Conformité AI Act pour les PME : ce qu'il faut faire, concrètement

Cinq actions, dans l'ordre, et le calendrier exact de ce qui s'applique déjà — ou pas encore.

À jour au 14 septembre 2026 — AI Act & PME

Pour une PME qui utilise l’IA sans la développer, la conformité AI Act tient en cinq actions. Trois concernent des obligations déjà applicables, une prépare l’échéance de décembre 2027, et la dernière vous sert de preuve si la question vous est un jour posée.

Avant de commencer, une précision qui évite beaucoup d’inquiétudes inutiles : la grande majorité des obligations lourdes du règlement pèsent sur ceux qui fabriquent les systèmes d’IA, pas sur ceux qui les utilisent.

Êtes-vous concerné ?

Le règlement distingue le fournisseur, qui développe et met sur le marché un système d’IA, et le déployeur, qui l’utilise dans le cadre de son activité professionnelle.

Si votre entreprise utilise un outil qui contient de l’IA, vous êtes déployeur. Et c’est plus fréquent qu’on ne le pense : un assistant de rédaction, un CRM qui note vos prospects, un logiciel de recrutement qui classe les candidatures, un chatbot sur votre site, un outil de détection de fraude. Vous n’avez pas besoin d’avoir « fait de l’IA » pour être concerné.

Le calendrier exact

C’est le point le plus mal rapporté dans les contenus disponibles. Voici ce qui s’applique, et depuis quand.

  • Depuis le 2 février 2025 — pratiques interdites (article 5). Certains usages sont purement et simplement interdits, sans exception commerciale.

  • Depuis le 2 février 2025 — littératie IA (article 4). Réécrit par le règlement (UE) 2026/1744, dit Digital Omnibus, en vigueur depuis le 27 juillet 2026.

  • Depuis le 2 août 2026 — transparence (article 50). Informer qu’on interagit avec une IA, signaler certains contenus générés. Ces obligations n’ont pas été reportées par l’Omnibus.

  • À partir du 2 décembre 2027 — systèmes à haut risque de l’annexe III (article 26 pour les déployeurs). Recrutement, évaluation des salariés, notation de crédit des particuliers, notamment. Reporté de seize mois par le même règlement.

Action 1 — Faire l’inventaire de vos outils

Tout le reste en dépend : on ne peut pas encadrer ce qu’on n’a pas recensé.

Listez chaque outil, et pour chacun notez quatre choses : le nom de l’outil, l’offre souscrite (gratuite ou professionnelle), ce à quoi il sert chez vous, et qui l’utilise.

Cherchez l’IA là où elle se cache :

  • les assistants intégrés à votre bureautique et à votre messagerie ;

  • le CRM et les outils marketing (scoring, segmentation, génération de textes) ;

  • le logiciel de recrutement et le logiciel RH ;

  • le support client (chatbot, tri automatique des demandes) ;

  • les outils utilisés par vos salariés à titre personnel, souvent les plus nombreux et les moins visibles.

C’est la finalité qui compte, pas l’outil : le même logiciel peut être anodin pour rédiger un courrier et à haut risque pour classer des candidats.

Action 2 — Écarter tout usage interdit

C’est la vérification la plus rapide et la plus importante, parce qu’aucune mesure ne rattrape un usage interdit : il faut le cesser.

Parmi les pratiques interdites par l’article 5, celle qui concerne le plus directement les entreprises est la reconnaissance des émotions sur le lieu de travail, à partir de données biométriques comme le visage ou la voix, sauf motif médical ou de sécurité. Vérifiez les options « analyse d’engagement » ou « analyse d’émotions » de vos outils de visioconférence, de centre d’appels et d’entretien vidéo.

Sont aussi interdites la notation sociale, la manipulation subliminale, l’exploitation des vulnérabilités liées à l’âge ou au handicap, et la catégorisation biométrique fondée sur des données sensibles.

Action 3 — Respecter les obligations de transparence

L’article 50 s’applique depuis le 2 août 2026. Pour une PME, trois situations reviennent souvent :

  • Un chatbot sur votre site. Le visiteur doit savoir qu’il échange avec une IA et non avec une personne. L’obligation pèse d’abord sur le fournisseur de l’outil, mais c’est votre site : vérifiez que la mention apparaît clairement.

  • Des images, vidéos ou voix générées qui paraissent authentiques. Si elles représentent des personnes, des lieux ou des événements réels de façon trompeuse, il faut indiquer qu’elles ont été générées ou modifiées. Cette obligation-là pèse sur vous, pas sur l’éditeur de l’outil.

  • Des textes générés publiés pour informer le public sur des sujets d’intérêt général. Mention obligatoire, sauf si un humain les a relus et en assume la responsabilité éditoriale.

Un article de blog commercial relu par vous, ou un courrier rédigé avec un assistant, n’entrent pas dans ces cas.

Action 4 — Promouvoir la littératie IA de vos équipes

L’article 4, dans sa version réécrite, impose aux déployeurs de prendre des mesures pour soutenir le développement de la littératie IA de leur personnel, en tenant compte des compétences, de l’expérience, de la formation et du contexte d’utilisation. Le texte précise désormais que cela n’oblige pas à garantir un niveau de compétence précis pour chaque personne.

C’est une obligation de moyens, mais elle reste une obligation. Concrètement, ces moyens sont :

  1. Une règle écrite qui dit quels outils sont autorisés, quelles données ne doivent jamais y être transmises, et qui relit quoi.

  2. Une formation adaptée aux usages réels, plus poussée pour ceux qui utilisent l’IA sur des sujets sensibles comme le recrutement.

  3. Une trace : qui a été formé, quand, sur quoi.

Sur la règle écrite et le piège qui la rend souvent inopposable, voyez notre article Politique d’usage de l’IA en entreprise : modèle et guide.

Action 5 — Préparer les usages à haut risque avant décembre 2027

Si l’inventaire fait apparaître un usage de l’annexe III, typiquement le tri de candidatures ou l’évaluation des salariés, vous avez jusqu’au 2 décembre 2027 pour mettre en place ce que l’article 26 exigera :

  • utiliser le système conformément à la notice du fournisseur ;

  • confier la supervision à des personnes compétentes et formées ;

  • informer au préalable les salariés et les personnes concernées par les décisions ;

  • conserver les journaux générés par le système pendant au moins six mois ;

  • signaler les incidents graves.

Attention au faux répit. Le report de l’AI Act ne reporte pas le RGPD. L’article 22 du RGPD, qui encadre les décisions fondées exclusivement sur un traitement automatisé, s’applique déjà — et le recrutement fait partie des priorités de contrôle de la CNIL en 2026. Détails dans Trier des candidatures avec l’IA : est-ce autorisé ?

Qui contrôle, et quel est le risque réel

En France, la surveillance est répartie entre une quinzaine d’autorités existantes. La DGCCRF coordonne l’ensemble, la CNIL intervient notamment sur la biométrie et plusieurs usages sensibles, et l’Arcom sur les contenus audiovisuels, dont les hypertrucages.

Les amendes sont fixées par les États membres dans les plafonds de l’article 99 du règlement, qui prévoit un traitement plus favorable pour les PME.

Soyons honnêtes sur le risque : pour une PME en 2026, le scénario le plus probable n’est pas un contrôle spécifique AI Act, mais une plainte — d’un candidat, d’un salarié, d’un client — qui déclenche un contrôle portant à la fois sur le RGPD et sur l’usage de l’IA. C’est à ce moment-là qu’un dossier daté fait la différence.

Ce que vous n’avez pas à faire

Pour un usage courant de l’IA, le règlement n’impose pas à une PME déployeuse :

  • d’obtenir une certification ;

  • d’enregistrer ses outils auprès d’une autorité ;

  • de nommer un « responsable IA » dédié ;

  • de faire réaliser un audit externe.

Méfiez-vous des offres qui vous vendent l’un de ces éléments comme une obligation. Ce qui vous protège, c’est un inventaire, des règles écrites, des équipes formées et des traces.

Le kit de conformité — 199 €

Les actions 1, 2 et 4 en dix minutes. Vous renseignez votre raison sociale et vos outils, le kit classe chaque usage — interdit, haut risque, risque limité, risque minimal — et génère à votre nom votre registre des systèmes d’IA, votre politique d’usage de l’IA, votre journal des usages sensibles et une note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

À lire ensuite

Sources

Cet article présente l’état du droit à la date indiquée. Il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un conseil pour une situation particulière.

Recevez les prochains articles par email. Un article par semaine sur l'IA, le RGPD et l'AI Act en entreprise, gratuit : s'abonner à IA en Règle.

Commentaires

Enregistrer un commentaire

Posts les plus consultés de ce blog

Registre des systèmes d'IA : modèle et mode d'emploi

Ce que l’AI Act exige vraiment, les dix colonnes utiles, et comment le relier au registre RGPD que vous devez sans doute déjà tenir. À jour au 14 septembre 2026 — AI Act & RGPD L’AI Act n’impose pas à une PME qui utilise l’IA de tenir un « registre des systèmes d’IA » sous ce nom. C’est pourtant le premier document à produire : sans liste de vos outils et de leurs usages, vous ne pouvez démontrer le respect d’aucune des obligations qui, elles, s’appliquent. Obligatoire ou pas ? La réponse exacte Commençons par dissiper une confusion fréquente, entretenue par certaines offres commerciales. Pas d’obligation autonome pour les entreprises utilisatrices. Aucun article du règlement (UE) 2024/1689 ne demande à une entreprise privée qui utilise l’IA de tenir un inventaire en tant que tel. L’enregistrement dans la base de données européenne ne vous concerne pas. L’article 49 vise les fournisseurs de systèmes à haut risque et les autorités publiques qui en déploient, pas les PME utilisatr...
Lire la suite

ChatGPT en entreprise : ce qui est autorisé, et ce qui ne l'est pas

Oui, vous pouvez utiliser ChatGPT au travail. Les vraies questions sont : quelle version, avec quelles données, et selon quelle règle. À jour au 14 septembre 2026 — IA générative, RGPD & AI Act Utiliser ChatGPT ou un autre assistant d’IA en entreprise est autorisé. Ce qui pose problème, ce sont trois pratiques très répandues : utiliser une version grand public pour des données de travail, y coller des données personnelles sans cadre, et laisser chacun faire sans règle écrite. La différence qui compte : offre grand public ou offre professionnelle Tout se joue sur l’offre utilisée, pas sur le nom de l’outil. Prenons l’exemple de ChatGPT, d’après les informations publiées par OpenAI. Versions gratuite et Plus. Les conversations peuvent servir à améliorer les modèles, sauf si l’utilisateur désactive l’option dans Paramètres, Contrôles des données, « Améliorer le modèle pour tout le monde ». Aucun accord de traitement des données n’est signé avec l’entreprise. Offres Business et Enter...
Lire la suite

Trier des candidatures avec l'IA : est-ce autorisé ?

Oui, mais c'est l'usage de l'IA le plus encadré en entreprise — et celui que la CNIL contrôle en priorité cette année. À jour au 14 septembre 2026 — Conformité & RGPD Trois conditions rendent le tri de candidatures par IA licite, et la première est une distinction que presque personne ne fait correctement. La distinction qui commande tout le reste Il y a deux choses très différentes derrière l’expression « trier des CV avec l’IA ». Aider un recruteur à lire. L’outil résume un CV, en extrait les compétences, reformule un parcours confus. Un humain lit ensuite chaque candidature et décide. L’IA a fait gagner du temps de lecture, rien de plus. Présélectionner automatiquement. L’outil attribue un score, classe les candidatures, et celles qui passent sous un seuil ne sont jamais lues par personne. Ici l’IA n’assiste plus : elle décide, par omission. Le premier usage est encadré. Le second est celui qui vous expose vraiment , et il est bien plus répandu qu’on ne l’admet — i...
Lire la suite