Depuis le 2 février 2025, toute entreprise qui utilise un système d’intelligence artificielle doit avoir formé les personnes qui le manipulent au quotidien. C’est l’article 4 du règlement européen sur l’intelligence artificielle, l’AI Act, et c’est une obligation que beaucoup de dirigeants de PME découvrent en lisant cet article plutôt que dans une newsletter juridique. Le texte est entré en vigueur en août 2024 et avance depuis par vagues successives, la prochaine échéance majeure tombant le 2 août 2026. Comprendre ce calendrier, et le rôle que vous y occupez, évite de se croire hors sujet sur une réglementation qu’on imagine réservée aux géants qui construisent les modèles.
Une classification par usage, pas une loi générale sur l’intelligence artificielle
Les dirigeants suivent déjà d’autres bouleversements liés à l’IA, comme l’arrivée annoncée des AI Overviews en France, qui redistribue la visibilité en ligne des entreprises. L’AI Act, lui, se joue sur un terrain différent : votre responsabilité juridique face à l’usage que vous faites de l’IA. Le texte ne réglemente pas la technologie en tant que telle : il classe les usages en quatre niveaux de risque, et l’essentiel de vos obligations dépend de la case où tombe votre usage.
- Interdit : notation sociale, manipulation subliminale, reconnaissance d’émotion au travail ou à l’école, identification biométrique en temps réel dans l’espace public.
- Haut risque : recrutement, évaluation de crédit, justice, éducation.
- Risque limité, soumis à transparence : chatbots, deepfakes, contenu généré par IA.
- Risque minimal : l’écrasante majorité des usages actuels, non réglementés.
Un outil de tri automatisé de candidatures entre dans la deuxième catégorie. Un chatbot de service client entre dans la troisième. Un correcteur orthographique ou un générateur d’images pour vos visuels marketing reste, pour l’instant, dans la dernière (source : artificialintelligenceact.eu). Cette logique par usage veut dire qu’une même technologie peut se retrouver dans deux cases différentes selon ce que vous en faites, ce qui explique pourquoi la question à se poser n’est jamais « est-ce que j’utilise de l’IA » mais « à quoi sert précisément l’outil que j’utilise ».
Un calendrier qui avance par vagues depuis 2024
Le règlement est entré en vigueur en août 2024, mais ses obligations ne s’appliquent pas toutes en même temps. Cinq dates structurent le calendrier :
- Août 2024 : entrée en vigueur du texte.
- 2 février 2025 : interdiction des pratiques inacceptables, et entrée en application de l’obligation de littératie IA (article 4), soit la formation du personnel qui utilise l’IA.
- Août 2025 : régime spécifique pour les fournisseurs de grands modèles de langage, les entreprises derrière GPT, Claude ou Gemini.
- 2 août 2026 : obligations de transparence de l’article 50, dont l’étiquetage des contenus générés par IA.
- 2 décembre 2027 puis 2 août 2028 : régime haut risque, d’abord pour les systèmes autonomes comme le recrutement ou le crédit, puis pour l’IA intégrée à des produits déjà réglementés (dispositifs médicaux, machines).
Les deux dernières dates ont bougé cet été. La Commission européenne a proposé fin 2025 de reporter le régime haut risque, un accord politique est intervenu le 7 mai 2026 entre le Conseil et le Parlement, et le texte dit Digital Omnibus est entré en vigueur le 27 juillet 2026 (source : Gibson Dunn). Les obligations de transparence de l’article 50, elles, n’ont pas bougé : elles s’appliquent depuis le 2 août 2026, avec un simple délai de grâce jusqu’au 2 décembre 2026 pour le marquage technique des contenus IA déjà commercialisés (source : artificialintelligenceact.eu). Le report ne concerne donc que le régime haut risque, pas l’ensemble du texte, une nuance qui manque à beaucoup de reprises presse pressées de titrer sur un report général.
Le déployeur, le rôle qui vous concerne directement
Le règlement distingue deux rôles. Le fournisseur construit le système et porte l’essentiel des obligations techniques : documentation, gestion des risques, marquage CE. C’est le rôle d’Anthropic, OpenAI ou d’un éditeur qui intègre un modèle dans son propre produit. Le déployeur utilise l’IA dans son activité, comme un outil, sans le construire ni le revendre. La majorité des PME françaises tombent dans ce second rôle, avec des obligations plus légères que celles du fournisseur, mais bien réelles.
Concrètement, être déployeur signifie informer les personnes concernées quand elles interagissent avec un système à risque limité, un chatbot de support par exemple, et s’assurer que les équipes qui pilotent ces outils ont reçu une formation suffisante au regard du contexte d’usage, soit l’obligation de littératie de l’article 4 déjà mentionnée. Un principe déjà connu des équipes qui ont travaillé la mise en conformité RGPD s’applique de la même façon ici : la portée du texte est mondiale et s’applique dès que les effets touchent le marché européen, indépendamment du siège de l’entreprise. Sur ce terrain de la mise en conformité numérique, les enjeux de cybersécurité des PME suivent une logique similaire : l’obligation existe dès que vous traitez les données, pas seulement quand vous êtes visé en priorité par le texte.
Qui contrôle concrètement ces obligations en France reste, à l’heure où nous écrivons, en cours de structuration. Le gouvernement a proposé un projet de loi qui distribue la supervision entre autorités existantes selon le secteur concerné, la CNIL sur les données et la biométrie, l’Arcom sur les contenus, l’ACPR sur la finance, la DGCCRF en coordination d’ensemble, mais ce texte n’a pas encore été définitivement adopté par le Parlement. Aucun guichet unique ne s’est donc encore imposé.
Les amendes, et la nuance qui change tout pour une PME
L’AI Act prévoit trois paliers d’amendes. Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites. Jusqu’à 15 millions d’euros ou 3 % pour les autres manquements, dont la transparence. Jusqu’à 7,5 millions d’euros ou 1 % pour des informations trompeuses transmises aux autorités (source : artificialintelligenceact.eu).
Ces chiffres, repris tels quels, ont de quoi inquiéter une petite structure. Pour une PME ou une startup, le règlement retient le montant le plus bas des deux seuils prévus, et non le plus élevé comme pour les grandes entreprises. C’est un détail que la plupart des reprises presse laissent de côté, alors qu’il change concrètement l’exposition d’une structure de dix ou cinquante salariés. La nuance calibre le risque à la taille de l’entreprise, plutôt que de traiter une PME de dix salariés comme une multinationale qui construit ses propres modèles.
Cet article pose le cadre, pas un avis juridique : pour trancher une situation précise, un professionnel du droit reste le bon interlocuteur. Ce qui vaut la peine d’être retenu, c’est que l’AI Act avance par vagues depuis 2024 et que deux obligations discrètes s’appliquent déjà à la plupart des entreprises B2B classiques, former les équipes qui utilisent l’IA et informer les utilisateurs quand ils interagissent avec elle. Le régime haut risque, plus lourd, ne concerne directement qu’une minorité d’usages, et pas avant fin 2027.
Si vous voulez creuser ce cadre sur un cas concret, on peut en parler.
Crédit photo : Pixabay (photos 5382501, 3196481 et 594090), licence Pixabay Content License.
