AI Act : que doit faire une TPE ou une PME, concrètement ?

L'AI Act distingue surtout deux rôles. Le « fournisseur » développe un système d'IA et le met sur le marché : OpenAI, Anthropic, Microsoft. Le « déployeur » utilise un système d'IA dans un cadre professionnel. Une TPE ou une PME dont les salariés rédigent, traduisent ou résument avec un assistant d'IA est un déployeur. La taille de l'entreprise ne change rien : l'AI Act ne prévoit pas de seuil en dessous duquel on serait exempté.

Si vous développez vous-même un outil d'IA pour vos clients, vous devenez aussi fournisseur, avec des obligations supplémentaires. Cet article se concentre sur le cas le plus fréquent : la petite entreprise qui utilise des outils existants.

1. Les pratiques interdites (depuis le 2 février 2025)

Certains usages de l'IA sont purement interdits en Europe : manipuler des personnes à leur insu, exploiter la vulnérabilité de certaines personnes, attribuer une « note sociale », déduire des données sensibles (opinions, orientation sexuelle…) à partir de données biométriques, ou constituer des bases de reconnaissance faciale en aspirant des images sur internet.

Pour une petite entreprise, l'interdiction la plus concrète est celle-ci : vous ne pouvez pas utiliser un outil qui détecte ou analyse les émotions  de vos salariés sur leur lieu de travail, sauf pour des raisons médicales ou de sécurité. Certains logiciels d'analyse d'appels ou de visioconférence proposent ce type de fonction. Si vous en utilisez un, vérifiez qu'elle est désactivée.

2. La maîtrise de l'IA par vos équipes (depuis le 2 février 2025, réécrite en juillet 2026)

L'article 4  demande aux entreprises de prendre des mesures pour développer la maîtrise de l'IA des personnes qui l'utilisent pour leur compte : salariés, mais aussi prestataires et sous-traitants.

Le règlement européen 2026/1744 , dit « omnibus », a assoupli cette obligation le 27 juillet 2026. Il n'est plus demandé de garantir un « niveau suffisant » de maîtrise : il faut agir, sans obligation de résultat pour chaque personne.

Concrètement, selon la Commission européenne, il n'y a ni certificat à obtenir, ni test à faire passer, ni « responsable IA » à nommer au titre de cet article. Les mesures doivent être adaptées : un commercial qui fait traduire un e-mail n'a pas les mêmes besoins qu'une personne qui utilise l'IA pour présélectionner des candidats. Pour prouver votre démarche, la Commission suggère de tenir un registre interne des formations et actions menées.

À noter : le Code du travail impose déjà à l'employeur d'adapter les compétences de ses salariés à l'évolution des technologies (article L. 6321-1). L'IA en fait partie.

3. La transparence (depuis le 2 août 2026)

L'article 50  vise les situations où une personne pourrait être trompée par une IA :

• Si vous proposez un assistant conversationnel à vos clients, par exemple sur votre site, il doit être clair qu'ils échangent avec une IA. L'outil doit le permettre ; à vous de vérifier que c'est bien affiché.
• Si vous publiez une image, une vidéo ou un son réaliste généré ou modifié par IA et qui représente des personnes, lieux ou événements existants (un « hypertrucage »), vous devez l'indiquer.
• Si vous publiez un texte généré par IA pour informer le public sur des sujets d'intérêt général, vous devez l'indiquer, sauf s'il a été relu par un humain qui en assume la responsabilité éditoriale.

Le marquage technique invisible des contenus générés incombe aux éditeurs des outils, pas à vous. Pour les outils déjà sur le marché avant le 2 août 2026, ils ont jusqu'au 2 décembre 2026.

Les systèmes « à haut risque » sont reportés par l'omnibus :

• 2 décembre 2027 pour les usages listés à l'annexe III. Pour une petite entreprise, le cas le plus probable est l'emploi : tri de CV, évaluation des candidats, décisions de promotion ou de licenciement, suivi des performances des salariés. Le crédit et l'éducation en font aussi partie.
• 2 août 2028 pour l'IA intégrée à des produits déjà réglementés (machines, dispositifs médicaux…).

Si vous utilisez l'IA dans vos recrutements, c'est le chantier à préparer dès 2027 : contrôle humain par des personnes formées, information des candidats, conservation des journaux d'utilisation.

En France, le Gouvernement a prévu de confier la coordination à la DGCCRF, avec la CNIL et d'autres autorités selon les secteurs. Le projet de loi qui doit officialiser ces désignations était encore en attente d'examen à l'Assemblée nationale à la mi-septembre 2026.

Les amendes prévues par l'AI Act (article 99 ) :

• Pratiques interdites : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
• Manquements à la transparence et à la plupart des autres obligations : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
• Pour une PME (TPE incluses), c'est le plus bas des deux montants qui s'applique.

L'article 99 ne fixe aucune amende chiffrée pour l'article 4 (la maîtrise de l'IA). Méfiez-vous des contenus qui affirment le contraire. Les États membres peuvent toutefois prévoir leurs propres sanctions, et la Commission estime qu'un manquement pèserait davantage si un incident résultait d'un manque de formation.

Dès que des données personnelles (clients, salariés, candidats) passent dans un outil d'IA, le RGPD s'applique en parallèle, sous le contrôle de la CNIL : il faut une base légale, informer les personnes concernées et encadrer le contrat avec le fournisseur de l'outil. Dans la plupart des petites entreprises, c'est d'ailleurs là que se trouve le risque le plus concret.