une de ces pratiques prohibées.

Risque élevé : des obligations renforcées, y compris pour les déployeurs

Un système d'IA est considéré à haut risque lorsqu'il est intégré à un produit déjà réglementé (jouets, ascenseurs, dispositifs médicaux...) ou lorsqu'il est appliqué à certains cas d'usage sensibles : identification et catégorisation biométrique, accès à l'éducation, à l'emploi, aux services d'urgence ou aux aides sociales, évaluation de la solvabilité, ou encore assistance aux autorités judiciaires.

Les fournisseurs de ces systèmes doivent mettre en place un système de gestion des risques, garantir la qualité des données d'entraînement, enregistrer les événements tout au long du cycle de vie du système, documenter son fonctionnement de façon transparente, permettre un contrôle humain effectif et assurer l'exactitude, la robustesse et la cybersécurité de l'outil. En tant que déployeur, votre entreprise n'est pas dispensée pour autant : elle doit respecter scrupuleusement les instructions du fournisseur et prendre les mesures nécessaires pour garantir que l'usage qu'elle fait du système reste conforme à sa destination.

Des obligations de transparence pour tous, à partir du 2 août 2026

Même pour les systèmes présentant un risque limité, l'article 50 de l'AI Act impose, à compter du 2 août 2026, des obligations de transparence : informer les personnes lorsqu'elles interagissent avec un système d'IA (chatbot de service client, par exemple), et signaler le caractère généré ou manipulé par l'IA d'un contenu (image, audio, vidéo, texte). Ces obligations concernent directement les PME qui utilisent l'IA générative dans leur communication ou leur relation client.

Calendrier, contrôle et sanctions : ce que le dirigeant doit anticiper

Un calendrier d'application échelonné jusqu'en 2028

L'entrée en application de l'AI Act est progressive. Le calendrier initialement prévu a été partiellement révisé en 2026 pour reporter certaines échéances jugées difficiles à mettre en œuvre :

• 2 août 2024 : entrée en vigueur du règlement.

• 2 février 2025 : interdiction des pratiques d'IA à risque inacceptable (article 5) — déjà applicable.

• 2 août 2025 : entrée en application des règles relatives aux modèles d'IA à usage général et désignation des autorités nationales compétentes — déjà applicable.

• 2 août 2026 : échéance générale du règlement, obligations de transparence de l'article 50, régime des sanctions et mise en place d'au moins un bac à sable réglementaire par État membre.

• 2 décembre 2026 : interdiction des systèmes générant du matériel pédocriminel ou des contenus intimes non consentis ; échéance de mise en conformité au marquage des contenus pour les systèmes déjà mis sur le marché avant le 2 août 2026.

• 2 décembre 2027 (reporté) : obligations applicables aux systèmes d'IA à haut risque de l'annexe III, initialement prévues au 2 août 2026.

• 2 août 2028 (reporté) : obligations applicables aux systèmes d'IA à haut risque de l'annexe I, intégrés à des produits déjà réglementés (dispositifs médicaux, jouets, ascenseurs, etc.).

Quelles autorités contrôlent l'application de l'AI Act en France ?

Au niveau européen, le bureau de l'IA (AI Office), institué au sein de la Commission européenne, supervise les modèles d'IA à usage général et reçoit les déclarations de conformité des systèmes à haut risque.

Au niveau national, chaque État membre doit désigner une autorité de notification et une autorité de surveillance du marché, chargées de veiller à l'application du règlement, de superviser le bac à sable réglementaire national et de prononcer des sanctions.

La France a réparti ce contrôle entre plusieurs autorités sectorielles selon le domaine d'usage concerné : la CNIL et la DGCCRF pour les techniques subliminales, l'exploitation de vulnérabilités et les systèmes de notation sociale, l'ARCOM pour certains contenus, ou encore l'Autorité de contrôle prudentiel et de résolution (ACPR) pour le secteur financier. Un dirigeant qui utilise un système d'IA dans un secteur régulé (banque, assurance, santé) a donc intérêt à identifier l'autorité compétente pour son activité.

Quelles sanctions en cas de manquement ?

Le non-respect des interdictions de l'article 5 est sanctionné par des amendes pouvant atteindre 35 millions d'euros ou, pour une entreprise, 7 % de son chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le règlement reconnaît par ailleurs aux personnes concernées le droit de déposer une plainte relative à un système d'IA (article 85) et de recevoir des explications sur les décisions individuelles fondées sur certains systèmes à haut risque ayant une incidence sur leurs droits (article 86) : un point de vigilance pour toute PME qui utiliserait l'IA dans ses décisions de recrutement, de crédit ou d'accès à un service.

Comment un dirigeant peut-il mettre son entreprise en conformité, concrètement ?

La mise en conformité à l'AI Act suit une logique proche de celle du RGPD : elle repose sur une cartographie précise des usages, une qualification du rôle et du risque, puis la mise en place de procédures adaptées.

Quelques étapes structurent cette démarche :

• cartographier tous les outils et usages de l'intelligence artificielle dans l'entreprise, service par service (RH, marketing, finance, relation client) ;

• qualifier le rôle de l'entreprise pour chaque usage identifié (fournisseur, déployeur, distributeur) ;

• classer le niveau de risque de chaque système d'IA utilisé, en s'appuyant sur la documentation fournie par l'éditeur ;

• vérifier les garanties apportées par les fournisseurs (documentation technique, instructions d'usage, déclaration de conformité pour les systèmes à haut risque) ;

• former les équipes qui utilisent des outils d'IA aux obligations qui en découlent, en particulier en ressources humaines ;

• mettre en place un contrôle humain effectif pour toute décision automatisée ayant un impact sur des salariés, des clients ou des candidats ;

• désigner un référent interne chargé de suivre les usages de l'IA et l'actualité réglementaire, sans qu'une désignation formelle soit obligatoire pour la plupart des PME.