5 août 2026 · 5 min de lecture · Mise en pratique

L'AI Act dans une PME : par où commencer

Le règlement européen sur l'intelligence artificielle est souvent présenté comme une affaire de grands modèles et de grands groupes. C'est inexact : il s'applique aussi, et d'abord, à celui qui utilise un système d'IA dans son activité. Voici par où commencer.

« Nous n'avons pas développé d'IA »

C'est la phrase qui revient dans presque tous les échanges que j'ai avec des dirigeants : « nous n'avons rien développé, nous utilisons un abonnement ».

Le règlement ne fait pas cette distinction. Il crée des obligations pour celui qui construit l'outil, mais aussi pour celui qui le met entre les mains de ses salariés. Acheter une licence ne transfère pas la responsabilité à l'éditeur : elle se partage.

La bonne nouvelle, c'est que la part qui revient à l'entreprise utilisatrice est la plus légère des deux — respecter la notice, assurer la supervision humaine annoncée, informer les personnes concernées, conserver les journaux. Rien qui demande un service juridique.

L'obligation la plus discrète : former les gens

Depuis février 2025, les employeurs doivent veiller à un niveau suffisant de « littératie en IA » chez les personnes qui manipulent ces outils. C'est l'obligation la plus universelle du texte, et celle dont on parle le moins.

Elle ne demande ni certification ni audit. Elle demande que ceux qui utilisent l'IA comprennent ce qu'ils manipulent : ce que l'outil sait faire, ce qu'il fait mal, et ce qui part chez le fournisseur quand on lui soumet un document.

Dans les faits, une demi-journée de formation et une note interne d'une page suffisent pour la plupart des structures. Ce qui coûte cher, c'est de découvrir après coup que trois services utilisaient chacun un outil différent, sans que personne ne sache quelles données y avaient été déposées.

Le lien avec l'hébergement des données

L'AI Act et le RGPD sont deux textes distincts, et l'un ne dispense pas de l'autre. Mais ils se rejoignent sur un point : la traçabilité. Il faut pouvoir dire où sont les données, qui y accède, et ce qu'il en fait.

Une IA qui tourne sur vos machines répond à la question avant qu'elle soit posée : rien n'est sorti.

C'est le raisonnement qui m'a conduite à ne proposer que des systèmes installés chez le client. Ce n'est pas une position idéologique sur le cloud : c'est la manière la plus simple de rendre un dossier de conformité court. Un traitement qui ne quitte pas l'entreprise n'a ni transfert hors UE à justifier, ni sous-traitant à encadrer, ni durée de conservation à négocier avec un fournisseur.

Attention toutefois à ne pas en conclure que l'installation locale vous sort du règlement : elle ne le fait pas. Elle rend la conformité plus simple à atteindre, elle ne l'efface pas.

Les quatre premières étapes

1. Recenser les outils d'IA réellement utilisés, y compris ceux que personne n'a déclarés.
2. Pour chacun, écrire en une ligne à quoi il sert et quelles données il reçoit.
3. Repérer ceux qui touchent au recrutement, à l'évaluation des salariés ou à une décision affectant une personne : ce sont eux qu'il faut regarder de près.
4. Former les utilisateurs. Cette étape est obligatoire, et c'est la moins coûteuse.

Les trois premiers points prennent une demi-journée dans une entreprise de vingt personnes. C'est en général suffisant pour savoir si le sujet est clos ou s'il mérite un vrai travail.

Sources

Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle — texte intégral sur EUR-Lex.