Conformité IA · 8 min

Par Laurent Sbeghen · publié le 9 juin 2026 · mis à jour le 4 novembre 2026

AI Act : ce que les TPE/PME doivent comprendre avant de déployer l'IA

L’AI Act n’est pas un sujet réservé aux grands groupes.

Une TPE ou une PME peut être concernée dès qu’elle utilise un système d’IA dans un contexte professionnel : relation client, recrutement, formation, production de contenus, analyse de documents, automatisation d’une décision ou intégration d’un outil fourni par un prestataire.

Le bon réflexe n’est pas de paniquer. Le bon réflexe est de classer les usages.

Cette ressource est construite à partir du règlement européen sur l’intelligence artificielle et des pages d’application de la Commission européenne. Elle ne remplace pas un avis juridique, mais elle donne une méthode de tri pour avancer proprement.

Ce que l’AI Act cherche à encadrer

L’AI Act pose un cadre européen pour les systèmes d’intelligence artificielle.

Son approche est fondée sur le risque. Plus un usage peut avoir d’impact sur les personnes, leurs droits, leur sécurité ou leur accès à un service important, plus les exigences sont fortes.

Pour une entreprise, cela change la question de départ.

Il ne suffit plus de demander : “Quel outil IA allons-nous utiliser ?”

Il faut demander :

à quoi sert l’outil ;
qui l’utilise ;
quelles données sont traitées ;
quel effet la réponse peut avoir sur une personne ;
qui valide le résultat ;
si l’entreprise fournit elle-même un système d’IA ou se contente de l’utiliser.

Les quatre niveaux à connaître

La logique générale du texte distingue des usages interdits, des systèmes à haut risque, des obligations de transparence et des usages à risque limité ou minimal.

Dans une TPE/PME, la plupart des usages simples relèvent souvent d’un usage assisté : rédiger une trame, résumer un texte, préparer une liste de questions, reformuler un message ou aider à classer des informations.

Mais certains cas demandent beaucoup plus d’attention :

tri de candidatures ;
évaluation de salariés ;
accès à une formation ;
scoring de clients ou de personnes ;
biométrie ;
vidéosurveillance augmentée ;
décision automatique ayant un effet significatif ;
outil intégré à un produit réglementé.

Le sujet n’est donc pas “IA ou pas IA”. Le sujet est le contexte d’usage.

Les dates à retenir (mise à jour du 4 novembre 2026)

L’AI Act (règlement (UE) 2024/1689) est entré en vigueur le 1er août 2024. Son calendrier a été modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, dit « omnibus numérique sur l’IA », entré en vigueur le 27 juillet 2026.

Ce qui s’applique déjà :

les pratiques d’IA interdites et l’obligation de maîtrise de l’IA, depuis le 2 février 2025 ;
les règles de gouvernance et les obligations liées aux modèles d’IA à usage général, depuis le 2 août 2025 ;
la nouvelle rédaction de l’article 4 sur la maîtrise de l’IA, depuis le 27 juillet 2026.

Ce que l’omnibus a reporté :

les exigences applicables aux systèmes d’IA à haut risque de l’annexe III (recrutement, formation, accès à des services essentiels, etc.) : 2 décembre 2027 ;
les exigences applicables aux systèmes à haut risque intégrés à des produits réglementés (annexe I) : 2 août 2028.

D’autres échéances ont aussi été ajustées. Avant un projet sensible, vérifiez la date qui s’applique à votre cas dans le texte consolidé, car elle dépend du type de système et du rôle de l’entreprise.

Fournisseur ou utilisateur : ne pas confondre les rôles

Une entreprise qui utilise un outil IA du marché n’a pas le même rôle qu’une entreprise qui conçoit, vend ou intègre un système IA pour ses propres clients.

Pour une TPE/PME, il faut distinguer :

l’entreprise qui utilise un outil IA dans son organisation ;
l’entreprise qui configure fortement un outil pour un usage métier précis ;
l’entreprise qui vend un service intégrant de l’IA ;
le prestataire qui traite des données ou fournit une brique technique.

Ce tri est important, parce que les obligations ne se répartissent pas de la même manière.

Dans le doute, il faut documenter le rôle de chacun : éditeur, intégrateur, sous-traitant, client, utilisateur interne.

Le premier travail : faire l’inventaire des usages IA

Avant de chercher une conformité complète, il faut savoir ce qui existe déjà.

Une petite entreprise peut commencer avec un tableau simple :

outil utilisé ;
équipe concernée ;
objectif ;
données utilisées ;
résultat produit ;
décision humaine associée ;
fournisseur ;
niveau de risque pressenti ;
règles internes à prévoir.

Ce tableau évite les usages invisibles : un salarié qui colle des données clients dans un outil grand public, un service qui teste un assistant de recrutement, une équipe qui produit des contenus sans signaler l’usage de l’IA.

La maîtrise de l’IA n’est pas une formation gadget

L’article 4 de l’AI Act impose aux fournisseurs et aux déployeurs de systèmes d’IA de s’occuper de la maîtrise de l’IA de leur personnel.

Depuis le règlement (UE) 2026/1744, cet article a été réécrit. Les entreprises doivent prendre des mesures pour favoriser la maîtrise de l’IA des personnes qui utilisent ces systèmes en leur nom, mais le texte ne les oblige plus à garantir un niveau de maîtrise spécifique pour chaque personne. La Commission et les États membres doivent soutenir ces efforts, notamment par des ressources et des exemples pratiques, en tenant compte de la charge que l’obligation initiale faisait peser sur les petites entreprises.

L’obligation reste donc réelle, mais elle devient proportionnée. Pour les systèmes à haut risque, l’exigence de former les personnes chargées du contrôle humain reste en place.

Pour une TPE/PME, cela peut rester simple :

expliquer ce que l’outil peut faire ;
expliquer ce qu’il ne garantit pas ;
rappeler les données interdites ou à anonymiser ;
définir les usages autorisés ;
imposer une validation humaine quand le résultat sort de l’entreprise ;
documenter les cas testés.

Le but n’est pas de transformer tout le monde en expert juridique. Le but est que les équipes utilisent l’IA avec discernement.

La transparence compte aussi pour les contenus

Certains usages d’IA imposent des obligations de transparence : signaler qu’un contenu est généré ou manipulé par IA, informer les personnes lorsqu’elles interagissent avec un système, éviter les présentations trompeuses.

Dans une petite entreprise, cela touche par exemple :

les images générées ;
les textes publiés avec une assistance IA ;
les réponses automatiques à des clients ;
les contenus audio ou vidéo synthétiques ;
les assistants conversationnels.

Une règle simple aide déjà : ne pas faire croire qu’une personne a produit ou validé quelque chose si ce n’est pas le cas.

Ce qu’il faut décider avant un projet IA

Avant de déployer un outil, l’entreprise doit répondre à quelques questions concrètes.

L’usage est-il interne ou externe ?

Les données sont-elles personnelles, confidentielles ou commerciales ?

Le résultat aide-t-il une personne à décider, ou décide-t-il à sa place ?

Peut-il produire un effet sur un salarié, un client, un candidat ou un fournisseur ?

Le fournisseur donne-t-il une documentation claire sur l’outil ?

Qui vérifie les réponses ?

Que fait-on si le résultat est faux, biaisé ou incomplet ?

Ces questions sont plus utiles qu’une discussion abstraite sur “la conformité IA”.

Une méthode simple pour TPE/PME

Pour avancer sans se disperser :

Recenser les usages IA déjà présents.
Classer les usages par niveau d’impact.
Séparer les usages internes simples des usages sensibles.
Identifier les données utilisées.
Vérifier le rôle de l’entreprise : utilisatrice, intégratrice ou fournisseuse.
Former les personnes concernées.
Documenter les règles d’usage et de validation.
Demander un avis spécialisé pour les usages à impact fort.

En résumé

L’AI Act n’interdit pas l’IA en entreprise. Il demande de la méthode, de la transparence et une attention renforcée pour les usages qui peuvent affecter les personnes.

Pour une TPE/PME, le bon premier pas est souvent très concret : savoir quels outils sont utilisés, avec quelles données, pour quel résultat et avec quel contrôle humain.

L’objectif n’est pas de ralentir l’innovation. L’objectif est d’éviter de déployer un outil sans comprendre son impact.

Sources de référence utilisées

Il faut qu’on parle de vos usages IA

Si vous utilisez déjà l’IA sans inventaire clair, le cadrage avant réalisation permet de repérer les usages simples, les usages sensibles et les règles à poser avant d’aller plus loin.