L'IA Act est là : ce que ça change vraiment pour les PME françaises
Le 2 août 2024, le Règlement européen sur l'intelligence artificielle (UE 2024/1689), communément appelé « IA Act », est entré en vigueur. C'est la première réglementation mondiale contraignante sur l'IA. Son ambition : encadrer les risques des systèmes d'intelligence artificielle tout en permettant à l'innovation de se déployer dans un cadre de confiance. Pour les PME françaises, cette réglementation crée des obligations concrètes — dont certaines sont déjà applicables, d'autres s'appliquant progressivement jusqu'en 2027.
La réaction fréquente des dirigeants de PME est de penser que ce texte ne les concerne pas : il est complexe, dense (130 articles), et souvent présenté comme s'adressant aux grandes entreprises technologiques. C'est une erreur stratégique. Si votre PME utilise un logiciel RH qui classe automatiquement des candidatures, un CRM avec scoring prédictif, un outil de prévision des ventes alimenté par de l'IA, ou même un chatbot client, vous êtes potentiellement soumis aux obligations de l'IA Act. L'ignorance de la loi n'exonère pas de sa responsabilité.
Ce guide a pour objectif de vous donner une vision claire et opérationnelle de ce que l'IA Act signifie concrètement pour une PME française. Pas de jargon juridique inutile : des obligations précises, un calendrier clair, des actions immédiates à mettre en œuvre. J'accompagne en tant que DSI externalisé des PME dans leur transformation digitale depuis plusieurs années, et l'IA Act est devenu l'un des sujets les plus fréquents lors de mes diagnostics : les dirigeants veulent comprendre ce qui les concerne vraiment, et ce qu'ils doivent faire avant que les contrôles commencent.
Bonne nouvelle : la mise en conformité d'une PME qui utilise des outils IA courants (et non des systèmes IA haut risque complexes) est tout à fait gérable. Avec une approche structurée et quelques semaines de travail bien ciblé, vous pouvez sécuriser votre posture vis-à-vis de l'IA Act — et en faire un argument de confiance auprès de vos clients et partenaires.
Calendrier d'application : quatre vagues jusqu'en 2027
Comme pour la facturation électronique, le législateur européen a prévu une entrée en vigueur progressive pour laisser aux entreprises le temps de s'adapter. Voici les quatre dates clés à connaître absolument.
2 août 2024 — Entrée en vigueur du règlement
L'IA Act est publié au Journal Officiel de l'UE et entre en vigueur. Cette date marque le début du compte à rebours pour toutes les entreprises concernées. Aucune obligation opérationnelle immédiate, mais le texte est désormais du droit positif européen.
2 février 2025 — Interdiction des pratiques IA inacceptables
Les systèmes d'IA classés « risque inacceptable » sont formellement interdits. Cela inclut : la notation sociale des personnes par les pouvoirs publics, la manipulation comportementale à grande échelle, l'identification biométrique en temps réel dans les espaces publics à des fins autres que sécuritaires encadrées, et les systèmes exploitant les vulnérabilités de groupes protégés. Si votre PME utilise de tels systèmes, ils doivent avoir été supprimés depuis le 2 février 2025.
2 août 2025 — Obligations pour les modèles d'IA à usage général (GPAI)
Les fournisseurs de modèles d'IA à usage général (ChatGPT/OpenAI, Claude/Anthropic, Gemini/Google, Mistral, Llama/Meta) sont soumis aux obligations du Chapitre V : documentation technique obligatoire, politique de droit d'auteur, résumés des données d'entraînement publiés. Pour votre PME, cela signifie que les outils que vous utilisez doivent avoir obtenu cette conformité de la part de leurs éditeurs.
2 août 2026 — Obligations complètes pour les systèmes IA haut risque (Annexe I)
Toutes les obligations du Titre III s'appliquent aux systèmes IA intégrés dans des produits réglementés (dispositifs médicaux, équipements industriels, véhicules, etc.). Les déployeurs — y compris les PME — doivent avoir implémenté les mesures de supervision humaine, la conservation des logs, et l'information des personnes concernées.
2 août 2027 — Application complète du règlement
L'intégralité du règlement s'applique, y compris les systèmes haut risque listés à l'Annexe III (RH, crédit, infrastructure critique, éducation, secteur public). C'est la date limite absolue pour toute PME utilisant des systèmes IA dans ces catégories. Aucun nouveau report n'est prévu.
Fév. 2025
IA interdites supprimées
Août 2026
Haut risque Annexe I
Août 2027
Application complète
Les 4 niveaux de risque : comprendre où se situent vos outils IA
L'architecture de l'IA Act repose sur une classification par niveau de risque. Chaque niveau implique des obligations différentes. La première étape de votre mise en conformité est de déterminer dans quelle catégorie se trouvent chacun des systèmes IA que vous utilisez.
Risque inacceptable — Interdit depuis le 2 février 2025
Ces pratiques sont purement et simplement interdites en Europe. Exemples : systèmes de notation sociale des individus par les autorités publiques, manipulation comportementale exploitant les vulnérabilités psychologiques, identification biométrique à distance en temps réel dans les espaces publics (hors exceptions strictement encadrées), inférence d'émotions sur le lieu de travail ou dans les établissements d'enseignement.
Pour les PME : vérifiez qu'aucun de vos outils RH ne réalise une analyse émotionnelle des collaborateurs ou des candidats. Certains logiciels de recrutement proposaient cette fonctionnalité — elle est désormais illégale en Europe.
Haut risque — Obligations strictes (Annexe III)
Ces systèmes peuvent avoir un impact significatif sur la vie des personnes et sont soumis aux obligations les plus contraignantes de l'IA Act. Les catégories qui concernent le plus souvent les PME :
- Recrutement et sélection du personnel : tri automatisé de CV, scoring de candidats, outils d'entretien IA, évaluation des compétences par IA.
- Gestion de la performance des salariés : systèmes IA qui influencent les décisions d'évolution, de rémunération ou de licenciement.
- Notation de solvabilité : outils IA qui évaluent la capacité d'un client ou d'un partenaire à honorer ses engagements financiers.
- Infrastructure critique : IA gérant des systèmes de distribution d'eau, d'énergie, de transports ou de réseaux numériques.
Pour les PME : si vous utilisez un ATS (Applicant Tracking System) avec notation automatique des candidats, ou un ERP avec scoring de solvabilité clients, vous êtes dans la catégorie haut risque. Les obligations associées s'appliquent depuis août 2026.
Risque limité — Obligation de transparence
Ces systèmes interagissent directement avec des personnes et doivent être identifiés comme des IA. Les obligations sont légères mais obligatoires :
- Chatbots et assistants virtuels : l'utilisateur doit être informé qu'il interagit avec une IA, sauf si c'est évident dans le contexte.
- Contenus générés par IA : les textes, images ou vidéos synthétiques (deepfakes) destinés au public doivent être labellisés comme tels.
- IA émotionnelle : si votre système analyse les émotions des utilisateurs (dans un cadre autorisé), vous devez l'informer.
Pour les PME : si votre site web intègre un chatbot IA (Intercom IA, Tidio, etc.), ajoutez un message clair signalant que l'utilisateur interagit avec une IA. Si vous publiez du contenu rédigé par IA sur vos réseaux sociaux, vérifiez les règles de labellisation de chaque plateforme.
Risque minimal — Aucune obligation spécifique
La grande majorité des outils IA utilisés en PME entrent dans cette catégorie. Aucune obligation légale n'est imposée par l'IA Act, bien que les éditeurs puissent choisir de respecter volontairement des codes de conduite. Exemples : filtres anti-spam IA, outils de recommandation de contenu, logiciels de prévision des ventes (non liés à des décisions individuelles), outils d'aide à la rédaction, traduction automatique, analyse de données de performance commerciale agrégées.
Pour les PME : des outils comme Notion IA, Microsoft 365 Copilot (pour la productivité individuelle), HubSpot IA (pour les suggestions marketing), ou les outils d'aide à la rédaction comme Claude ou ChatGPT utilisés en interne tombent dans cette catégorie — sous réserve de ne pas les utiliser pour prendre des décisions automatisées qui affectent des tiers.
Les obligations concrètes pour les systèmes haut risque
Si votre PME utilise au moins un système classé haut risque, voici précisément ce que l'IA Act vous impose de mettre en place. Ces obligations pèsent à la fois sur les fournisseurs (les éditeurs du logiciel) et sur les déployeurs (votre entreprise). En tant que déployeur, votre rôle est de vérifier que le fournisseur a rempli ses obligations et d'assurer les vôtres.
Vérification de la conformité du fournisseur
Avant de déployer un système IA haut risque, vérifiez que le fournisseur a réalisé une évaluation de conformité (conformity assessment), dispose d'une documentation technique complète, d'un marquage CE si applicable, et a enregistré le système dans la base de données EU de l'IA Act. Demandez explicitement ces éléments à votre éditeur — ils doivent vous les fournir contractuellement.
Supervision humaine effective (article 26)
La décision finale ne peut jamais être entièrement déléguée à l'IA pour les systèmes haut risque. Vous devez implémenter un processus de révision humaine : un collaborateur formé doit être capable de comprendre les résultats du système IA, d'en détecter les anomalies, et de les remplacer ou les corriger. Dans le cas d'un tri de CV, par exemple, les candidats écartés par l'IA doivent pouvoir faire l'objet d'une révision manuelle sur demande motivée.
Conservation des journaux de bord (logs)
Les systèmes haut risque génèrent automatiquement des logs (journaux d'activité) que vous devez conserver pendant une durée minimale de 6 mois (ou plus longtemps si la réglementation sectorielle l'exige). Ces logs doivent permettre de retracer les décisions prises par le système. Vérifiez que votre fournisseur active bien cette fonctionnalité et que les exports de logs sont accessibles.
Information des personnes concernées (article 29.4)
Les personnes physiques soumises à des décisions ou à une surveillance par un système IA haut risque doivent en être informées. Concrètement : si votre processus de recrutement utilise une IA de scoring, mentionnez-le dans l'offre d'emploi et dans vos communications avec les candidats. Si votre outil de gestion RH analyse les performances des collaborateurs par IA, informez-les via le règlement intérieur ou un avenant au contrat de travail.
Analyse d'impact sur les droits fondamentaux (article 27)
Pour les organismes publics et certaines PME dans des secteurs réglementés, une analyse d'impact sur les droits fondamentaux (AIFDF) est requise avant le déploiement d'un système haut risque. Cette analyse évalue les risques de discrimination, de biais algorithmique, et d'atteinte à la vie privée. La Commission européenne a publié un modèle standardisé pour faciliter cet exercice.
6 mois
Conservation minimale des logs IA haut risque
100%
Des décisions IA haut risque doivent être supervisables humainement
Sanctions : des montants dissuasifs, proportionnés pour les PME
L'IA Act prévoit un régime de sanctions significatif, calibré sur le modèle du RGPD. Les autorités nationales de surveillance — en France, l'ARCOM (pour les modèles GPAI) et la CNIL (pour les données personnelles) jouent un rôle central dans l'application. Les amendes sont plafonnées selon le type d'infraction.
Au-delà des sanctions directes, la non-conformité à l'IA Act expose votre PME à d'autres risques : plaintes de candidats ou de salariés s'estimant victimes de biais algorithmiques (risque RH et prud'homal), perte de marchés avec des donneurs d'ordre qui exigent une conformité IA de leurs fournisseurs, et atteinte à la réputation dans un contexte où l'éthique de l'IA devient un critère d'achat B2B.
35 M€
ou 7% CA — IA interdites
15 M€
ou 3% CA — Haut risque
÷ 2
Plafond réduit pour PME
Plan d'action : comment mettre votre PME en conformité en 6 étapes
La mise en conformité d'une PME avec l'IA Act ne nécessite pas un projet à 6 chiffres. Pour la grande majorité des entreprises qui utilisent des outils IA commerciaux du marché, c'est un projet de 6 à 12 semaines, mené par un référent interne avec un appui externe ponctuel. Voici le plan structuré que j'applique lors de mes missions de DSI externalisé.
Inventaire exhaustif de tous les outils IA (semaine 1-2)
Listez tous les logiciels et services qui intègrent de l'IA dans votre PME : ERP, CRM, RH, outils de marketing automation, chatbots, outils de productivité (Microsoft 365 Copilot, Notion IA), outils de prévision, solutions de cybersécurité, etc. Pour chaque outil, identifiez : le fournisseur, la fonctionnalité IA exacte, les données traitées, les personnes concernées (salariés, clients, candidats), et qui est responsable en interne. Ce registre est votre point de départ.
Classification des risques selon l'IA Act (semaine 2-3)
Pour chaque outil de votre inventaire, déterminez son niveau de risque : inacceptable, haut risque (Annexe III), risque limité ou risque minimal. Référez-vous à la liste officielle de l'Annexe III. En cas de doute, la classification risque limité ou minimal s'applique par défaut. Consultez un juriste spécialisé pour les outils RH ou de crédit qui sont les zones de risque les plus fréquentes en PME. Cette étape peut aussi être réalisée avec l'outil d'auto-évaluation mis en ligne par l'OCDE.
Désignation d'un référent IA Act (semaine 3)
Nommez un responsable de la conformité IA en interne. Selon la taille de votre PME, ce peut être le DPO (Délégué à la Protection des Données) si vous en avez un, le DSI, le responsable juridique, ou un manager formé. Ce référent pilote le plan d'action, centralise les questions des équipes, assure la veille réglementaire, et sera l'interlocuteur des autorités en cas de contrôle. Si vous n'avez pas les compétences en interne, c'est un rôle qu'un DSI externalisé peut assumer de manière ponctuelle ou récurrente.
Mise en conformité des systèmes haut risque (semaine 4-8)
Pour chaque système classé haut risque : contactez le fournisseur pour obtenir la documentation de conformité IA Act (évaluation de conformité, documentation technique, instructions d'utilisation). Vérifiez l'activation des logs et configurez leur conservation. Implémentez le processus de supervision humaine. Rédigez la communication d'information pour les personnes concernées (candidats, salariés). Si le fournisseur n'est pas en mesure de fournir la documentation de conformité, évaluez la possibilité de changer d'outil ou de suspendre la fonctionnalité IA incriminée. Ce point est crucial : vous ne pouvez pas être en conformité si votre fournisseur ne l'est pas.
Mise à jour des politiques et des communications (semaine 6-10)
Adaptez votre politique de confidentialité pour inclure les traitements IA (en coordination avec votre registre RGPD). Ajoutez des mentions IA dans vos offres d'emploi si vous utilisez des outils de tri automatisé. Informez vos collaborateurs via le règlement intérieur ou une charte IA. Si votre site web intègre un chatbot IA, ajoutez la mention obligatoire de transparence. Pour les contenus marketing générés par IA, vérifiez les obligations de labellisation de chaque plateforme (LinkedIn, Meta, etc.).
Formation des équipes et gouvernance continue (semaine 8-12)
Formez les collaborateurs qui utilisent des systèmes IA — notamment ceux classés haut risque — aux usages conformes, aux données qu'il est interdit de saisir dans ces outils (données de santé, données sensibles au sens du RGPD), et aux procédures de signalement en cas d'anomalie ou d'incident. Intégrez l'IA Act dans votre gouvernance IT au même titre que le RGPD : revue annuelle de l'inventaire, mise à jour lors de tout nouveau déploiement IA, veille sur les évolutions réglementaires. Pour approfondir cette démarche, notre guide sur la stratégie IA pour PME détaille les premières étapes d'une gouvernance IA mature.
ChatGPT, Claude, Copilot : que change l'IA Act pour ces outils ?
Ces outils sont des modèles d'IA à usage général (GPAI — General Purpose AI Models), soumis à l'IA Act depuis le 2 août 2025. Leurs fournisseurs (OpenAI pour ChatGPT, Anthropic pour Claude, Microsoft pour Copilot) doivent respecter les obligations du Chapitre V : documentation technique publique, politique de droit d'auteur, résumé des données d'entraînement disponible.
Pour votre PME en tant qu'utilisateur, les obligations sont principalement de transparence et de bon usage. L'IA Act ne vous interdit pas d'utiliser ces outils — au contraire, leur usage pour améliorer la productivité de vos équipes est encouragé. Ce que le règlement encadre, c'est l'usage que vous en faites : si vous configurez ChatGPT pour prendre automatiquement des décisions de recrutement sans supervision humaine, vous créez de facto un système haut risque, même si l'outil de base est à risque minimal.
Quelques règles pratiques pour ces outils :
- Ne jamais saisir de données personnelles sensibles (données de santé, opinions politiques, données biométriques) dans des outils IA dont vous n'êtes pas l'opérateur exclusif.
- Maintenir une supervision humaine sur tout contenu généré par IA avant publication ou utilisation dans un processus décisionnel.
- Informer vos collaborateurs via une charte IA des règles d'utilisation de ces outils et des données qu'ils ne peuvent pas partager avec eux.
- Préférer les versions entreprise (ChatGPT Enterprise, Claude for Work, Microsoft 365 Copilot) qui offrent des garanties contractuelles de confidentialité et d'isolation des données.
Pour aller plus loin sur la comparaison de ces outils et leur adéquation à votre PME, consultez notre guide ChatGPT vs Copilot vs Claude : quel outil choisir ? qui analyse leurs fonctionnalités, leurs prix et leurs garanties RGPD.
L'IA Act, une opportunité de gouvernance IA pour votre PME
L'IA Act est souvent perçu comme une contrainte. C'est aussi une opportunité. Les PME qui mettent en place une gouvernance IA sérieuse — inventaire, classification, référent, charte, formation — sortent de cet exercice avec une meilleure maîtrise de leurs outils, une réduction des risques RH et juridiques, et un argument de différenciation commerciale face à des clients qui veulent des partenaires responsables.
La bonne nouvelle : si votre PME n'utilise pas de systèmes IA dans les catégories RH, crédit ou infrastructure critique, votre mise en conformité se résume principalement à un inventaire, quelques mentions de transparence, et une charte d'usage interne. C'est un projet de quelques semaines, pas de quelques mois.
Pour ceux qui utilisent des systèmes haut risque — ou qui envisagent d'en déployer — l'accompagnement d'un DSI externalisé rompu aux sujets de gouvernance digitale et de conformité est un investissement qui se rentabilise immédiatement face aux risques de sanction et aux coûts d'une mise en conformité en urgence. Pour mesurer le ROI des initiatives IA dans votre entreprise avant de vous lancer, notre guide sur le ROI de l'IA en PME vous donnera les bases de calcul et les cas d'usage prioritaires.
30 minutes. Gratuit. Sans engagement.
Questions fréquentes sur l'IA Act pour les PME
L'IA Act s'applique-t-il aux PME françaises ?
Oui. Le Règlement UE 2024/1689 s'applique à toute organisation qui déploie ou utilise des systèmes d'IA dans l'Union européenne, quelle que soit sa taille. Les PME ne sont pas exemptées, mais le règlement prévoit des mesures proportionnées — notamment des plafonds d'amendes réduits de moitié pour les PME et startups — et des délais de mise en conformité progressifs jusqu'en 2027.
Quels outils IA utilisés en PME sont classés haut risque ?
Les systèmes les plus courants en PME qui peuvent tomber dans la catégorie haut risque (Annexe III) : logiciels de recrutement avec tri automatisé de CV ou scoring de candidats, outils d'évaluation de la performance des salariés par IA, systèmes de notation de solvabilité des clients ou partenaires. Si vous utilisez un ATS (Applicant Tracking System) avec fonctionnalités IA, vérifiez impérativement sa classification auprès de l'éditeur.
Doit-on tenir un registre des systèmes IA dans son entreprise ?
L'obligation de registre formel s'applique aux déployeurs de systèmes IA haut risque (conservation des logs pendant 6 mois minimum). Pour les autres systèmes, aucune obligation légale de registre, mais il est fortement recommandé d'établir un inventaire de tous les outils IA utilisés. Cet inventaire facilite la gouvernance, les audits internes, et la réponse aux questions des autorités ou de vos clients donneurs d'ordre.
Quelles sont les sanctions prévues par l'IA Act pour les PME ?
L'IA Act prévoit trois niveaux de sanctions : jusqu'à 35 M€ ou 7 % du CA pour les IA interdites, jusqu'à 15 M€ ou 3 % du CA pour les manquements aux obligations haut risque, jusqu'à 7,5 M€ ou 1,5 % du CA pour les informations inexactes aux autorités. Pour les PME et startups, tous ces plafonds sont réduits de moitié. Les premières sanctions sont attendues à partir de 2026, après l'entrée en application des obligations pour les systèmes haut risque.
ChatGPT et Claude utilisés en PME sont-ils soumis à l'IA Act ?
Ces outils (modèles GPAI) sont principalement soumis aux obligations côté fournisseurs (OpenAI, Anthropic), qui devaient être conformes depuis le 2 août 2025. Pour votre PME en tant qu'utilisateur, les obligations sont de transparence (informer les utilisateurs finaux qu'ils interagissent avec une IA) et d'usage responsable (ne pas les utiliser pour des décisions automatisées affectant des tiers sans supervision humaine). Préférez les versions entreprise pour des garanties contractuelles de confidentialité.