AI Act et PME : ce que vous devez vérifier avant d'utiliser un agent IA

Oui, votre PME est concernée par l'AI Act dès qu'un salarié utilise un outil d'intelligence artificielle dans le cadre de son travail : un chatbot client, ChatGPT pour rédiger des devis, un CRM qui note automatiquement des prospects. Vous n'avez pas besoin de développer de l'IA vous-même pour être soumis au règlement, l'utiliser suffit. La bonne nouvelle : les obligations réelles pour une PME qui utilise des outils du quotidien restent limitées, à condition de savoir lesquelles s'appliquent, et quand.

C'est quoi l'AI Act, concrètement ?

L'AI Act (règlement européen 2024/1689) est entré en vigueur le 1er août 2024. Ce n'est pas une loi qui interdit l'IA : c'est un texte qui classe les usages de l'IA selon leur niveau de risque, et impose des obligations proportionnées à ce risque. Plus l'usage peut avoir un impact sur les droits ou la sécurité des personnes, plus les obligations sont lourdes.

L'idée à retenir pour un dirigeant non-technique : la quasi-totalité des outils IA qu'une PME utilise aujourd'hui (chatbot de support, assistant de rédaction, générateur d'images, automatisation de tâches) se situent dans les catégories de risque les plus légères. Les obligations lourdes visent des usages précis (recrutement, notation de crédit, biométrie), pas l'IA « de bureau ».

Fournisseur ou déployeur : qui fait quoi

Le règlement distingue deux rôles, et la plupart des PME n'en occupent qu'un seul :

Fournisseur : celui qui conçoit et met sur le marché un système d'IA (un éditeur de logiciel, par exemple).
Déployeur : celui qui utilise ce système dans son activité professionnelle.

Une PME qui utilise ChatGPT, Copilot, un chatbot client ou un outil de scoring dans son CRM est déployeur, jamais fournisseur. Une agence ou un freelance qui intègre une API IA ou un chatbot sur le site d'un client est déployeur aussi. Les obligations du déployeur sont plus légères que celles du fournisseur, mais elles existent bel et bien.

Si vous faites développer un système IA sur mesure destiné à être diffusé sous votre propre marque, et pas seulement utilisé en interne, la qualification peut changer selon les cas. C'est un point à vérifier avec la personne qui le développe plutôt qu'à trancher seul.

Les 4 niveaux de risque, et où se situent vos outils

Niveau de risque	Exemples	Ce que ça implique
Inacceptable (interdit)	Notation sociale, manipulation comportementale, certains usages biométriques	Usage interdit depuis février 2025
Élevé	Recrutement, notation de crédit, éducation, justice, biométrie (annexe III)	Documentation, supervision humaine, traçabilité — obligations lourdes
Limité	Chatbots, deepfakes, générateurs de contenu	Informer l'utilisateur qu'il interagit avec une IA
Minimal	Assistants internes, automatisations de tâches, outils de productivité	Bonnes pratiques usuelles, pas d'obligation spécifique

L'immense majorité des usages IA en PME (un chatbot de site, un assistant qui rédige des emails, un outil qui automatise des relances) relève du risque limité ou minimal. Le risque élevé concerne des décisions qui affectent directement une personne (embauche, crédit, accès à un service), pas la productivité interne.

Le calendrier réel : ce qui est déjà obligatoire

Le règlement s'applique par étapes, et le calendrier a déjà été ajusté une fois :

Depuis février 2025 : les usages interdits ne sont plus autorisés, et l'obligation d'« AI literacy » (article 4) s'applique. Toute entreprise utilisant de l'IA doit prendre des mesures pour que son personnel comprenne les grandes lignes de ce que fait l'outil. Depuis un ajustement du règlement entré en vigueur fin juillet 2026, il s'agit d'une obligation de moyens (prendre des mesures raisonnables) plutôt que de résultat garanti. Elle reste réelle, sans seuil d'effectif.
Depuis août 2025 : les fournisseurs de modèles d'IA à usage général (type GPT, Claude) ont des obligations de transparence propres, et chaque pays a désigné son autorité de contrôle.
Depuis le 2 août 2026 : l'obligation de transparence de l'article 50 s'applique concrètement. Un chatbot doit signaler qu'il s'agit d'une IA, un contenu généré ou modifié par IA doit pouvoir être identifié comme tel. Les autorités nationales (la CNIL en France) peuvent désormais contrôler et sanctionner ce point.
2 décembre 2027 : échéance pour les systèmes à haut risque « autonomes » (annexe III : recrutement, crédit, biométrie). Ce délai, initialement fixé à août 2026, a été repoussé par un ajustement du règlement entré en vigueur le 27 juillet 2026.
2 août 2028 : échéance pour l'IA à haut risque intégrée dans des produits déjà réglementés (dispositifs médicaux, machines, jouets), reportée elle aussi d'un an.

Les sanctions les plus lourdes, pour les usages interdits, peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel. Ce plafond vise avant tout les manquements graves, pas l'oubli d'une mention de transparence sur un chatbot.

Ce qu'il faut vérifier avant d'utiliser un agent IA dans votre entreprise

Identifiez votre rôle : dans l'immense majorité des cas, vous êtes déployeur d'un outil tiers plutôt que fournisseur.
Situez l'usage : touche-t-il au recrutement, au crédit, à la biométrie ou à une décision similaire ? Si non, vous êtes probablement en risque limité ou minimal.
Affichez la transparence : si un visiteur ou un client discute avec un assistant IA, il doit pouvoir savoir que c'est une IA. Obligation en vigueur depuis le 2 août 2026.
Gardez une trace minimale : une note interne ou une consigne écrite sur ce que fait (et ne fait pas) l'outil suffit à répondre à l'obligation d'AI literacy.
Demandez de la documentation à votre prestataire : quelles données sont utilisées, quelles sont les limites du système, quelle supervision humaine est possible.
Gardez une décision humaine sur tout ce qui touche à l'embauche, au crédit ou à l'accès à un service, même avant l'échéance de 2027. C'est là que se concentre le risque réel, réglementaire comme réputationnel.

En résumé

Votre PME est concernée par l'AI Act dès qu'elle utilise un outil IA au travail, mais dans la quasi-totalité des cas elle reste simple « déployeur » d'un outil à risque limité ou minimal, non soumise aux obligations lourdes du risque élevé. Les points réellement actionnables aujourd'hui : informer que vos assistants IA sont bien des IA, documenter sommairement ce que fait chaque outil, et garder une supervision humaine sur toute décision qui affecte directement une personne. Le calendrier a déjà bougé une fois, avec un report à 2027 pour le haut risque. Mieux vaut garder ces bons réflexes plutôt que de suivre une date au jour près.