L’AI Act en clair : qui est concerné, et vous, l’êtes-vous ?

Depuis deux ans, une question revient dans presque tous les rendez-vous que nous avons avec des dirigeants de très petites entreprises en Auvergne : est-ce que cette fameuse loi européenne sur l’intelligence artificielle me concerne, moi ? La question est posée avec un mélange d’inquiétude et de fatalisme. Certains ont entendu parler d’amendes à 35 millions d’euros et se disent que, forcément, ils vont y passer. D’autres se sont convaincus que ce texte vise Google et OpenAI, pas un plombier d’Issoire ou une boulangère de Besse.

Les deux réactions sont fausses. Et la vérité est infiniment plus simple, plus rassurante, et surtout plus utile que ce que l’on raconte dans les conversations de comptoir. Cette leçon a un seul objectif : qu’à la fin, vous sachiez dire en une phrase où se situe votre entreprise dans le règlement européen sur l’intelligence artificielle, et ce que cela implique concrètement pour vous. Pas en théorie. Pour vous.

1. Pourquoi l’Europe a écrit une loi sur l’intelligence artificielle

Une loi qui parle des usages, pas de la technologie

Le texte officiel s’appelle le règlement (UE) 2024/1689. Tout le monde le surnomme l’AI Act, ou règlement sur l’intelligence artificielle. Il a été adopté en juin 2024, publié au Journal officiel de l’Union européenne le 12 juillet 2024, et il est entré en vigueur le 1er août 2024.

La première chose à comprendre, et c’est probablement la plus importante de toute cette leçon, c’est que l’AI Act ne régule pas l’intelligence artificielle en tant que technologie. Il ne dit pas qu’un modèle de langage est dangereux et qu’un algorithme de recommandation ne l’est pas. Il ne classe pas les logiciels par leur puissance ou par leur sophistication technique.

Il régule ce que l’on fait avec. Le même outil, la même technologie, peut être parfaitement libre dans un contexte et strictement interdit dans un autre. Un système de reconnaissance d’images qui identifie les défauts sur une pièce métallique dans un atelier de Riom ne pose aucun problème réglementaire. Le même système technique, réorienté pour déduire l’humeur des salariés à partir de leur visage pendant qu’ils travaillent, tombe dans une catégorie interdite. Même technologie. Usage différent. Régime juridique opposé.

Retenez cette idée : quand vous vous demandez si vous êtes concerné, ne partez jamais de l’outil. Partez toujours de ce que vous en faites, et sur qui cela produit des effets.

Le calendrier réel, sans dramatisation

L’AI Act ne s’est pas abattu d’un coup. Il s’applique par étages, sur plusieurs années. Voici où nous en sommes réellement.

Deux dates méritent votre attention immédiate. La première est le 2 février 2025 : depuis ce jour, les pratiques interdites sont interdites, et l’obligation de formation de vos équipes existe. Ce n’est pas du futur, c’est du présent depuis plus d’un an.

La seconde est le 2 août 2026. C’est la date charnière, et il faut bien comprendre pourquoi. Jusque-là, les obligations existaient sur le papier mais les autorités nationales n’avaient pas encore reçu leurs pouvoirs de contrôle et de sanction. À partir du 2 août 2026, elles les ont. Autrement dit, ce qui était déjà obligatoire devient contrôlable et sanctionnable. C’est la fin de la période de mise en route.

Ce que le Digital Omnibus a changé au printemps 2026

Vous avez peut-être lu dans la presse que l’Europe avait reculé sur l’AI Act. C’est à la fois vrai et très exagéré, et la nuance compte énormément pour une TPE.

Fin 2025, la Commission européenne a proposé un paquet de simplification appelé Digital Omnibus. Après négociation, un accord provisoire entre le Parlement européen et le Conseil a été conclu le 7 mai 2026. Le Parlement européen a voté le texte le 16 juin 2026, et le Conseil de l’Union européenne l’a formellement adopté le 29 juin 2026. Le texte entre en application après sa publication au Journal officiel de l’Union européenne.

Ce que le Digital Omnibus a réellement fait :

• Il a reporté les obligations des systèmes à haut risque de l’annexe III, du 2 août 2026 au 2 décembre 2027, soit dix-sept mois de plus.
• Il a reporté celles des systèmes à haut risque de l’annexe I, intégrés à des produits déjà réglementés, du 2 août 2027 au 2 août 2028.
• Il a accordé un délai supplémentaire, jusqu’au 2 décembre 2026, pour le marquage machine-lisible des contenus générés par IA, mais uniquement pour les systèmes déjà commercialisés avant le 2 août 2026.
• Il a clarifié la notion de composant de sécurité à l’article 6, pour éviter que des systèmes qui se contentent d’assister l’utilisateur ou d’optimiser une performance soient classés à haut risque alors que leur défaillance ne crée aucun risque sanitaire.
• Il a ajouté de nouvelles interdictions, notamment sur la génération de contenus intimes non consentis et de matériel pédocriminel.
• Il a repoussé au 2 août 2027 la mise en place des bacs à sable réglementaires nationaux.

Ce que le Digital Omnibus n’a pas fait, et c’est le point que la presse a mal restitué :

• Il n’a rien reporté des interdictions de l’article 5. Elles restent applicables depuis le 2 février 2025.
• Il n’a rien reporté de l’obligation de littératie IA de l’article 4. Elle reste applicable depuis le 2 février 2025.
• Il n’a pas repoussé la date du 2 août 2026 pour les obligations de transparence de l’article 50 ni pour l’entrée en fonction des pouvoirs de sanction.

Traduit en langage de dirigeant : l’Europe a donné du temps à ceux qui construisent des systèmes lourds, pas à ceux qui utilisent l’IA au quotidien. Les obligations qui concernent réellement une TPE n’ont pas bougé d’un jour. Il serait donc dangereux de conclure de la lecture des titres de presse que vous avez jusqu’en 2027 pour vous en occuper.

2. Les quatre niveaux de risque, expliqués à hauteur de TPE

Le principe général : plus le risque est élevé, plus les obligations sont lourdes

L’AI Act repose sur une idée simple et assez intuitive : on ne demande pas la même chose à un correcteur orthographique qu’à un système qui décide si une personne obtient un prêt immobilier. Le règlement classe donc les usages de l’IA en quatre niveaux, du plus grave au plus anodin.

Les quatre niveaux, en un coup d’oeil

Le risque n’a rien à voir avec la puissance de l’outil

Voici l’erreur la plus répandue, et elle mérite qu’on s’y arrête longuement. Beaucoup de dirigeants raisonnent ainsi : ChatGPT est un outil très puissant, donc son usage doit être très encadré. Un petit chatbot bricolé sur un site vitrine est un outil rudimentaire, donc il n’est pas concerné.

C’est exactement l’inverse de la logique du règlement.

Prenez Amélie, comptable dans un cabinet d’expertise comptable de Clermont-Ferrand. Elle utilise un grand modèle de langage très sophistiqué pour reformuler des courriers à ses clients et résumer des notes de réunion. Usage interne, aucun effet sur les droits de qui que ce soit, aucune décision automatisée. Risque minimal. Le règlement ne lui demande rien de particulier.

Le critère n’est donc jamais la sophistication technique. Le critère est toujours le même : quel effet cet usage produit-il sur une personne, et cette personne peut-elle s’en défendre ? Un outil qui vous aide à écrire ne produit d’effet sur personne. Un outil qui trie des candidats produit un effet majeur sur des gens qui n’ont souvent aucun moyen de savoir qu’ils ont été triés par une machine.

3. Le premier niveau : les usages purement interdits

Ce que dit l’article 5, en français courant

L’article 5 du règlement dresse la liste des pratiques d’IA interdites dans l’Union européenne. Interdites veut dire interdites : il n’existe ni dérogation pour les petites structures, ni période de transition, ni possibilité de demander une autorisation. Ces interdictions sont applicables depuis le 2 février 2025, et le Digital Omnibus ne les a pas repoussées d’un jour.

Les huit pratiques interdites, traduites une par une

Le texte est écrit dans un langage juridique dense. Voici ce qu’il dit, en français de tous les jours.

1. La manipulation subliminale ou trompeuse. Il est interdit d’utiliser une IA qui recourt à des techniques agissant en dessous du seuil de conscience, ou délibérément manipulatrices, pour altérer sensiblement le comportement d’une personne et l’amener à prendre une décision qu’elle n’aurait pas prise autrement, avec un risque de préjudice important. En clair : influencer quelqu’un par des moyens qu’il ne peut pas percevoir ni contrer.
2. L’exploitation des vulnérabilités. Il est interdit d’utiliser une IA qui exploite les fragilités d’une personne ou d’un groupe liées à l’âge, au handicap, ou à une situation sociale ou économique particulière, pour altérer significativement son comportement de façon préjudiciable. Cibler des personnes âgées isolées ou des personnes en grande difficulté financière avec un système conçu pour exploiter précisément cette fragilité entre dans cette catégorie.
3. La notation sociale. Il est interdit d’évaluer ou de classer des personnes sur la base de leur comportement social ou de caractéristiques personnelles, lorsque cette note conduit à un traitement défavorable dans un contexte sans rapport avec celui où les données ont été collectées, ou à un traitement disproportionné. C’est l’interdiction du score de citoyen.
4. La police prédictive fondée sur le profilage. Il est interdit de prédire le risque qu’une personne commette une infraction en se fondant uniquement sur son profilage ou sur l’évaluation de ses traits de personnalité. Les outils qui appuient une appréciation humaine reposant sur des faits objectifs et vérifiables restent possibles.
5. La constitution de bases de reconnaissance faciale par moissonnage. Il est interdit de créer ou d’enrichir des bases de données de reconnaissance faciale par extraction non ciblée d’images sur internet ou à partir de vidéosurveillance.
6. La déduction des émotions au travail et à l’école. Il est interdit d’utiliser une IA pour déduire les émotions d’une personne sur son lieu de travail ou dans un établissement d’enseignement, sauf pour des raisons médicales ou de sécurité. Cette interdiction concerne directement le monde de l’entreprise et nous y revenons plus bas.
7. La catégorisation biométrique de caractéristiques sensibles. Il est interdit de classer individuellement des personnes à partir de leurs données biométriques pour en déduire leur origine ethnique, leurs opinions politiques, leurs convictions religieuses ou philosophiques, leur appartenance syndicale ou leur orientation sexuelle.
8. L’identification biométrique à distance en temps réel dans l’espace public à des fins répressives. Interdite par principe, avec trois exceptions strictement encadrées et réservées aux autorités : recherche de victimes, prévention d’une menace imminente, localisation de suspects d’infractions graves.

Le Digital Omnibus a ajouté à cette liste l’interdiction des systèmes générant des contenus intimes non consentis et du matériel pédocriminel, avec un délai jusqu’au 2 décembre 2026 pour la mise en place des mesures techniques de protection par les fournisseurs.

Est-ce que cela peut vraiment vous concerner ?

Il existe cependant trois situations dans lesquelles une entreprise ordinaire peut basculer sans s’en rendre compte dans une pratique interdite. Elles méritent votre attention, car elles sont vendues sur le marché comme des innovations parfaitement anodines.

Première situation : l’analyse des émotions des salariés. Des solutions existent, et sont commercialisées, pour mesurer l’engagement, la concentration ou le bien-être des équipes à partir de la caméra d’un ordinateur, du ton de la voix pendant une visioconférence, ou de l’analyse d’expressions faciales. Le vocabulaire commercial parle de mesure du climat social ou de détection du désengagement. Juridiquement, c’est de la déduction d’émotions sur le lieu de travail, et c’est interdit depuis le 2 février 2025. Les seules exceptions sont médicales ou de sécurité, par exemple détecter l’endormissement d’un conducteur de poids lourd.

Deuxième situation : l’analyse des émotions des candidats en entretien. Même logique. Des outils d’entretien vidéo différé proposent d’évaluer la confiance en soi, l’enthousiasme ou la sincérité d’un candidat par analyse de sa voix et de son visage. Un entretien d’embauche se rattache au contexte du travail. Vous ne pouvez pas y recourir. Précision importante : c’est vous, entreprise utilisatrice, qui commettez l’infraction en utilisant l’outil, même si vous ne l’avez pas développé. Le fait qu’un prestataire vous l’ait vendu ne vous protège pas.

Troisième situation : le ciblage commercial des personnes vulnérables. Une campagne marketing pilotée par IA qui identifie automatiquement les personnes âgées isolées, ou les personnes en situation de surendettement, pour leur pousser des offres conçues pour exploiter précisément cette fragilité, peut basculer dans l’exploitation des vulnérabilités. La frontière avec le marketing ciblé ordinaire est une question de degré : ce qui est visé, c’est l’exploitation délibérée d’une faiblesse identifiée, avec un risque de préjudice important.

Une règle pratique simple, que nous vous invitons à retenir : si un fournisseur vous propose un outil qui promet de lire dans les émotions, la personnalité ou les intentions de quelqu’un, arrêtez-vous et posez des questions. C’est presque toujours dans cette zone que se trouvent les problèmes.

Les sanctions attachées à l’article 5

Les infractions à l’article 5 sont les plus sévèrement sanctionnées du règlement. L’article 99 prévoit des amendes administratives pouvant atteindre 35 millions d’euros ou 7 pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Pour une TPE de dix salariés, le risque financier réel n’a donc aucun rapport avec les 35 millions annoncés dans la presse. Il n’en reste pas moins qu’une pratique interdite reste interdite, et que le vrai risque, pour une petite entreprise, est rarement l’amende : c’est le contentieux prud’homal, le litige avec un client, ou l’atteinte à la réputation locale.

4. Le deuxième niveau : le haut risque, et pourquoi vous n’y êtes probablement pas

Deux façons d’être classé à haut risque

Le haut risque est la catégorie qui fait le plus peur, parce que c’est là que se concentrent les obligations lourdes du règlement. Il est donc essentiel de comprendre qu’on n’y tombe pas par hasard. L’article 6 prévoit exactement deux portes d’entrée.

La première porte concerne les systèmes d’IA qui sont un composant de sécurité d’un produit déjà soumis à une réglementation européenne d’harmonisation, ou qui sont eux-mêmes un tel produit. C’est l’annexe I : dispositifs médicaux, machines, ascenseurs, jouets, équipements de protection individuelle, véhicules. Si vous fabriquez un appareil médical avec de l’IA embarquée, vous êtes ici. Une TPE de services ne l’est jamais.

La seconde porte est l’annexe III, qui liste huit domaines d’usage. C’est celle qui peut, exceptionnellement, concerner une petite entreprise.

Les huit domaines de l’annexe III

1. Biométrie. Identification biométrique à distance, catégorisation biométrique, reconnaissance des émotions, hors des cas déjà interdits par l’article 5.
2. Infrastructures critiques. Systèmes utilisés comme composants de sécurité dans la gestion du trafic routier, de l’eau, du gaz, de l’électricité, du chauffage ou des infrastructures numériques.
3. Éducation et formation professionnelle. Systèmes décidant de l’admission dans un établissement, évaluant les acquis d’apprentissage, orientant vers une filière, ou surveillant les examens.
4. Emploi, gestion des travailleurs et accès au travail indépendant. Systèmes utilisés pour le recrutement ou la sélection, notamment pour publier des offres ciblées, filtrer les candidatures et évaluer les candidats. Systèmes servant à prendre des décisions sur les conditions de travail, la promotion, la rupture d’un contrat, la répartition des tâches, ou à surveiller et évaluer le comportement et la performance des personnes.
5. Accès aux services essentiels, publics et privés. Évaluation de l’éligibilité aux prestations sociales et de santé, évaluation de la solvabilité et établissement de scores de crédit, tarification et évaluation des risques en assurance vie et santé, tri des appels d’urgence et priorisation des secours.
6. Répression. Évaluation du risque de victimisation, de la fiabilité des preuves, du risque de récidive, profilage dans le cadre d’enquêtes.
7. Migration, asile et contrôle aux frontières. Évaluation des risques, examen des demandes d’asile et de visa, identification des personnes.
8. Justice et processus démocratiques. Aide à la décision judiciaire, systèmes destinés à influencer le résultat d’une élection ou le comportement électoral.

Regardez cette liste attentivement. Sept de ces huit domaines sont hors d’atteinte d’une TPE ordinaire. Vous ne gérez pas le réseau électrique du Puy-de-Dôme, vous n’instruisez pas de demandes d’asile, vous ne rendez pas la justice. Reste le point 4 : l’emploi.

Le seul cas qui touche vraiment les TPE : le recrutement

C’est le point d’attention numéro un de cette section, et il vaut la peine de s’y arrêter longuement, parce qu’il concerne potentiellement toute entreprise qui embauche.

Le règlement classe à haut risque les systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats. Ce n’est pas une lecture extensive : c’est le texte.

Il faut cependant faire une distinction que beaucoup d’articles de presse ne font pas, et qui change tout pour vous.

Ce qui n’est pas à haut risque :

• Demander à un assistant IA de vous aider à rédiger le texte d’une annonce d’emploi. L’IA vous aide à écrire, elle n’évalue personne.
• Utiliser un outil pour reformuler ou traduire une fiche de poste.
• Vous faire résumer par une IA un dossier de candidature que vous lirez ensuite intégralement pour décider vous-même. Attention toutefois : plus le résumé devient le seul support de votre décision, plus vous vous rapprochez du filtrage.
• Utiliser un tableur, même avec des formules, pour comparer des candidatures selon des critères que vous avez définis. Ce n’est pas un système d’IA au sens du règlement.

Ce qui est à haut risque :

• Un logiciel de gestion des candidatures qui attribue automatiquement un score de correspondance à chaque CV et vous présente un classement.
• Un outil qui écarte automatiquement les candidatures ne correspondant pas à des critères, sans qu’un humain ne les ait vues.
• Une plateforme d’entretien vidéo différé qui note les réponses des candidats.
• Un système qui évalue la performance de vos salariés, ou qui alimente une décision de promotion, d’augmentation ou de rupture.

Notez bien ce qui distingue les deux listes : dans la première, l’IA vous assiste et vous décidez. Dans la seconde, l’IA évalue une personne et sa sortie oriente ou remplace votre décision. C’est la ligne de partage.

Vos obligations si vous déployez un système à haut risque

Vos obligations, en tant que déployeur, figurent à l’article 26. Elles sont réelles mais raisonnables :

• Respecter la notice. Prendre les mesures techniques et organisationnelles appropriées pour utiliser le système conformément aux instructions d’emploi fournies par le fournisseur. Cela suppose de les avoir lues.
• Confier le contrôle humain à quelqu’un de compétent. La personne chargée de superviser le système doit avoir les compétences, la formation, l’autorité et le soutien nécessaires. Une personne qui n’a ni le temps ni le pouvoir de contredire la machine ne constitue pas un contrôle humain.
• Veiller à la qualité des données d’entrée, dans la mesure où vous en avez le contrôle : elles doivent être pertinentes et suffisamment représentatives au regard de la destination du système.
• Surveiller le fonctionnement et informer sans délai le fournisseur et l’autorité de surveillance du marché si vous identifiez un risque ou constatez un incident grave.
• Conserver les journaux générés automatiquement par le système pendant une durée appropriée, d’au moins six mois, sauf disposition contraire.
• Informer les travailleurs. Avant de mettre en service un système à haut risque sur le lieu de travail, vous devez informer les représentants du personnel et les travailleurs concernés qu’ils y seront soumis. En France, cela se combine avec l’obligation de consultation du comité social et économique.
• Informer les personnes concernées lorsque le système sert à prendre ou à éclairer une décision les concernant, et leur permettre d’obtenir des explications sur le rôle du système dans cette décision.

5. Les deux derniers niveaux : la transparence, et le vaste territoire du risque minimal

Le risque limité : dire la vérité sur la nature de ce que l’on montre

Le troisième niveau est celui qui concerne le plus grand nombre de TPE, et il est aussi le plus simple à respecter. Sa logique tient en une phrase : une personne ne doit pas être trompée sur le fait qu’elle parle à une machine ou qu’elle regarde un contenu fabriqué par une machine.

Ces obligations figurent à l’article 50 et deviennent applicables et contrôlables le 2 août 2026.

Si vous avez un chatbot ou un assistant vocal

Le règlement impose aux fournisseurs de systèmes d’IA destinés à interagir directement avec des personnes physiques de veiller à ce que ces personnes soient informées qu’elles interagissent avec un système d’IA, sauf si cela est évident pour une personne raisonnablement avisée.

Concrètement, si un chatbot est installé sur le site de votre cabinet de kinésithérapie de Clermont-Ferrand, le visiteur doit pouvoir comprendre immédiatement qu’il ne parle pas à votre secrétaire. Une simple mention suffit : une phrase d’accueil du type assistant automatique, je réponds aux questions courantes, pour joindre le cabinet appelez le secrétariat.

Si vous publiez des contenus générés par IA

Deux obligations distinctes coexistent, et on les confond souvent.

Du côté des fournisseurs de systèmes générant du texte, des images, du son ou de la vidéo de synthèse : ils doivent marquer les sorties dans un format lisible par machine et détectable comme généré ou manipulé artificiellement. C’est le filigrane technique. Ce n’est pas votre obligation, c’est celle d’OpenAI, de Google, d’Adobe ou de Canva. Le Digital Omnibus leur a accordé jusqu’au 2 décembre 2026 pour les systèmes déjà commercialisés avant le 2 août 2026.

Du côté des déployeurs, donc de vous : l’obligation ne porte que sur deux cas précis.

• Les hypertrucages, c’est-à-dire les contenus d’image, de son ou de vidéo qui représentent des personnes, des lieux ou des événements réels d’une manière qui pourrait faire croire à tort qu’ils sont authentiques. Le déployeur doit indiquer que le contenu a été généré ou manipulé artificiellement.
• Les textes publiés pour informer le public sur des questions d’intérêt général. Là encore, il faut indiquer que le texte a été généré par IA. Exception notable : cette obligation ne s’applique pas si le contenu a fait l’objet d’un contrôle éditorial humain et qu’une personne physique ou morale en assume la responsabilité éditoriale.

Traduisons pour votre quotidien. Une boulangère de Besse qui fait générer par IA la photo d’une brioche pour son compte Instagram ne publie ni un hypertrucage ni un texte d’intérêt général : elle ne représente aucune personne ni aucun événement réel. Aucune obligation de mention au titre de l’article 50. Un restaurateur qui rédige sa page à propos avec l’aide d’une IA, la relit et la valide, en assume la responsabilité éditoriale : pas d’obligation non plus.

Le risque minimal : là où se situe l’essentiel de votre activité

Le quatrième niveau n’est pas vraiment une catégorie juridique : c’est tout ce qui ne tombe dans aucune des trois précédentes. Et c’est immense.

Y figurent, entre autres, la génération de texte pour un usage interne, la traduction automatique, la correction orthographique, le résumé de documents, la retouche photo, les filtres anti-spam, les suggestions de complétion dans un tableur, la transcription de réunions, la génération de visuels décoratifs, l’aide à la rédaction de contenus commerciaux, la planification de tournées, l’assistance au codage.

Pour ces usages, le règlement ne vous impose aucune obligation spécifique. Vous n’avez ni déclaration à faire, ni documentation à produire, ni mention à afficher. C’est important à dire clairement, parce que la peur diffuse autour de l’AI Act pousse certains dirigeants à s’interdire des usages parfaitement légitimes qui leur feraient gagner un temps considérable.

L’article 4 : la seule obligation vraiment universelle

Il existe une obligation qui ne dépend d’aucun niveau de risque et qui s’applique à absolument toutes les entreprises utilisant l’IA, y compris au niveau minimal. C’est l’article 4, sur la maîtrise de l’IA, souvent appelée littératie IA.

Le texte dispose que les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans la mesure du possible, un niveau suffisant de maîtrise de l’IA de leur personnel et des autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes pour leur compte. Ces mesures doivent tenir compte des connaissances techniques, de l’expérience, de l’éducation et de la formation des personnes, ainsi que du contexte d’utilisation et des personnes sur lesquelles les systèmes sont utilisés.

Cette obligation est applicable depuis le 2 février 2025. Elle devient contrôlable et sanctionnable le 2 août 2026, lorsque les autorités nationales reçoivent leurs pouvoirs.

En français courant : si vos salariés utilisent l’IA dans leur travail, vous devez vous assurer qu’ils savent ce qu’ils font. Qu’ils comprennent que l’outil peut se tromper avec assurance, qu’ils savent ce qu’ils n’ont pas le droit d’y saisir, qu’ils connaissent la marche à suivre en cas de doute.

6. Fournisseur, déployeur, importateur, distributeur : les quatre casquettes

Le règlement raisonne par rôle, pas par entreprise

Nous arrivons au coeur de la leçon. Jusqu’ici, nous avons classé les usages. Il faut maintenant classer les acteurs, car les obligations de l’AI Act ne pèsent pas sur tout le monde de la même façon.

Le règlement ne demande jamais si vous êtes une TPE, une PME ou un grand groupe. Il demande quel rôle vous jouez dans la chaîne. L’article 3 définit ces rôles, regroupés sous le terme générique d’opérateur : le fournisseur, le fabricant de produits, le déployeur, le mandataire, l’importateur et le distributeur.

Une même entreprise peut cumuler plusieurs casquettes selon les systèmes. Vous pouvez être déployeur de ChatGPT le matin et fournisseur de votre propre assistant l’après-midi. Le rôle s’apprécie système par système, jamais globalement.

Le fournisseur : celui qui met le système sur le marché sous son nom

Le fournisseur est défini comme une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit.

Trois éléments composent cette définition, et il faut les réunir tous les trois :

• Développer ou faire développer. Vous n’avez pas besoin d’écrire une ligne de code. Si vous commandez le développement à une agence, c’est vous le fournisseur, pas l’agence, dès lors que le résultat sort sous votre nom.
• Mettre sur le marché ou en service. Le rendre disponible pour des tiers, ou le mettre en fonctionnement pour son usage propre destiné à d’autres.
• Sous son nom ou sa marque. C’est le critère décisif, et celui qui piège le plus de monde.

Le déployeur : celui qui utilise sous son autorité

Le déployeur est défini comme une personne physique ou morale, une autorité publique, une agence ou un autre organisme utilisant sous sa propre autorité un système d’IA, sauf lorsque ce système est utilisé dans le cadre d’une activité personnelle à caractère non professionnel.

Cette définition est d’une simplicité redoutable. Dès lors que vous utilisez un système d’IA dans un cadre professionnel, vous êtes déployeur. Il n’y a pas de seuil de taille, pas de seuil d’usage, pas d’exception pour les petites structures.

Un plombier de Riom qui utilise un assistant IA pour rédiger ses devis est déployeur. Une association sportive d’Ambert qui s’en sert pour ses comptes rendus d’assemblée générale est déployeur. Une boulangère de Besse qui génère ses visuels de vitrine est déployeuse.

Retenez cette phrase, c’est probablement la plus utile de toute la leçon : la quasi-totalité des TPE qui utilisent ChatGPT, Copilot, Canva IA, un outil de transcription ou un chatbot sur leur site sont des déployeurs, et rien d’autre. Et le statut de déployeur, hors haut risque, n’emporte que deux obligations concrètes : la littératie IA de l’article 4, et la transparence de l’article 50 quand elle s’applique. C’est tout.

L’importateur et le distributeur

Ces deux rôles sont marginaux pour une TPE de services, mais il faut savoir les reconnaître.

L’importateur est une personne physique ou morale située ou établie dans l’Union qui met sur le marché un système d’IA portant le nom ou la marque d’une personne établie dans un pays tiers. Vous devenez importateur si vous introduisez sur le marché européen un système d’IA développé, par exemple, aux États-Unis ou en Inde, en conservant la marque d’origine.

Le distributeur est une personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui met un système d’IA à disposition sur le marché de l’Union. Une agence web qui revend des licences d’un outil d’IA à ses clients endosse ce rôle.

Récapitulatif des quatre rôles

La portée extraterritoriale : pourquoi la nationalité de l’éditeur ne vous sauve pas

Une question revient souvent : mon outil est américain, donc l’AI Act ne s’applique pas, non ? La réponse est non, et l’article 2 ne laisse aucune ambiguïté.

Le règlement s’applique :

• aux fournisseurs qui mettent sur le marché ou en service des systèmes d’IA dans l’Union, qu’ils soient établis ou situés dans l’Union ou dans un pays tiers ;
• aux déployeurs établis ou situés dans l’Union ;
• aux fournisseurs et déployeurs établis dans un pays tiers lorsque les résultats produits par le système sont utilisés dans l’Union ;
• aux importateurs et distributeurs, aux fabricants de produits, aux mandataires, et aux personnes concernées situées dans l’Union.

Traduisons. Un éditeur californien qui rend son outil accessible aux entreprises françaises est soumis au règlement, même sans bureau en Europe. Et vous, entreprise établie à Clermont-Ferrand, êtes déployeur soumis au règlement, quelle que soit l’origine de l’outil. Le critère est le territoire d’effet, pas le siège social.

Un corollaire utile : cela signifie aussi que la conformité de votre fournisseur est, en partie, sa responsabilité et pas la vôtre. Vous n’avez pas à auditer le modèle d’un grand éditeur. Vous avez à utiliser son outil correctement.

7. Comment on devient fournisseur sans l’avoir voulu

Les trois bascules de l’article 25

Vous savez maintenant que déployeur est un statut léger et que fournisseur est un statut lourd. La question devient donc : peut-on passer de l’un à l’autre sans s’en apercevoir ? Oui. L’article 25 décrit trois situations dans lesquelles un distributeur, un importateur, un déployeur ou tout autre tiers est considéré comme fournisseur d’un système à haut risque.

1. L’apposition de marque. Vous apposez votre nom ou votre marque sur un système d’IA à haut risque déjà mis sur le marché ou mis en service.
2. La modification substantielle. Vous apportez une modification substantielle à un système d’IA à haut risque déjà mis sur le marché, de telle sorte qu’il demeure à haut risque.
3. Le changement de destination. Vous modifiez la destination d’un système d’IA, y compris un système d’IA à usage général, qui n’était pas classé à haut risque, de telle sorte qu’il le devient.

Le piège le plus courant : mettre son assistant IA sous sa marque

C’est de très loin la situation la plus fréquente, et elle se présente ainsi.

Vous avez un site internet. Un prestataire vous propose d’y installer un assistant conversationnel construit à partir d’un modèle du marché, mais entraîné sur vos documents, habillé à vos couleurs, et baptisé du nom de votre entreprise. Le visiteur ne voit ni le nom du modèle sous-jacent ni celui de l’agence : il voit votre marque.

Vous n’avez écrit aucune ligne de code. Vous avez payé une prestation. Et pourtant, vous avez fait développer un système d’IA que vous mettez en service sous votre propre nom. Vous n’êtes plus seulement déployeur : vous êtes fournisseur de ce système précis.

Que cela change-t-il en pratique ? Si l’assistant se contente de répondre à des questions sur vos horaires, vos services et vos tarifs, il n’est pas à haut risque. Vos obligations de fournisseur se limitent alors à la transparence de l’article 50 : informer clairement l’utilisateur qu’il parle à une IA. C’est gérable.

Mais la responsabilité, elle, a changé de mains. Si l’assistant donne un mauvais conseil à un client, celui-ci se retournera contre la marque qu’il a vue à l’écran, c’est-à-dire la vôtre. Et si un jour vous étendez ses fonctions vers un domaine sensible, c’est vous qui devrez assumer les obligations du haut risque.

La question à poser à votre prestataire est donc simple : sous quel nom cet assistant se présente-t-il au public, et qui figure comme responsable dans le contrat ? Faites préciser par écrit qui est fournisseur au sens du règlement, qui fournit la notice d’utilisation, et qui prend en charge la mention de transparence.

Le deuxième piège : la modification substantielle

Le règlement définit la modification substantielle comme une modification apportée au système après sa mise sur le marché ou sa mise en service, qui n’est pas prévue ou planifiée dans l’évaluation de la conformité initiale réalisée par le fournisseur, et qui affecte la conformité du système ou modifie sa destination.

La nuance est importante. Personnaliser un outil dans les limites prévues par l’éditeur ne constitue pas une modification substantielle : régler des paramètres, choisir des options, alimenter une base de connaissances par les moyens prévus. En revanche, détourner un système de son cadre prévu, en modifier le comportement en profondeur ou l’utiliser dans un contexte que le fournisseur exclut expressément, peut faire basculer.

Pour une TPE, la règle pratique tient en une ligne : si vous restez dans ce que la notice autorise, vous ne modifiez pas substantiellement. Si vous devez contourner une limite pour obtenir ce que vous voulez, posez-vous la question.

Le troisième piège : le changement de destination

Le cas le plus insidieux, parce qu’il ne suppose aucune manipulation technique. Il suffit de décider d’utiliser un outil généraliste pour une finalité qui, elle, est à haut risque.

Un exemple concret. Une agence immobilière de Clermont-Ferrand utilise un assistant IA généraliste pour rédiger ses annonces. Usage à risque minimal, aucune obligation. Six mois plus tard, la gérante crée une procédure interne : chaque dossier de candidature locative est passé dans l’assistant avec une consigne qui lui demande d’attribuer une note de fiabilité au candidat, et seuls les dossiers au-dessus d’un seuil sont examinés.

Aucune ligne de code n’a été écrite. Aucun logiciel n’a été acheté. Mais l’agence a affecté un système d’IA à usage général à une finalité d’évaluation de personnes conditionnant l’accès à un logement. Elle a changé la destination du système, et peut se retrouver, au titre de l’article 25, considérée comme fournisseur d’un système à haut risque qu’elle croyait simplement utiliser.

La leçon est celle-ci : ce n’est pas l’outil que vous achetez qui détermine votre statut, c’est la mission que vous lui confiez. Un changement de procédure interne, décidé en réunion et jamais formalisé, peut suffire à faire basculer votre entreprise d’un statut léger à un statut lourd.

8. Le test en dix questions : situez votre entreprise

Les dix questions

1. Utilisez-vous un outil d’IA dans un cadre professionnel ? Si oui, vous êtes déployeur. Si non, arrêtez ici, le règlement ne vous concerne pas.
2. Cet outil analyse-t-il les émotions, la personnalité ou l’état d’esprit de vos salariés ou de vos candidats ? Si oui, arrêtez tout : vous êtes probablement dans une pratique interdite par l’article 5, applicable depuis février 2025.
3. Cet outil cible-t-il des personnes vulnérables pour exploiter leur fragilité ? Si oui, même conclusion.
4. Cet outil évalue-t-il, classe-t-il ou note-t-il des personnes physiques ? Candidats, locataires, emprunteurs, élèves, salariés. Si oui, poursuivez avec attention : vous approchez du haut risque.
5. Le résultat de cette évaluation conditionne-t-il l’accès à un emploi, à un logement, à un crédit, à une formation ou à un service essentiel ? Si oui, vous êtes vraisemblablement dans le champ de l’annexe III, donc du haut risque, avec application au 2 décembre 2027.
6. L’outil se présente-t-il au public sous votre nom ou sous votre marque ? Si oui, vous n’êtes plus seulement déployeur : vous êtes fournisseur de ce système.
7. Avez-vous fait développer cet outil, même par un prestataire extérieur ? Si oui, et s’il sort sous votre nom, la réponse précédente est confirmée.
8. Utilisez-vous cet outil pour une finalité différente de celle prévue par son éditeur ? Si oui, vérifiez si cette nouvelle finalité relève de l’annexe III : vous pourriez avoir changé la destination du système au sens de l’article 25.
9. Une personne extérieure interagit-elle directement avec l’outil, ou voit-elle un contenu qu’il a produit ? Si oui, les obligations de transparence de l’article 50 s’appliquent à compter du 2 août 2026.
10. Vos salariés ont-ils été informés et formés à l’usage de cet outil, et en avez-vous une trace écrite ? Si non, l’article 4 n’est pas rempli. C’est le point le plus fréquemment négligé, et le plus facile à corriger.

Comment lire vos réponses

Si vous avez répondu non aux questions 2 à 9 et oui à la question 1, ce qui est le cas le plus probable, votre situation tient en une phrase : vous êtes déployeur d’usages à risque minimal, et votre seule obligation réelle est de former vos équipes et d’en garder la trace. Refermez ce cours l’esprit tranquille, et allez écrire votre charte.

🧭 Erreurs fréquentes et dépannage

Croire que le report de 2027 vous dispense de tout

C’est l’erreur du moment. Le Digital Omnibus n’a repoussé que les obligations du haut risque. Les interdictions de l’article 5, la littératie de l’article 4 et la transparence de l’article 50 au 2 août 2026 sont inchangées. Correction : traitez les articles 4 et 50 maintenant, et le haut risque d’ici fin 2027 si vous êtes concerné.

Confondre outil et usage

Beaucoup de dirigeants cherchent si ChatGPT est autorisé. La question n’a pas de sens : le règlement classe les usages. Correction : listez vos usages un par un et classez chacun séparément.

Penser qu’une TPE est trop petite pour être concernée

Aucun seuil de taille n’existe dans le règlement. Un artisan seul est déployeur au même titre qu’un groupe. Correction : l’allègement pour les petites structures joue sur le montant des sanctions et sur la proportionnalité des mesures, pas sur l’applicabilité.

Mettre sa marque sur un chatbot sans y penser

Le cas le plus courant de bascule vers le statut de fournisseur. Correction : demandez par écrit à votre prestataire qui est fournisseur au sens du règlement, et qui fournit la notice.

Confondre AI Act et RGPD

Une conformité RGPD ne vaut pas conformité AI Act, et inversement. Les deux textes se cumulent. Correction : traitez-les ensemble, pas l’un à la place de l’autre.

Oublier le comité social et économique

Introduire un outil d’IA touchant aux conditions de travail impose en France une consultation du CSE, indépendamment de l’AI Act. Correction : intégrez cette étape dès le début du projet.

📋 Cas pratique 1 — Sanitherm Auvergne, plomberie-chauffage à Issoire

La situation

Sanitherm Auvergne est une entreprise de plomberie et chauffage installée à Issoire. Six salariés, un gérant, environ trois cents interventions par an. Depuis un an, le gérant utilise un assistant IA généraliste pour rédiger ses devis, reformuler ses courriers et résumer les comptes rendus de chantier. En janvier, il fait installer sur son site un assistant conversationnel qui répond aux questions des visiteurs sur les dépannages, les délais et les aides à la rénovation. L’agence web de Clermont-Ferrand qui l’a développé l’a baptisé du nom de l’entreprise et habillé à ses couleurs. Aucune mention n’indique qu’il s’agit d’une IA.

Le raisonnement

Usage 1, la rédaction assistée. Le gérant utilise l’outil sous son autorité, dans un cadre professionnel : il est déployeur. Aucune personne n’est évaluée, aucune décision automatisée. Risque minimal. Seule obligation : l’article 4.

Usage 2, l’assistant du site. Deux questions se posent. D’abord le niveau de risque : l’assistant interagit directement avec des personnes physiques, donc risque limité, avec l’obligation de transparence de l’article 50. Ensuite le rôle : l’assistant a été développé sur commande et se présente au public sous le nom de l’entreprise. Sanitherm a donc fait développer un système d’IA et le met en service sous son propre nom. Elle en est fournisseur, pas seulement déployeur.

Ce n’est pas dramatique : l’assistant n’est pas à haut risque, donc les obligations lourdes ne s’appliquent pas. Mais la responsabilité est bien celle de Sanitherm. Si l’assistant annonce à un particulier une aide à la rénovation qui n’existe plus, c’est l’entreprise qui répondra du conseil erroné.

La conclusion

Trois actions, réalisables en une semaine. Un : ajouter au premier message de l’assistant une phrase indiquant qu’il s’agit d’un assistant automatique et rappelant le numéro du standard. Deux : faire écrire dans le contrat avec l’agence qui est fournisseur au sens du règlement, qui fournit la notice, et qui met à jour la base de connaissances. Trois : rédiger une charte d’usage d’une page et tenir une réunion d’une heure avec les six salariés, avec feuille d’émargement. Coût total : quelques heures. Statut final : déployeur pour ses usages internes, fournisseur d’un système à risque limité pour son assistant.

📋 Cas pratique 2 — Le Fournil de la Couze, boulangerie-pâtisserie à Besse

La situation

Le Fournil de la Couze est une boulangerie-pâtisserie de Besse, quatre salariés et une gérante. Elle recherche un apprenti pâtissier. Faute de temps, la gérante souscrit à une plateforme de recrutement en ligne qui promet de faire le tri. La plateforme attribue à chaque candidature une note de compatibilité, ne remonte que les cinq meilleurs profils, et propose une option d’entretien vidéo différé qui évalue la motivation et l’aisance relationnelle du candidat à partir de sa voix et de ses expressions.

Le raisonnement

Première question, l’option vidéo. Évaluer la motivation et l’aisance d’un candidat à partir de sa voix et de son visage revient à déduire des émotions dans un contexte lié au travail. C’est une pratique interdite par l’article 5, applicable depuis le 2 février 2025. Il n’y a pas de discussion possible : cette option ne doit pas être activée. Le fait que la plateforme la propose n’exonère pas la boulangerie, car c’est elle qui utiliserait le système.

Deuxième question, le tri automatique. Un système qui filtre les candidatures et évalue les candidats relève de l’annexe III, point 4. C’est du haut risque. La gérante n’en est pas fournisseur, puisqu’elle achète un service existant sous la marque de l’éditeur : elle en est déployeuse. Ces obligations deviendront applicables le 2 décembre 2027.

Troisième question, ce qui s’applique déjà. Le report ne suspend ni le RGPD ni le code du travail. Le tri automatisé de candidatures traite des données personnelles et relève des règles sur les décisions automatisées. Les candidats doivent être informés des méthodes d’aide au recrutement utilisées.

La conclusion

Quatre décisions. Un : ne pas activer l’option d’entretien vidéo avec analyse émotionnelle, et le notifier par écrit à la plateforme. Deux : conserver le tri automatique si elle le souhaite, mais lire elle-même l’intégralité des candidatures reçues, la note servant d’indication et non de filtre. Trois : mentionner dans l’annonce qu’un outil d’aide au tri est utilisé. Quatre : demander à l’éditeur sa notice d’utilisation et sa documentation de conformité, en prévision de décembre 2027. Statut final : déployeuse d’un système à haut risque, avec un usage recadré qui la maintient dans la légalité et lui laisse le temps de se préparer.

🏋️ Exercices

Exercice 1 — L’inventaire

Listez dans un tableau tous les outils d’IA utilisés dans votre entreprise, y compris ceux que vos salariés utilisent sans vous l’avoir dit. Pour chacun, notez l’usage précis, la personne qui l’utilise, et les données qui y sont saisies. Vous serez surpris de la longueur de la liste.

Exercice 2 — Le classement

Reprenez chaque ligne et passez-la au test en dix questions de la section 8. Notez pour chacune le niveau de risque et votre rôle. Repérez les lignes qui vous ont fait hésiter : ce sont vos vrais points d’attention.

Exercice 3 — La chasse aux marques

Parcourez votre site internet et vos supports commerciaux. Cherchez tout élément d’IA qui se présente sous votre nom : chatbot, assistant, générateur de devis en ligne. Pour chacun, demandez-vous qui en est le fournisseur au sens de l’article 3.

Exercice 4 — La charte

Rédigez en une page la charte d’usage de l’IA de votre entreprise. Trois rubriques suffisent : outils autorisés, informations à ne jamais saisir, obligation de relecture avant envoi ou publication. Datez-la et faites-la signer.

🧩 Adapter à votre activité

Artisans du bâtiment

Vos usages sont presque toujours à risque minimal : devis, courriers, planification. Le point de vigilance est le chatbot de site sous votre marque, qui vous fait basculer fournisseur. Priorité : la mention de transparence et la charte.

Commerces de bouche et restauration

Génération de visuels, traduction de cartes, réponses aux avis en ligne : risque minimal. Deux vigilances : le chatbot de réservation, et le recrutement saisonnier si vous passez par une plateforme qui note les candidats.

Professions du chiffre et du droit

Le risque principal n’est pas l’AI Act mais le secret professionnel et le RGPD. Vérifiez les conditions d’utilisation de vos outils avant d’y saisir des données clients. Sur l’AI Act, vous êtes déployeur à risque minimal dans la plupart des cas.

Professions de santé libérales

Attention aux outils intégrés à des dispositifs médicaux, qui relèvent de l’annexe I et d’une réglementation propre. Pour la prise de rendez-vous et la transcription, vous êtes déployeur à risque limité ou minimal. Les données de santé imposent une prudence RGPD renforcée.

Agences immobilières

C’est le secteur où le risque de bascule est le plus élevé, à cause de la sélection des locataires. Toute notation de candidats vous emmène vers le haut risque, et un mauvais paramétrage vers la discrimination. Séparez strictement la rédaction d’annonces, sans enjeu, de l’évaluation de personnes, très encadrée.

Associations

Le statut associatif ne change rien : une association est un organisme au sens de l’article 3 et devient déployeur dès qu’elle utilise l’IA hors activité purement personnelle. Le recrutement de salariés obéit aux mêmes règles qu’en entreprise.

🚀 Aller plus loin

Trois directions utiles une fois cette leçon assimilée.

• Le texte lui-même. Le règlement (UE) 2024/1689 est consultable gratuitement sur EUR-Lex. Les articles 3, 5, 25, 26 et 50 sont lisibles en une heure et lèvent bien des doutes.
• Les publications de la CNIL. Elle publie des recommandations sur l’IA et les données personnelles, en français et pensées pour des non-juristes. C’est la ressource la plus accessible pour l’articulation entre RGPD et IA.
• Le suivi du calendrier. Le Digital Omnibus a montré que les échéances peuvent bouger. Vérifiez une fois par an l’état du calendrier avant d’engager des travaux de conformité lourds.

🔑 L’essentiel à retenir

• L’AI Act ne régule pas la technologie mais les usages. Classez vos usages, pas vos logiciels.
• Quatre niveaux : inacceptable (interdit), haut risque (très encadré), limité (transparence), minimal (rien de spécifique). La quasi-totalité de vos usages est dans les deux derniers.
• Quatre rôles : fournisseur, déployeur, importateur, distributeur. Vous êtes presque certainement déployeur.
• On devient fournisseur en apposant sa marque, en modifiant substantiellement un système, ou en changeant sa destination (article 25). Le premier cas est le plus fréquent : le chatbot sous votre nom.
• Le règlement s’applique quelle que soit la nationalité de l’éditeur, dès lors que les effets se produisent dans l’Union (article 2).
• Depuis le 2 février 2025 : interdictions de l’article 5 et littératie IA de l’article 4.
• Le 2 août 2026 : transparence de l’article 50 et entrée en fonction des pouvoirs de contrôle et de sanction.
• Le haut risque est reporté au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
• Pour les PME et jeunes pousses, l’amende est plafonnée au montant le plus bas, non au plus élevé.
• Si vous ne faites qu’une chose : écrivez une charte d’usage, formez vos équipes une heure, gardez-en la trace.

📖 Glossaire

• AI Act — Nom courant du règlement (UE) 2024/1689 sur l’intelligence artificielle.
• Annexe III — Liste des huit domaines d’usage classés à haut risque, dont l’emploi et l’accès aux services essentiels.
• Déployeur — Toute organisation utilisant un système d’IA sous sa propre autorité, hors activité personnelle non professionnelle. Le statut de la quasi-totalité des TPE.
• Distributeur — Acteur de la chaîne d’approvisionnement, autre que le fournisseur ou l’importateur, qui met un système d’IA à disposition sur le marché de l’Union.
• Fournisseur — Celui qui développe ou fait développer un système d’IA et le met sur le marché ou en service sous son propre nom ou sa marque.
• Hypertrucage — Contenu image, son ou vidéo généré ou manipulé par IA représentant des personnes, lieux ou événements réels de façon trompeuse. Traduction française de deepfake.
• Importateur — Personne établie dans l’Union qui met sur le marché un système d’IA portant la marque d’un acteur d’un pays tiers.
• Littératie IA — Maîtrise suffisante de l’IA par le personnel, exigée par l’article 4 de tous les fournisseurs et déployeurs.
• Modification substantielle — Changement apporté à un système après sa mise sur le marché, non prévu dans l’évaluation de conformité initiale, affectant sa conformité ou sa destination.
• Surveillance du marché — Mission des autorités nationales chargées de contrôler l’application du règlement et de sanctionner les manquements à partir du 2 août 2026.
• Système d’IA — Système automatisé conçu pour fonctionner à différents niveaux d’autonomie, pouvant faire preuve d’adaptabilité après son déploiement, et qui déduit de ses entrées des sorties telles que des prédictions, du contenu, des recommandations ou des décisions.

❓ Questions fréquentes

Mon entreprise compte trois salariés. Suis-je vraiment concerné ?

Oui, dès que vous utilisez un outil d’IA dans un cadre professionnel. Le règlement ne prévoit aucun seuil de taille. En revanche, vos obligations réelles sont très légères : la formation de vos équipes, et la transparence si un tiers interagit avec l’IA. La taille joue sur la proportionnalité des mesures et sur le plafond des amendes, pas sur l’applicabilité.

J’utilise ChatGPT tous les jours. Dois-je le déclarer quelque part ?

Non. Aucun registre public ni aucune déclaration administrative n’est exigé d’une TPE pour un usage à risque minimal. Tenir en interne la liste de vos usages est une bonne pratique, pas une obligation légale.

Un prestataire me propose une certification AI Act. Est-elle obligatoire ?

Non. Il n’existe aucune certification obligatoire pour une TPE déployeuse. Les procédures d’évaluation de conformité et le marquage CE concernent les fournisseurs de systèmes à haut risque. Méfiez-vous des offres qui laissent entendre le contraire.

Le report du Digital Omnibus me donne-t-il jusqu’en 2027 ?

Uniquement si vos usages relèvent du haut risque. Les interdictions et la littératie IA s’appliquent depuis février 2025, et la transparence à partir du 2 août 2026. Pour la grande majorité des TPE, le report ne change rien.

Qui va me contrôler en France ?

Les États membres devaient désigner leurs autorités nationales compétentes, et ces autorités reçoivent leurs pouvoirs de contrôle et de sanction le 2 août 2026. En France, la désignation définitive n’est pas encore formalisée à ce jour ; la CNIL est très largement pressentie comme autorité pivot, aux côtés de régulateurs sectoriels comme la DGCCRF, l’ARCOM ou l’ACPR selon les domaines.

Si mon chatbot dit une bêtise à un client, qui est responsable ?

Si le chatbot se présente sous votre marque, c’est vous. C’est précisément l’enjeu du statut de fournisseur : la responsabilité suit le nom affiché. Le recours contre votre prestataire dépendra ensuite de votre contrat, d’où l’importance de le faire préciser par écrit.

Dois-je indiquer que mes textes de site ont été écrits avec l’IA ?

En général, non. L’obligation de mention ne vise que les hypertrucages et les textes publiés pour informer le public sur des questions d’intérêt général, et elle ne s’applique pas lorsque le contenu a fait l’objet d’un contrôle éditorial humain assumé. Une page de présentation relue et validée par vous n’entre pas dans ce champ.

L’AI Act remplace-t-il le RGPD ?

Non, il s’y ajoute. Dès qu’un système d’IA traite des données personnelles, le RGPD s’applique intégralement, avec ses propres obligations d’information, de base légale et parfois d’analyse d’impact. Les deux textes se cumulent.