Vous utilisez peut-être déjà l'intelligence artificielle sans y penser : un assistant qui rédige vos e-mails, un outil qui trie les candidatures, un chatbot sur votre site, une solution qui note vos prospects. La question que se posent de plus en plus de dirigeants de PME et d'ETI est simple : suis-je concerné par l'AI Act ? La réponse, dans la plupart des cas, est oui — mais rarement là où on l'attend.
Le règlement (UE) 2024/1689, appelé AI Act, est le premier cadre juridique complet au monde consacré à l'intelligence artificielle. Il ne vise pas seulement les géants de la tech qui conçoivent les modèles : il concerne aussi les entreprises qui se contentent de les utiliser. Son entrée en application est progressive, échelonnée sur plusieurs années, et certaines obligations sont déjà en vigueur.
Bonne nouvelle : pour la majorité des PME qui utilisent l'IA de façon ordinaire, les obligations sont légères et parfaitement gérables. Encore faut-il savoir ce que l'on utilise, à quel niveau de risque, et dans quel rôle. Cet article pose le cadre sans jargon, donne les dates clés et propose un plan d'action concret.
Une réglementation organisée par niveaux de risque
L'AI Act ne traite pas tous les usages de l'IA de la même manière. Il les classe selon le risque qu'ils font peser sur la sécurité et les droits des personnes. Quatre niveaux structurent tout le règlement :
- Risque inacceptable : purement et simplement interdits. On y trouve la notation sociale généralisée, la manipulation comportementale ou certaines formes de surveillance biométrique de masse. Peu de PME sont concernées, mais l'interdiction est absolue.
- Haut risque : autorisés mais très encadrés. Cela couvre l'IA utilisée pour le recrutement et la gestion des salariés, l'octroi de crédit, la biométrie ou l'accès à des services essentiels. Ici, les obligations sont réelles.
- Risque limité : soumis à une obligation de transparence. Un chatbot, un contenu généré ou un « deepfake » doivent être signalés comme tels à l'utilisateur.
- Risque minimal : la grande majorité des usages courants (assistants de rédaction, filtres anti-spam, outils bureautiques). Aucune obligation spécifique.
Le point important pour une PME : une même entreprise peut cumuler plusieurs niveaux. Utiliser un assistant génératif pour rédiger un compte rendu relève du risque minimal ; utiliser un logiciel qui présélectionne automatiquement des candidats vous place, en tant qu'utilisateur, dans le champ du haut risque.
Fournisseur ou déployeur : identifiez votre rôle
L'AI Act distingue deux rôles principaux, aux obligations très différentes. Le fournisseur développe ou fait développer un système d'IA et le met sur le marché. Le déployeur utilise un système d'IA fourni par un tiers dans le cadre de son activité professionnelle.
Une PME est presque toujours un déployeur : elle achète ou s'abonne à des outils conçus par d'autres. Ses obligations, même pour un système à haut risque, restent proportionnées : utiliser l'outil conformément à sa notice, assurer une supervision humaine, conserver certains journaux et informer les personnes concernées. Attention toutefois : si vous personnalisez fortement un système, le renommez sous votre marque ou en modifiez la finalité, vous pouvez basculer dans le rôle de fournisseur — et hériter d'obligations bien plus lourdes.
Le calendrier d'entrée en application
L'AI Act est entré en vigueur en août 2024, mais ses obligations s'appliquent par étapes. Retenez les grandes échéances :
- Août 2024 : entrée en vigueur du règlement.
- Février 2025 : interdiction des pratiques à risque inacceptable et obligation de littératie en IA (former les équipes à un usage éclairé).
- Août 2025 : obligations pour les modèles d'IA à usage général (les grands modèles génératifs) et mise en place de la gouvernance européenne.
- Août 2026 : application de la majorité des obligations, dont la transparence pour les systèmes à risque limité.
- Août 2027 : obligations pour les systèmes à haut risque intégrés dans des produits déjà réglementés.
Deux échéances sont déjà passées. L'obligation de littératie en IA, en particulier, s'applique dès aujourd'hui à toute organisation qui déploie de l'IA : vos équipes doivent disposer d'un niveau de compréhension suffisant des outils qu'elles utilisent.
AI Act et RGPD : deux logiques à ne pas confondre
Beaucoup de dirigeants assimilent l'AI Act au RGPD. Ce sont deux textes complémentaires mais distincts. Le RGPD (règlement (UE) 2016/679, supervisé par la CNIL en France) encadre le traitement des données personnelles. L'AI Act encadre les systèmes d'IA eux-mêmes, en fonction de leur risque, qu'ils traitent ou non des données personnelles.
Un outil de tri de CV illustre bien le chevauchement : il relève du RGPD parce qu'il traite les données des candidats, et de l'AI Act parce qu'il s'agit d'un système à haut risque. Votre registre des traitements RGPD est donc un excellent point de départ pour votre inventaire IA — mais il ne suffit pas à lui seul à couvrir vos obligations au titre de l'AI Act.
Votre plan d'action
Pas besoin de tout traiter d'un coup. Une démarche méthodique en quelques étapes suffit à prendre de l'avance :
- Recensez tous les systèmes d'IA utilisés dans l'entreprise, y compris les usages informels des équipes (le « shadow IT » de l'IA, comme les comptes personnels sur des outils génératifs).
- Classez chaque système selon les quatre niveaux de risque du règlement.
- Identifiez votre rôle pour chacun : simple déployeur ou, plus rarement, fournisseur.
- Assurez la transparence : signalez clairement à vos clients et à vos salariés lorsqu'ils interagissent avec une IA ou avec un contenu généré.
- Formez vos équipes : l'obligation de littératie en IA est déjà applicable.
- Documentez : une courte politique d'usage interne de l'IA et une supervision humaine sur les usages sensibles.
- Croisez cet inventaire avec votre registre RGPD pour repérer les systèmes soumis aux deux textes.
- Suivez le calendrier et anticipez les échéances de 2026 et 2027.
Comment Sedona peut aider
Sedona.AI est un cabinet français d'ingénierie IA et de cybersécurité qui accompagne les PME et ETI dans un usage maîtrisé de l'intelligence artificielle. Concrètement, nous aidons à dresser l'inventaire de vos systèmes d'IA, à cadrer une politique d'usage interne, à automatiser vos processus avec des outils comme n8n sans perdre le contrôle, et à sensibiliser vos équipes — avec des formations Qualiopi mobilisables via notre partenaire et votre OPCO. Soyons clairs : nous vous aidons à mettre de l'ordre et à documenter votre démarche, mais nous ne délivrons aucune certification de conformité à l'AI Act, qui relève de votre responsabilité et du futur cadre de contrôle européen.
Vous souhaitez y voir clair sur vos usages actuels de l'IA ? Parlez-en à un expert Sedona, ou consultez nos ressources et notre offre de formation.
