On me pose la question à presque chaque premier rendez-vous IA depuis un an : « avec l’AI Act, est-ce qu’on a encore le droit de faire ça ? » La réponse honnête, dans la grande majorité des cas en PME, c’est oui, et sans montagne administrative. Mais la peur est mal placée, et l’inquiétude réelle se trouve souvent ailleurs que là où on la cherche.
Ce papier remet les choses à plat, du point de vue d’une PME ou d’une ETI qui utilise l’IA pour gagner du temps, pas d’un juriste qui rédige la loi.
Le règlement en une phrase utile
L’AI Act est le règlement européen qui classe les usages de l’intelligence artificielle par niveau de risque et impose des obligations proportionnées à ce risque. Il est entré en vigueur en 2024 et s’applique par vagues successives. Le point important pour vous : il ne régule pas « l’IA » en bloc, il régule des usages précis, et la plupart des usages de PME tombent dans les catégories les plus légères.
Quatre niveaux, du plus lourd au plus léger : les usages interdits (notation sociale, manipulation, certaines biométries), les usages à haut risque (recrutement, crédit, sécurité, santé, avec de vraies obligations de documentation et de supervision), les usages à risque limité (un agent conversationnel, où la seule obligation forte est de dire à la personne qu’elle parle à une IA), et le risque minimal (l’immense majorité : tri d’emails, résumé de documents, aide à la rédaction), où il n’y a quasiment rien à faire.
Fournisseur ou déployeur : la distinction qui change tout
C’est le point que presque personne ne vous explique, et c’est celui qui détermine 90 % de vos obligations.
Le fournisseur, c’est celui qui conçoit ou entraîne le modèle et le met sur le marché. OpenAI, Google, Mistral, mais aussi vous si vous entraîniez votre propre modèle pour le vendre. C’est lui qui porte le gros des obligations : documentation technique, évaluation des risques, transparence sur les données d’entraînement.
Le déployeur, c’est celui qui utilise un système d’IA dans le cadre de son activité. C’est vous, dans presque tous les cas. Vous branchez une IA du marché sur votre tri d’emails ou votre service client. Vos obligations sont réelles mais légères : informer les personnes concernées quand c’est requis, garder un humain dans la boucle sur les décisions qui engagent, et utiliser l’outil pour ce à quoi il est prévu.
Confondre les deux, c’est s’imposer un chantier de conformité de fournisseur alors qu’on est un simple déployeur. C’est l’erreur la plus coûteuse que je vois.
Ce que vous devez vraiment faire, concrètement
Pour une PME déployeuse, la mise en conformité tient en quatre gestes de bon sens, pas en un projet à six chiffres.
Recenser vos usages. Un tableau simple : quel outil d’IA, utilisé par qui, sur quelles données, pour quelle décision. Sans cet inventaire, vous ne pouvez pas savoir où vous êtes exposé. Avec, vous le voyez en un coup d’œil.
Repérer vos usages à haut risque, s’il y en a. Si une IA participe à un tri de CV, à une décision de crédit, à une évaluation de salariés, vous entrez dans une catégorie qui demande de la documentation et une supervision humaine explicite. La plupart des PME n’en ont aucun. Certaines en ont un ou deux sans le savoir.
Garder l’humain sur les décisions qui engagent. Une IA peut préparer, trier, proposer. Le jour où elle décide seule sur quelque chose qui a des conséquences pour une personne, vous avez un problème de conformité et un problème tout court. Un point de contrôle humain n’est pas une contrainte, c’est votre filet.
Dire quand c’est une IA. Si vos clients discutent avec un agent conversationnel, ils doivent le savoir. C’est une ligne de texte, pas un chantier.
Le vrai risque n’est pas celui qu’on croit
Pendant que tout le monde s’inquiète de l’AI Act, le danger qui matérialise réellement le plus souvent, c’est le shadow AI. Des salariés qui, pour aller plus vite, collent des extraits de contrats, des données clients ou des fichiers RH dans une IA grand public gratuite. L’intention est bonne, le réflexe est humain, et l’entreprise vient de perdre la maîtrise de ces données.
Là, le problème n’est même pas l’AI Act. C’est le RGPD, couplé à une absence totale de traçabilité : personne ne sait quelle donnée est sortie, où elle est allée, ni sous quel contrat. Cadrer les usages autorisés, proposer un outil interne sûr pour les cas fréquents, et expliquer pourquoi, coûte infiniment moins cher que de gérer la fuite une fois qu’elle a eu lieu.
Comment on traite ça en mission
Quand on intervient en pôle IA externalisé, la conformité n’est pas un module à part qu’on facture en plus, c’est intégré dès le cadrage. On recense les usages, y compris le shadow AI, on classe le niveau de risque de chacun, on pose les points de contrôle humains sur les décisions sensibles, et on documente ce qu’il faut documenter, ni plus ni moins. Pour une DSI d’ETI, ce chantier s’articule avec les autres obligations de gouvernance comme NIS2, et on le traite dans la même logique de renfort de DSI.
L’objectif n’est jamais de vous vendre de la peur. C’est de vous permettre d’utiliser l’IA là où elle rapporte, sans créer un risque que vous porteriez seul le jour d’un contrôle ou d’un incident.
Pour aller plus loin
- Pôle IA externalisé : la méthode complète, avec la conformité intégrée au cadrage
- Souveraineté des données et IA en PME : où passent vos données, et comment garder la main
- Comment mettre un agent IA en production sans casser la conformité RGPD : la dimension pratique côté données
- Pourquoi huit projets IA sur dix en PME ne passent jamais en production : le vrai obstacle, avant même la conformité