Les entreprises concernées
Le règlement ne vise pas que les éditeurs de modèles. Toute entreprise qui utilise un système d'IA est concernée en tant qu'utilisatrice, avec des obligations plus légères que celles des fournisseurs, mais réelles : savoir ce qu'elle utilise, informer les personnes concernées, former ses équipes.
Une PME de services qui emploie des assistants IA, un chatbot ou des automatisations est donc dans le champ. Pour la grande majorité de ces usages, les obligations se limitent à la transparence et à la maîtrise documentée ; aucun dossier de certification à monter. L'enjeu est de pouvoir montrer, par écrit, ce qui est utilisé et comment.
Les niveaux de risque
Le règlement classe les systèmes par niveau de risque. En haut, les pratiques interdites, comme la manipulation ou la notation sociale. Puis les systèmes à haut risque, soumis à des obligations lourdes à partir du 2 décembre 2027 : ils touchent au recrutement, au crédit et à d'autres domaines sensibles, et restent rares dans une PME de services.
Viennent ensuite les systèmes soumis à une obligation de transparence : un chatbot doit dire qu'il est une IA, un contenu généré doit pouvoir être identifié comme tel. Enfin, le risque minimal : la majorité des outils de productivité, sans obligation particulière au-delà du bon sens.
L'exercice utile pour un dirigeant consiste à classer ses propres usages dans ces niveaux, sans avoir à apprendre le texte. Ce classement tient sur une page et détermine tout le reste.
Le calendrier depuis juillet 2026
Le règlement (UE) 2026/1744, dit omnibus sur l'IA, est entré en vigueur le 27 juillet 2026. Il décale les obligations des systèmes à haut risque au 2 décembre 2027, et au 2 août 2028 pour les systèmes intégrés à des produits réglementés comme les machines ou les dispositifs médicaux.
Les obligations de transparence s'appliquent depuis le 2 août 2026. À partir du 2 décembre 2026, les systèmes qui génèrent des contenus intimes d'une personne sans son consentement, ou des contenus pédocriminels, sont interdits.
Le registre des usages d'IA
Le registre des usages est le socle. Pour chaque usage d'IA : l'outil, la finalité, les données touchées, les personnes qui l'utilisent, le prestataire et son contrat. Y compris les usages officieux : ce sont souvent les plus risqués, précisément parce qu'ils échappent à tout cadre.
Ce registre sert au-delà de la conformité : il répond aux questions des clients et des donneurs d'ordre, qui demandent de plus en plus souvent comment leurs données sont traitées. Une réponse écrite et à jour devient un argument commercial.
Tenez-le vivant : un usage ajouté, une ligne ajoutée. Un registre daté d'il y a 18 mois vaut à peine mieux que pas de registre du tout. Confiez sa tenue au référent interne, et relisez-le à chaque nouvel outil introduit dans l'entreprise : la mise à jour prend quelques minutes, la reconstruction prend des semaines.
La formation des équipes
Le règlement prévoit depuis le 2 février 2025 que le personnel qui utilise l'IA en maîtrise les limites et les règles d'usage. L'omnibus entré en vigueur le 27 juillet 2026 a allégé cette obligation : la Commission et les États membres prennent un rôle plus actif pour la promouvoir. Former les équipes reste le moyen le plus sûr de limiter les erreurs, et les clients le demandent de plus en plus.
Une formation utile part des vrais cas de l'entreprise : quels outils, quelles données peuvent y être versées, ce qui se vérifie avant de réutiliser une sortie. Et elle se documente : qui a été formé, quand, sur quel contenu.
Nous assurons ces formations et nous en documentons la trace. Le dossier de preuve compte autant que la formation elle-même : c'est lui qui sera présenté le jour où la question arrive. Prévoyez des sessions courtes, par équipe, sur les outils réellement utilisés : c'est plus efficace qu'une journée générale pour tout le monde.
Les chantiers du trimestre
Ce trimestre, trois chantiers suffisent. Un : l'inventaire des usages, officiels et officieux, pour poser le registre. Deux : la désignation d'un référent interne, qui simplifie tout même là où rien ne l'impose. Trois : les mentions de transparence là où elles manquent, à commencer par le chatbot.
Planifiez ensuite la formation des équipes, en commençant par les personnes qui manipulent des données clients, et préparez vos fournisseurs à l'échéance du 2 décembre 2027 si un usage touche au haut risque. Pour une PME de services, l'essentiel se traite en quelques semaines de travail encadré.
Le Diagnostic Stratégique structure ce démarrage : cartographie de vos usages, de vos risques et de vos priorités, plan d'action daté. 3 500 €, déduits si vous poursuivez avec nous. Vous repartez avec un document présentable tel quel à votre comité, à vos clients ou à votre assureur.