Le règlement du Parlement européen et du Conseil (UE) 2024/1689 sur l’intelligence artificielle — connu sous le nom d’AI Act — est entré en vigueur le 1er août 2024. En 2026, ses obligations clés s’activent pour toutes les entreprises qui déploient ou utilisent l’IA. Les amendes peuvent atteindre 35 millions EUR ou 7 % du chiffre d’affaires mondial (le plus élevé étant retenu). Pour les PME françaises, l’AI Act signifie des obligations concrètes que la plupart des entreprises ignorent encore. Voyons ce que vous devez réellement savoir, sans jargon juridique.
Pourquoi l’AI Act concerne aussi les petites entreprises
Mythe répandu : « L’AI Act, c’est pour OpenAI et les grands acteurs IA, pas pour nous. » C’est l’inverse qui est vrai. L’AI Act distingue trois rôles :
- Providers — développeurs/fournisseurs de systèmes IA (OpenAI, Anthropic, mais aussi des éditeurs français)
- Deployers — entreprises qui utilisent l’IA (votre service RH avec un assistant IA)
- Importers / distributors — entreprises qui distribuent de l’IA
Si dans votre entreprise vous utilisez ChatGPT, Claude, Microsoft Copilot, Gemini, ou un système RH/CRM avec fonctionnalité IA, vous êtes deployer. Et les deployers ont des obligations — surtout pour les systèmes IA à haut risque.
4 niveaux de risque des systèmes IA — qui se classe où
L’AI Act classe les systèmes IA en 4 catégories selon le risque.
Niveau 1 : Risque inacceptable (interdit)
Ce qui en relève : Le scoring social des citoyens (modèle chinois), les techniques manipulatoires subliminales, la reconnaissance des émotions sur le lieu de travail (!), la catégorisation biométrique selon la race / les opinions politiques, la biométrie à distance en temps réel dans l’espace public.
Ce que cela signifie pour les PME : Vous ne pouvez pas déployer un système IA qui :
- Détecte l’état émotionnel des salariés en open-space (même si vous le vouliez)
- Évalue les salariés selon leurs opinions politiques
- Crée des publicités manipulatrices basées sur des groupes vulnérables (enfants, personnes en dépression)
Effet : Depuis le 2 février 2025.
Niveau 2 : Haut risque
Ce qui en relève (pertinent pour les PME) :
- IA en RH — tri de CV, évaluation de la performance, décisions d’embauche/promotion
- IA dans le crédit / credit scoring
- IA dans l’évaluation des notes en formation
- IA dans les décisions sur les prestations sociales
- IA dans l’infrastructure critique (énergie, eau)
Ce que cela signifie pour les PME : Si vous utilisez l’IA pour pré-trier automatiquement les CV, vous devez :
- Avoir une human oversight (un humain doit être dans la boucle avant chaque décision importante)
- Enregistrer l’activité (log)
- Informer les candidats que l’IA est utilisée
- Avoir un risk management system (DPIA + AI risk assessment)
- Garantir la qualité des données d’entraînement (pas de biais)
Effet : Vague principale au 2 août 2026.
Niveau 3 : Risque limité — transparence
Ce qui en relève :
- Chatbots (doivent s’identifier comme IA)
- Deepfake — images/vidéos générées doivent être marquées
- Systèmes IA reconnaissant les émotions/biométrie (hors cas à haut risque)
Ce que cela signifie pour les PME : Si vous avez un chatbot IA sur votre site, vous devez y indiquer clairement « Vous communiquez avec un assistant IA ». Si vous utilisez l’IA pour créer des photos marketing (deepfake-like), elles doivent être marquées.
Effet : 2 août 2026.
Niveau 4 : Risque minimal (la majorité de l’IA)
Ce qui en relève : Filtres anti-spam, IA dans les jeux, algorithmes de recommandation, assistant IA dans un éditeur de texte, catégorisation automatique des factures, anomalies de cash flow, modèles prédictifs de stock.
Ce que cela signifie pour les PME : Aucune obligation au-delà du RGPD. Utilisable sans restriction. Mais il est tout de même bon d’avoir une AI policy interne.
Human oversight — ce que cela signifie réellement
« Human in the loop » est un concept clé de l’AI Act. Il ne suffit pas que l’IA propose une décision et qu’un humain clique OK. Il faut garantir :
- La capacité de l’humain à comprendre la sortie de l’IA (pas une boîte noire)
- La capacité d’intervenir — réécrire, annuler, arrêter
- La formation des personnes qui travaillent avec l’IA
- La documentation du processus — qui, quand, comment a contrôlé
Exemple concret : Dans une entreprise qui recrute, vous utilisez l’IA pour évaluer des CV. Vous ne pouvez pas envoyer automatiquement un refus aux candidats à faible score. Chaque CV doit être vu par un responsable RH qui a la possibilité de rejeter l’évaluation de l’IA.
6 cas d’usage IA concrets en PME française et leur classification
| Cas d’usage | Niveau de risque | Obligations |
|---|---|---|
| Catégorisation des factures (OCR + IA) | Minimal | Aucune (juste RGPD) |
| Chatbot sur le site web | Limité | Transparence |
| IA dans le CRM — scoring des leads | Minimal | Aucune particulière |
| IA pour le tri de CV au recrutement | Élevé | Human oversight + DPIA + log + info |
| IA pour l’évaluation de la performance | Élevé | Human oversight + DPIA + log |
| ChatGPT/Claude pour rédiger des textes | Minimal | AI policy interne |
Conseil : Si vous n’êtes pas sûr de la classification, utilisez ce test simple : « L’IA prend-elle une décision qui affecte directement le travail, la carrière, les finances ou les droits fondamentaux d’une personne précise ? » Si oui — probablement haut risque.
AI policy pratique pour PME — le minimum nécessaire en 2026
Toute entreprise qui utilise l’IA (et en 2026 ce sera chacune) devrait disposer d’une courte AI policy interne. Contenu recommandé :
- Liste des outils IA approuvés (whitelist)
- Interdiction de saisir des données sensibles / clients dans les IA publiques (ChatGPT free) — uniquement dans les versions enterprise avec DPA
- Règle de transparence : le contenu généré par IA doit être marqué
- Human review avant publication / envoi au client
- Liste des cas d’usage IA avec classification du risque (à mettre à jour tous les 6 mois)
- Formation au moins une fois par an
- Contact — qui dans l’entreprise traite les questions IA (DPO ou manager désigné)
Modulario fournit des fonctions IA (catégorisation des justificatifs, anomalies, assistant) au niveau du risque minimal et limité, avec transparence totale et human oversight. Plus d’informations sur la page IA et la documentation sécurité.
Sanctions — combien cela peut vous coûter
L’AI Act définit 3 niveaux d’amendes :
| Infraction | Maximum | Pour qui |
|---|---|---|
| Utilisation de pratiques IA interdites | 35 M EUR / 7 % du CA | Tous |
| Non-respect des obligations sur IA à haut risque | 15 M EUR / 3 % du CA | Providers, deployers |
| Fourniture de fausses informations au régulateur | 7,5 M EUR / 1 % du CA | Tous |
Pour une PME, cela paraît abstrait, mais les régulateurs confirment qu’ils sanctionneront proportionnellement — l’amende typique pour une PME française devrait se situer entre 10 000 et 100 000 EUR, ce qui reste destructeur pour une entreprise de 20 personnes.
Checklist pour PME française en 2026
- Auditez tous les outils IA utilisés par vos salariés (y compris shadow IT)
- Classifiez chacun selon son niveau de risque
- Rédigez une AI policy d’une page et communiquez-la à l’équipe
- Coupez l’accès aux IA publiques (ChatGPT free) pour les données sensibles
- Mettez à jour la documentation RGPD — DPIA pour usage IA
- Pour l’IA en recrutement / RH : mettez en place un processus formel de human oversight
- Marquez les chatbots et contenus générés par IA sur votre site
- Ajoutez la formation IA à l’onboarding
Conclusion
L’AI Act n’est pas une menace existentielle pour les PME françaises — c’est un cadre qui protège clients et salariés contre les abus de l’IA. La majorité des usages IA en PME (OCR, catégorisation, assistants de texte) relève du risque minimal et n’exige rien de plus qu’une policy interne et de la formation. Les zones à risque (RH, scoring) exigent une human oversight et de la documentation.
Vous utilisez l’IA et voulez être sûr d’être en conformité avec l’AI Act ? Consultez comment Modulario aborde l’IA ou réservez une consultation gratuite de 30 minutes. Nous parcourons ensemble votre stack IA et préparons une checklist de conformité sur mesure.