L'Europe s'est dotée de la première grande réglementation au monde sur l'intelligence artificielle : l'AI Act (règlement européen 2024/1689), entré en vigueur en août 2024 et applicable progressivement. Inutile d'en faire un épouvantail : pour la plupart des entreprises, les obligations sont légères. Encore faut-il savoir dans quelle case on se trouve.

Une logique par niveaux de risque. L'AI Act ne traite pas toutes les IA de la même façon. Il les classe selon le risque qu'elles présentent pour les personnes :

  • Risque inacceptable → interdit. Notation sociale, manipulation, certaines surveillances biométriques. Ces pratiques sont prohibées depuis début 2025.
  • Haut risque → obligations strictes. Concerne des usages précis : recrutement, biométrie, accès au crédit, éducation, justice, infrastructures critiques. Documentation, supervision humaine, gestion des risques sont exigées.
  • Risque limité → obligation de transparence. Il faut signaler qu'un contenu est généré par une IA, ou qu'on parle à un agent conversationnel.
  • Risque minimal → aucune obligation spécifique. C'est le cas de la grande majorité des usages bureautiques.

Où se situe une PME ordinaire ? Si vous utilisez l'IA pour rédiger, résumer, assister la relation client ou automatiser des tâches, vous êtes le plus souvent « déployeur » d'outils à risque limité ou minimal. Vos obligations principales : la transparence et la culture de l'IA — c'est-à-dire vous assurer que vos équipes comprennent les outils qu'elles utilisent. Cette obligation de « littératie IA » s'applique déjà à tous depuis 2025.

Un calendrier qui a bougé. Les obligations les plus lourdes, pesant sur les systèmes à haut risque, étaient initialement prévues pour août 2026. Un paquet de simplification (« Digital Omnibus ») adopté en 2026 a repoussé ces échéances — la plupart vers fin 2027, et 2028 pour les IA intégrées à des produits. Comme ce calendrier a encore évolué récemment, vérifiez l'échéance exacte applicable à votre cas auprès des sources officielles (CNIL en France, AI Office au niveau européen) avant toute décision.

Des sanctions dissuasives. Les manquements les plus graves peuvent coûter jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. De quoi prendre le sujet au sérieux — sans pour autant céder à la panique, puisque l'essentiel des PME relève des catégories les moins contraignantes.

Et dans les DROM ? Les territoires ultramarins font partie de l'Union européenne : l'AI Act y est pleinement applicable, dans les mêmes conditions qu'en métropole.

Que faire concrètement ? Identifiez vos usages de l'IA, repérez s'il en existe à « haut risque » (rare en PME, mais le recrutement par exemple en relève), formez vos équipes, et documentez vos pratiques. Un audit IA inclut ce volet de cadrage.

Cet article est informatif et ne constitue pas un conseil juridique. Pour votre situation précise, consultez un professionnel.

Vous êtes « déployeur », pas « fournisseur »

Le règlement distingue celui qui conçoit un système d'IA de celui qui l'utilise. Si vous achetez un abonnement à un assistant conversationnel et que vos équipes s'en servent, vous êtes déployeur. C'est le cas de l'immense majorité des PME. Les obligations lourdes — documentation technique, évaluation de conformité, marquage — pèsent sur le fournisseur, pas sur vous.

Cette distinction change la façon de lire le texte. La question n'est pas « suis-je en règle avec l'AI Act ? » dans l'absolu, mais « quels systèmes j'utilise, pour quoi, et est-ce que l'un d'eux touche une catégorie sensible ? ».

Attention à un point : vous pouvez basculer du côté fournisseur sans le vouloir. Mettre votre marque sur un système, le modifier substantiellement ou le détourner de son usage prévu peut vous faire endosser les obligations du fournisseur. Les conditions précises de cette requalification méritent un avis, car elles changent la nature de vos obligations. Un chatbot développé sur-mesure et diffusé à vos clients n'est plus le même sujet qu'un abonnement bureautique.

Les quatre questions à se poser, dans l'ordre

  1. Où l'IA est-elle déjà utilisée chez nous ? Y compris les usages non déclarés — c'est souvent la moitié du sujet. Voir notre article sur le shadow AI.
  2. L'un de ces usages touche-t-il une décision sur une personne ? Recrutement, promotion, licenciement, accès à un crédit, à une formation, à un service essentiel. C'est le seul critère qui fait vraiment basculer dans le haut risque en PME.
  3. Nos interlocuteurs savent-ils qu'ils parlent à une machine ? Un agent conversationnel sur votre site, une réponse générée envoyée à un client : l'obligation de transparence est légère mais réelle.
  4. Nos équipes comprennent-elles les outils qu'elles utilisent ? C'est l'obligation de culture de l'IA, celle qui s'applique à tout le monde.

Le seul cas de haut risque fréquent en PME : le recrutement

Trier des candidatures avec un outil d'IA fait partie des usages que le règlement traite comme sensibles. Cela ne veut pas dire que c'est interdit, mais que le régime change : supervision humaine effective, information des personnes, vigilance sur les biais.

En pratique, un point mérite d'être dit clairement à un dirigeant : un outil qui classe des CV apprend sur des données passées. Si vos recrutements passés ont favorisé certains profils, l'outil reproduira ce tri en le présentant comme objectif. Le risque juridique de non-discrimination existe indépendamment de l'AI Act — et il est, lui, ancien et bien établi.

Notre conseil sur ce cas précis : gardez l'humain sur la décision, servez-vous de l'IA pour préparer et structurer, jamais pour éliminer. Le sujet est traité en détail sur notre page secteur conseil, RH et services.

Ce que ça donne dans une entreprise ultramarine

Rien de spécifique dans le texte : le règlement s'applique dans les DROM comme partout dans l'Union. Mais deux réalités locales changent la mise en œuvre.

D'abord, les équipes sont courtes. Il n'y a pas de direction juridique dédiée pour instruire le sujet, et le dirigeant traite la conformité entre deux urgences opérationnelles. La bonne réponse n'est pas un dossier de cent pages, c'est un inventaire tenu à jour et une charte d'une page signée.

Ensuite, le décalage horaire avec la métropole pousse les équipes à se débrouiller seules : quand le siège ou le prestataire dort, on trouve une solution avec les outils sous la main. C'est très bien pour l'agilité, et c'est exactement le terrain du shadow AI.

Les erreurs qu'on voit le plus souvent

  • Traiter l'AI Act comme un projet informatique. C'est un sujet de direction : qui décide de quoi, qui est informé, qui relit.
  • Attendre les échéances les plus lointaines pour commencer. L'inventaire des usages prend une demi-journée et sert immédiatement, indépendamment de tout calendrier réglementaire.
  • Rédiger une charte que personne ne lit. Une charte utile tient sur une page et cite des outils réels, pas des principes généraux.
  • Confondre conformité et interdiction. Une entreprise qui interdit l'IA sans alternative se retrouve avec des usages clandestins et aucune traçabilité — le pire des deux mondes.

La mise en conformité, en cinq étapes réalistes

Aucune de ces étapes ne demande de compétence juridique. Elles demandent du temps de direction, ce qui est plus rare mais moins cher qu'un cabinet.

  1. Inventoriez les usages, y compris ceux que personne n'a déclarés. Une réunion par équipe, une question franche, un tableau à trois colonnes : quel outil, pour quelle tâche, avec quelles données. Comptez une demi-journée pour une PME.
  2. Marquez les usages qui touchent une personne. Recrutement, évaluation, accès à un service. Ce sont les seuls qui changent de régime. Dans la plupart des PME, la colonne est vide — et le savoir vaut le temps passé.
  3. Écrivez la charte. Une page, les outils autorisés nommés, ce qu'on n'y met jamais, qui relit. Le plan type est détaillé dans notre article sur la charte d'usage de l'IA.
  4. Formez, et gardez la trace. L'obligation de culture de l'IA se satisfait par une session par équipe et une feuille d'émargement. Ce qui n'est pas tracé n'a, du point de vue d'un contrôle, pas eu lieu.
  5. Datez une révision. Les outils changent chaque trimestre, le texte se précise avec ses lignes directrices. Une relecture semestrielle suffit à ne pas décrocher.

Ce que ça change, concrètement, pour une collectivité

Les administrations et établissements publics sont dans une position différente : leurs traitements touchent des administrés, et certains de leurs usages relèvent de catégories que le règlement traite comme sensibles. Le périmètre exact se vérifie au cas par cas, avec l'appui d'un conseil.

Trois points méritent une attention particulière : l'instruction de dossiers ouvrant droit à une prestation, tout dispositif de tri ou de priorisation appliqué à des demandes d'administrés, et la transparence lorsqu'un agent conversationnel répond en première ligne. Ce n'est pas une raison pour renoncer — la charge documentaire des services est précisément ce que l'IA allège le mieux — mais le cadrage se fait avant, pas après. Notre page secteur public et collectivités développe ces usages.

Le risque qu'on sous-estime, et qui n'est pas réglementaire

L'AI Act monopolise la conversation, mais la plupart des incidents que nous constatons en entreprise n'ont rien à voir avec lui. Ce sont des données confidentielles collées dans un outil grand public, des chiffres inventés recopiés dans un document envoyé au client, des courriers signés sans relecture.

Autrement dit : le droit commun — protection des données, responsabilité contractuelle, obligations de l'employeur — produit aujourd'hui plus de risque concret que le règlement européen. Une entreprise qui traite sérieusement ces trois sujets est, de fait, largement en ordre du point de vue de l'AI Act.

Questions fréquentes

Sommes-nous concernés si nous n'utilisons que ChatGPT pour rédiger des e-mails ?

Oui, mais très légèrement. Cet usage relève du risque minimal : pas d'obligation spécifique au-delà de la culture de l'IA — que vos équipes sachent ce que fait l'outil, ce qu'il ne fait pas, et ce qu'on n'y met pas.

Faut-il déclarer nos usages d'IA à une autorité ?

Non, pas pour les usages courants d'une PME. Des obligations d'enregistrement existent pour certains systèmes classés à haut risque : si vous pensez être dans ce cas, faites-le confirmer. Ce qui est utile, c'est la traçabilité interne : savoir qui utilise quoi.

Notre prestataire est-il responsable à notre place ?

Il porte les obligations du fournisseur pour le système qu'il édite. Vous restez responsable de l'usage que vous en faites, des données que vous y mettez et des décisions que vous prenez ensuite. Les deux responsabilités coexistent, elles ne se remplacent pas.

Cet article est informatif et ne constitue pas un conseil juridique. Pour cadrer vos usages et votre documentation, un audit IA traite ce volet — et nous intervenons sur site en Martinique.