AI Act PME : obligations 2026 et actions simples

Si votre PME utilise ChatGPT, un assistant intégré à vos logiciels ou un agent IA, l'AI Act vous concerne déjà, en général comme simple utilisateur professionnel. En 2026, la plupart des PME n'ont pas besoin d'une cellule de conformité. Elles doivent recenser leurs usages, former leurs équipes, informer les personnes concernées et garder un contrôle humain sur les décisions sensibles.

Cet article propose une méthode en cinq étapes. Il ne remplace pas un avis juridique, surtout si vous utilisez l'IA pour recruter, évaluer des salariés ou accorder un crédit.

Ce qui s'applique déjà et ce qui arrive en 2026

Le règlement européen sur l'intelligence artificielle est entré en vigueur en août 2024. Ses obligations s'appliquent par étapes :

• Depuis février 2025 : certaines pratiques sont interdites, comme la notation sociale ou la reconnaissance des émotions sur le lieu de travail, sauf exceptions médicales ou de sécurité. Les entreprises qui utilisent l'IA doivent aussi veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui s'en servent.
• Depuis août 2025 : des règles s'appliquent aux fournisseurs de modèles d'IA à usage général, c'est-à-dire aux éditeurs des grands modèles. Une PME utilisatrice est rarement concernée directement.
• À partir d'août 2026 : les obligations de transparence entrent en application, ainsi qu'une grande partie des règles sur les systèmes à haut risque listés par le règlement. Les sanctions sont fixées par chaque État membre.

Un point de vigilance : fin 2025, la Commission européenne a proposé de simplifier certaines règles et de reporter une partie des obligations sur le haut risque. Cette proposition touche aussi d'autres dispositions. Tant qu'elle n'est pas adoptée, le texte actuel s'applique. Vérifiez donc le calendrier en vigueur avec votre conseil juridique ou les publications officielles.

Fournisseur ou déployeur : identifier votre rôle

L'AI Act distingue surtout deux rôles :

• Le fournisseur développe un système d'IA et le met sur le marché sous son nom.
• Le déployeur utilise un système d'IA dans un cadre professionnel.

La grande majorité des PME sont déployeurs. Vous êtes déployeur si vous utilisez Copilot, un outil de transcription, un chatbot sur votre site ou un agent connecté à votre CRM, par exemple pour l'une des tâches répétitives qu'un agent IA peut prendre en charge.

Certaines situations sont moins claires. Vous pouvez avoir des obligations de fournisseur si vous développez un outil d'IA pour le vendre à vos clients. C'est aussi le cas si vous modifiez substantiellement un système pour un usage à haut risque. Dans ces deux cas, faites-vous accompagner.

Classer vos usages par niveau de risque

Le règlement raisonne par usage, pas par outil. Le même modèle peut être sans enjeu pour rédiger un post LinkedIn et devenir sensible s'il sert à trier des candidatures.

• Risque inacceptable : usages interdits. Vérifiez qu'aucun outil ne fait de reconnaissance des émotions de vos salariés ni de manipulation de personnes vulnérables.
• Haut risque : notamment le tri de CV, l'évaluation des performances, les décisions de promotion ou de licenciement, l'évaluation de la solvabilité de particuliers. Ces usages imposent des obligations précises au déployeur.
• Risque de transparence : chatbots qui dialoguent avec des personnes, contenus générés ou modifiés qui pourraient passer pour authentiques.
• Risque minimal : rédaction assistée, résumé de réunions, aide à la recherche, traduction interne. Aucune obligation spécifique au-delà de la maîtrise de l'IA et des règles existantes, dont le RGPD.

Distinguez aussi la nature technique de vos outils, car le niveau de contrôle nécessaire varie :

• Une automatisation déterministe suit des règles fixes. Par exemple, une facture reçue est classée dans un dossier précis. Elle ne relève souvent pas de la définition d'un système d'IA, mais reste soumise au RGPD.
• Un assistant propose et l'humain décide : brouillon d'e-mail, résumé, suggestion de réponse.
• Un agent autonome enchaîne des actions seul. Il lit une demande, consulte des données, puis envoie une réponse ou met à jour un outil. C'est pour ce type d'outil que le contrôle humain et la traçabilité comptent le plus.

Exemple illustratif - cas fictif. Une PME de services de 60 personnes recense ses usages. Hypothèses : 30 collaborateurs utilisent un assistant de rédaction, le support client teste un chatbot sur le site, les RH envisagent un outil de présélection de CV. Le classement donne trois niveaux. L'assistant relève du risque minimal, le chatbot de la transparence et la présélection de CV du haut risque. L'entreprise suspend ce dernier projet jusqu'à ce que les obligations soient clarifiées avec l'éditeur.

La maîtrise de l'IA : l'obligation déjà en vigueur

Depuis février 2025, les entreprises qui utilisent l'IA doivent prendre des mesures pour que leur personnel dispose d'un niveau suffisant de maîtrise de l'IA. Le texte ne fixe ni diplôme ni nombre d'heures. Il demande des mesures adaptées aux connaissances des personnes, à leur contexte et à leurs usages.

Une personne qui utilise l'IA au travail devrait savoir :

• ce qu'un modèle génératif fait bien et ce qu'il fait mal, notamment produire des erreurs plausibles ;
• quelles données ne jamais saisir dans un outil non validé ;
• quand une sortie doit être vérifiée, et par qui ;
• à qui signaler un problème ou un usage douteux.

Ces points recoupent les compétences IA à maîtriser en 2026. Pour des équipes non techniques, une formation de 1 à 2 jours peut couvrir l'essentiel, à condition de travailler sur vos propres outils et cas d'usage. Une simple démonstration d'outil ne suffit pas. Pour évaluer un programme, consultez ce que doit couvrir une bonne formation IA.

Gardez une trace du programme, des participants et des dates. Ces éléments vous aideront à répondre à un client, un auditeur ou une autorité.

Votre plan d'action en cinq étapes

1. Faire l'inventaire

Listez tous les outils qui utilisent de l'IA. Incluez les fonctions intégrées à vos logiciels existants et les outils adoptés sans validation. Un court questionnaire envoyé aux managers suffit pour démarrer.

2. Classer chaque usage

Pour chaque usage, notez le niveau de risque, votre rôle, les données traitées et le responsable interne. Un tableur partagé suffit.

3. Former les utilisateurs

Formez d'abord les équipes qui utilisent l'IA au quotidien, puis celles qui interviennent sur des usages sensibles. Rédigez une charte d'usage courte, d'une ou deux pages.

4. Informer les personnes concernées

Veillez à ce qu'un visiteur sache qu'il échange avec un chatbot. Signalez les images, vidéos ou sons générés qui pourraient tromper. Pour tout usage à haut risque sur le lieu de travail, informez les salariés et leurs représentants avant la mise en service.

5. Organiser le contrôle humain

Pour chaque usage sensible, nommez une personne compétente capable de valider, corriger ou arrêter le système. Conservez les journaux d'activité fournis par l'outil. Demandez à vos éditeurs leur documentation de conformité et leurs conditions de traitement des données.

Un agent autonome demande des garde-fous supplémentaires :

• un périmètre d'actions limité ;
• une validation humaine avant tout envoi externe ou toute décision engageante ;
• une possibilité d'arrêt immédiat.

Avant de l'étendre, testez l'agent sur un pilote de 4 à 6 semaines avec un périmètre restreint pour observer son comportement. Le choix de la tâche de départ compte : voir comment choisir la bonne tâche pour un premier agent IA.

Questions fréquentes

Une PME de 15 personnes qui utilise seulement ChatGPT est-elle concernée ?

Oui, au titre de l'obligation de maîtrise de l'IA. Vos collaborateurs doivent comprendre les limites de l'outil, savoir quelles données ne pas y saisir et vérifier ce qu'ils réutilisent. Une charte courte et une formation adaptée répondent à l'essentiel pour ce type d'usage.

Faut-il une certification ou un nombre d'heures de formation minimum ?

Non. Le règlement n'impose ni certification ni durée. Il demande des mesures proportionnées aux usages et aux profils. Conservez la preuve de ce que vous avez mis en place : programme, participants, dates et charte d'usage.

Un agent IA qui répond aux clients est-il un usage à haut risque ?

Pas en soi. Un agent de support relève en général des obligations de transparence : la personne doit savoir qu'elle échange avec une IA. Le niveau de risque change si l'agent intervient dans une décision listée par le règlement, comme l'accès à un crédit. Dans tous les cas, prévoyez une validation humaine pour les réponses engageantes.

Les limites de cette approche et la prochaine étape

Cette méthode couvre la majorité des situations d'une PME utilisatrice. Elle ne suffit pas si :

• vous développez ou commercialisez un système d'IA ;
• vous utilisez l'IA pour des décisions RH, de crédit ou d'accès à des services essentiels ;
• vous opérez dans un secteur réglementé, comme la santé, la finance ou les infrastructures.

Dans ces cas, un accompagnement juridique spécialisé est nécessaire. L'AI Act s'ajoute au RGPD sans le remplacer. Une analyse d'impact sur la protection des données peut donc rester obligatoire, même pour un usage à faible risque au sens de l'AI Act.

Pour la plupart des PME, l'action la plus utile dès maintenant est de vérifier ce que vos équipes savent réellement faire avec l'IA. Utilisez la checklist ci-dessous pour repérer les compétences à renforcer en priorité, puis intégrez le résultat à votre plan de formation.