L'AI Act est une nouvelle loi européenne sur l'intelligence artificielle.
Cette loi s'applique à toutes les entreprises qui utilisent l'IA. Pas seulement celles qui la créent.
Si votre entreprise utilise des outils comme ChatGPT, des logiciels RH avec IA, ou un CRM qui fait du scoring automatique, cette loi vous concerne.
Depuis février 2025, chaque personne qui utilise un outil IA dans votre entreprise doit avoir un niveau suffisant de compétences IA. C'est la loi (Article 4).
Si vous utilisez l'IA pour le recrutement, l'évaluation des salariés, le scoring client ou le crédit, ce sont des usages à haut risque. Vous devrez nommer un responsable et garder des traces de chaque décision.
Si vos clients parlent à un chatbot, ils doivent savoir que c'est une IA. Pas un humain.
Répondez à quelques questions simples. En 10 minutes, vous saurez où en est votre entreprise avec l'IA.
Faire le diagnostic IAVous pouvez aussi prendre 30 minutes pour en parler avec nous.
Prendre rendez-vousL'AI Act s'applique depuis le 2 août 2026. La plupart des PME utilisent déjà l'IA sans gouvernance formelle. Le risque n'est pas l'amende. C'est de découvrir que des décisions RH, commerciales et financières sont prises par des outils que personne n'a validés.
Réponse courte
L'AI Act (Règlement UE 2024/1689) s'applique progressivement. Certaines obligations sont déjà actives.
Interdiction des systèmes IA à risque inacceptable (Art. 5). Obligation de littératie IA pour tout deployer, toute taille (Art. 4). Chaque personne qui opère un système IA doit avoir un niveau suffisant de compétences.
Mise en place des autorités nationales de surveillance. Obligations pour les modèles IA à usage général (GPAI). Les structures de contrôle sont en place, les premières inspections deviennent possibles.
Transparence (Art. 50) et sanctions. Les obligations des déployeurs de systèmes haut risque (Art. 26), initialement prévues à cette date, ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744 du 8 juillet 2026.
Recrutement, éducation, crédit, assurance, accès aux services essentiels. Supervision humaine, documentation, traçabilité, conservation des logs six mois. C'est la date qui compte pour une PME, reportée du 2 août 2026 au 2 décembre 2027.
Systèmes haut risque intégrés à des produits réglementés, annexe I (aviation, dispositifs médicaux, machines). Report du 2 août 2027 au 2 août 2028.
IA pour filtrer des CV, évaluer des candidats, monitoring de performance, décisions sur les conditions de travail : c'est du haut risque (Annexe III, point 4). Supervision humaine obligatoire, documentation complète, conservation des logs 6 mois minimum.
Si le CRM fait du scoring comportemental qui influence des décisions à impact significatif sur les personnes, c'est du haut risque. Segmentation marketing pure : risque limité, seule l'obligation de transparence (Art. 50) s'applique.
IA pour évaluer la solvabilité d'un client ou la tarification en assurance vie et santé : c'est du haut risque (Annexe III, point 5). Même si vous utilisez un outil tiers. La responsabilité du deployer est engagée.
Obligation de transparence (Art. 50) : informer les utilisateurs qu'ils interagissent avec une IA. Divulguer les deepfakes et contenus générés par IA. Cette obligation s'applique quel que soit le niveau de risque du système.
| PME non préparée | PME préparée | |
|---|---|---|
| Cartographie IA | Aucun inventaire des outils IA utilisés | Registre à jour de tous les systèmes IA et leur classification |
| Littératie | Aucune formation, usage sauvage | Personnel formé, compétences documentées (Art. 4) |
| Supervision | Personne ne supervise les outputs IA | Référent désigné avec mandat de supervision humaine |
| Données | Données d'entrée non vérifiées | Données auditées, biais identifiés et corrigés |
| Documentation | Aucun log, aucune trace | Logs conservés 6 mois minimum, traçabilité complète |
| Risque amende | Découverte en cas de contrôle ou incident | Conformité anticipée, risque maîtrisé |
L'AI Act n'est pas un sujet juridique. C'est un sujet de mandat. Qui, dans l'entreprise, a l'autorité pour décider ce qu'on automatise et ce qu'on refuse de confier à une machine ? Dans 95% des PME, la réponse est : personne.
Lister tous les outils IA utilisés dans l'entreprise, y compris les usages individuels non déclarés : ChatGPT, Copilot, outils RH avec composante IA. Classifier chaque usage selon le niveau de risque AI Act (inacceptable, haut risque, risque limité, risque minimal).
Pas un titre honorifique. Un mandat documenté : supervision des systèmes, formation des équipes, point de contact avec les autorités. L'Art. 26 exige des "personnes physiques" désignées pour la supervision humaine des systèmes haut risque.
L'Art. 4 sur la littératie IA est actif depuis février 2025. Chaque personne qui opère un système IA doit avoir un "niveau suffisant de littératie IA". C'est la loi, pas une recommandation. Les PME bénéficient de mesures de soutien (Art. 62), mais l'obligation reste entière.
Les systèmes haut risque exigent des données "pertinentes et représentatives". Si votre outil RH filtre des CV avec des données biaisées, c'est votre responsabilité en tant que deployer, pas celle de l'éditeur du logiciel.
6 mois minimum de conservation des logs automatiques générés par les systèmes haut risque. Traçabilité de chaque décision assistée par IA. C'est le minimum pour démontrer la conformité en cas de contrôle par les autorités nationales.
Les cabinets d'avocats vendent des audits de conformité. Les ESN vendent des outils. Ni les uns ni les autres ne répondent à la vraie question : comment intégrer l'IA dans la gouvernance d'une PME sans perdre le contrôle ?
iteyre accompagne les dirigeants sur la gouvernance IA opérationnelle. On ne fait pas d'audit juridique. On structure les décisions, on forme les équipes, on déploie les outils avec transfert de compétences. Le résultat : une PME autonome, conforme, et compétitive.
Le tri
La quasi-totalité des inquiétudes vient d'une confusion : l'AI Act ne classe pas les outils, il classe les usages. Le même assistant conversationnel relève de trois régimes différents selon ce qu'on lui demande.
| Usage | Niveau | Ce que vous devez faire | Depuis |
|---|---|---|---|
| Un salarié rédige ou traduit avec un assistant | Risque minimal | Former les utilisateurs (art. 4). Aucun registre, aucune déclaration. | 2 février 2025 |
| Un agent conversationnel parle à vos clients | Transparence | Dire que l'interlocuteur parle à une machine (art. 50). | 2 août 2026 |
| Un outil trie des candidatures ou évalue un salarié | Haut risque, annexe III | Les obligations du déployeur (art. 26) : surveillance humaine, journaux six mois, information du personnel. | 2 décembre 2027 |
| Un outil décide d'un accès au crédit ou à une assurance | Haut risque, annexe III | Art. 26, plus l'analyse d'impact sur les droits fondamentaux (art. 27) selon le cas. | 2 décembre 2027 |
Trois de ces quatre lignes ne demandent presque rien. La quatrième demande beaucoup. Tout l'enjeu est de savoir dans quelle ligne vous êtes, et la réponse tient rarement plus d'une heure à établir.
Références : règlement (UE) 2024/1689, modifié par le règlement (UE) 2026/1744 du 8 juillet 2026.
Questions fréquentes
Oui. L'AI Act s'applique à toute entreprise qui utilise un système d'IA, sans seuil de taille. Utiliser ChatGPT fait de la PME un déployeur, pas un fournisseur. Les obligations dépendent alors de l'usage : la plupart relèvent du risque limité, avec un devoir de transparence et de formation des utilisateurs. Elles ne deviennent lourdes que si l'usage touche un domaine classé à haut risque, le recrutement par exemple.
Ceux que vos équipes utilisent déjà. Un assistant conversationnel comme ChatGPT ou Copilot, un agent qui répond aux clients sur votre site, un logiciel de recrutement qui classe les candidatures, un CRM qui note vos prospects, un outil comptable qui repère les anomalies. Le fournisseur est celui qui conçoit l'outil et le met sur le marché. Vous, vous l'utilisez : vous êtes déployeur. Vos obligations dépendent de ce que vous faites faire à l'outil, pas de son nom.
Les PME qui utilisent l'IA (déployeurs) ont trois obligations principales sous l'AI Act (Règlement UE 2024/1689). Premièrement, l'obligation de littératie IA (Art. 4), active depuis février 2025, impose à tout deployer de garantir un niveau suffisant de compétences IA pour son personnel. Deuxièmement, les obligations déployeurs pour les systèmes haut risque (Art. 26), reportées au 2 décembre 2027 pour l'annexe III par le règlement (UE) 2026/1744, exigent une supervision humaine, un contrôle des données d'entrée, la conservation des logs pendant 6 mois minimum, et la désignation de personnes physiques responsables. Troisièmement, les obligations de transparence (Art. 50) imposent d'informer les utilisateurs lorsqu'ils interagissent avec un système IA, notamment pour les chatbots et contenus générés.
L'AI Act prévoit un mécanisme d'amendes spécifique pour les PME (Art. 99) : c'est le montant le plus bas qui s'applique, pas le plus élevé. Trois niveaux existent. Pour les pratiques interdites : jusqu'à 35 millions d'euros ou 7% du CA mondial, le plus bas des deux. Pour la non-conformité aux obligations haut risque : jusqu'à 15 millions d'euros ou 3% du CA mondial, le plus bas. Pour les informations incorrectes aux autorités : jusqu'à 7,5 millions d'euros ou 1% du CA. Exemple concret : une PME à 5 millions d'euros de CA risque au maximum 150 000 euros pour une non-conformité haut risque (3% de 5M).
Oui. L'AI Act distingue les fournisseurs (qui développent les systèmes IA) des déployeurs (qui les utilisent). Les PME qui utilisent des outils IA comme ChatGPT, des logiciels RH avec IA, ou des CRM avec scoring automatisé sont des déployeurs. Elles ont des obligations spécifiques. L'Art. 4 sur la littératie IA s'applique déjà depuis février 2025, quelle que soit la taille de l'entreprise. L'Art. 26 sur les systèmes haut risque s'appliquera le 2 décembre 2027 pour l'annexe III, après le report du 8 juillet 2026. Il n'existe aucune exemption basée sur la taille de l'entreprise pour les obligations deployers.
18 questions. 6 dimensions réglementaires. Un radar de conformité et des actions prioritaires triées par deadline légale. Gratuit.
Pour aller plus loin
Les douze paragraphes, la pièce à produire pour chacun, et lesquels concernent une PME privée.
Niveaux de risque, obligations du déployeur, calendrier et plan d'action.
Les 3 piliers, la mise en place sans équipe dédiée, le lien avec l'AI Act.