L’ESSENTIEL : Entré en vigueur le 1er août 2024, l’AI Act est désormais le cadre de référence pour encadrer l’intelligence artificielle en Europe. Son principe est simple : plus un système d’IA présente de risques pour les personnes, plus les obligations sont strictes. Alors que l’échéance majeure du 2 août 2026 approche, les entreprises doivent cartographier leurs usages, identifier les systèmes sensibles, former leurs équipes et documenter leurs décisions.
La Commission européenne présente l’AI Act comme le texte fondateur d’une “IA digne de confiance”. Derrière cette formule, le règlement impose une nouvelle discipline : ne plus déployer d’outils d’IA sans gouvernance, sans traçabilité et sans contrôle humain. Pour les PME et ETI, la mise en conformité ne doit pas être traitée comme une simple corvée juridique. C’est un chantier opérationnel transversal, qui concerne la direction, les métiers, l’IT, les RH, les achats, le DPO et les fournisseurs logiciels.
AI Act : un règlement européen construit autour des risques
L’AI Act, officiellement règlement (UE) 2024/1689, est le premier cadre juridique complet consacré à l’intelligence artificielle. L’Europe n’interdit pas l’IA en bloc. Elle adopte une approche par les risques.
Un filtre anti-spam, un assistant de rédaction et un logiciel de tri de CV ne posent pas les mêmes enjeux. Le règlement adapte donc les obligations selon l’impact potentiel du système sur la santé, la sécurité, l’emploi, l’éducation, le crédit, les droits fondamentaux ou l’accès à des services essentiels.
| Niveau de risque | Exemples d’usages | Conséquence pour l’entreprise |
|---|---|---|
| Risque inacceptable | Notation sociale, manipulation préjudiciable, exploitation de vulnérabilités, certaines pratiques biométriques | Systèmes strictement interdits |
| Haut risque | Recrutement, notation scolaire, crédit, infrastructures critiques, justice, dispositifs médicaux | Obligations strictes de documentation, contrôle humain, traçabilité et conformité |
| Risque limité / transparence | Chatbots, deepfakes, contenus générés par IA destinés à informer le public | Obligation d’informer clairement l’utilisateur |
| Risque minimal ou nul | Filtres anti-spam, jeux vidéo avec IA, outils d’édition classiques | Peu ou pas d’obligations spécifiques |
Pour une PME, la pire erreur serait de penser que l’AI Act ne concerne que les GAFAM, les éditeurs de modèles ou les laboratoires d’IA. Le texte vise aussi les entreprises qui déploient des systèmes d’IA, y compris lorsqu’elles achètent des solutions sur étagère auprès de fournisseurs tiers.
Risque inacceptable : ce qui est déjà interdit depuis février 2025
Depuis le 2 février 2025, les systèmes considérés comme présentant un risque inacceptable sont bannis dans l’Union européenne.
La Commission européenne cible notamment la manipulation préjudiciable, la notation sociale, l’exploitation de vulnérabilités, le scraping non ciblé d’images pour créer des bases de reconnaissance faciale, certaines formes de police prédictive individuelle, la reconnaissance des émotions sur le lieu de travail et dans l’éducation, ainsi que certaines pratiques de catégorisation biométrique.
Pour les entreprises, cela impose une vigilance immédiate sur deux zones sensibles : les ressources humaines et la surveillance. Un logiciel qui prétend analyser les émotions d’un candidat en entretien vidéo, mesurer l’attention d’un salarié devant son écran ou déduire des caractéristiques sensibles à partir de données biométriques doit être considéré comme un signal d’alerte.
Ce n’est plus seulement une question d’éthique. C’est une question de conformité.
Échéance du 2 août 2026 : l’heure de vérité pour les entreprises
Le 2 août 2026 marque une étape clé de l’AI Act. La majorité du règlement devient applicable, notamment les obligations de transparence, les mesures de gouvernance et les exigences de mise en œuvre dans les organisations.
Cette échéance est particulièrement importante pour les entreprises qui utilisent déjà des outils d’IA dans leurs opérations : support client, marketing, RH, analyse commerciale, scoring, automatisation documentaire, génération de contenu, relation client ou contrôle qualité.
Le sujet le plus sensible concerne les systèmes à haut risque. Ils touchent aux usages pouvant affecter l’emploi, l’éducation, le crédit, la santé, la justice, les infrastructures critiques ou l’accès à des services essentiels. Pour ces systèmes, les obligations incluent notamment :
| Obligation | Ce que cela signifie concrètement |
| Gestion des risques | Identifier, évaluer et réduire les risques tout au long du cycle de vie |
| Qualité des données | Limiter les biais, erreurs et données non représentatives |
| Traçabilité | Conserver des logs et éléments permettant de comprendre le fonctionnement |
| Documentation technique | Décrire le système, son objectif, ses limites et ses conditions d’usage |
| Supervision humaine | Garantir qu’un humain peut contrôler, interrompre ou corriger le système |
| Robustesse et cybersécurité | Assurer un niveau élevé de fiabilité, d’exactitude et de protection |
Point de vigilance : le calendrier européen a fait l’objet d’ajustements récents dans le cadre du paquet de simplification numérique. Certaines obligations liées aux systèmes à haut risque pourraient être reportées selon les catégories concernées. Mais pour les entreprises, cela ne change pas l’essentiel : l’inventaire, la classification et la documentation doivent commencer maintenant. Attendre la date exacte d’application pour lancer le chantier reviendrait à subir la conformité au lieu de la piloter.
Transparence : informer l’utilisateur devient une obligation légale
L’AI Act impose aussi des règles de transparence. L’idée est simple : une personne doit savoir lorsqu’elle interagit avec une machine ou lorsqu’un contenu a été généré ou manipulé artificiellement dans un contexte où cela peut influencer sa compréhension.
Cette obligation touche directement le marketing, le support client, la communication, les RH et les médias internes. Un chatbot de service client devra être clairement identifié. Une vidéo générée par IA simulant une personne réelle devra être signalée. Un contenu généré automatiquement pour informer le public devra être traité avec prudence.
Pour les PME, la bonne pratique consiste à cartographier dès maintenant tous les points de contact où l’IA interagit avec un utilisateur : chatbot, assistant vocal, formulaire intelligent, génération d’emails, image de campagne, vidéo synthétique, FAQ automatisée, résumé envoyé à un client.
Les mentions doivent être simples, visibles et compréhensibles : “Vous échangez avec un assistant IA”, “Ce contenu a été généré avec l’aide d’une intelligence artificielle”, “Cette image a été modifiée par IA”.
Modèles d’IA à usage général : ce que les PME doivent demander aux fournisseurs
L’AI Act encadre également les modèles d’IA à usage général, ou GPAI. Ce sont les modèles capables d’accomplir une grande variété de tâches et qui servent de base à de nombreux outils utilisés en entreprise.
Les obligations principales concernent les fournisseurs de ces modèles : transparence, documentation, respect du droit d’auteur et gestion des risques pour les modèles les plus puissants ou les plus largement utilisés. Mais les PME utilisatrices sont également concernées indirectement.
Lorsqu’une entreprise achète un outil basé sur un grand modèle, elle doit poser des questions simples à ses fournisseurs : quelle documentation est disponible ? Les données clients sont-elles utilisées pour l’entraînement ? Où sont-elles traitées ? Quel niveau de sécurité est garanti ? Quelle conformité AI Act et RGPD ? Quelle traçabilité en cas d’erreur ? Qui est responsable en cas de dommage ?
L’AI Act ne remplace pas la vigilance contractuelle. Il la renforce.
Calendrier AI Act : les dates à retenir
L’application du règlement est progressive. Mais en juillet 2026, l’échéance n’est plus lointaine. Pour les entreprises, le temps de l’observation est terminé.
| Date clé | Ce qui s’applique officiellement |
| 1er août 2024 | Entrée en vigueur officielle de l’AI Act |
| 2 février 2025 | Interdiction des systèmes à risque inacceptable et obligations générales de sensibilisation à l’IA |
| 2 août 2025 | Application des règles sur les modèles d’IA à usage général et mise en place de la gouvernance |
| 2 août 2026 | Échéance majeure : transparence, applicabilité générale, obligations opérationnelles et contrôle des usages |
| 2027-2028 | Application progressive de certaines obligations liées aux systèmes à haut risque selon les catégories et textes d’ajustement |
Pour les PME qui utilisent de nombreux SaaS, ce calendrier est serré. Les outils IA sont souvent dispersés entre les équipes : marketing, sales, RH, support, finance, opérations. La cartographie peut prendre plusieurs semaines. La mise en conformité des outils sensibles peut demander plusieurs mois.
Sanctions AI Act : jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires
L’AI Act prévoit des sanctions administratives importantes, modulées selon la gravité du manquement et la taille de l’organisation.
Les violations les plus graves, notamment les pratiques interdites, peuvent entraîner des amendes allant jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Ce niveau de sanction envoie un signal clair. L’Europe ne traite pas l’IA comme un simple outil d’innovation, mais comme une infrastructure de décision susceptible d’affecter les droits fondamentaux, l’emploi, l’accès aux services, la sécurité ou la dignité des personnes.
Pour une PME, le risque ne se limite pas à l’amende. Il concerne aussi la réputation, les litiges, les audits clients, les appels d’offres, les relations avec les investisseurs, la confiance des salariés et les exigences des grands comptes.
Méthode PME : 5 étapes pour préparer sa conformité AI Act
Étape 1 : faire l’inventaire complet des usages IA
Cartographiez les outils validés par la DSI, mais aussi le Shadow AI : ChatGPT, Copilot, Gemini, générateurs d’images, outils RH, scoring commercial, analyse de CV, assistants intégrés dans les CRM, modules IA des logiciels SaaS.
L’objectif n’est pas de sanctionner les équipes, mais de rendre visible ce qui existe déjà.
Étape 2 : classer les risques selon l’AI Act
Chaque usage doit être classé : risque minimal, transparence, haut risque ou interdit. Ce travail doit être fait avec les métiers, car le niveau de risque dépend du contexte.
Un outil de génération de texte pour une newsletter n’a pas le même impact qu’un outil qui classe des candidatures ou recommande l’accès à un crédit.
Étape 3 : documenter les systèmes significatifs
Pour chaque outil important, l’entreprise doit savoir répondre à des questions simples : à quoi sert-il ? Quelles données traite-t-il ? Qui l’utilise ? Qui valide le résultat ? Quel fournisseur est responsable ? Quels biais sont possibles ? Comment désactiver ou corriger le système ?
Cette documentation deviendra la base de la conformité.
Étape 4 : former les équipes à l’AI literacy
L’AI Act introduit une logique d’AI literacy, c’est-à-dire un niveau minimal de compétence pour les personnes qui utilisent ou supervisent l’IA.
Former les équipes ne signifie pas transformer tout le monde en data scientist. Cela signifie apprendre à reconnaître les biais, les hallucinations, les limites des modèles, les obligations de transparence et les cas où un humain doit reprendre la main.
Étape 5 : filtrer les achats logiciels
Toute nouvelle solution IA doit passer par une grille d’évaluation : finalité, niveau de risque, données traitées, localisation, conformité RGPD, conformité AI Act, explicabilité, sécurité, supervision humaine, documentation fournisseur et clauses contractuelles.
Les achats, l’IT, le DPO et les métiers doivent travailler ensemble. La conformité AI Act commence souvent avant la signature du contrat.
L’analyse Exponentiel : De la technologie à la gouvernance
L’AI Act marque la fin de l’IA déployée sans contrôle dans les entreprises européennes. Jusqu’ici, beaucoup d’usages se sont installés par opportunité ou effet de mode. Ce temps de l’IA « diffuse » et sans supervision touche à sa fin.
La logique du législateur est implacable : recruter, licencier, noter, accorder un prêt ou refuser un service ne peut plus reposer sur une boîte noire non maîtrisée.
Pour les PME, la bonne approche n’est pas de bloquer l’innovation par peur des amendes, mais d’instaurer un cadre sain. L’AI Act va distinguer les organisations qui utilisent l’IA comme un gadget de celles qui la maîtrisent comme un véritable actif industriel. À l’approche de l’échéance d’août 2026, la question n’est plus : « Quels outils IA utilisons-nous ? » Elle devient : « Sommes-nous capables de prouver que nous les maîtrisons ? »
Ressources utiles pour aller plus loin
Pour consulter le texte officiel, le règlement complet est disponible sur EUR-Lex sous le nom règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle.
La Commission européenne met également à disposition une plateforme d’information unique sur l’AI Act, qui centralise les ressources, les FAQ et le AI Act Service Desk, permettant aux entreprises et parties prenantes de poser des questions sur l’application du règlement.
Pour les entreprises françaises, le portail Entreprendre Service Public propose aussi une synthèse pratique du calendrier, des obligations et des conséquences de l’AI Act pour les organisations.
