Règlement européen sur l'IA : ce qu'une PME française doit faire, et à quelles dates

Le règlement européen sur l'IA, souvent appelé AI Act, est le premier texte au monde à encadrer l'intelligence artificielle par le risque. Pour une PME française qui utilise déjà un assistant, un agent ou un outil de synthèse, la question est simple : qu'est-ce que je dois faire, et pour quand ? Cet article répond avec le calendrier officiel, la classification par risque, les obligations réelles d'un utilisateur professionnel, et un plan en six étapes que nous appliquons avec nos clients. Il ne remplace pas l'avis d'un conseil juridique sur votre situation ; il vous permet d'arriver au rendez-vous avec les bonnes questions.

Le calendrier d'application

Un point de vigilance : la Commission européenne a proposé fin 2025, dans un paquet de simplification numérique, de décaler certaines obligations applicables aux systèmes à haut risque. Tant qu'un texte modificatif n'est pas adopté et publié, le calendrier ci-dessus reste celui qui s'applique. Vérifiez l'état de ce texte au moment où vous lisez ces lignes.

La classification par risque

Le règlement classe les systèmes d'IA en quatre niveaux, et les obligations dépendent du niveau.

Pour la plupart des PME, l'essentiel des usages relève du risque minimal ou du risque de transparence. Les cas à examiner de près sont ceux qui touchent aux personnes : recrutement, évaluation des salariés, décisions de crédit ou d'accès à un service essentiel.

Fournisseur ou déployeur : de quoi une PME répond

Le règlement distingue le fournisseur, qui développe ou fait développer un système d'IA et le met sur le marché sous son nom, et le déployeur, qui l'utilise dans le cadre de son activité professionnelle. Une PME qui utilise un assistant du marché ou un agent construit sur un modèle existant est, dans la grande majorité des cas, un déployeur.

Les obligations d'un déployeur, résumées :

• Littératie en IA. Prendre des mesures pour que le personnel qui utilise des systèmes d'IA ait un niveau suffisant de compréhension : ce que l'outil fait, ses limites, les risques, le rôle de la relecture humaine. Applicable depuis le 2 février 2025.
• Transparence. Informer les personnes qu'elles interagissent avec une IA quand ce n'est pas évident, et signaler les contenus générés quand le règlement l'impose.
• Pour un usage à haut risque : utiliser le système conformément à la notice du fournisseur, assurer une surveillance humaine par des personnes formées, conserver les journaux, informer les salariés et leurs représentants avant la mise en service, et réaliser dans certains cas une analyse d'impact sur les droits fondamentaux.
• Attention à la requalification. Une PME qui modifie substantiellement un système à haut risque, ou qui met sur le marché sous son nom un système qu'elle a fait développer, peut devenir fournisseur, avec les obligations qui vont avec.

Le RGPD continue de s'appliquer en parallèle : base légale, information des personnes, contrat de sous-traitance avec chaque prestataire, analyse d'impact quand le traitement le justifie. Les deux textes se cumulent ; ils ne se remplacent pas. Pour les professions soumises au secret, notre article IA et secret professionnel ajoute la couche déontologique.

Ce que ça change pour vos outils du quotidien

La ligne de partage est nette : tant que l'IA prépare et qu'un humain décide, on reste dans le risque minimal pour la plupart des usages d'entreprise. C'est la façon dont nous construisons les agents IA que nous livrons : validation humaine sur les décisions sensibles, journal des actions, périmètre de données limité.

Le plan en six étapes pour une PME

1. Inventorier. Lister tous les usages d'IA de l'entreprise, y compris les usages officieux : assistants personnels, extensions de navigateur, fonctions IA intégrées aux logiciels du marché.
2. Qualifier. Pour chaque usage, déterminer le niveau de risque et votre rôle (déployeur, éventuellement fournisseur). Isoler les usages qui touchent à des décisions sur des personnes.
3. Former. Mettre en place la littératie en IA : une session adaptée au métier, un cadre d'usage écrit, une trace de qui a été formé et quand. Notre Formation IA d'une journée est construite pour cette obligation.
4. Documenter. Un registre des usages d'IA, les notices des fournisseurs, les contrats, les journaux des agents. Ce registre sert aussi au RGPD.
5. Informer. Les personnes qui interagissent avec une IA, les salariés concernés par un usage à haut risque, et les clients quand la transparence l'impose.
6. Surveiller. Une revue par trimestre : nouveaux usages, incidents, évolutions du texte et des lignes directrices, dont celles attendues de la Commission et des autorités françaises.

Les sanctions, pour situer l'enjeu

Le règlement prévoit des amendes administratives pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, 15 millions d'euros ou 3 % pour les autres manquements, et 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes, le montant le plus élevé étant retenu, avec des plafonds adaptés pour les PME et les jeunes entreprises. L'enjeu pratique pour une PME est moins l'amende que la capacité à répondre à un client, un partenaire ou un appel d'offres qui demande, de plus en plus souvent, comment l'IA est encadrée dans l'entreprise.

Ce que nous faisons avec nos clients

Un inventaire des usages, une qualification par niveau de risque, une charte d'usage d'une page, une journée de formation qui couvre l'obligation de littératie, et des agents construits avec les garde-fous décrits ci-dessus. Le tout tient dans un Diagnostic Express pour l'état des lieux, puis dans une journée de formation. Notre page conseil, stratégie et conformité décrit l'accompagnement complet.