Beaucoup de dirigeants pensent que l'AI Act, le règlement européen sur l'intelligence artificielle, est une affaire de grands groupes et d'échéances lointaines. Ce n'est pas tout à fait exact. Selon ActuIA, au 6 octobre 2026, une entreprise française qui fournit ou utilise un système d'IA doit déjà respecter trois blocs du règlement (UE) 2024/1689.
Dans le même temps, le texte dit « omnibus » référencé 2026/1744 reporte certaines échéances. Cela alimente une confusion fréquente : « Tout est repoussé, nous verrons plus tard. » Or un report ne supprime pas ce qui s'applique déjà.
Cet article fait le tri entre ce qui est en vigueur, ce qui bouge et ce qu'une petite entreprise peut faire dès maintenant, sans jargon et sans surcoût inutile.
Ce que dit l'actualité, et ce qu'elle ne dit pas
L'article d'ActuIA dresse un calendrier : ce qui s'applique aujourd'hui, et ce que l'omnibus décale. D'après le résumé, les pratiques interdites et la maîtrise de l'IA font partie des blocs déjà applicables. Nous ne détaillons pas ici les dates précises des reports : elles relèvent du texte lui-même, et il vaut mieux les vérifier dans la source ou auprès d'un conseil juridique.
Ce qu'il faut retenir, c'est le principe. Le règlement s'applique par étapes. Certaines règles sont déjà actives, d'autres arrivent plus tard, et un report modifie le calendrier de certaines obligations seulement. Il ne rend pas le reste facultatif.
Fournisseur ou utilisateur : où vous situez-vous ?
Le règlement distingue plusieurs rôles. Deux concernent surtout les PME.
- Le fournisseur développe un système d'IA, ou le fait développer, et le met sur le marché sous son nom.
- Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle.
Une entreprise qui utilise un assistant de rédaction, un outil de tri de candidatures ou un chatbot de service client est généralement déployeur. Une agence ou un éditeur qui intègre de l'IA dans un produit vendu sous sa marque peut, lui, devenir fournisseur. Les obligations ne sont pas les mêmes, et c'est la première question à clarifier.
Premier bloc : les pratiques interdites
Certains usages de l'IA sont purement et simplement interdits dans l'Union européenne, et ce depuis février 2025. Le règlement vise par exemple :
- les techniques de manipulation qui altèrent le comportement d'une personne à son insu ;
- la notation sociale des individus ;
- la reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité ;
- la constitution de bases de reconnaissance faciale par collecte massive d'images.
Dans la plupart des TPE, ces cas sont très éloignés des usages courants. Le point de vigilance se situe ailleurs : certains outils du marché, notamment en ressources humaines ou en analyse de la relation client, promettent de « détecter l'humeur » ou « l'engagement ». Avant de souscrire, demandez au prestataire précisément ce que l'outil analyse et sur quelle base.
Deuxième bloc : la maîtrise de l'IA
Le règlement prévoit que les entreprises qui fournissent ou utilisent des systèmes d'IA prennent des mesures pour que leurs équipes disposent d'un niveau suffisant de maîtrise de l'IA. L'expression est volontairement souple. Elle ne impose pas un diplôme ni une certification précise. Elle demande que les personnes qui se servent de ces outils comprennent ce qu'ils font, leurs limites et leurs risques.
Pour une petite structure, cela peut rester simple et proportionné :
- une session de sensibilisation d'une ou deux heures pour les personnes concernées ;
- quelques règles écrites : quels outils sont autorisés, quelles données ne doivent jamais y entrer ;
- une consigne de relecture humaine avant tout envoi à un client.
Ce qui compte, c'est de pouvoir montrer que vous avez réfléchi à la question et agi de façon raisonnable. Une trace écrite de ce que vous avez fait vaut mieux qu'une intention.
Les reports de l'omnibus : à lire avec prudence
Un report donne du temps, mais il peut créer une fausse impression de sécurité. Trois raisons de ne pas relâcher l'effort.
D'abord, ce qui est déjà applicable le reste. Ensuite, les échéances repoussées finiront par arriver, et les entreprises qui se seront organisées tôt auront moins de travail à faire dans l'urgence. Enfin, le règlement ne se substitue pas aux autres règles : le RGPD, le droit du travail et le droit de la consommation continuent de s'appliquer à vos usages de l'IA.
Si votre entreprise compte un comité social et économique, l'arrivée d'un outil d'IA qui change les conditions de travail peut aussi appeler une information ou une consultation des représentants du personnel. La question se pose au cas par cas, et mieux vaut l'anticiper que la découvrir après le déploiement.
En pratique
Voici une démarche réaliste, que vous pouvez mener en quelques semaines.
- Dressez la liste de vos outils d'IA. Incluez ceux que vos équipes utilisent sans en parler : assistants de rédaction, traduction, fonctions d'IA intégrées dans votre CRM, votre messagerie ou votre logiciel de paie.
- Identifiez votre rôle. Utilisez-vous simplement ces outils, ou les intégrez-vous dans une offre que vous vendez ?
- Vérifiez l'absence d'usage interdit. Interrogez vos fournisseurs sur ce que leurs fonctions d'IA analysent, en particulier sur les personnes.
- Formez et cadrez. Organisez une courte sensibilisation et rédigez une charte d'usage d'une page.
- Conservez des traces. Date de la formation, liste des participants, règles diffusées.
- Suivez le calendrier. Notez les échéances qui vous concernent et revérifiez-les après chaque évolution du texte.
Si vous souhaitez un regard extérieur pour cartographier vos usages et prioriser les actions, notre accompagnement en conseil et audit de transformation numérique couvre précisément ce type de démarche. Pour toute question d'interprétation juridique, rapprochez-vous d'un avocat : cet article présente des repères généraux, pas un avis personnalisé.