Le règlement européen sur l'intelligence artificielle — l'AI Act — génère depuis deux ans une quantité d'articles anxiogènes qui agitent le chiffre de 35 millions d'euros d'amende sans jamais dire à qui il s'applique. Résultat : beaucoup de dirigeants de PME pensent devoir se mettre en conformité avec un texte qui, pour l'essentiel, ne les vise pas.
Cet article fait l'inverse. Il commence par écarter ce qui ne vous concerne pas, pour ne garder que le peu qui vous concerne réellement — et ce peu, il vaut mieux le connaître, parce qu'une partie s'applique depuis février 2025.
Première distinction : êtes-vous fournisseur ou déployeur ?
C'est la question qui commande tout le reste, et elle se tranche en une phrase.
Fournisseur : vous développez un système d'IA, ou vous le faites développer pour le mettre sur le marché sous votre nom. C'est là que se concentrent la quasi-totalité des obligations lourdes — documentation technique, système de gestion des risques, marquage CE, enregistrement dans une base européenne. Déployeur : vous utilisez un système d'IA conçu par quelqu'un d'autre. C'est le cas de l'écrasante majorité des PME, y compris celles qui font un usage intensif de l'IA. Vos obligations sont beaucoup plus légères, et dans bien des cas quasi inexistantes.Une nuance à connaître : si vous prenez un système existant et que vous le modifiez substantiellement, ou que vous le commercialisez sous votre propre marque, vous basculez côté fournisseur. Faire développer une application métier qui intègre de l'IA, pour votre usage interne, ne vous y fait pas basculer.
Deuxième distinction : les quatre niveaux de risque
Le règlement classe les systèmes, pas les entreprises. Les obligations découlent de ce que le système fait, pas de sa technologie.
Risque inacceptable — interdit depuis le 2 février 2025. Manipulation des comportements, exploitation des vulnérabilités, notation sociale, certaines catégorisations biométriques. Aucune PME normalement constituée n'est ici. Haut risque — le cœur du dispositif. Biométrie, infrastructures critiques, dispositifs médicaux, et surtout : éducation, emploi, accès au crédit et aux services essentiels. C'est le seul niveau où une PME ordinaire peut se retrouver sans l'avoir cherché — j'y reviens, c'est le point important de cet article. Risque limité — essentiellement une obligation de transparence : la personne doit savoir qu'elle parle à une machine. Un agent conversationnel sur votre site est ici. Risque minimal — tout le reste, et c'est l'immense majorité : filtres anti-spam, recommandation de produits, optimisation logistique, aide à la rédaction, résumé de documents, classement automatique. Aucune obligation spécifique.Si vous utilisez l'IA pour rédiger, résumer, traduire, trier des documents internes ou accélérer du développement, vous êtes à risque minimal. Le règlement ne vous demande rien.
Le piège : le recrutement
Voilà le point qui mérite votre attention, parce qu'il attrape des entreprises qui ne se pensaient pas concernées.
Un système d'IA utilisé pour trier des candidatures, présélectionner des CV, évaluer des candidats ou aider à des décisions de promotion relève du haut risque. Ce n'est pas une lecture extensive : l'emploi figure explicitement parmi les domaines listés.
Or beaucoup de PME utilisent aujourd'hui, sans y penser, un outil de recrutement qui classe automatiquement les candidatures, ou demandent simplement à une IA généraliste de « faire un premier tri dans ces trente CV ». Le second cas est peut-être le plus fréquent, et le moins identifié comme tel.
En tant que déployeur d'un système à haut risque, vous devez notamment assurer un contrôle humain effectif — pas un humain qui valide en bloc ce que la machine a décidé — informer les personnes concernées, et conserver les journaux d'utilisation.
Le même raisonnement vaut si vous accordez des facilités de paiement en vous appuyant sur un score automatisé, ou si vous êtes dans la formation et que vous évaluez des apprenants par un système automatisé.
Ce qui s'applique déjà, aujourd'hui
Deux choses, indépendamment de votre niveau de risque.
Les interdictions, depuis le 2 février 2025. Elles ne vous concernent probablement pas, mais elles sont en vigueur. L'obligation de maîtrise de l'IA, depuis la même date. Celle-là concerne tout le monde. Les organisations qui déploient des systèmes d'IA doivent veiller à ce que les personnes qui les utilisent disposent d'un niveau de compréhension suffisant, adapté à leur contexte et aux risques.Concrètement : laisser une équipe utiliser une IA sans lui avoir jamais expliqué ce qu'elle sait faire, ce qu'elle invente, et ce qu'il ne faut pas lui confier, n'est plus une simple imprudence de gestion. C'est un écart à une obligation en vigueur. Et c'est, de loin, l'obligation la plus facile à satisfaire : une sensibilisation d'une heure et une note écrite suffisent à démontrer la démarche.
Le calendrier, et pourquoi il faut le vérifier
| Date | Ce qui entre en application | |---|---| | 1ᵉʳ août 2024 | Entrée en vigueur du règlement | | 2 février 2025 | Interdictions · obligation de maîtrise de l'IA | | 2 août 2025 | Modèles d'IA à usage général · désignation des autorités | | 2 août 2026 | Pleine applicabilité · obligations de transparence · pouvoirs de sanction | | 2 août 2027 | Produits intégrant une IA à haut risque |
Un avertissement nécessaire : ce calendrier a été réaménagé. Un accord dit « Digital Omnibus », intervenu entre le Conseil et le Parlement européens en mai 2026, décale une partie des échéances — notamment certaines obligations sur les systèmes à haut risque et le marquage lisible par machine des contenus générés.Ces reports ne concernent ni les interdictions, ni l'obligation de maîtrise de l'IA, ni les pouvoirs de sanction. Mais avant de fonder une décision d'entreprise sur une date précise, vérifiez l'état de publication du texte au Journal officiel de l'Union européenne. C'est un domaine où une information de quelques mois peut déjà être fausse — y compris celle-ci.
Les sanctions, remises à leur place
Les montants qui circulent sont exacts, mais on oublie systématiquement de préciser ce qu'ils sanctionnent.
35 millions d'euros ou 7 % du chiffre d'affaires mondial — le plus élevé des deux : c'est la sanction des pratiques interdites de l'article 5. Manipulation, notation sociale, exploitation de vulnérabilités. Autant dire : pas le tri de vos factures. 7,5 millions d'euros ou 1 % : fourniture d'informations inexactes ou trompeuses aux autorités.Entre les deux, le règlement prévoit un barème intermédiaire, et impose de tenir compte de la taille de l'entreprise. Le gouvernement français résume la fourchette réelle : de 1 % à 7 % du chiffre d'affaires mondial, ou de 7,5 à 35 millions d'euros selon l'infraction.
Une PME qui utilise l'IA pour des tâches bureautiques n'a aucune exposition à ces montants. Une PME qui trie ses candidatures par IA sans contrôle humain a une exposition réelle — mais qui se traite par de l'organisation, pas par un budget.
Ce qu'il faut faire, et c'est court
Un inventaire. Listez les systèmes d'IA réellement utilisés dans l'entreprise — pas ceux que vous avez achetés, ceux que vos équipes utilisent. L'écart entre les deux est presque toujours la vraie découverte de l'exercice. Un classement. Pour chacun, une question : est-ce que ce système intervient dans une décision concernant une personne — embauche, promotion, évaluation, crédit, accès à un service ? Si non, vous êtes à risque minimal et il n'y a rien à faire. Si oui, c'est là qu'il faut regarder de près. Une sensibilisation. Elle répond à une obligation déjà en vigueur, elle prend une heure, et elle réduit dans la foulée le risque de fuite de données — qui reste, dans les faits, le sujet le plus coûteux pour une PME, bien avant l'AI Act. Une trace écrite. L'inventaire, le classement et la sensibilisation, dans un document daté. La démonstration de la démarche compte autant que la démarche.Aucune de ces quatre étapes ne demande un prestataire, et aucune ne demande de budget. Elles suffisent à savoir, en une demi-journée, si vous êtes dans les 90 % de PME que ce règlement laisse tranquilles — ou dans les 10 % qui doivent structurer un point précis.
---
*Cet article décrit le cadre applicable à sa date de publication et ne constitue pas un conseil juridique. Le calendrier de l'AI Act a fait l'objet d'aménagements en 2026 : vérifiez l'état du texte publié avant toute décision engageante, et faites valider votre analyse par un conseil spécialisé si vous relevez d'un cas à haut risque.*