Introduction

Lundi matin, dans un cabinet de conseil de douze personnes. La responsable RH vient d’essayer un outil qui trie les candidatures en quelques secondes. Le chargé de communication génère ses visuels avec une IA. Le dirigeant répond aux clients avec un chatbot installé sur le site.

Personne ne s’est demandé si ces usages étaient encadrés. Ils le sont. Depuis le 1er août 2024, l’IA Act européen, ou règlement (UE) 2024/1689, fixe des règles pour concevoir, vendre et utiliser des systèmes d’IA dans l’Union européenne.

Son principe tient en une phrase : plus un usage peut porter atteinte à la sécurité ou aux droits des personnes, plus les obligations sont fortes.

Pour une TPE ou une PME, l’enjeu n’est pas de produire la même documentation pour chaque outil. Il faut d’abord savoir quelles IA sont utilisées, pour quoi faire, avec quelles données et avec quel effet sur les personnes. C’est l’objet de ce module.

À retenir. L’AI Act ne remplace ni le RGPD, ni le droit du travail, ni les règles de protection des consommateurs. Ces textes continuent de s’appliquer en parallèle.

1. Qui est concerné et à quel titre ?

L’AI Act est le premier cadre juridique complet consacré à l’intelligence artificielle. Il s’applique à toute organisation qui met un système d’IA sur le marché européen ou qui l’utilise dans son activité professionnelle. La taille de l’entreprise ne l’exclut pas.

Ce qui change tout, c’est le rôle de l’entreprise pour chaque outil :

• fournisseur : elle développe un système d’IA (ou le fait développer) et le commercialise sous son nom ;
• déployeur : elle utilise un système d’IA sous son autorité, dans le cadre de son activité ;
• importateur ou distributeur : elle participe à la mise à disposition du système sur le marché européen.

La plupart des TPE et des PME sont déployeurs : elles utilisent des outils conçus par d’autres. Une même entreprise peut pourtant changer de rôle selon le projet.

Exemple : une agence qui utilise un assistant de rédaction est déployeur. Si elle développe ensuite un outil qu’elle vend à ses clients sous sa marque, elle devient fournisseur pour ce système. Ses obligations ne sont plus les mêmes.

2. Les quatre niveaux de risque

Le règlement classe les usages de l’IA en quatre niveaux. Le niveau dépend de l’usage et de ses effets sur les personnes, pas du nom de l’outil.

Risque inacceptableUsage interdit · notation sociale, manipulation

Haut risqueExigences renforcées · tri de candidatures, accès aux services essentiels

TransparenceInformer les personnes · chatbot, hypertrucage

Risque minimal ou nulPas d’obligation spécifique · filtre antispam, jeu vidéo

Risque inacceptable : les pratiques interdites

Certaines pratiques menacent trop gravement les droits et les libertés. Elles sont interdites. Le règlement vise notamment certaines techniques de manipulation, la notation sociale, la collecte non ciblée d’images pour constituer des bases de reconnaissance faciale et certains usages de la biométrie ou de la reconnaissance des émotions.

Exemple : un système attribue un score social général à une personne, puis s’en sert pour lui refuser un service sans rapport avec les données collectées. Cet usage peut relever d’une pratique interdite.

La plupart des interdictions de l’article 5 s’appliquent depuis le 2 février 2025. Le règlement (UE) 2026/1744 en a ajouté de nouvelles, qui visent la création de contenus intimes d’une personne sans son consentement et de contenus pédocriminels. Elles s’appliquent à partir du 2 décembre 2026.

Haut risque : des exigences renforcées

Un système est classé à haut risque dans deux grandes situations :

1. il constitue un produit, ou un composant de sécurité d’un produit, soumis à une législation européenne listée à l’annexe I ;
2. il sert à l’un des usages sensibles énumérés à l’annexe III : emploi, éducation, accès aux services essentiels, justice, infrastructures critiques, migration ou biométrie.

Exemple : une IA qui analyse et filtre des candidatures peut être à haut risque. La simple présence d’une fonction d’IA ne suffit pas : la qualification dépend de l’usage prévu et de son effet réel.

Les exigences portent sur la gestion des risques, la qualité des données, la documentation technique, la journalisation, la supervision humaine, la robustesse, la cybersécurité et l’exactitude. Le fournisseur en porte l’essentiel. Le déployeur doit utiliser le système selon sa notice, en assurer la surveillance humaine et informer les personnes concernées.

Transparence : informer les personnes

L’article 50 impose d’informer les personnes dans certaines situations. Quand quelqu’un échange directement avec une IA, il doit le savoir, sauf si le contexte le rend évident.

Les hypertrucages, ces images, sons ou vidéos truqués qui ressemblent à la réalité, doivent être signalés. Certains textes générés par IA et publiés pour informer le public sur des sujets d’intérêt général doivent aussi être identifiés, sauf exceptions prévues par le règlement.

Exemple : un site marchand qui conseille ses clients avec un chatbot indique clairement qu’il s’agit d’un agent automatisé.

Risque minimal ou nul : pas de règle supplémentaire

La majorité des systèmes d’IA entrent dans cette catégorie : filtre antispam, moteur de jeu vidéo, correcteur orthographique. L’AI Act n’ajoute pas d’obligation spécifique.

Les autres textes restent applicables. Un filtre photo qui traite des visages doit toujours respecter le RGPD.

Niveau	Conséquence principale	Exemple indicatif
Inacceptable	Usage interdit	notation sociale générale
Haut risque	Exigences renforcées	filtrage de candidatures
Transparence	Information ou marquage	chatbot client, hypertrucage
Minimal ou nul	Pas d’obligation spécifique AI Act	filtre antispam

Attention aux raccourcis. Utiliser ChatGPT ne rend pas votre entreprise « à haut risque ». Reformuler un texte public et trier des candidatures avec le même outil ne relèvent pas du même niveau.

3. Le calendrier : ce qui s’applique déjà

L’AI Act entre en application par étapes. Le règlement (UE) 2026/1744 a reporté une partie des règles sur les systèmes à haut risque.

Date	Principales étapes
1er août 2024	Entrée en vigueur de l’AI Act
2 février 2025	Premières interdictions et obligation de maîtrise de l’IA
2 août 2025	Gouvernance et obligations sur les modèles d’IA à usage général
2 août 2026	Application générale, transparence de l’article 50 et sanctions
2 décembre 2026	Nouvelles interdictions ajoutées par le règlement 2026/1744
2 décembre 2027	Exigences reportées pour les systèmes à haut risque de l’annexe III
2 août 2028	Exigences reportées pour les systèmes à haut risque liés aux produits de l’annexe I

Le report ne suspend pas le reste du règlement. Les pratiques interdites, la maîtrise de l’IA et la transparence se traitent dès maintenant.

4. La maîtrise de l’IA : former ses équipes

Depuis le 2 février 2025, l’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour que leur personnel ait un niveau suffisant de maîtrise de l’IA. Cela vaut aussi pour les personnes qui utilisent ces systèmes pour leur compte.

Une sensibilisation générique ne suffit pas toujours. Le contenu tient compte :

• des connaissances techniques et de l’expérience des personnes ;
• de leur formation et de leurs missions ;
• du contexte d’utilisation du système ;
• des personnes concernées par ses résultats.

Le service communication n’a pas les mêmes besoins que l’équipe RH qui trie des candidatures. Adaptez les mesures aux risques réels et gardez une trace de ce qui a été fait : date, contenu, participants, supports.

5. Sept actions pour préparer votre entreprise

1. Inventorier les outils réellement utilisés. Les licences officielles, mais aussi les services gratuits adoptés sans validation. Ce « shadow IA » est souvent la première source de risque.
2. Décrire les usages et les données. Pour chaque outil : la finalité, les utilisateurs, les données saisies, les personnes concernées, la décision influencée.
3. Identifier son rôle. Fournisseur, déployeur, importateur ou distributeur, outil par outil.
4. Classer les usages par risque. Repérez les pratiques interdites, les usages à haut risque et ceux soumis à transparence. Notez aussi pourquoi un usage sensible en apparence est jugé minimal.
5. Former les équipes. Selon leur métier, leurs outils et les conséquences possibles.
6. Encadrer les données et la validation humaine. Fixez les données à ne jamais saisir dans un outil non validé. Prévoyez une relecture, la vérification des sources et le signalement des incidents.
7. Réviser la cartographie. À chaque changement d’outil, de fournisseur, de paramétrage, de finalité ou de règle juridique.

Une charte IA en entreprise formalise ces règles. Elle ne remplace ni l’analyse des risques, ni le RGPD, ni les procédures propres aux systèmes à haut risque.

6. Les sanctions

Le plafond de l’amende dépend du manquement :

• jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour les pratiques interdites ;
• jusqu’à 15 millions d’euros ou 3 % pour la plupart des autres obligations ;
• jusqu’à 7,5 millions d’euros ou 1 % pour des informations inexactes, incomplètes ou trompeuses fournies à une autorité.

Pour une grande entreprise, le montant le plus élevé des deux est retenu. Pour une PME, y compris une jeune entreprise, c’est en principe le plus faible. Le montant réel tient compte de la nature, de la gravité et de la durée de l’infraction.

Résumé

• L’AI Act s’applique à toute organisation qui vend ou utilise de l’IA en Europe, quelle que soit sa taille.
• Les obligations dépendent du rôle de l’entreprise, de l’usage et du niveau de risque.
• Quatre niveaux : interdit, haut risque, transparence, minimal.
• Interdictions et maîtrise de l’IA depuis février 2025, transparence et sanctions depuis août 2026.
• Les exigences sur le haut risque sont reportées à décembre 2027 et août 2028.
• Premier réflexe : cartographier ses usages, puis former et encadrer.

Questions fréquentes

L’IA Act s’applique-t-il aux TPE et aux PME ?

Oui. La taille de l’entreprise ne l’exclut pas. Les obligations dépendent de son rôle, de l’usage et du niveau de risque. Le règlement prévoit aussi des mesures de proportionnalité et un plafond d’amende plus favorable aux PME.

Utiliser ChatGPT rend-il mon entreprise « à haut risque » ?

Non. Un outil d’IA générative n’est pas à haut risque pour tous ses usages. Reformuler un texte public n’équivaut pas à filtrer des candidatures ou à décider de l’accès à un service essentiel.

Une formation à l’IA est-elle obligatoire ?

Le règlement impose de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA. Une formation est un moyen adapté. Elle se complète, si besoin, par des règles internes, des consignes et un suivi.

L’AI Act remplace-t-il le RGPD ?

Non. Les deux textes se complètent. Dès qu’un système d’IA traite des données personnelles, le RGPD s’applique : base légale, minimisation, information des personnes, sécurité et, si le risque le justifie, analyse d’impact.

Une charte IA suffit-elle pour être conforme ?

Non. Une charte rend les règles visibles. Elle ne remplace pas la cartographie des usages, l’analyse des risques, la gestion des données, la formation et la supervision humaine.

Termes clés

• AI Act : règlement (UE) 2024/1689 sur l’intelligence artificielle.
• Déployeur : organisation qui utilise un système d’IA sous son autorité dans son activité professionnelle.
• Fournisseur : organisation qui développe un système d’IA et le met sur le marché sous son nom.
• Haut risque : usage soumis à des exigences renforcées (annexes I et III du règlement).
• Hypertrucage : image, son ou vidéo généré ou modifié par IA qui ressemble à la réalité.
• Maîtrise de l’IA : compétences et connaissances pour utiliser l’IA en connaissance de cause (article 4).
• Cartographie des usages : liste des outils d’IA utilisés, avec leur finalité, leurs données et leur niveau de risque.

Références

• Règlement (UE) 2024/1689 sur l’intelligence artificielle, EUR-Lex
• Règlement (UE) 2026/1744, EUR-Lex
• Cadre réglementaire européen sur l’IA, Commission européenne
• Obligations de transparence de l’article 50, Commission européenne
• Questions-réponses sur la maîtrise de l’IA, Commission européenne
• Charte IA en entreprise : guide pratique et modèle Word, Acadigit
• RGPD en entreprise, Acadigit

QCM (une seule bonne réponse par question)

Question 1 — Une PME de quinze salariés utilise des outils d’IA. L’AI Act :

1. Ne la concerne pas, il vise les grandes entreprises
2. La concerne, selon son rôle, ses usages et leur niveau de risque
3. Ne concerne que les entreprises qui développent de l’IA

Question 2 — Votre entreprise utilise un assistant de rédaction acheté à un éditeur. Son rôle est le plus souvent :

1. Fournisseur
2. Importateur
3. Déployeur

Question 3 — Ce qui détermine le niveau de risque, c’est :

1. L’usage qui est fait de l’outil et ses effets sur les personnes
2. Le nom de l’outil
3. Le prix de l’abonnement

Question 4 — Lequel de ces usages peut relever du haut risque ?

1. Corriger l’orthographe d’une plaquette
2. Filtrer automatiquement des candidatures
3. Générer une illustration pour un post

Question 5 — Votre site répond aux clients avec un chatbot. Vous devez :

1. Rien, un chatbot est à risque minimal
2. Faire auditer le chatbot chaque année
3. Indiquer clairement aux clients qu’ils échangent avec une IA

Question 6 — Depuis le 2 février 2025, les entreprises qui utilisent l’IA doivent notamment :

1. Prendre des mesures pour la maîtrise de l’IA de leurs équipes
2. Déclarer chaque outil à la CNIL
3. Obtenir une certification de leurs outils

Question 7 — Les exigences reportées pour les systèmes à haut risque de l’annexe III s’appliquent à partir du :

1. 2 août 2026
2. 2 décembre 2027
3. 1er août 2024

Question 8 — Le plafond d’amende pour une pratique interdite est de :

1. 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial
2. 20 millions d’euros ou 4 % du chiffre d’affaires
3. 6 % du chiffre d’affaires annuel mondial

Question 9 — Première action conseillée à une TPE :

1. Interdire tous les outils d’IA
2. Attendre décembre 2027
3. Inventorier les outils d’IA réellement utilisés, y compris les gratuits

Question 10 — Une charte IA :

1. Suffit pour être conforme à l’AI Act
2. Formalise les règles mais ne remplace pas l’analyse des risques
3. Remplace le RGPD pour les outils d’IA

Voir les réponses et les explications

Réponses : 1→2 · 2→3 · 3→1 · 4→2 · 5→3 · 6→1 · 7→2 · 8→1 · 9→3 · 10→2

Explications.

1. La taille ne compte pas : ce sont le rôle, l’usage et le niveau de risque qui fixent les obligations.
2. Utiliser sous son autorité un outil conçu par d’autres, c’est être déployeur.
3. Un même outil peut relever de niveaux différents selon l’usage.
4. Le recrutement fait partie des usages sensibles de l’annexe III.
5. L’article 50 impose d’informer la personne qu’elle échange avec une IA, sauf si c’est évident.
6. L’article 4 sur la maîtrise de l’IA s’applique depuis le 2 février 2025 ; aucune déclaration à la CNIL n’est prévue par l’AI Act.
7. Le règlement 2026/1744 a reporté ces exigences au 2 décembre 2027.
8. 20 millions ou 4 %, c’est le plafond du RGPD ; 6 % était le chiffre erroné de l’ancienne version de cette leçon.
9. On ne peut pas classer ce qu’on ne connaît pas : l’inventaire vient en premier.
10. La charte rend les règles visibles ; l’analyse des risques et le RGPD restent nécessaires.

Exercices

Exercice 1 — Inventorier vos outils (10 min) Listez tous les outils d’IA utilisés dans votre entreprise, y compris ceux que les salariés ont adoptés seuls. Interrogez au moins deux collègues. Reportez-les dans la cartographie de l’annexe.

Exercice 2 — Classer quatre usages (10 min) Pour chaque usage, indiquez le rôle de l’entreprise et le niveau de risque le plus probable.

• a) Le service communication génère des visuels pour LinkedIn.
• b) Un outil classe automatiquement les candidatures reçues.
• c) Un chatbot répond aux questions des clients sur le site.
• d) Votre entreprise vend à ses clients un logiciel d’analyse de devis par IA, développé en interne.

Exercice 3 — Préparer la sensibilisation (5 min) Choisissez une équipe de votre entreprise. Notez ses outils, les données qu’elle y saisit et deux règles qu’elle doit connaître. Fixez une date de sensibilisation.

Corrections des exercices

Exercice 1 — Exemple du cabinet de conseil : un assistant de rédaction sous licence, un outil gratuit de génération d’images, un traducteur en ligne, l’outil de tri de candidatures en essai, le chatbot du site. Le traducteur et l’outil d’images n’avaient été validés par personne : c’est le « shadow IA » typique.

Exercice 2 — a) Déployeur, risque minimal pour l’AI Act, mais hypertrucage à signaler si une personne réelle est représentée de façon trompeuse. b) Déployeur, haut risque probable (emploi, annexe III) : notice du fournisseur, surveillance humaine, information des candidats. c) Déployeur, transparence : annoncer l’agent automatisé. d) Fournisseur : il faut qualifier l’usage du logiciel chez les clients pour connaître ses obligations. Le même cabinet peut être déployeur pour un outil et fournisseur pour un autre.

Exercice 3 — Exemple : équipe RH, outil de tri de candidatures, données des candidats. Règles : aucune décision sans relecture humaine ; ne jamais saisir de données de santé. Sensibilisation d’une heure le premier mardi du mois, feuille de présence conservée. La trace écrite compte autant que la séance elle-même.

Annexe — Cartographie de vos usages d’IA

À remplir en équipe. Elle sert de base à la charte IA et à la formation.

Outil	Qui l’utilise	Pour quoi faire	Données saisies	Rôle de l’entreprise	Niveau de risque	Action à mener

Avertissement. Ce module présente un cadre général et ne constitue pas une consultation juridique. La qualification d’un système et les obligations applicables se vérifient selon l’usage réel de l’entreprise.