EU AI Act pour les PME : quelles obligations s’appliquent désormais et ce que vous devez faire

La loi européenne sur l’IA (Règlement sur l’IA, Règlement (UE) 2024/1689) régit l’utilisation de l’intelligence artificielle dans l’UE selon le risque. Pour la plupart des petites et moyennes entreprises qui n’utilisent que des outils d’IA tels que les chatbots, les assistants de dactylo ou les assistants téléphoniques, deux obligations sont cruciales aujourd’hui : Depuis le 2 février 2025, les entreprises doivent prendre des mesures soutenant la compétence en IA de leurs employés. Depuis le 2 août 2026, l’obligation de transparence est en vigueur: les personnes doivent être capables de reconnaître qu’elles interagissent avec un système d’IA. Les obligations strictes pour l’IA à haut risque n’affectent que certains domaines d’application et ne s’appliqueront qu’à partir de décembre 2027.

Cet article classe ce qui affecte votre entreprise et se termine par une liste de contrôle. Il ne remplace pas les conseils juridiques. En date d’octobre 2026.

Fournisseur ou opérateur : quel est le rôle de votre entreprise ?

Les obligations du Règlement sur l’IA dépendent du rôle :

• Les fournisseurs développent un système d’IA ou le font développer et commercialiser sous leur propre nom, par exemple un fabricant de logiciels.
• Les opérateurs utilisent un système d’IA à leur propre responsabilité, par exemple une entreprise d’artisanat qui utilise un assistant téléphonique IA ou un bureau qui conçoit des textes avec un modèle de langage.

La grande majorité des PME sont des opérateurs. Cependant, toute personne qui propose ou modifie significativement un système d’IA tiers sous sa propre marque peut devenir elle-même un fournisseur. Cela est particulièrement pertinent pour les sociétés de logiciels et les agences.

Les niveaux de risque de la réglementation de l’IA

Les applications de bureau typiques dans les PME, telles que la rédaction de textos, la recherche de documents, le tri de demandes ou la réponse aux appels, se situent dans les niveaux de « transparence » ou « minimal ». Attention à la gestion des candidatures : L’IA qui trie ou évalue les candidatures est l’une des applications à haut risque.

Ce qui est en vigueur depuis février 2025 : la compétence en IA et les interdictions

Selon l’art. 4, les prestataires et opérateurs doivent prendre des mesures pour soutenir le développement de la compétence en IA de leur personnel et des autres personnes utilisant les systèmes d’IA pour leur nom. Depuis la modification par le Digital Omnibus (en vigueur depuis le 27 juillet 2026), ils n’ont pas à garantir un certain niveau de compétence individuelle – l’obligation d’agir demeure. Les connaissances préalables, la formation, le contexte de déploiement et les personnes concernées par l’utilisation de l’IA sont pris en compte. Ce que cela signifie concrètement est expliqué dans l’article Compétence en IA selon l’art. 4 : Ce que signifie l’obligation de formation.

Depuis la même date, certaines pratiques d’IA sont également interdites (art. 5). Pour les applications PME classiques, elles jouent pratiquement aucun rôle.

Ce qui est en vigueur depuis août 2026 : obligations de transparence

Depuis le 2 août 2026, les obligations de transparence prévues à l’article 50 sont en vigueur. Deux cas particuliers concernent les PME :

• Chatbots et assistants téléphoniques: Quiconque parle ou écrit à un système d’IA doit apprendre au plus tard dès le début qu’il s’agit d’une IA, sauf si cela est évident de toute façon. Une phrase comme « Vous parlez à l’assistant numérique de ... » est généralement suffisante.
• Deepfakes et textes IA sur des sujets d’intérêt public: Les images, vidéos et enregistrements sonores générés ou manipulés artificiellement qui semblent réels doivent être déclarés générés par IA. Cela s’applique également aux textes portant sur des sujets d’intérêt public, sauf si un humain les a vérifiés par l’éditorial et en est responsable.

Si vous utilisez un chatbot IA ou un assistant téléphonique IA, vous devriez donc intégrer fermement la note dans la formule de bienvenue.

IA à haut risque : reportée à décembre 2027

À l’origine, les obligations pour l’IA à haut risque prévues par l’Annexe III devaient s’appliquer à partir d’août 2026. Le Règlement (UE) 2026/1744, appelé Digital Omnibus, a reporté cette date au 2 décembre 2027; pour l’IA dans les produits de l’Annexe I (tels que les machines ou dispositifs médicaux), le 2 août 2028 s’applique. Toute personne utilisant ou prévoyant d’utiliser l’IA dans la sélection du personnel, l’évaluation des performances ou les vérifications de crédit doit consacrer ce temps, car les obligations des opérateurs (art. 26) incluent, entre autres, la supervision humaine, la consignation et l’information des personnes concernées.

Qui contrôle, et qu’est-ce qui menace ?

En Allemagne, selon la loi sur la surveillance du marché et la promotion de l’innovation de l’IA (KI-MIG) du 22 juillet 2026, l’Agence fédérale des réseaux est généralement l’autorité de surveillance du marché ; des autorités spécialisées telles que BaFin sont responsables de certains domaines. Les amendes sont régies par l’article 99 de l’Ordonnance sur l’IA. Les violations des obligations de transparence peuvent être sanctionnées par une augmentation maximale de 15 millions d’euros, soit 3 % du chiffre d’affaires annuel mondial ; les PME sont soumises à la valeur inférieure des deux. Le règlement ne prévoit pas d’amendes distinctes pour la compétence en IA en vertu de l’art. 4. Cependant, un manque de formation peut vous pénaliser en cas d’erreurs et de questions de responsabilité.

Liste de contrôle pour les PME

1. Inventaire: Quels outils d’IA sont utilisés dans l’entreprise, officiellement ou officieusement ? Ce dernier point est particulièrement courant, voir l’IA fantôme dans l’entreprise.
2. Classifier: Pour chaque outil, notez le rôle (opérateur/fournisseur) et le niveau de risque.
3. Assurer la compétence en IA: La formation de tous ceux qui utilisent l’IA est documentée et adaptée aux tâches.
4. Mettre en place la transparence: notifications dans les chatbots, assistants téléphoniques et images ou vidéos générées par IA.
5. Règles définies : Une courte directive IA clarifie quels outils sont autorisés et quels données n’y ont pas leur place.
6. Vérifiez la protection des données: Le Règlement sur l’IA ne remplace pas le RGPD. Les données personnelles doivent toujours avoir une base légale et des contrats pour le traitement des commandes.
7. Notez le risque élevé: ceux qui utilisent l’IA en RH planifient les exigences pour décembre 2027.

Le conseil et la mise en œuvre accompagnée sont éligibles au financement : grâce au coaching INQA, le gouvernement fédéral prend en charge 80 % des coûts de consultation allant jusqu’à 1 200 € par jour pendant 12 jours, soit jusqu’à 11 520 € de subvention. En Mecklembourg-Poméranie occidentale et dans les autres nouveaux États fédéraux, le financement du conseil BAFA est également éligible à 80 % jusqu’au 31.12.2026 (50 % dans les anciens États fédéraux). Le financement est prévu pour le conseil, et non pour le logiciel. Le contrôle de financement indique quel programme correspond.

Questions fréquemment posées

La loi européenne sur l’IA s’applique-t-elle aussi aux petites entreprises ?

Oui. Le règlement sur l’IA s’applique à tous ceux qui utilisent ou proposent des systèmes d’IA de manière professionnelle, quelle que soit la taille de l’entreprise. Il existe des facilités pour les PME, comme des limites supérieures plus basses sur les amendes et une documentation simplifiée pour les prestataires, mais il n’y a pas d’exception générale.

Dois-je étiqueter ChatGPT dans l’entreprise ?

Si les employés utilisent ChatGPT en interne pour concevoir des textes, ils n’ont pas besoin d’être identifiés partout. Les chatbots en contact avec les clients, les images, vidéos et voix IA apparemment réelles, ainsi que les textes IA sur des sujets d’intérêt public sans revue éditoriale humaine sont soumis à l’étiquetage.

Depuis quand l’obligation de fournir une formation prévue par l’AI Act s’applique-t-elle ?

L’obligation prévue à l’article 4 de prendre des mesures sur la compétence en IA s’applique à toutes les entreprises utilisant des systèmes d’IA depuis le 2 février 2025. Depuis juillet 2026, il a été précisé qu’aucun niveau spécifique de compétence n’a à être garanti.

Qui est responsable de la loi sur l’IA en Allemagne ?

Selon le KI-MIG, l’Agence fédérale des réseaux est généralement l’autorité responsable de la surveillance des marchés. BaFin est responsable de l’IA dans le secteur financier, et les autorités spécialisées respectives sont responsables de certains produits.

Quand s’appliquent les obligations liées à l’IA à haut risque ?

Pour les systèmes à haut risque selon l’Annexe III, comme dans le domaine des ressources humaines, à partir du 2 décembre 2027. Pour l’IA dans les produits réglementés selon l’Annexe I à partir du 2 août 2028. Les deux dates ont été reportées par le Règlement (UE) 2026/1744.

Étape suivante

Si vous souhaitez savoir quelles applications d’IA déclenchent quelles obligations, notre conseil en IA vous soutiendra. Pour l’obligation de formation, nous proposons une formation en IA adaptée à vos outils et tâches.

Sources : art. 4, art. 50, art. 99 et art. 113 du Règlement sur l’IA ; Règlement (UE) 2026/1744; KI-MIG.