AI Act : les obligations d'une PME qui utilise l'IA au quotidien

Si votre entreprise utilise l'intelligence artificielle sans la fabriquer, le règlement européen sur l'IA vous concerne de façon limitée et ciblée. Vos deux sujets concrets sont la transparence envers les personnes qui interagissent avec vos outils et la montée en compétence de vos équipes.

Cette lecture tient à une distinction que le texte pose dès ses premiers articles : celle entre le fournisseur et le déployeur. Elle explique pourquoi beaucoup de dirigeants de TPE s'inquiètent de dispositions qui ne leur sont pas destinées.

Êtes-vous fournisseur ou déployeur au sens du règlement ?

Le règlement répartit les responsabilités selon le rôle tenu, pas selon la taille de l'entreprise. Le fournisseur développe un système d'IA ou le met sur le marché sous son nom. Le déployeur l'utilise sous sa propre autorité, dans le cadre de son activité professionnelle.

Si vous achetez un agent vocal, un outil de rédaction ou un assistant de prise de rendez-vous, vous êtes déployeur. Votre prestataire est fournisseur. C'est à lui que reviennent la documentation technique et la conception transparente du système.

Dans ses questions-réponses sur le règlement européen sur l'IA, mises à jour le 17 août 2026, la CNIL précise qu'un déployeur qui traite des données personnelles sera le plus souvent responsable du traitement au titre du RGPD. Votre exposition réelle vient donc souvent davantage du RGPD que du règlement sur l'IA. Nous détaillons ce point dans notre article sur l'IA générative et les données confidentielles.

Ce partage des rôles a une conséquence pratique : demandez à votre prestataire, par écrit, comment il assume sa part. C'est l'une des vérifications de notre liste des 7 questions à poser avant de signer.

Quelles obligations de transparence s'appliquent depuis août 2026 ?

Selon la Commission européenne, les obligations de transparence prévues par l'article 50 du règlement s'appliquent depuis le 2 août 2026. La Commission a publié le 20 juillet 2026 des lignes directrices qui en précisent le périmètre.

Ses obligations ne pèsent pas toutes sur les mêmes épaules. Deux d'entre elles visent le fournisseur. Il doit concevoir les systèmes destinés à interagir directement avec des personnes de telle sorte que celles-ci sachent qu'elles interagissent avec une IA, sauf lorsque cela ressort clairement du contexte. Il doit aussi marquer les contenus de synthèse dans un format lisible par machine.

Deux autres obligations visent directement le déployeur. La première concerne les systèmes de reconnaissance des émotions et de catégorisation biométrique : les personnes exposées doivent être informées de leur fonctionnement. La seconde concerne les hypertrucages, c'est-à-dire les images, sons et vidéos générés ou manipulés par IA, qui doivent être signalés comme tels, ainsi que les textes publiés pour informer le public sur des questions d'intérêt public, sauf contrôle éditorial humain avec responsabilité éditoriale. L'article 50 ajoute que ces informations sont fournies de façon claire et reconnaissable, au plus tard lors de la première interaction ou de la première exposition.

Pour une TPE, cela se traduit en trois vérifications. Appelez votre propre standard et assurez-vous que l'annonce prévue par votre prestataire est active et audible dès les premières secondes. Regardez vos publications : si vous diffusez des visuels générés par IA, signalez-les. Enfin, si votre outil analyse le ton de voix ou l'humeur de vos appelants, faites le point avec votre prestataire avant d'activer la fonction. Notre article sur l'agent vocal IA pour un artisan décrit ce que ces annonces changent à l'accueil.

Que veut dire la maîtrise de l'IA pour une équipe de cinq personnes ?

C'est l'obligation la plus méconnue, et la seule qui s'applique déjà à presque tout le monde. Selon la Commission européenne, l'article 4 du règlement est entré en application le 2 février 2025. Il prévoit que les fournisseurs et les déployeurs prennent des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent ces systèmes pour leur compte, en tenant compte de leurs connaissances techniques, de leur expérience, de leur formation et du contexte d'utilisation. Le même article précise que cette obligation n'impose pas de garantir un niveau particulier de maîtrise de l'IA pour une personne donnée.

Dans sa foire aux questions consacrée à la maîtrise de l'IA, la Commission européenne indique qu'aucune exigence stricte ni formation obligatoire n'est imposée, et qu'aucun certificat n'est nécessaire. Elle précise que les autorités nationales de surveillance du marché supervisent et font appliquer ces règles à partir du 2 août 2026, et non le Bureau de l'IA.

En pratique, pour une structure de cinq personnes, trois éléments matérialisent cet effort. Une séance de prise en main de deux heures à l'arrivée de l'outil, avec les cas d'usage autorisés et ceux qui ne le sont pas. Une note interne d'une page qui dit quelles données ne doivent jamais être saisies dans un outil grand public. Un registre interne qui garde la trace de qui a été formé et quand, la Commission indiquant que les organisations peuvent tenir un tel registre. L'article 4 prévoit par ailleurs que la Commission et les États membres soutiennent les efforts des fournisseurs et des déployeurs, en particulier des PME.

Les systèmes à haut risque vous concernent-ils vraiment ?

Dans la plupart des cas, non, et le calendrier vous laisse du temps. La CNIL, dans ses questions-réponses mises à jour le 17 août 2026, indique que les règles applicables aux systèmes à haut risque de l'annexe III, qui couvre notamment la biométrie, l'éducation et l'emploi, s'appliquent à partir du 2 décembre 2027, et que celles visant les systèmes intégrés à des produits réglementés s'appliquent à partir du 2 août 2028. La Commission européenne retient les mêmes échéances.

L'emploi figure dans ce périmètre. Si vous envisagez un outil d'IA pour trier des candidatures, ne le mettez pas dans le même panier qu'un assistant de prise de rendez-vous, et posez la question du classement à votre prestataire avant de signer.

Ces dates ont bougé, ce qui explique les informations contradictoires qui circulent. La CNIL signale que sa page a été mise à jour pour intégrer les modifications opérées par l'omnibus IA, entré en vigueur le 27 juillet 2026. Si vous lisez un calendrier publié avant l'été 2026, considérez qu'il est dépassé sur ce point précis.

Deux autres échéances restent utiles à connaître. Selon la CNIL, les interdictions visant les systèmes à risque inacceptable s'appliquent depuis le 2 février 2025, et deux nouvelles interdictions entreront en application le 2 décembre 2026, sur les contenus pédocriminels et les hypertrucages à caractère sexuel non consentis. À la même date, les fournisseurs de systèmes mis sur le marché avant le 2 août 2026 devront avoir satisfait à l'obligation de marquage des contenus générés par IA.

Comment articuler le règlement IA et le RGPD sans tout refaire ?

Les deux textes se superposent sans se confondre, et le RGPD reste votre base de travail. La CNIL cite pour un déployeur la tenue du registre des traitements prévu à l'article 30 du RGPD, la réalisation d'une analyse d'impact relative à la protection des données prévue à l'article 35, et le cas échéant une analyse d'impact sur les droits fondamentaux prévue à l'article 27 du règlement sur l'IA.

Sur l'information des personnes, la CNIL recommande, dans sa fiche publiée le 7 février 2025, une information construite en plusieurs niveaux, qui place l'identité du responsable, les finalités et les droits au premier niveau. Elle rappelle que la complexité des systèmes d'intelligence artificielle ne doit pas empêcher la bonne compréhension de l'information. Pour une TPE, cela veut dire une politique de confidentialité lisible, pas un document de juriste.

L'enjeu financier n'est pas symétrique. Selon la CNIL, les amendes administratives prévues par le règlement sur l'IA peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, contre 20 millions d'euros ou 4 % pour le RGPD. Ces plafonds visent les manquements les plus graves, mais ils donnent une idée du sérieux du dispositif.

Reste la question de l'hébergement. Savoir où sont traitées vos données et sous quelle responsabilité relève du RGPD et du contrat de sous-traitance. Nous ne promettons jamais qu'un traitement reste intégralement chez vous ou en France sans l'avoir vérifié : cela dépend de l'architecture retenue, et cette architecture se décide pendant l'audit, en fonction de vos usages réels et de votre budget.

Où en sont les entreprises françaises et antillaises ?

L'adoption progresse vite, mais elle part de bas dans les petites structures. Selon l'Insee (Insee Première n° 2120, paru le 21 juillet 2026), 18 % des entreprises implantées en France de 10 personnes occupées ou plus déclarent utiliser au moins une technologie d'intelligence artificielle en 2025, soit 8 points de plus qu'en 2024. Ce taux s'établit à 15 % pour les entreprises de 10 à 49 salariés, contre 58 % pour celles de 250 salariés ou plus.

La même publication indique que, parmi les entreprises qui n'utilisent pas l'IA, le manque d'utilité perçue est la raison la plus citée, avec 71 %, et que le manque d'expertise est évoqué par 54 % d'entre elles. La conformité n'apparaît pas comme le premier frein.

Aux Antilles, la question se pose à une échelle encore plus petite. Selon l'Insee (Insee Flash Martinique n° 224, paru le 6 novembre 2025), la Martinique comptait 26 640 entreprises non employeuses en 2023, pour 30 650 entreprises au sens économique dans les secteurs marchands non agricole et non financier. Dans un tissu composé en grande majorité de structures sans salarié, l'enjeu n'est pas de bâtir un service de conformité. Il est de savoir quelles vérifications font la différence, et de les tenir. La même logique vaut pour vos réflexes de cybersécurité.

Et maintenant ?

Prenez une heure pour poser trois choses sur le papier : la liste des outils d'IA réellement utilisés dans votre entreprise, le nom du fournisseur de chacun, et ce que vos clients entendent ou lisent quand une IA leur répond. Vous saurez alors où vous en êtes, et les deux ou trois ajustements à faire se verront d'eux-mêmes. Si vous préférez dérouler cette vérification avec quelqu'un qui connaît le texte et le terrain antillais, parlons-en.

Réserver un audit gratuit de 30 minutes