AI Act : préparer son entreprise aux nouvelles obligations européennes

Ce que cet article présente :

Depuis le 2 août 2026, une grande partie du règlement européen sur l’intelligence artificielle est devenue applicable.
Une PME qui utilise ChatGPT, un assistant documentaire, un outil de recrutement, un chatbot ou une solution de génération d’images doit désormais savoir quels systèmes sont employés, par qui et dans quel but.
Toutes les utilisations ne sont pas soumises aux mêmes obligations.
La rédaction d’un brouillon commercial ne présente pas le même risque qu’un logiciel évaluant des candidats ou surveillant des salariés.
Pour se préparer à l’AI Act, l’entreprise doit donc commencer par inventorier ses outils, identifier son rôle, classer les usages et mettre en place des règles proportionnées.

Depuis le 2 août 2026, une grande partie du règlement européen sur l’intelligence artificielle est devenue applicable. Une PME qui utilise ChatGPT, un assistant documentaire, un outil de recrutement, un chatbot ou une solution de génération d’images doit désormais savoir quels systèmes sont employés, par qui et dans quel but. Toutes les utilisations ne sont pas soumises aux mêmes obligations. La rédaction d’un brouillon commercial ne présente pas le même risque qu’un logiciel évaluant des candidats ou surveillant des salariés. Pour se préparer à l’AI Act, l’entreprise doit donc commencer par inventorier ses outils, identifier son rôle, classer les usages et mettre en place des règles proportionnées. Cette démarche permet de sécuriser les projets sans bloquer les applications utiles de l’intelligence artificielle.

La préparation technique et organisationnelle peut être intégrée à l’accompagnement proposé par notre agence d’intelligence artificielle à Dijon.

Comment préparer son entreprise à l’AI Act ?

Inventorier les usages et déterminer le niveau de risque de chaque système

L’AI Act, également appelé règlement européen sur l’intelligence artificielle ou règlement IA, ne concerne pas uniquement les entreprises qui développent leurs propres modèles. Il s’applique également aux organisations qui utilisent des systèmes d’intelligence artificielle dans le cadre de leur activité professionnelle.

Le règlement distingue notamment le fournisseur du déployeur. Le fournisseur développe ou fait développer un système d’IA et le met sur le marché ou en service sous son nom. Le déployeur utilise un système d’IA sous sa propre autorité dans un cadre professionnel. Une PME qui utilise un assistant fourni par une autre société sera donc généralement considérée comme déployeur. Une entreprise qui développe et commercialise sa propre solution sous sa marque pourra devenir fournisseur et assumer des obligations plus importantes.

La première action consiste à dresser un inventaire des outils réellement utilisés dans l’entreprise. Cet inventaire ne doit pas se limiter aux logiciels officiellement achetés par la direction. Des salariés peuvent utiliser des comptes personnels, des extensions de navigateur, des fonctions intégrées à leur messagerie ou des plateformes gratuites sans que le responsable informatique en ait connaissance.

Le registre peut comporter les informations suivantes :

le nom du système et de son fournisseur ;
le service ou les personnes qui l’utilisent ;
la finalité précise de l’usage ;
les données introduites dans l’outil ;
les résultats produits ;
les décisions éventuellement influencées par ces résultats ;
l’existence d’une validation humaine ;
le lieu d’hébergement et la durée de conservation ;
le responsable interne du système ;
la date de la dernière vérification.

Une même plateforme peut correspondre à plusieurs usages. ChatGPT peut être employé pour reformuler une publication, analyser un contrat, préparer une réponse à un client ou comparer des candidatures. Il ne suffit donc pas d’inscrire « ChatGPT » une seule fois dans le registre. Chaque finalité importante doit être examinée séparément.

Repérer immédiatement les pratiques interdites

Certaines pratiques sont considérées comme présentant un risque inacceptable. Elles sont interdites indépendamment de la taille de l’entreprise. Les premières interdictions s’appliquent depuis le 2 février 2025.

Le règlement interdit notamment certaines formes de manipulation préjudiciable, l’exploitation de vulnérabilités, certaines pratiques de notation sociale, la constitution de bases de reconnaissance faciale par collecte non ciblée d’images et certaines catégorisations biométriques portant sur des caractéristiques sensibles. Il interdit également, sauf exceptions médicales ou de sécurité, l’utilisation de systèmes de reconnaissance des émotions dans les lieux de travail et les établissements d’enseignement.

Une PME doit donc être particulièrement prudente face aux outils prétendant analyser automatiquement les émotions, la personnalité, la motivation ou la sincérité d’un salarié à partir de son visage, de sa voix ou de son comportement.

Une solution commerciale ne devient pas licite simplement parce qu’elle est disponible sur Internet. Avant de tester un outil biométrique ou comportemental sur des collaborateurs, l’entreprise doit vérifier précisément sa finalité et son fonctionnement.

Identifier les systèmes susceptibles d’être classés à haut risque

Les obligations les plus importantes concernent les systèmes classés à haut risque. Pour une PME, les usages liés à l’emploi et à la gestion des travailleurs doivent faire l’objet d’une vigilance particulière.

L’annexe III du règlement vise notamment les systèmes utilisés pour :

analyser et filtrer des candidatures ;
évaluer ou classer des candidats ;
décider d’une promotion ou d’une rupture de contrat ;
attribuer des tâches à partir du comportement ou des caractéristiques d’un salarié ;
surveiller ou évaluer les performances et le comportement au travail.

Sont également concernés certains systèmes utilisés pour l’admission, l’orientation ou l’évaluation dans l’éducation et la formation professionnelle, ainsi que certains systèmes liés au crédit, à l’assurance, aux infrastructures critiques et aux services essentiels.

Il ne faut pas conclure que toute utilisation de l’IA dans les ressources humaines est automatiquement à haut risque. Un assistant fournissant aux nouveaux salariés des informations sur les horaires, les procédures ou les formations ne remplit pas nécessairement les mêmes fonctions qu’un outil classant les candidats. La finalité réelle et l’influence du système sur la décision sont déterminantes.

Le calendrier a été modifié par le règlement européen de simplification adopté en juillet 2026. Les règles spécifiques aux systèmes à haut risque figurant à l’annexe III doivent désormais s’appliquer à partir du 2 décembre 2027. Celles concernant les systèmes à haut risque intégrés à certains produits réglementés doivent s’appliquer à partir du 2 août 2028. Ce report ne signifie pas que les entreprises doivent attendre ces dates pour identifier leurs systèmes et préparer leur gouvernance.

Distinguer les obligations de transparence

Depuis le 2 août 2026, certaines obligations de transparence sont applicables. Lorsqu’une personne échange directement avec un chatbot ou un autre système interactif, elle doit être informée qu’elle communique avec une intelligence artificielle, sauf si cela est évident dans le contexte.

Une PME utilisant un chatbot sur son site peut donc prévoir, dès le début de l’échange, une formulation comme :

Vous échangez avec un assistant automatisé utilisant une intelligence artificielle. Vous pouvez demander à être orienté vers un conseiller.

Les images, vidéos ou contenus audio constituant des hypertrucages, également appelés deepfakes, doivent être signalés comme ayant été générés ou modifiés par une intelligence artificielle. Les fournisseurs de systèmes génératifs doivent également prévoir des marquages détectables par machine lorsque les conditions du règlement sont réunies.

Pour les textes générés ou manipulés par l’IA et publiés afin d’informer le public sur des sujets d’intérêt public, une information peut être nécessaire. Une exception est prévue lorsque le contenu a fait l’objet d’un véritable contrôle humain ou éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication.

Une entreprise produisant des articles avec l’aide de l’IA doit donc conserver une véritable relecture humaine. Il ne suffit pas de lancer une génération automatique puis de publier le résultat sans contrôle.

Ne pas oublier le RGPD

L’AI Act ne remplace pas le règlement général sur la protection des données. Les deux textes peuvent s’appliquer simultanément lorsqu’un système utilise des données personnelles.

Une PME doit notamment déterminer la finalité du traitement, les données nécessaires, la base juridique, les destinataires, les durées de conservation et les mesures de sécurité. Une analyse d’impact relative à la protection des données peut être nécessaire lorsque le traitement est susceptible de présenter un risque élevé pour les personnes. La CNIL rappelle que le règlement IA et le RGPD poursuivent des objectifs complémentaires.

L’inventaire doit notamment préciser les outils qui traitent des informations
sensibles et les choix effectués entre IA locale et ChatGPT pour les données confidentielles

Mettre en place une gouvernance, des règles d’usage et une documentation proportionnée

Une fois les outils recensés, l’entreprise doit définir qui peut les utiliser et dans quelles conditions. Pour une PME, cette gouvernance n’exige pas nécessairement la création d’un nouveau service ou le recrutement immédiat d’un responsable de l’intelligence artificielle.

L’AI Act n’impose pas, pour satisfaire à l’obligation de maîtrise de l’IA, une structure de gouvernance particulière ni la désignation systématique d’un « AI Officer ». L’entreprise peut désigner un responsable existant et associer, selon les sujets, la direction, l’informatique, les métiers, la cybersécurité et le délégué à la protection des données.

Adopter une charte d’utilisation de l’intelligence artificielle

La charte doit rester courte et opérationnelle. Elle peut commencer par classer les informations en quatre catégories :

publiques : informations déjà publiées ou destinées à l’être ;
internes : informations de fonctionnement réservées à l’organisation ;
confidentielles : contrats, données commerciales, fichiers clients ou documents techniques sensibles ;
secrètes ou fortement réglementées : mots de passe, clés privées, données de santé, secrets d’affaires ou informations de sécurité critiques.

La charte associe ensuite chaque catégorie aux outils autorisés. Les contenus publics peuvent éventuellement être traités dans un service professionnel externe. Les informations confidentielles peuvent être réservées à une application contrôlée, à une API configurée par l’entreprise ou à une IA locale. Les secrets techniques ne doivent pas être copiés dans un assistant.

Le document doit également préciser :

les plateformes approuvées ;
l’interdiction éventuelle des comptes personnels ;
les usages nécessitant une validation humaine ;
les décisions qui ne peuvent pas être automatisées ;
les règles de publication des contenus générés ;
la procédure de signalement d’une erreur ou d’une fuite ;
la durée de conservation des historiques.

Former les salariés utilisant l’IA

L’article 4 de l’AI Act impose aux fournisseurs et aux déployeurs de prendre des mesures favorisant la maîtrise de l’intelligence artificielle par leur personnel et par les autres personnes qui utilisent les systèmes pour leur compte.

Cette obligation s’applique également lorsqu’une entreprise utilise un outil comme ChatGPT uniquement pour rédiger un texte public ou effectuer une traduction. Les utilisateurs doivent notamment connaître les risques d’erreur, d’hallucination et de transmission inappropriée de données.

Après la modification adoptée en juillet 2026, l’entreprise n’a pas à garantir un niveau uniforme ou à faire passer obligatoirement un examen à chaque salarié. Elle doit toutefois mettre en œuvre des actions adaptées aux connaissances des utilisateurs, aux outils employés et aux risques des usages.

Un programme de sensibilisation peut couvrir :

le fonctionnement général d’une IA générative ;
la différence entre une réponse plausible et une réponse vérifiée ;
les données qu’il est interdit de transmettre ;
la vérification des sources, dates et chiffres ;
les biais et les limites des modèles ;
les règles de transparence lors d’une publication ;
les usages spécifiques à chaque métier ;
la procédure à suivre en cas d’incident.

Aucun certificat particulier n’est imposé pour démontrer cette action. L’entreprise peut néanmoins conserver les supports remis, les dates des sessions, les personnes concernées et les consignes internes diffusées. La Commission recommande la tenue d’un registre interne des formations ou initiatives équivalentes.

Créer une fiche pour chaque usage important

La fiche d’usage constitue l’élément central de la documentation d’une PME. Elle évite de produire un dossier juridique disproportionné tout en conservant les décisions essentielles.

Elle peut préciser :

la finalité du système ;
le fournisseur et la version utilisée ;
la qualification provisoire du risque ;
les catégories de données traitées ;
les utilisateurs autorisés ;
les instructions et limites connues ;
la validation humaine prévue ;
les tests effectués ;
les mesures de sécurité ;
les règles de conservation ;
la procédure de suspension ou de remplacement.

Pour un assistant documentaire RAG, la fiche précisera par exemple les collections accessibles, le responsable de la mise à jour des documents, les sources affichées et la conduite à tenir lorsque l’information n’est pas trouvée.

Examiner les fournisseurs et les contrats

Une PME ne doit pas choisir une solution uniquement à partir d’une démonstration commerciale. Elle doit demander au fournisseur des informations permettant de comprendre la finalité prévue, les limites, les données utilisées et les conditions de fonctionnement.

La grille de vérification peut inclure :

le rôle assumé par chaque partie au regard de l’AI Act ;
la finalité prévue du système ;
le classement éventuel comme système à haut risque ;
les instructions d’utilisation ;
les données conservées et leur durée de conservation ;
l’utilisation éventuelle des contenus pour améliorer le modèle ;
les sous-traitants et les lieux de traitement ;
les fonctions de journalisation et d’export ;
les mesures de cybersécurité ;
la notification des changements et incidents ;
les possibilités de résiliation et de récupération des données.

Lorsqu’un système est susceptible d’être à haut risque, le déployeur devra notamment l’utiliser conformément aux instructions, organiser un contrôle humain compétent, surveiller son fonctionnement et conserver certains journaux. Dans le cadre professionnel, des obligations d’information des travailleurs ou de leurs représentants peuvent également intervenir.

Organiser une supervision humaine réelle

La mention « un humain reste dans la boucle » ne suffit pas. Le collaborateur chargé de valider doit disposer du temps, des compétences et de l’autorité nécessaires pour contester le résultat.

La fiche d’usage doit donc répondre à plusieurs questions :

qui vérifie la sortie du système ?
quelles informations doivent être contrôlées ?
la personne peut-elle refuser la recommandation ?
le système présente-t-il les sources utilisées ?
comment une erreur est-elle signalée ?
peut-on annuler l’action déclenchée ?

Pour la préparation d’un article, le contrôle peut porter sur les faits, les sources, les liens, les images et les mentions légales. Pour un outil influençant une décision relative à une personne, la supervision doit être beaucoup plus rigoureuse.

La classification des systèmes doit être réalisée à partir de leurs finalités réelles et des cas d’usage de l’IA mis en œuvre dans l’entreprise

Construire un plan de mise en conformité progressif pour la PME

Une PME n’a pas besoin de suspendre tous ses projets en attendant une analyse exhaustive. Elle peut organiser sa préparation en plusieurs étapes, en commençant par les usages les plus sensibles.

Étape 1 — Recenser les outils pendant les premières semaines

Chaque responsable de service indique les solutions utilisées, y compris les fonctions d’IA présentes dans des logiciels existants. Un questionnaire court peut être adressé aux salariés afin de repérer les usages non déclarés.

Il faut notamment rechercher :

les assistants conversationnels ;
les générateurs de textes, images, sons et vidéos ;
les fonctions d’analyse de candidatures ;
les outils de transcription et de compte rendu ;
les systèmes de notation ou de recommandation ;
les assistants connectés aux documents internes ;
les outils de surveillance ou d’analyse comportementale ;
les automatisations pouvant déclencher une action.

Un premier inventaire imparfait vaut mieux qu’une absence totale de visibilité. Il pourra être complété au fur et à mesure des achats et des nouveaux projets.

Étape 2 — Suspendre les usages manifestement problématiques

Les pratiques susceptibles d’être interdites doivent être examinées immédiatement. L’entreprise doit notamment suspendre tout test d’un système prétendant déduire les émotions des salariés à partir de données biométriques, sauf situation entrant clairement dans une exception prévue par le règlement.

Les outils influençant le recrutement, l’évaluation ou la surveillance des travailleurs doivent également être remontés à la direction, au responsable juridique et au délégué à la protection des données lorsqu’il existe.

Étape 3 — Classer les usages selon leur priorité

Une grille interne simple peut utiliser quatre niveaux :

niveau 1 : aide à la rédaction, traduction ou recherche sur des données publiques ;
niveau 2 : traitement de documents internes avec validation humaine ;
niveau 3 : recommandation pouvant influencer une personne, un contrat ou une opération importante ;
niveau 4 : pratique potentiellement interdite ou système susceptible d’être juridiquement classé à haut risque.

Cette grille n’est pas la classification juridique officielle. Elle sert à décider quels usages doivent être analysés en premier.

Étape 4 — Mettre en conformité les usages courants

Pour les assistants de rédaction, les générateurs d’images et les chatbots, les actions prioritaires sont souvent les suivantes :

utiliser des comptes professionnels administrés ;
définir les données autorisées ;
former les utilisateurs ;
organiser une relecture ;
informer les personnes lorsqu’elles échangent avec une IA ;
identifier les images, sons ou vidéos artificiellement générés lorsque nécessaire ;
conserver la responsabilité éditoriale des contenus publiés.

Les nouvelles règles de transparence sont applicables depuis le 2 août 2026. Les chatbots doivent signaler leur nature automatisée et les hypertrucages doivent être étiquetés conformément aux conditions prévues par l’article 50.

Étape 5 — Préparer dès maintenant les futurs systèmes à haut risque

Même si les règles spécifiques aux usages de l’annexe III ont été reportées au 2 décembre 2027, un projet de recrutement, d’évaluation ou de surveillance ne doit pas être acheté sans analyse préalable.

Avant de signer, la PME doit obtenir du fournisseur les informations nécessaires à la classification, au contrôle humain, aux performances, à la gestion des biais, aux journaux et aux incidents.

Le calendrier actuellement applicable peut être résumé ainsi :

2 février 2025 : application des premières pratiques interdites et de l’obligation de maîtrise de l’IA ;
2 août 2025 : application de la gouvernance et des premières obligations relatives aux modèles d’IA à usage général ;
2 août 2026 : application générale d’une grande partie du règlement, des pouvoirs de contrôle et des obligations de transparence ;
2 décembre 2027 : application prévue des règles spécifiques aux systèmes à haut risque de l’annexe III ;
2 août 2028 : application prévue des règles relatives aux systèmes à haut risque intégrés à certains produits réglementés.

Ce calendrier tient compte du règlement de simplification entré en vigueur le 27 juillet 2026.

Étape 6 — Intégrer l’IA aux procédures existantes

L’entreprise ne doit pas créer une gouvernance totalement séparée de ses autres obligations. Le registre des usages IA peut être relié :

au registre RGPD ;
à la politique de sécurité informatique ;
au processus d’achat des logiciels ;
à la gestion des habilitations ;
au Plan d’Assurance Sécurité ;
à la gestion des incidents ;
aux procédures de formation et de départ des salariés.

Lorsqu’un nouvel outil est demandé, une fiche courte peut être remplie avant son achat. Elle permet de vérifier la finalité, les données, le fournisseur, le risque, la sécurité et la nécessité d’une validation humaine.

Étape 7 — Réviser régulièrement le registre

Un système d’IA peut changer sans que son nom ou son interface soient modifiés. Le fournisseur peut ajouter une fonction de mémoire, un nouveau connecteur, une capacité d’action automatique ou un traitement supplémentaire des données.

La revue doit donc être déclenchée lors de :

l’ajout d’une nouvelle source de données ;
l’ouverture à un nouveau service ;
l’activation d’une fonction automatisée ;
la modification du fournisseur ou du modèle ;
l’utilisation du résultat pour une nouvelle décision ;
la survenue d’une erreur importante ou d’un incident.

Une révision annuelle peut compléter ces contrôles ponctuels. Elle permet de supprimer les outils inutilisés, de mettre à jour les consignes et de vérifier que les salariés disposent toujours des connaissances adaptées.

L’objectif n’est pas de produire une documentation figée. Il est de pouvoir expliquer quels systèmes sont utilisés, quelles données leur sont confiées, quel risque ils présentent et quelles personnes restent responsables de leurs résultats.

La mise en conformité doit également être intégrée aubudget global du projet d’automatisation avec l’intelligence artificielle.

Pour conclure sur : " AI Act : préparer son entreprise aux nouvelles obligations européennes "

Préparer une entreprise à l’AI Act commence par une action simple : savoir où l’intelligence artificielle est réellement utilisée. Sans inventaire, la direction ne peut ni identifier les pratiques interdites, ni protéger les données, ni organiser la transparence et la formation des salariés.

La majorité des usages courants d’une PME, comme la préparation de brouillons, la traduction ou la recherche documentaire, ne relève pas automatiquement des systèmes à haut risque. Ils doivent néanmoins être encadrés par une charte, des comptes professionnels, une validation humaine et des règles de confidentialité.

Les chatbots, images, vidéos et contenus générés nécessitent désormais une attention particulière aux obligations de transparence applicables depuis le 2 août 2026. Les collaborateurs utilisant l’IA doivent également bénéficier d’actions de sensibilisation adaptées à leurs outils et à leurs responsabilités.

Les projets liés au recrutement, à l’évaluation, à la surveillance des salariés, à la formation ou à certaines décisions importantes doivent être identifiés suffisamment tôt. Même si les principales obligations relatives aux systèmes à haut risque de l’annexe III sont reportées au 2 décembre 2027, leur préparation exige du temps, des informations contractuelles et une véritable supervision humaine.

Pour une PME, une démarche proportionnée repose sur cinq éléments : un registre des usages, une classification des risques, une charte interne, une formation adaptée et une fiche de contrôle pour chaque projet important.

Internet Creative Center accompagne les PME de Dijon et de Bourgogne-Franche-Comté dans l’inventaire de leurs usages IA, la rédaction de leurs règles internes et le déploiement de solutions locales ou privées. Découvrez notre approche sur la page Agence IA à Dijon afin de préparer une feuille de route conciliant innovation, sécurité et conformité.

Ce contenu présente une démarche générale d’organisation et ne remplace pas un avis juridique adapté à votre activité, à vos contrats et aux systèmes effectivement utilisés.

Table des matières