Ce qu'est l'AI Act — et pourquoi il vous concerne

L'AI Act (en français, le « règlement sur l'intelligence artificielle ») est le premier cadre juridique complet au monde dédié à l'IA. Adopté par l'Union européenne, il est entré en vigueur le 1^er août 2024 et s'applique progressivement. Comme tout règlement européen, il est directement applicable dans chaque État membre, sans transposition nationale préalable — autrement dit, il s'impose à votre entreprise par lui-même.

La première idée fausse à corriger : « je ne développe pas d'IA, donc ça ne me concerne pas ». Le texte ne vise pas seulement ceux qui conçoivent des systèmes d'IA. Il vise aussi — et surtout, pour une PME — ceux qui les utilisent dans un cadre professionnel. Si vos équipes se servent d'un outil de tri de CV, d'un chatbot client, d'une solution de scoring ou d'un assistant génératif, vous entrez dans le champ du règlement à un titre ou à un autre.

La logique du texte est simple et c'est sa grande force : il ne régule pas la technologie en tant que telle, mais l'usage que vous en faites, en fonction du risque qu'il fait peser sur les personnes. Plus l'usage touche à des droits sensibles (emploi, crédit, sécurité, libertés), plus les obligations sont lourdes. À l'inverse, la majorité des usages courants d'une PME relèvent d'obligations légères, voire nulles.

Pour un dirigeant, la bonne nouvelle est donc double : dans l'immense majorité des cas, vous n'êtes pas dans la catégorie la plus contraignante ; et même quand vous y êtes, la mise en conformité relève davantage d'une discipline de gouvernance que d'un chantier technique insurmontable.

Le calendrier d'application : ce qui s'active, et quand

L'AI Act ne s'applique pas d'un seul bloc. Ses obligations entrent en vigueur par paliers, ce qui laisse aux entreprises le temps de s'organiser — à condition de connaître les échéances. Voici les jalons principaux fixés par la Commission européenne.

Deux échéances méritent l'attention immédiate d'un dirigeant de PME. La première, février 2025, parce qu'elle introduit l'obligation de littératie : vos équipes qui utilisent l'IA doivent disposer d'un niveau de compréhension suffisant. La seconde, août 2026, parce qu'elle déclenche le gros des obligations pour les usages à haut risque — il faut donc savoir, dès aujourd'hui, si l'un de vos usages tombe dans cette catégorie.

Les niveaux de risque, expliqués simplement

Tout l'AI Act repose sur une approche par le risque : c'est la grille de lecture à maîtriser. Le règlement classe les usages de l'IA en quatre catégories, de la plus interdite à la plus libre. Pour situer vos propres outils, posez-vous une seule question : quel impact mon usage a-t-il sur les personnes ?

1. Risque inacceptable — interdit

Une poignée de pratiques sont purement et simplement interdites depuis février 2025 : la notation sociale généralisée, certaines formes de manipulation comportementale, ou l'exploitation des vulnérabilités de personnes fragiles. Pour une PME classique, ces cas sont rares — mais il faut s'assurer qu'aucun outil acheté ne flirte avec ces frontières.

2. Haut risque — fortement encadré

C'est la catégorie clé pour les PME. Elle couvre les usages qui touchent des décisions sensibles : tri et sélection de candidats au recrutement, évaluation de l'accès au crédit, gestion d'infrastructures critiques, dispositifs touchant la sécurité des produits. Si vous utilisez un logiciel de scoring de CV ou d'évaluation des collaborateurs, vous êtes probablement concerné. Ces usages imposent traçabilité, supervision humaine et documentation.

3. Risque limité — obligation de transparence

La majorité des usages d'une PME tombe ici : chatbots, assistants génératifs, génération de contenus. L'obligation principale est la transparence : informer l'utilisateur qu'il interagit avec une IA, et signaler les contenus générés ou manipulés artificiellement (les fameux « deepfakes »).

4. Risque minimal — aucune contrainte spécifique

Filtres anti-spam, suggestions de produits, correcteurs orthographiques : la grande majorité des outils du quotidien relève de ce niveau, sans obligation particulière. Le règlement encourage simplement les bonnes pratiques volontaires.

Déployeur ou fournisseur : votre rôle décide de vos obligations

Le règlement distingue plusieurs rôles, mais deux suffisent à un dirigeant de PME pour se situer. Identifier le sien est l'étape qui conditionne tout le reste, car les obligations ne sont pas les mêmes.

Vous êtes « déployeur » (le cas le plus fréquent)

C'est votre situation si vous utilisez un système d'IA développé par un tiers dans le cadre de votre activité — ce qui décrit la quasi-totalité des PME. Vos obligations sont alors proportionnées : utiliser l'outil conformément à sa notice, assurer une supervision humaine quand le système est à haut risque, informer les personnes concernées, et veiller à la sensibilisation de vos équipes. Vous n'avez pas à produire la documentation technique du système : c'est l'affaire du concepteur.

Vous êtes « fournisseur » (cas plus rare en PME)

Vous le devenez si vous développez un système d'IA et le mettez sur le marché sous votre nom, ou si vous modifiez substantiellement un système existant. Attention : intégrer une IA dans votre propre produit revendu à vos clients peut vous faire basculer dans ce rôle, avec des obligations nettement plus lourdes (documentation, gestion des risques, conformité avant mise sur le marché).

La CNIL et France Num proposent des ressources gratuites pour vous aider à qualifier votre situation. Avant tout investissement, c'est ce diagnostic de rôle qu'il faut poser — il évite à la fois la panique inutile et l'angle mort coûteux.

Ce qu'un dirigeant doit faire concrètement, dès 2026

La conformité à l'AI Act n'est pas un projet informatique. C'est un projet de gouvernance, à la portée de toute PME organisée. Voici la séquence que je recommande, du plus urgent au plus structurant.

• Cartographier les usages d'IA. Dressez la liste des outils d'IA réellement utilisés dans l'entreprise — y compris ceux adoptés sans validation par les équipes. On ne peut pas mettre en conformité ce qu'on ne connaît pas.
• Classer chaque usage par niveau de risque. Pour chacun, posez la question de l'impact sur les personnes. Isolez en priorité les usages RH, financiers ou sécuritaires, candidats au « haut risque ».
• Sensibiliser vos équipes (littératie IA). C'est déjà une obligation. Une formation courte et concrète suffit souvent : comprendre ce qu'est l'IA, ses limites, et les règles internes d'usage.
• Activer la transparence là où elle s'impose. Mentionnez clairement quand un client échange avec un chatbot ou consulte un contenu généré. Une phrase, bien placée, règle l'essentiel des cas à risque limité.
• Documenter et désigner un référent. Une note de gouvernance de quelques pages — qui utilise quoi, sous quelle supervision, avec quelles règles — et une personne responsable du sujet suffisent à démontrer votre bonne foi.