Depuis le 2 août 2026, le règlement européen sur l'intelligence artificielle — l'AI Act — est pleinement applicable et les autorités nationales disposent de leurs pouvoirs de contrôle. Beaucoup de dirigeants de TPE/PME l'ont classé dans la catégorie « affaire de grands groupes ». C'est une erreur d'appréciation : le texte ne prévoit aucun seuil d'effectif.
La bonne nouvelle : pour une PME qui utilise l'IA de façon ordinaire, la mise en conformité tient en trois actions, pas en un projet de six mois.
Qu'est-ce que l'AI Act change vraiment pour une PME ?
En résumé : le règlement classe les usages de l'IA par niveau de risque. La quasi-totalité des usages d'une PME relève du risque minimal ou du simple devoir de transparence — pas des obligations lourdes réservées aux systèmes à haut risque.
Le problème actuel
La plupart des dirigeants découvrent le sujet par un article alarmiste mentionnant des amendes à sept chiffres, puis referment le dossier faute de savoir par où le prendre. Pendant ce temps, l'IA s'est installée dans l'entreprise sans que personne ne l'ait décidé : un commercial utilise ChatGPT pour ses relances, le service client a branché un chatbot sur le site, quelqu'un génère des visuels pour LinkedIn. Aucune de ces initiatives n'est tracée.
La solution automatisée
Le règlement raisonne par niveau de risque, et non par taille d'entreprise. Situer vos usages dans cette grille prend moins d'une heure.
- Risque inacceptable — pratiques interdites depuis février 2025 (notation sociale, manipulation, reconnaissance des émotions au travail). Une PME n'est presque jamais concernée, sauf sur ce dernier point : analyser les émotions de vos salariés via un outil est proscrit.
- Haut risque — recrutement, évaluation du personnel, accès au crédit ou aux services essentiels. C'est ici qu'une PME peut basculer sans le savoir, typiquement avec un outil de tri automatique de candidatures.
- Risque limité — obligation d'informer. Chatbots, assistants clients, contenus générés : il faut que la personne en face sache qu'elle a affaire à une machine.
- Risque minimal — le reste, soit l'immense majorité : rédaction assistée, résumés de réunion, tri de documents internes. Aucune obligation spécifique.
Résultat concret
Votre entreprise est-elle concernée ?
En résumé : si un seul de vos collaborateurs utilise un outil d'IA dans son travail, vous êtes « déployeur » au sens du règlement. Et si vous mettez un chatbot à votre nom sur votre site, vous pouvez devenir « fournisseur ».
Le problème actuel
Le règlement distingue le fournisseur (celui qui développe ou met sur le marché un système d'IA) du déployeur (celui qui l'utilise dans le cadre de son activité professionnelle). Les dirigeants s'estiment spontanément hors champ parce qu'ils ne développent rien. Or la définition de déployeur est très large : une assistante qui rédige des courriers avec ChatGPT suffit à faire entrer l'entreprise dans le périmètre.
Un second point est plus subtil et mérite d'être vérifié : si vous déployez un assistant conversationnel sous votre propre marque, en le construisant à partir d'un modèle du marché, vous pouvez être requalifié en fournisseur et hériter des obligations correspondantes. C'est un cas fréquent chez les PME qui ont installé un chatbot maison sur leur site.
La solution automatisée
Avant toute chose, il faut savoir ce qui tourne dans l'entreprise. Un inventaire simple, tenu à jour automatiquement, résout 80 % du sujet.
- Action 1 : recenser tous les outils d'IA réellement utilisés, y compris les abonnements personnels payés par les collaborateurs — c'est souvent la moitié du parc.
- Action 2 : pour chacun, noter l'usage, les données qui y transitent et la catégorie de risque correspondante.
- Action 3 : brancher un formulaire interne pour que toute nouvelle utilisation soit déclarée en trente secondes, plutôt que découverte six mois plus tard.
Résultat concret
| Situation dans une PME | Rôle au sens du règlement | Ce que cela implique |
|---|---|---|
| Un salarié rédige avec ChatGPT ou Copilot | Déployeur | Formation des équipes, vigilance sur les données |
| Un chatbot client sur le site, sous votre marque | Fournisseur possible | Informer l'utilisateur, vérifier auprès de l'éditeur |
| Un outil qui trie automatiquement des CV | Déployeur d'un système à haut risque | Supervision humaine, information des candidats |
| Des visuels ou textes générés puis publiés | Déployeur | Marquage des contenus dans les cas prévus |
L'inventaire n'est pas une contrainte pure : il donne enfin une vision claire de ce que l'IA coûte et rapporte réellement dans l'entreprise. Si le sujet des usages vous paraît encore flou, notre guide sur l'IA générative en entreprise pose les bases avant d'aborder la conformité.
Comment rendre ses usages de l'IA transparents ?
En résumé : la personne qui interagit avec une IA doit le savoir, et certains contenus générés doivent être identifiables comme tels. Concrètement, cela se règle avec une phrase et une mention.
Le problème actuel
Les obligations de transparence entrées en application le 2 août 2026 sont celles qui touchent le plus directement les petites structures, parce qu'elles concernent la relation client. Un chatbot qui se présente comme « Julie de l'équipe support » sans préciser qu'il s'agit d'une IA est précisément le cas visé. De même, un article de blog entièrement généré et publié sur un sujet d'intérêt général sans mention ni relecture humaine identifiée pose question.
La solution automatisée
Trois ajustements, tous réalisables en une matinée, sans développement.
- Le chatbot annonce ce qu'il est. Un message d'accueil du type « Vous échangez avec un assistant automatique. Un conseiller peut prendre le relais à tout moment » suffit, à condition qu'il soit visible dès le premier message et non enfoui dans les CGU.
- Le transfert vers un humain est possible. Ce n'est pas une exigence explicite du règlement pour tous les cas, mais c'est la meilleure protection commerciale : un client bloqué face à une machine est un client perdu.
- Les contenus générés portent une mention. Pour les visuels très réalistes représentant des personnes ou des événements, et pour les textes publiés afin d'informer le public sur des sujets d'intérêt général, la mention est attendue. Un texte marketing relu et validé par un humain identifié ne relève pas du même régime.
Résultat concret
Sur les sanctions, gardons la tête froide. Les plafonds annoncés — jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement à la transparence — sont des maximums pensés pour les très grandes entreprises. Le règlement prévoit explicitement que, pour les PME et les jeunes pousses, c'est le montant le plus faible des deux qui s'applique, et que les autorités tiennent compte de la taille et des moyens de la structure. Le risque réel pour une PME de bonne foi qui a documenté sa démarche est faible ; le risque pour celle qui n'a rien tracé du tout l'est moins.
Comment prouver que vos équipes sont formées ?
En résumé : l'obligation de « maîtrise de l'IA » existe depuis février 2025 et devient contrôlable depuis août 2026. Aucun diplôme n'est exigé — mais il faut pouvoir montrer quelque chose.
Le problème actuel
C'est l'obligation la plus largement ignorée par les PME françaises, alors que c'est la plus simple à satisfaire. Le règlement impose aux déployeurs de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent sous leur autorité. Aucun seuil d'effectif, aucune exception sectorielle. Et dans la pratique, beaucoup d'équipes utilisent des outils d'IA sans avoir jamais reçu la moindre consigne écrite sur ce qu'il est prudent d'y saisir.
La solution automatisée
Le texte ne prescrit ni programme officiel, ni certification, ni durée. Il pose un principe de proportionnalité : la formation doit correspondre au rôle de chacun, aux outils employés et au risque associé. Une PME peut donc bâtir quelque chose de léger mais démontrable.
- Une note interne d'une à deux pages : ce qu'on peut faire avec l'IA dans l'entreprise, ce qu'on ne met jamais dans un prompt (données clients, informations RH, éléments confidentiels), qui contacter en cas de doute.
- Une session collective d'une à deux heures, avec les cas d'usage réels de l'entreprise plutôt qu'un cours théorique.
- Une trace : feuille d'émargement, accusé de lecture, capture de l'envoi. C'est cette trace qui constitue la preuve, davantage que le contenu lui-même.
- Une révision annuelle, calée sur un rappel automatique pour ne pas y penser.
Résultat concret
| Élément | Effort de mise en place | Ce que ça couvre |
|---|---|---|
| Charte d'usage interne (1-2 pages) | 2 h | Cadre écrit, opposable, preuve de démarche |
| Session de sensibilisation collective | 2 h | Obligation de littératie IA (article 4) |
| Inventaire des outils utilisés | 1 h | Base de toute démarche de conformité |
| Mention de transparence sur le chatbot | 30 min | Obligation d'information des utilisateurs |
Cette logique est la même que celle qui a prévalu pour la facture électronique en 2026 : une échéance réglementaire qui paraît écrasante vue de loin se ramène, dans une PME, à trois ou quatre décisions concrètes prises une bonne fois.
La checklist à traiter en une demi-journée
Inventorier les outils d'IA
Listez ce qui est réellement utilisé, abonnements personnels compris. Sans cette liste, aucune conformité n'est possible.
Repérer les usages sensibles
Tri de CV, évaluation de salariés, décisions d'accès à un service : ces cas demandent une vigilance particulière et une supervision humaine.
Afficher la transparence
Mention claire sur les chatbots et les contenus concernés. C'est l'action la plus rapide et la plus visible en cas de contrôle.
Former et garder la trace
Une charte, une session, un émargement. La preuve compte autant que le contenu de la formation.
Ces quatre étapes se prêtent bien à l'automatisation : un formulaire de déclaration d'outil, une base qui tient l'inventaire à jour et des rappels annuels envoyés seuls. C'est exactement ce que permet notre service d'automatisation des workflows et processus, tandis que la génération de documents produit charte, attestations et récapitulatifs sans repartir d'un modèle Word à chaque fois. Si vous utilisez déjà l'IA pour produire du contenu, notre service de génération de contenu par IA intègre nativement les mentions attendues.
Et si vous n'avez encore rien automatisé, les signes qu'une PME a besoin d'automatisation donnent des critères simples pour savoir par quoi commencer.
Chez YanaLabs, nous proposons un audit gratuit de 30 minutes pour cartographier vos usages de l'IA, repérer ceux qui demandent une attention particulière et vous laisser un plan d'action concret — que vous poursuiviez avec nous ou non.
Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour un usage sensible — recrutement, évaluation, scoring — faites valider votre situation par un conseil spécialisé.
Questions fréquentes
Oui, dès qu'un collaborateur utilise un outil d'IA dans son travail : le règlement ne prévoit aucun seuil d'effectif. En revanche, les obligations restent proportionnées. Pour un usage courant (rédaction, résumés, tri de documents), la charte interne et la sensibilisation de l'équipe suffisent dans l'immense majorité des cas.
Non, il n'existe pas de déclaration préalable généralisée pour un déployeur ordinaire. L'enregistrement dans une base européenne concerne principalement les systèmes classés à haut risque et leurs fournisseurs. Tenir un inventaire interne reste néanmoins la meilleure façon de répondre rapidement à une demande d'explication.
Tout à fait. Cet usage relève du risque minimal et n'entraîne aucune obligation spécifique au titre du règlement. La vraie précaution est ailleurs, du côté du RGPD : ne pas y saisir de données personnelles ou confidentielles sans vérifier ce que l'éditeur en fait, et privilégier les offres professionnelles qui excluent la réutilisation de vos données.
Le contrôle repose sur les autorités nationales de surveillance du marché désignées par chaque État membre, en lien avec le Bureau européen de l'IA. En France, la CNIL est en première ligne sur tout ce qui touche aux données personnelles. L'organisation précise du dispositif national continue de se mettre en place : suivez les publications officielles plutôt que les articles de seconde main.
Oui. Les chambres de commerce franciliennes, la Région Île-de-France et le dispositif national France Num proposent régulièrement des diagnostics et des aides à la formation numérique, y compris sur l'IA. Les modalités évoluent d'une année sur l'autre : vérifiez les offres en cours auprès de la CCI Paris Île-de-France avant de budgéter une prestation.
Pour un usage courant de l'IA, l'essentiel se fait en interne pour un coût proche de zéro hors temps passé — comptez une demi-journée. Un accompagnement externe (cartographie, charte, session de sensibilisation) se situe généralement entre 800 et 2 500 € pour une structure de moins de 50 salariés. Les projets sensibles, comme le tri automatisé de candidatures, demandent un budget et un conseil juridique dédiés.
Prêt à automatiser votre activité ?
Réservez un audit offert et découvrez combien d'heures vous pouvez récupérer chaque semaine.
Je réserve mon appel découverte