« Est-ce qu’on a le droit d’utiliser l’IA comme ça ? » Depuis l’entrée en application de l’AI Act, cette question revient dans presque toutes mes missions. Le règlement européen sur l’intelligence artificielle inquiète, souvent plus qu’il ne le devrait. Dans l’immense majorité des cas que je rencontre, une PME qui utilise l’IA avec bon sens n’a que peu de démarches à faire. Encore faut-il comprendre la logique du texte pour savoir ce qui vous concerne vraiment. Voici ce que l’AI Act change concrètement pour votre entreprise, sans jargon juridique.
L’AI Act, c’est quoi pour une entreprise ?
L’AI Act est le premier cadre juridique complet sur l’intelligence artificielle adopté par l’Union européenne. Son principe est simple : plus un usage de l’IA présente de risques pour les personnes, plus les obligations sont fortes. Le texte ne régule pas « l’IA » en bloc, il classe les usages selon quatre niveaux de risque. Pour un dirigeant, la bonne nouvelle est que la plupart des usages bureautiques courants (rédiger un e-mail, résumer un compte rendu, préparer un devis) relèvent des niveaux les plus légers, avec des obligations minimales.
Les quatre niveaux de risque à connaître
Le cœur de l’AI Act tient dans sa pyramide de risques. Le premier niveau, le risque inacceptable, concerne les usages purement et simplement interdits, comme la notation sociale généralisée des citoyens. Aucune PME sérieuse ne s’y trouve.
Le deuxième niveau, le haut risque, vise des usages sensibles : tri automatisé de candidatures, évaluation du personnel, accès au crédit, certains dispositifs de sécurité. Là, les obligations sont réelles (documentation, supervision humaine, qualité des données). Si vous utilisez l’IA pour présélectionner des CV, vous êtes concerné et il faut le regarder de près.
Le troisième niveau, le risque limité, couvre les usages où l’enjeu principal est la transparence : un agent conversationnel doit signaler qu’il est une IA, un contenu généré doit pouvoir être identifié comme tel. La plupart des chatbots et assistants d’entreprise entrent ici.
Le quatrième niveau, le risque minimal, rassemble tout le reste, l’écrasante majorité des usages de productivité. Aucune obligation spécifique, juste le bon sens.
Quel est le calendrier d’application ?
L’AI Act ne s’applique pas d’un seul coup : il se déploie par étapes. Les interdictions les plus dures sont entrées en vigueur en premier, dès le début 2025. Les règles encadrant les grands modèles à usage général ont suivi durant l’été 2025. Les obligations les plus lourdes, celles qui pèsent sur les systèmes classés à haut risque, s’échelonnent jusqu’en 2026 et 2027. Autrement dit, vous avez du temps pour vous mettre en conformité sur les points qui vous concernent, à condition de commencer l’inventaire maintenant plutôt que de découvrir le sujet en urgence.
Suis-je « fournisseur » ou « utilisateur » d’IA ?
C’est la distinction qui change tout, et celle que je clarifie en priorité avec mes clients. L’AI Act pèse beaucoup plus lourd sur les fournisseurs (ceux qui conçoivent et mettent sur le marché un système d’IA) que sur les déployeurs, c’est-à-dire les entreprises qui se contentent d’utiliser des outils existants. Une PME qui utilise un assistant du commerce pour ses e-mails est déployeuse : ses obligations sont légères. Elle bascule vers un rôle de fournisseur si elle développe son propre système, ou si elle modifie substantiellement un outil pour le remettre sur le marché sous sa marque. Bien se situer dans cette chaîne évite autant les angoisses inutiles que les angles morts.
Que faire concrètement dans votre PME ?
Inutile de convoquer un cabinet d’avocats dès demain. Trois actions de bon sens couvrent l’essentiel pour une entreprise qui déploie de l’IA sans la fabriquer.
D’abord, faire l’inventaire de vos usages : qui utilise quoi, pour quelle tâche, avec quelles données. Sans cette cartographie, impossible de savoir si un usage à haut risque se cache dans un coin (typiquement du côté RH ou du recrutement).
Ensuite, poser un cadre écrit. Quels outils sont autorisés, quelles données ne sortent jamais de l’entreprise, qui valide les décisions assistées par l’IA. Ce cadre recoupe très largement vos obligations RGPD, un sujet que je détaille dans mon article sur l’IA générative et la confidentialité des données. AI Act et protection des données avancent main dans la main.
Enfin, garder l’humain dans la boucle sur toute décision qui engage une personne. Une IA propose, un humain décide et assume : ce principe simple vous met du bon côté de la réglementation dans la quasi-totalité des situations.
Faut-il en avoir peur ?
Non. L’AI Act n’a pas été écrit pour empêcher les PME d’utiliser l’IA, mais pour éviter les dérives sur les usages sensibles. Traité comme un projet de gouvernance et non comme une menace, il devient même un atout : une entreprise qui sait dire à ses clients comment elle encadre l’IA inspire confiance. C’est aussi une raison de plus pour former vos équipes à un usage responsable, ce que je travaille en priorité dans mes formations, avec beaucoup de pratique sur vos cas réels.
L’AI Act n’est pas un mur, c’est une grille de lecture. Pour une PME, l’essentiel tient en trois gestes : cartographier ses usages, poser un cadre clair, garder l’humain aux commandes des décisions importantes. C’est exactement le point de départ de mes missions de conseil, où l’on relie mise en conformité et gains de productivité au lieu de les opposer. Si le sujet vous préoccupe, réservez un appel découverte gratuit : 30 minutes pour situer votre entreprise dans la réglementation et repartir avec les premières actions à mener, sans engagement.