L’AI Act, le règlement européen sur l’intelligence artificielle, entre progressivement en application et concerne bien au-delà des géants de la tech : toute entreprise qui utilise un système d’IA — même acheté sur étagère — porte des obligations. En 2026, les PME et ETI doivent comprendre ce que l’AI Act leur impose réellement, sans sur-réagir ni sous-estimer.
Ce guide pratique traduit le règlement en obligations concrètes, avec un plan d’action en 90 jours. Pour structurer votre démarche, voir notre page gouvernance IA en entreprise.
Table des matières
AI Act : le calendrier qui vous concerne
Le règlement s’applique par vagues : interdictions des pratiques prohibées et obligations de maîtrise de l’IA (« AI literacy ») d’abord, puis obligations des modèles à usage général, et enfin le régime complet des systèmes à haut risque. En 2026, la quasi-totalité des dispositions qui concernent une PME utilisatrice sont applicables ou imminentes.
Le point clé : l’AI Act distingue le fournisseur (qui développe le système) du déployeur (qui l’utilise). Une PME est presque toujours déployeur — avec des obligations réelles mais proportionnées.
Les 4 niveaux de risque (et où vous vous situez)
- Risque inacceptable — interdit : notation sociale, manipulation, reconnaissance des émotions au travail (hors sécurité/médical)
- Haut risque — encadré strictement : IA utilisée pour le recrutement et la gestion RH, l’accès au crédit, l’éducation, les infrastructures critiques… C’est LA catégorie qui piège les PME : un simple outil de tri de CV est concerné
- Risque limité — transparence : chatbots et contenus générés doivent être signalés comme tels
- Risque minimal — libre : la grande majorité des usages bureautiques et productivité
Vos obligations concrètes en tant que déployeur
Pour les systèmes à haut risque que vous utilisez : suivre les instructions du fournisseur, garantir une supervision humaine compétente, contrôler la pertinence des données d’entrée, surveiller le fonctionnement et signaler les incidents graves, conserver les journaux, et informer les personnes concernées (salariés, candidats).
Pour tous les usages : former les collaborateurs à un usage maîtrisé de l’IA (obligation d’AI literacy) et être transparent quand un contenu ou une interaction est générée par IA. Rien d’insurmontable — à condition d’avoir inventorié ses usages.
Les sanctions : ce que vous risquez vraiment
Le barème est dissuasif : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et jusqu’à 15 millions ou 3 % pour les manquements aux obligations. Les montants sont proportionnés pour les PME, mais le risque réputationnel et contractuel (donneurs d’ordre qui exigent la conformité) arrive souvent avant l’amende.
Les grands donneurs d’ordre intègrent déjà des clauses AI Act dans leurs contrats : la conformité devient une condition d’accès au marché, comme le RGPD hier.
Votre plan de mise en conformité en 90 jours
Jours 1-30 : inventaire de tous les usages IA (y compris le shadow AI et les fonctions IA embarquées dans vos logiciels), classement par niveau de risque, identification des systèmes haut risque.
Jours 31-60 : traitement des priorités — vérification de la conformité des fournisseurs des systèmes haut risque, mise en place de la supervision humaine, charte d’usage interne et formation des équipes.
Jours 61-90 : documentation (registre des systèmes, journaux, procédure incident), intégration dans la gouvernance existante (comité IA, DPO) et revue périodique. La conformité AI Act n’est pas un projet ponctuel mais un processus — comme le RGPD.
FAQ sur l’AI Act
L’AI Act s’applique-t-il si nous utilisons seulement ChatGPT ou Copilot ?
Oui, a minima l’obligation de maîtrise de l’IA (formation des utilisateurs) et la transparence sur les contenus générés. Le point de vigilance : les usages RH (tri de candidatures, évaluation) qui peuvent basculer en haut risque.
Qui est responsable si l’outil acheté n’est pas conforme ?
Le fournisseur porte la conformité du système, mais le déployeur reste responsable de son usage : supervision humaine, données d’entrée pertinentes, information des personnes. Exigez contractuellement la documentation de conformité du fournisseur.
Faut-il nommer un responsable IA ?
Ce n’est pas une obligation formelle, mais en pratique un référent (souvent le DPO élargi ou le DSI) est indispensable pour tenir l’inventaire, la formation et le registre. Un comité de gouvernance IA structure naturellement ce rôle.
Comment l’AI Act s’articule-t-il avec le RGPD ?
Les deux se cumulent : dès qu’un système d’IA traite des données personnelles, le RGPD s’applique (base légale, minimisation, AIPD le cas échéant) en plus des obligations AI Act. Les entreprises déjà matures sur le RGPD ont une longueur d’avance.
AI Act : l’essentiel pour une PME/ETI
L’AI Act est gérable pour une PME : inventorier ses usages, identifier les rares systèmes à haut risque, former ses équipes et documenter. Le vrai risque est l’ignorance — utiliser sans le savoir un système haut risque en RH ou laisser prospérer le shadow AI.
Nos experts mènent l’inventaire, la classification et la mise en conformité AI Act dans le cadre d’une gouvernance IA opérationnelle. Contactez-nous pour un état des lieux.