Guide pratique
Le Règlement (UE) 2024/1689 sur l'intelligence artificielle — communément appelé AI Act — est entré en vigueur le 1er août 2024. Il s'applique progressivement. Pour la grande majorité des PME françaises et européennes, l'échéance critique est le 2 août 2026. Voici ce que ça signifie concrètement.
En bref : Si votre entreprise utilise ChatGPT, Copilot, un outil de recrutement automatisé, ou n'importe quel logiciel intégrant de l'IA pour des décisions professionnelles — vous êtes concerné par l'AI Act en tant que déployeur.
L'AI Act distingue deux rôles principaux : les fournisseurs (ceux qui développent et mettent sur le marché un système IA) et les déployeurs (ceux qui utilisent un système IA dans un contexte professionnel). Les PME sont presque toujours des déployeurs.
En tant que déployeur, vous n'avez pas à certifier votre outil IA — c'est la responsabilité d'OpenAI, Microsoft, ou de votre fournisseur logiciel. Mais vous avez des obligations propres, indépendamment du niveau de risque de l'outil.
Depuis le 2 août 2025, et renforcées au 2 août 2026, les obligations minimales pour tout déployeur sont les suivantes :
L'article 4 impose une obligation de compétence : les personnes qui utilisent ou supervisent des systèmes IA doivent disposer d'une formation ou d'informations suffisantes sur les capacités et les limites de ces systèmes. En pratique, cela signifie rédiger des consignes d'usage et les diffuser à vos équipes.
Il n'existe pas d'obligation légale de tenir un registre formel pour les systèmes à risque faible — mais c'est la base d'une démarche de conformité défendable. Documenter quels outils vous utilisez, dans quel but, et qui y a accès est la première étape attendue par toute autorité de contrôle.
Si vous utilisez un système IA dans vos interactions avec des clients ou des candidats, vous devez en informer les personnes concernées. Cela passe notamment par vos mentions légales, vos CGV, ou toute communication directe. Les chatbots doivent être clairement identifiés comme non-humains.
La plupart des outils IA traitent des données personnelles. L'AI Act et le RGPD se cumulent — ils ne s'excluent pas. Vérifier les CGU de vos fournisseurs, s'assurer qu'il existe des accords de traitement des données (DPA), et mettre à jour votre registre RGPD sont des étapes indissociables de la conformité IA.
| Niveau | Exemples d'usages | Obligations principales |
|---|---|---|
| Risque minimal | Rédaction, traduction, résumés, code | Formation équipes, consignes écrites, transparence si contact client |
| Risque limité | Chatbot client, scoring marketing, analyse de données sensibles | Information clients, vérification CGU, clauses DPA fournisseurs |
| Risque élevé (Annexe III) | Recrutement IA, scoring crédit, aide au diagnostic médical, surveillance | Supervision humaine formalisée, journalisation, évaluation d'impact, clause contractuelle obligatoire |
Bonne nouvelle : la grande majorité des PME utilisent des outils à risque faible ou limité (ChatGPT, Copilot, Notion AI, HubSpot IA). Les obligations sont proportionnées et accessibles sans cabinet juridique spécialisé.
L'AI Act prévoit un système de sanctions graduées, appliquées par les autorités nationales de surveillance (en France, la CNIL est pressentie comme autorité compétente) :
Pour une PME de 2 millions d'euros de chiffre d'affaires, 3% représente 60 000 euros. La proportionnalité est réelle, mais le risque n'est pas négligeable — d'autant que les premières sanctions serviront d'exemple.
La démarche recommandée pour une PME qui part de zéro :
KonformAI vous guide à travers les 30 questions clés et produit un PDF complet — inventaire, plan d'action, page de signature. Vos données ne quittent pas votre ordinateur.
Commencer le questionnaire →Oui, dès lors que vous utilisez des outils IA dans un contexte professionnel, même en tant que freelance. Les obligations sont proportionnées à la taille de la structure, mais elles existent. Un indépendant qui utilise ChatGPT pour rédiger des livrables clients est considéré comme déployeur.
Pour la majorité des PME utilisant des outils à risque faible ou limité : non. La conformité passe d'abord par de la documentation interne, des consignes d'usage, et quelques mises à jour contractuelles. Un conseil juridique spécialisé est recommandé uniquement pour les usages classifiés à haut risque (Annexe III).
La Commission européenne supervise le cadre général. En France, la CNIL est l'autorité pressentie pour les aspects touchant aux données personnelles. Un projet de loi national est attendu pour désigner formellement l'autorité nationale de surveillance IA.
Oui. Si votre ERP, votre CRM, ou votre outil RH a ajouté des fonctionnalités IA (scoring, recommandations, génération de contenu), vous utilisez un système IA au sens de l'AI Act. Votre fournisseur logiciel a l'obligation de vous informer des caractéristiques du système — vérifiez leur documentation ou contactez leur support.