Mon entreprise est-elle concernée par l'AI Act ? Le guide pratique pour les PME

Vous utilisez ChatGPT pour rédiger vos mails, un outil de scoring pour qualifier vos prospects, ou un logiciel RH qui trie des CV automatiquement ? Alors le règlement européen sur l'IA vous concerne — peut-être dès maintenant.

Pas besoin d'être une entreprise tech pour être dans le périmètre de l'AI Act. La grande majorité des PME françaises utilisent déjà de l'intelligence artificielle sans forcément le savoir. Ce guide vous aide à faire le point en moins de 30 minutes.

Première question : utilisez-vous réellement de l'IA ?

Avant tout, il faut identifier ce qui entre dans la définition légale. L'AI Act définit un système d'IA comme tout système qui, à partir d'objectifs définis par des humains, génère des résultats comme des prédictions, des recommandations, des décisions ou du contenu — en influençant des environnements réels ou virtuels.

Concrètement, les outils suivants sont concernés :

• Assistants génératifs : ChatGPT, Copilot, Gemini, Claude utilisés dans un contexte professionnel
• Outils de scoring : notation de leads, évaluation de la solvabilité, scoring crédit
• Logiciels RH : outils de tri de CV, d'évaluation de candidats, de surveillance de la productivité
• Systèmes de recommandation : moteurs qui personnalisent des offres ou des contenus
• Chatbots en contact avec vos clients ou prospects
• Outils de détection de fraude automatisés
• Logiciels de maintenance prédictive dans l'industrie

Si vous cochez au moins une case, lisez la suite.

Étape 1 : Cartographier vos outils IA

La première action concrète est de dresser la liste de tous les systèmes IA que vous utilisez ou que vous avez fait développer. C'est la base de tout — sans cette cartographie, impossible d'évaluer votre exposition.

Pour chaque outil, notez :

• Son nom et son fournisseur
• Son usage : à quoi sert-il concrètement dans votre organisation ?
• Qui prend des décisions basées sur ses résultats ?
• Ces décisions concernent-elles des personnes (salariés, clients, candidats, bénéficiaires) ?

Cette cartographie n'a pas besoin d'être exhaustive dès le départ. Commencez par les outils les plus critiques — ceux qui influencent des décisions à impact humain.

Étape 2 : Êtes-vous fournisseur ou déployeur ?

L'AI Act distingue deux rôles très différents, avec des obligations distinctes.

Vous êtes fournisseur si vous développez un système IA et le mettez sur le marché (même pour vos seuls clients). C'est le cas si vous avez fait développer une solution IA sur mesure que vous revendez ou proposez à des tiers.

Vous êtes déployeur si vous utilisez un système IA développé par quelqu'un d'autre dans vos propres activités. C'est le cas de 95 % des PME : vous utilisez des outils SaaS (Salesforce, HubSpot, des outils RH…) qui intègrent de l'IA.

Dans la plupart des cas, vous êtes déployeur. Bonne nouvelle : vos obligations sont moins lourdes que celles d'un fournisseur. Mauvaise nouvelle : elles existent quand même.

Étape 3 : Vos outils sont-ils à haut risque ?

C'est la question qui détermine le niveau d'obligation. L'AI Act établit une liste précise de systèmes considérés comme "à haut risque" (Annexe III). Pour une PME, les cas les plus fréquents sont :

Ressources humaines — Tout système utilisé pour le recrutement, le tri de CV, l'évaluation de la performance ou la prise de décision concernant les salariés est classé à haut risque. Si votre logiciel RH utilise de l'IA pour noter des candidats, vous êtes dans cette catégorie.

Services financiers — Les outils d'évaluation de solvabilité, de scoring de crédit ou de détection de fraude entrent dans la liste.

Accès aux services essentiels — Les systèmes qui aident à décider qui peut bénéficier d'un service public, d'une assurance ou d'une aide sociale sont à haut risque.

Éducation et formation — Les systèmes qui évaluent les apprenants ou orientent leurs parcours.

Si aucun de vos outils n'entre dans ces catégories, vous êtes dans le régime général — nettement moins contraignant.

Étape 4 : Vos obligations selon votre situation

Vous utilisez un chatbot ou générez du contenu IA (tout le monde, dès août 2026)

C'est l'obligation la plus universelle et la plus immédiate. Depuis le 2 août 2026, tout chatbot en contact avec le public doit clairement indiquer qu'il s'agit d'une IA. Si vous avez un assistant virtuel sur votre site, vérifiez qu'il annonce sa nature.

De même, tout contenu généré par IA (texte, image, vidéo, audio) destiné à influencer des personnes doit être identifiable comme tel.

Action concrète : ajoutez une mention visible du type "Cet assistant est alimenté par une intelligence artificielle" sur votre interface de chat.

Vous utilisez des outils IA sans décisions à impact humain (régime général)

Si vos outils IA servent à rédiger des contenus, à analyser des données de marché ou à optimiser des processus internes sans affecter directement des personnes physiques, vos obligations sont limitées :

• Former vos équipes à comprendre ce que l'IA fait et ne fait pas (obligation de littératie, Article 4, active depuis février 2025)
• Utiliser les outils selon les instructions du fournisseur

Action concrète : organisez une session de 30 à 60 minutes avec vos équipes pour expliquer comment fonctionnent les outils IA utilisés, leurs limites et les cas où un humain doit reprendre la main.

Vous utilisez des outils IA à haut risque comme déployeur

Si vous utilisez un outil de tri de CV, de scoring ou d'évaluation automatisée de personnes, vos obligations (Article 26) sont plus structurées :

Supervision humaine documentée : désignez une personne compétente pour superviser les décisions prises à partir du système. Cette personne doit comprendre les résultats, être en mesure de les contester et d'intervenir. Ce n'est pas une formalité — en cas de contrôle, on vous demandera qui supervise quoi.

Respect des instructions du fournisseur : n'utilisez pas l'outil pour des usages non prévus dans sa documentation. Un logiciel de RH validé pour le tri de CV ne peut pas être réorienté pour évaluer la loyauté d'un salarié.

Évaluation d'impact : pour certains déploiements sensibles, une évaluation formelle de l'impact sur les droits fondamentaux est requise.

Action concrète : créez un document simple (une page suffit) qui identifie quel outil est utilisé, pour quelle décision, et qui en est responsable côté humain.

Vous avez développé une solution IA (fournisseur)

Si vous avez fait développer un système IA que vous proposez à des clients — même à un seul — vous êtes fournisseur. Vos obligations sont plus lourdes :

• Documentation technique complète du système
• Évaluation de conformité avant mise sur le marché
• Marquage CE pour les systèmes à haut risque
• Déclaration de tout incident grave aux autorités dans les 15 jours

Si c'est votre cas, rapprochez-vous d'un conseil juridique spécialisé. Les délais de mise en conformité sont longs (12 à 18 mois en pratique).

La checklist de conformité rapide

Voici les points à vérifier en priorité pour une PME :

Dès maintenant :

• Cartographie des outils IA utilisés dans l'entreprise réalisée
• Chatbots et interfaces IA identifiées comme tels auprès des utilisateurs
• Équipes formées aux capacités et limites des outils IA utilisés (littératie IA)

Si vous utilisez des outils à haut risque (RH, scoring…) :

• Responsable de supervision humaine désigné pour chaque outil critique
• Document d'usage conforme aux instructions du fournisseur
• Contrat fournisseur vérifié (clauses de conformité AI Act)

Si vous avez développé une solution IA :

• Documentation technique constituée
• Évaluation de conformité initiée
• Conseil juridique consulté

Ce qu'il faut demander à vos fournisseurs SaaS

Beaucoup de PME ne réalisent pas qu'elles peuvent être exposées via leurs fournisseurs. Si un logiciel SaaS que vous utilisez intègre de l'IA et entre dans une catégorie à haut risque, demandez à votre fournisseur :

• Ont-ils une documentation de conformité AI Act ?
• Qui est responsable de l'évaluation de conformité de leur système ?
• Proposent-ils des logs d'utilisation exploitables ?

Un fournisseur sérieux doit pouvoir répondre à ces questions. Si ce n'est pas le cas, c'est un signal d'alerte.

Deux questions pour aller plus loin

Vous n'êtes pas sûr que vos outils soient à haut risque ? Le site officiel de la Commission européenne (ai-act-service-desk.ec.europa.eu) propose des ressources pour identifier la catégorie de vos systèmes.

Vous voulez structurer une démarche de conformité pour votre entreprise ? C'est exactement ce que nous faisons dans le cadre de notre accompagnement consulting IA : audit des outils existants, cartographie des risques, documentation adaptée à votre taille et à votre secteur.

Questions fréquentes

Mon entreprise est petite. Est-ce que l'AI Act me concerne vraiment ?

Oui — mais avec des protections. Les sanctions sont plafonnées plus bas pour les PME et startups (montant le plus bas entre le plafond absolu et le pourcentage de CA). Et certaines obligations ne s'appliquent qu'à partir d'un certain niveau de risque. L'essentiel pour une petite structure : identifier les outils utilisés, former les équipes, et assurer une supervision humaine documentée sur les décisions à impact.

Est-ce que ça s'applique si j'utilise simplement ChatGPT au bureau ?

Utiliser ChatGPT pour des tâches internes (rédaction, résumés, recherche) vous place dans le régime général. L'obligation principale est la littératie IA : vos équipes doivent comprendre ce qu'elles utilisent. Si vous exposez ChatGPT à vos clients via une interface, l'obligation de transparence (Article 50) s'applique.

J'utilise un logiciel RH qui trie des CV. Par où commencer ?

Vous êtes dans la catégorie à haut risque (Annexe III, emploi). La priorité : (1) désigner formellement un responsable de supervision humaine pour les décisions de recrutement, (2) vérifier les contrats avec votre éditeur logiciel pour les clauses de conformité, (3) ne jamais baser une décision d'embauche uniquement sur la sortie du logiciel sans validation humaine documentée.

La CNIL peut-elle déjà sanctionner des entreprises ?

Le régime de sanctions de l'AI Act est en vigueur depuis août 2025. En pratique, l'infrastructure nationale de contrôle est encore en cours de structuration en France (comme dans la plupart des États membres). Cela ne signifie pas qu'il faut attendre : les contrôles peuvent intervenir rétroactivement une fois le dispositif opérationnel.

---

Pour comprendre le contexte réglementaire : AI Act : le calendrier complet et ce que l'Omnibus numérique a changé