Les nouvelles règles pour utiliser l'IA en entreprise.
Ce guide vous montre comment rester conforme et protégé.
Alors que 95% des PME opèrent aujourd'hui sans aucune politique IA définie, le couperet légal approche. Les sanctions peuvent être fatales pour les petites structures.
| ID | Section | Page |
|---|---|---|
| 01 | Le 2 août 2026 : ce qui change vraiment | 2 |
| 02 | Comprendre l'AI Act en 10 minutes | 3 |
| 03 | Ce que risque concrètement votre entreprise | 4 |
| 04 | Les usages IA les plus sensibles | 5 |
| 05 | La cartographie IA : votre première obligation | 5 |
| 06 | Checklist de conformité PME | 6 |
| 07 | Plan d'action sur 30 jours | 7 |
| 08 | FAQ & Financement | 8 |
| 09 | Glossaire | 9 |
Le 2 août 2026, les règles changent définitivement.
L'AI Act n'est pas une loi réservée à Google ou OpenAI. Votre PME est directement concernée, même si vous utilisez simplement ChatGPT ou un outil tiers. Le seul mauvais choix aujourd'hui : l'attentisme. Agir maintenant coûte infiniment moins cher que subir une amende ou perdre un appel d'offres.
Tous vos outils IA, y compris ceux utilisés sans votre accord (Shadow IT). Vous ne pouvez pas vous conformer à ce que vous ne connaissez pas.
Chaque usage selon les 4 niveaux de risque. C'est cette étape qui détermine vos obligations réelles et le niveau d'effort à fournir.
Mentions chatbot, étiquetage des contenus générés. Ces obligations sont déjà en vigueur depuis le premier cycle de l'AI Act.
Vos systèmes à haut risque avant le 2 août 2026. C'est votre preuve de conformité face à un contrôle ou un audit client.
Vos équipes à l'IA responsable. L'AI literacy est une obligation légale explicite du texte européen – pas une recommandation, une exigence.
La loi européenne ne fait aucune distinction de taille. Ce qui compte, c'est l'usage que vous faites de l'IA. Si vous l'utilisez dans un contexte sensible (RH, finance, santé, relation client), vous êtes dans le périmètre.
| Date | Ce qui entre en vigueur |
|---|---|
| Déjà applicable | Interdictions (risques inacceptables). Obligations de transparence (article 50). |
| 2 août 2026 | Obligations pour les systèmes à haut risque (RH, crédit, santé...). AI literacy obligatoire. |
| 2 déc. 2027 | Obligations techniques étendues pour certains systèmes spécifiques (report Omnibus). |
Le piège de l'Omnibus : L'UE a reporté certaines obligations techniques au 2 décembre 2027. Mais les obligations de transparence (art. 50) et la cartographie des systèmes IA sont déjà exigibles.
Vous utilisez des outils IA en interne (CRM, RH, marketing). Vous êtes "déployeur" et portez des obligations spécifiques.
Vous proposez des services augmentés par l'IA à vos clients. Vous êtes "fournisseur" avec des obligations encore plus lourdes.
Vous travaillez pour des grands comptes qui vont exiger votre conformité AI Act dans leurs contrats. Anticipez leurs audits.
Vous publiez du contenu généré par IA (textes, images, vidéos). L'étiquetage est obligatoire dès maintenant.
Quatre niveaux de risque, quatre régimes d'obligations distincts.
| Niveau | Signification | Exemples PME | Échéance |
|---|---|---|---|
| Inacceptable | INTERDIT (prohibition totale) | Notation sociale, biométrie temps réel | Déjà en vigueur |
| ■ Haut risque | Obligations lourdes (cœur du problème) | RH, credit scoring, santé, éducation | 2 août 2026 |
| Limité/Faible | Transparence + AI literacy obligatoires | Chatbots, génération de contenu, marketing | Déjà en vigueur |
| ■ Minimal | Bonnes pratiques recommandées | Outils de productivité génériques | Aucune échéance |
Si vous répondez positivement à au moins une de ces lignes, vous devez engager une démarche de conformité avant le 2 août 2026 :
⬜ Trier des CV ou présélectionner des candidats via un outil automatisé
⬜ Noter ou évaluer les performances de vos employés avec de l'IA
⬜ Accorder ou refuser un crédit, un prêt, une assurance via scoring automatique
⬜ Proposer un chatbot qui qualifie un lead ou refuse une opération
⬜ Générer du contenu (texte, image, vidéo) publié sans mention IA
⬜ Utiliser un outil SaaS avec fonctions de recommandation ou prédiction
⬜ Sous-traiter pour un grand compte qui pourrait exiger votre conformité
| Type de manquement | Amende maximale |
|---|---|
| Usage interdit (risque inacceptable) | 35 000 000 € ou 7% du CA mondial |
| Non-conformité système haut risque | 15 000 000 € ou 3% du CA mondial |
| Informations inexactes aux autorités | 7 500 000 € ou 1,5% du CA mondial |
| Pour une PME (ex: 2 M€ de CA) : Jusqu'à 60 000 € d'amende immédiate — cela peut être fatal. | |
Audit complet PME : 3 000 à 10 000 € | Amende potentielle : jusqu'à 35 000 000 €
Les risques cachés souvent sous-estimés :
Tri de CV, scoring de candidats, évaluation des performances, gestion des plannings. Tout usage IA impactant un employé ou candidat est classé haut risque. Échéance : 2 août 2026.
Tout assistant conversationnel doit indiquer clairement que l'utilisateur interagit avec une IA. Cette obligation est déjà en vigueur : vérifiez vos mentions dès aujourd'hui.
Images, textes, vidéos générés par IA doivent être étiquetés comme tels. Les deepfakes et contenus synthétiques sont soumis à des règles très strictes.
Tout système qui note, classe ou prend une décision automatique sur un individu peut basculer en haut risque selon le contexte d'usage.
Le problème majeur du Shadow IT
Dans la plupart des PME, les équipes utilisent des dizaines d'outils IA sans en informer la direction : ChatGPT pour rédiger des emails, Midjourney pour des visuels, des extensions Chrome pour automatiser des tâches... Ces usages informels engagent la responsabilité de l'entreprise au même titre que les outils officiels.
Listez TOUS les outils numériques utilisés : demandez à chaque équipe, pas seulement à la DSI. Incluez les abonnements individuels et les usages professionnels personnels.
Pour chaque outil : qui est l'éditeur ? Est-il européen ? Quel engagement contractuel affiche-t-il sur la conformité AI Act ? Vérifiez systématiquement les conditions générales (CGU).
Pour chaque usage, quel est l'objectif métier précis ? Qui est impacté par la décision ou l'analyse de l'IA (un employé, un client, un candidat) ?
Quelles données personnelles sont traitées ? Sont-elles utilisées pour entraîner le modèle externe ? Un croisement RGPD est obligatoire car ces deux réglementations se superposent.
Appliquez la grille des 4 niveaux de risque de l'Union Européenne. Priorisez immédiatement les usages à haut risque et vos obligations de transparence.
Ce que vous devez impérativement avoir en place avant le 2 août 2026
Les 3 erreurs les plus fréquentes en entreprise :
1. Penser que l'éditeur SaaS est le seul responsable. C'est faux, vous restez co-responsable du déploiement opérationnel et de l'usage en interne.
2. Attendre la date butoir. Le 2 août 2026 est la fin de la période de grâce, pas le début des chantiers. Les contrôles sont déjà en cours dans certains États membres.
3. Ignorer l'IA masquée. Si votre CRM, votre outil RH ou votre logiciel de gestion s'est mis à jour avec des fonctions prédictives, il intègre de l'IA. Vérifiez systématiquement.
La conformité de base est atteignable en 4 semaines avec la bonne méthode.
| Semaine | Focus | Actions clés |
|---|---|---|
| Semaine 1 | INVENTORIER | Cartographier tous les outils IA (y compris Shadow IT). Lister fournisseurs et contrats. |
| Semaine 2 | QUALIFIER | Classifier chaque outil par niveau de risque. Identifier précisément les usages RH, client, contenu. |
| Semaine 3 | SÉCURISER | Ajouter les mentions de transparence obligatoires. Mettre en place la supervision humaine sur les systèmes sensibles. |
| Semaine 4 | FORMALISER | Rédiger la documentation technique (Annexe IV). Désigner un référent IA. Former les équipes exposées. |
Profil : Entreprise de 50 personnes utilisant l'IA pour le tri de CV, un chatbot de leads et la génération de blogs. Initialement sans aucune cartographie. Un employé avait entraîné un modèle sur des données clients confidentielles.
Solution : Audit Flash d'une demi-journée (détection de 3 systèmes à risque). Rédaction de l'Annexe IV par un partenaire juridique (3 500 €) et formation des 50 employés via l'OPCO (3 000 €, financé à 100%).
Résultat : Conformité assurée pour moins de 10 000 €. Un contrat grand compte majeur de 500 000 € a été immédiatement décroché grâce à la présentation de cette certification de conformité.
La formation obligatoire "AI Literacy" est finançable jusqu'à 100% par votre opérateur de compétences. Le dossier complet se prépare en amont.
L'audit technique initial et les processus de mise en conformité de vos outils peuvent être éligibles selon votre secteur d'activité innovant.
Certaines régions subventionnent activement l'innovation responsable et la transition numérique. Renseignez-vous auprès de votre CCI locale.
Des facilités et plans de paiement adaptés aux budgets des TPE et PME sont généralement proposés par nos partenaires de conformité.
AI Act : Règlement (UE) 2024/1689 sur l'intelligence artificielle. Cadre juridique européen définissant les obligations strictes des acteurs selon le niveau de risque des systèmes.
AI Office : Autorité européenne chargée de superviser l'application de l'AI Act au niveau central et de coordonner les différentes autorités nationales compétentes.
Annexe IV : Documentation technique devenue obligatoire pour les systèmes à haut risque. Doit inclure la description fine du système, les données d'entraînement, les mesures de sécurité et les performances.
Déployeur : Toute entité qui utilise un système d'IA dans le cadre d'une activité professionnelle. La grande majorité des PME utilisatrices sont des déployeurs au sens de la loi.
Fournisseur : Toute entité qui développe ou commercialise un système d'IA sur le marché. Leurs obligations légales sont considérablement plus lourdes que celles des déployeurs.
Sandbox : Bac à sable réglementaire permettant aux PME innovantes de tester en situation réelle leur IA dans un cadre sécurisé et supervisé par les autorités.
Shadow IT : Outils logiciels utilisés par vos équipes sans validation formelle de la direction ou de la DSI. Ils engagent la responsabilité légale de la PME.
AI Literacy : Formation obligatoire des collaborateurs à l'utilisation responsable et éclairée des outils d'intelligence artificielle.
Contactez-nous dès aujourd'hui pour planifier un audit flash de vos systèmes IA et sécuriser votre activité opérationnelle avant l'échéance légale.
Sources officielles : artificialintelligenceact.eu | Commission européenne AI Office EU
Ce document est fourni à vocation d'information et de sensibilisation. Il ne constitue pas un conseil juridique formel. © 2026. Tous droits réservés.