AI Act et PME : les 6 questions à se poser
Depuis février 2025, former vos équipes à l'IA est une obligation légale — sans aucun seuil d'effectif. Depuis le 2 août 2026, elle est sanctionnable. Voici comment savoir, en dix minutes, où vous en êtes.
Ce qui a changé le 2 août 2026. Le règlement européen sur l'intelligence artificielle est pleinement applicable. Les autorités nationales disposent désormais de pouvoirs de contrôle et de sanction, jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, avec des plafonds ajustés pour les PME.
L'article 4 du règlement impose à toute entreprise qui utilise des outils d'IA de garantir un niveau suffisant de maîtrise de l'IA chez les collaborateurs concernés. Il n'existe aucun seuil d'effectif : une entreprise de cinq personnes dont un salarié rédige ses devis avec ChatGPT est concernée au même titre qu'un groupe industriel.
Dans la pratique, la situation est presque toujours la même : des outils d'IA déjà utilisés au quotidien, aucun cadre écrit, et personne qui sait précisément qui utilise quoi. Ce n'est pas une faute — c'est la situation de la majorité des entreprises françaises. Mais elle devient difficile à tenir dès qu'un client grand compte, un assureur ou un investisseur pose la question.
Les 6 questions
Si vous répondez oui aux six, vous êtes tranquille. Sinon, vous saurez précisément par où commencer.
01Savez-vous qui utilise un outil d'IA dans votre entreprise ?
Vous ne pouvez pas encadrer ce que vous ne connaissez pas. Dans la plupart des PME, l'IA est entrée par les usages individuels : un commercial qui rédige ses relances, une assistante qui résume des réunions. Rien n'est déclaré, rien n'est tracé.
02Vos équipes ont-elles été formées — et pouvez-vous le prouver ?
C'est l'obligation de l'article 4. Le format est libre, la preuve vous incombe : registre, feuille de présence, support, attestation. L'absence de formation documentée est retenue comme facteur aggravant en cas de contrôle.
03Avez-vous une règle écrite sur ce qu'on peut saisir dans un outil d'IA ?
C'est le point qui expose le plus vite. Un salarié qui colle un fichier client ou un dossier RH dans un outil grand public transfère des données hors de votre contrôle. Le sujet devient alors le RGPD, et le responsable, c'est vous.
04Signalez-vous vos contenus générés par IA ?
C'est l'article 50, applicable depuis le 2 août 2026. Mention visible à la charge de celui qui diffuse, marquage technique à la charge du fournisseur. Vérifiez votre site, vos réseaux sociaux et vos supports commerciaux.
05Vos contrats fournisseurs précisent-ils le sort de vos données ?
Beaucoup d'offres grand public réutilisent les données saisies pour entraîner leurs modèles, sauf paramétrage contraire. Vous devez savoir où vont vos données, combien de temps elles sont conservées et si elles quittent l'Union européenne.
06Une décision affectant une personne est-elle préparée par une IA ?
Tri de candidatures, évaluation de collaborateurs, notation de clients, octroi d'un financement : ces usages relèvent d'obligations renforcées. Le calendrier a été aménagé, l'exigence de fond demeure — et le RGPD s'applique déjà pleinement.
La checklist complète, en PDF
Deux pages, dix minutes, aucune connaissance juridique requise. Les six questions avec cases à cocher, ce qu'il faut faire quand la réponse est non, et une grille de lecture de votre score.
Télécharger la checklist (PDF, 2 pages)Questions fréquentes
L'AI Act s'applique-t-il vraiment aux PME ?
Oui, sans aucun seuil d'effectif. L'article 4 vise toute entreprise qui déploie ou utilise des systèmes d'IA, quelle que soit sa taille et quel que soit le niveau de risque de l'outil.
Faut-il une formation certifiante ?
Non. Le règlement n'impose ni certification ni programme officiel. Une sensibilisation interne documentée, proportionnée aux rôles, constitue un premier niveau de preuve recevable.
Que risque concrètement une PME ?
Les plafonds atteignent 15 M€ ou 3 % du chiffre d'affaires mondial, avec des montants ajustés pour les PME. En pratique, le risque immédiat est ailleurs : ne rien avoir à présenter le jour où un client grand compte, un assureur ou un investisseur pose la question.
Par où commencer si je n'ai rien fait ?
Par trois choses, dans cet ordre : recenser qui utilise quoi, organiser une sensibilisation documentée, écrire une page de règles d'usage. Cela se traite en interne, sans budget, en deux à trois semaines.
Faire le point en 30 minutes
Les questions 1, 2 et 3 couvrent l'essentiel du risque d'une PME et se traitent en interne, sans budget. Si vous voulez un regard extérieur, je vous dis où vous en êtes, ce qui est urgent et ce qui ne l'est pas — y compris quand il n'y a rien à faire.
Sources — Règlement (UE) 2024/1689 sur l'intelligence artificielle, articles 4 et 50. Application de l'article 4 depuis le 2 février 2025 ; application pleine et pouvoirs de sanction depuis le 2 août 2026. Le calendrier applicable aux systèmes à haut risque de l'annexe III a été aménagé par le paquet Digital Omnibus adopté en juin 2026.
Avertissement — Cette page est informative et ne constitue pas un avis juridique. Elle ne remplace pas l'analyse d'un professionnel du droit sur votre situation particulière.