AI Act : les obligations concrètes d'une PME qui utilise l'IA

Le calendrier de l'AI Act est désormais fixé, omnibus de juillet 2026 compris. Reste la question pratique : qu'est-ce que le règlement demande, concrètement, à une PME qui se contente d'utiliser des outils d'IA ? Le texte la désigne comme « déployeur ». Voici ses obligations, article par article, d'après le règlement (UE) 2024/1689 dans sa version modifiée par le règlement (UE) 2026/1744.

Êtes-vous déployeur ?

L'article 3 définit le déployeur comme toute personne physique ou morale « utilisant sous sa propre autorité un système d'IA sauf lorsque ce système est utilisé dans le cadre d'une activité personnelle à caractère non professionnel ». Un cabinet qui fait résumer ses courriers, un artisan qui fait rédiger ses devis par un assistant : tous deux sont déployeurs. La taille de l'entreprise ne change rien à la qualification.

1. Développer la maîtrise de l'IA de vos équipes

C'est l'obligation qui concerne tout le monde, depuis le 2 février 2025. L'omnibus de 2026 a réécrit l'article 4 : les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel ». Le texte précise que cette obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

En pratique, il s'agit de pouvoir montrer ce qui a été fait : une présentation des outils utilisés, de leurs limites, des données à ne pas y saisir, et des règles de relecture. Le même article prévoit que la Commission et les États membres soutiennent ces efforts, « en particulier » ceux des PME, et que la Commission publie des exemples pratiques.

2. Ne pas franchir les interdits

L'article 5 interdit certaines pratiques depuis le 2 février 2025. Trois d'entre elles peuvent concerner une entreprise ordinaire :

• inférer les émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, sauf raisons médicales ou de sécurité
• noter des personnes selon leur comportement social, avec un traitement défavorable à la clé
• constituer des bases de reconnaissance faciale par moissonnage non ciblé d'images

L'omnibus ajoute deux interdictions applicables au 2 décembre 2026, qui visent la génération de contenus intimes non consentis d'une personne identifiable et de contenus pédopornographiques.

3. Signaler certains contenus

Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Elles se partagent entre fournisseurs et déployeurs.

Informer une personne qu'elle échange avec une IA relève d'abord du fournisseur, qui doit concevoir son système pour cela (article 50, paragraphe 1). Le déployeur, lui, doit :

• signaler qu'une image, un son ou une vidéo est un hypertrucage, c'est-à-dire un contenu généré ou manipulé qui ressemble à des personnes, lieux ou événements réels
• signaler qu'un texte publié pour informer le public sur des questions d'intérêt public a été généré ou manipulé par une IA, sauf s'il a fait l'objet d'une relecture humaine ou d'un contrôle éditorial et qu'une personne en assume la responsabilité éditoriale
• informer les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique

Cette information doit être claire et reconnaissable, au plus tard lors de la première interaction ou exposition (article 50, paragraphe 5).

4. Anticiper les usages à haut risque

Les obligations de l'article 26 visent les déployeurs de systèmes à haut risque. Pour les usages listés à l'annexe III, elles s'appliqueront à partir du 2 décembre 2027. Pour une PME, le cas le plus courant figure au point 4 de cette annexe : l'IA utilisée pour recruter, trier des candidatures, décider d'une promotion ou d'un licenciement, ou suivre les performances des salariés.

Dans ce cas, le déployeur devra notamment :

• utiliser le système conformément à sa notice
• confier le contrôle humain à des personnes compétentes, formées et dotées de l'autorité nécessaire
• veiller à la pertinence des données d'entrée qu'il maîtrise
• surveiller le fonctionnement du système et prévenir le fournisseur en cas de risque
• conserver les journaux générés automatiquement pendant au moins six mois
• informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail
• informer les personnes qui font l'objet d'une décision prise ou assistée par le système

Le déployeur utilise aussi les informations fournies par le fournisseur pour mener, le cas échéant, l'analyse d'impact prévue par le RGPD (article 26, paragraphe 9). Trier des emails, préparer une facture ou rapprocher un relevé ne figurent pas dans l'annexe III.

Ce que risque une PME

L'article 99 fixe des plafonds d'amende :

Manquement	Plafond
Pratiques interdites (article 5)	35 millions d'euros ou 7 % du chiffre d'affaires mondial
Obligations des déployeurs (article 26) et de transparence (article 50)	15 millions d'euros ou 3 %
Informations inexactes fournies aux autorités	7,5 millions d'euros ou 1 %

Pour les grandes entreprises, le montant le plus élevé s'applique. Pour les PME, l'article 99, paragraphe 6, retient « le chiffre le plus faible ». L'omnibus a par ailleurs précisé que les sanctions prévues par les États membres peuvent « également comprendre des amendes administratives, des avertissements et des mesures non monétaires ».

Par où commencer

1. Lister les outils d'IA utilisés dans l'entreprise, y compris ceux adoptés spontanément par les équipes.
2. Vérifier qu'aucun usage ne relève des pratiques interdites ni de l'annexe III.
3. Organiser une courte formation et en garder la trace.
4. Décider qui relit et signe ce qui est publié.

La CNIL tient à jour ses questions-réponses sur l'entrée en vigueur du règlement.

Ce qu'EchoBrain prend en charge

Les agents EchoBrain soumettent leurs propositions engageantes à une validation humaine et gardent un journal de leurs actions. La recherche documentaire et l'agent Email travaillent sur les sources que vous autorisez, et un collaborateur relit avant tout envoi. Ces éléments facilitent le contrôle humain. Ils ne constituent pas une attestation de conformité à l'AI Act.

Cet article est une information générale et ne constitue pas un conseil juridique.

Sources

• Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, EUR-Lex
• Règlement (UE) 2026/1744 du 8 juillet 2026 concernant la simplification de la mise en œuvre des règles harmonisées sur l'IA (omnibus numérique), EUR-Lex
• Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses de la CNIL, CNIL