AI Act : ce que le règlement européen sur l'IA change vraiment pour une petite entreprise

Vous utilisez ChatGPT pour rédiger vos courriels, un outil qui crée des visuels, ou vous envisagez un assistant automatique sur votre site ? Ce guide s'adresse aux dirigeants de TPE, artisans, commerçants et responsables d'association qui veulent savoir, sans lire le texte juridique, ce que le règlement européen sur l'intelligence artificielle (souvent appelé AI Act) leur demande réellement. Vous y verrez les trois points qui vous concernent le plus souvent et ce que vous pouvez faire dès cette semaine.

Comprendre la logique du règlement en deux minutes

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s'applique par étapes. Il ne vise pas l'IA en général : il classe les usages selon leur niveau de risque.

• Les pratiques interdites, jugées inacceptables.
• Les systèmes à haut risque (recrutement, crédit, éducation, sécurité de certains produits), soumis à de lourdes obligations.
• Les systèmes à risque limité, comme les assistants conversationnels, soumis surtout à des obligations de transparence.
• Tous les autres usages, sans obligation particulière au-delà du droit existant.

Le texte distingue aussi le fournisseur, qui développe et met sur le marché un outil d'IA, du déployeur, qui l'utilise dans son activité professionnelle. Une petite entreprise qui se sert de ChatGPT, de Le Chat ou de Claude est en général déployeur : la plupart des obligations techniques pèsent sur l'éditeur de l'outil, pas sur vous.

Depuis février 2025 : former vos équipes à l'IA

Depuis le 2 février 2025, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA (on parle de culture IA) chez les personnes qui utilisent ces outils pour leur compte. Aucun diplôme ni certificat n'est imposé : l'effort attendu dépend de vos usages et de vos risques.

Pour une TPE, cela peut rester simple :

1. Listez qui utilise quel outil d'IA, et pour quoi faire.
2. Expliquez à chacun ce que l'outil fait bien, ce qu'il fait mal (erreurs, inventions, biais) et ce qu'il ne faut jamais y saisir.
3. Rédigez une page de règles internes : outils autorisés, données interdites, relecture obligatoire.
4. Gardez une trace de ces échanges (date, participants, support utilisé).

À partir d'août 2026 : dire quand on parle à une machine

Les obligations de transparence de l'article 50 s'appliquent à partir du 2 août 2026. Pour une petite structure, elles se traduisent surtout ainsi :

• Un assistant conversationnel sur votre site doit indiquer clairement à l'internaute qu'il échange avec une IA, sauf si c'est évident.
• Une image, une vidéo ou un son généré ou modifié par IA, qui imite de façon réaliste une personne, un lieu ou un événement réel (on parle d'hypertrucage), doit être signalé comme tel.
• Un texte généré par IA et publié pour informer le public sur des sujets d'intérêt général doit être signalé, sauf s'il a été relu par une personne qui en assume la responsabilité éditoriale.

En pratique, une mention visible du type « Vous échangez avec un assistant automatique » dans la fenêtre de discussion, et une mention « image créée avec l'aide de l'IA » sous les visuels réalistes, couvrent la plupart des situations. Le marquage technique des contenus, comme les filigranes invisibles, incombe surtout aux éditeurs des outils.

Les pratiques interdites depuis février 2025

Certaines utilisations sont interdites depuis le 2 février 2025, quelle que soit la taille de l'entreprise. Une TPE est rarement concernée, mais mieux vaut les connaître. Sont notamment interdits :

• manipuler les personnes par des techniques subliminales ou exploiter leur vulnérabilité (âge, handicap, situation sociale) pour altérer leur comportement à leur détriment ;
• noter les personnes selon leur comportement social, avec des conséquences injustifiées ;
• déduire les émotions des salariés sur le lieu de travail ou des élèves à l'école, sauf raisons médicales ou de sécurité ;
• constituer des bases de reconnaissance faciale en aspirant sans discernement des images sur internet ou des caméras de surveillance ;
• classer les personnes selon leurs opinions politiques, leur religion ou leur orientation sexuelle à partir de données biométriques.

Si l'on vous propose un logiciel qui « mesure l'humeur » de vos employés par caméra ou par la voix, refusez-le.

Un calendrier qui peut encore bouger

Le texte prévoit d'autres étapes, notamment pour les systèmes à haut risque, en août 2026 et en août 2027. Mais l'Union européenne a engagé fin 2025 une démarche de simplification, appelée omnibus numérique, qui propose de reporter ou d'alléger certaines obligations. Le calendrier de certaines obligations peut donc encore être ajusté. Avant toute décision importante, vérifiez l'état du texte sur le site de la Commission européenne et les fiches pratiques de la CNIL. Le RGPD, lui, continue de s'appliquer dès que vous traitez des données personnelles avec un outil d'IA.

La liste à cocher

• J'ai listé les outils d'IA utilisés dans mon entreprise, et par qui.
• J'ai expliqué à chaque utilisateur les limites de ces outils et les données à ne pas y saisir.
• J'ai écrit une page de règles internes et je l'ai datée.
• Mon assistant en ligne annonce clairement qu'il s'agit d'une IA.
• Mes images ou vidéos réalistes créées par IA portent une mention.
• Je n'utilise aucun outil d'analyse des émotions de mes salariés.
• J'ai prévu de revérifier le calendrier officiel dans six mois.

Vous vous demandez si vos usages sont concernés ou comment rédiger vos règles internes ? Nous pouvons en parler lors d'un échange gratuit. Le guide consacré à l'utilisation des assistants d'IA sans exposer les données de vos clients, dans la rubrique guides, complète celui-ci.

Questions fréquentes