Stanislas Gautier
La réponse courte
Oui, mais légèrement. Une PME qui utilise ChatGPT est « déployeur » au sens de l'AI Act. Elle doit prendre des mesures pour développer la maîtrise de l'IA de ses équipes (article 4, assoupli par l'omnibus numérique entré en vigueur le 27 juillet 2026), ne jamais utiliser l'IA pour une pratique interdite, comme déduire les émotions de ses salariés, et respecter les règles de transparence à partir du 2 août 2026. Les obligations lourdes ne visent que les usages à haut risque, comme le recrutement, et ont été repoussées au 2 décembre 2027.
- Une PME qui utilise un outil d'IA est « déployeur » : ses obligations sont bien plus légères que celles des éditeurs.
- Former et informer ses équipes, éviter les pratiques interdites, être transparent : l'essentiel tient en trois gestes.
- Les usages à haut risque (recrutement, évaluation des salariés) attendent le 2 décembre 2027, mais se préparent dès maintenant.
« L’AI Act, ça nous concerne ? On utilise juste ChatGPT. » La question revient dans presque chaque formation que j’anime, de Bayonne à Hossegor, souvent avec une pointe d’inquiétude, parfois après une offre de « mise en conformité » à plusieurs milliers d’euros.
La réponse courte : oui, vous êtes concerné, mais beaucoup moins qu’on ne vous le dit. Et le texte vient de changer. Voici ce qui s’applique réellement à une PME, au 28 juillet 2026, lendemain de l’entrée en vigueur de l’omnibus numérique.
Précision utile : je ne suis pas juriste. Je forme des équipes à l’IA et je lis les textes pour elles ; pour un cas sensible, un avocat reste le bon interlocuteur.
Quel est votre rôle au sens de l’AI Act ?
Tout part de là. Le règlement européen sur l’intelligence artificielle distingue deux rôles principaux :
- le fournisseur, qui développe un système d’IA et le met sur le marché sous son nom, comme l’éditeur de ChatGPT ;
- le déployeur, qui utilise un système d’IA dans le cadre de son activité professionnelle.
Une PME qui utilise ChatGPT, Copilot, un outil de traduction ou un logiciel métier doté d’IA est déployeur. Les obligations les plus lourdes du texte (documentation technique, gestion des risques, marquage des contenus générés) pèsent sur les fournisseurs, pas sur vous.
Qu’est-ce qui s’applique déjà à une PME ?
Trois choses, et elles sont raisonnables.
| Obligation | Depuis quand | Ce que ça veut dire pour vous |
|---|---|---|
| Maîtrise de l’IA (article 4) | 2 février 2025, assouplie le 27 juillet 2026 | Prendre des mesures pour que vos équipes comprennent les outils et leurs limites |
| Pratiques interdites (article 5) | 2 février 2025 | Ne jamais utiliser l’IA, par exemple, pour déduire les émotions de vos salariés |
| Transparence (article 50) | 2 août 2026 | Signaler les hypertrucages ; relire les textes publiés sur des sujets d’intérêt général |
| Usages à haut risque (article 26, annexe III) | 2 décembre 2027 | Recrutement, évaluation des salariés : supervision humaine, information des personnes |
La maîtrise de l’IA, désormais une obligation de moyens
L’article 4 demandait depuis février 2025 d’assurer « un niveau suffisant » de maîtrise de l’IA au personnel. Le règlement 2026/1744, dit omnibus numérique, entré en vigueur le 27 juillet 2026, a réécrit cet article : il s’agit désormais de prendre des mesures pour favoriser le développement de cette maîtrise, sans devoir garantir un niveau précis pour chaque salarié. La Commission européenne indique que l’exigence est simplifiée, la Commission et les États membres jouant un rôle plus actif.
Concrètement, une formation adaptée aux usages de l’équipe, une charte d’usage et une trace de ce qui a été fait restent la meilleure réponse. C’est aussi, simplement, ce qui rend l’IA utile.
Les pratiques interdites, même pour une petite entreprise
L’article 5 interdit certains usages depuis le 2 février 2025, quelle que soit la taille de l’entreprise. Celui qui peut concerner un employeur : utiliser l’IA pour déduire les émotions d’une personne sur son lieu de travail, sauf raisons médicales ou de sécurité. Un outil qui analyserait le ton de vos commerciaux au téléphone pour évaluer leur humeur tombe dans ce cas.
La transparence, à partir du 2 août 2026
L’article 50 impose aux déployeurs deux règles de transparence : signaler clairement une image, un son ou une vidéo générés qui imitent le réel, et signaler un texte généré publié pour informer le public sur une question d’intérêt général, sauf s’il a fait l’objet d’une relecture humaine ou d’un contrôle éditorial. L’omnibus n’a pas modifié ces règles. Pour une PME qui relit ce qu’elle publie, l’effort porte surtout sur les visuels générés.
Quels usages sont « à haut risque » ?
Ceux qui touchent directement la vie des personnes. L’annexe III du règlement liste notamment l’IA utilisée pour recruter, trier des candidatures, décider d’une promotion ou d’un licenciement, répartir les tâches ou évaluer les performances des salariés.
Pour ces usages, l’omnibus a repoussé les obligations au 2 décembre 2027. L’article 26 prévoit alors, pour le déployeur : utiliser le système selon sa notice, confier sa supervision à des personnes compétentes, conserver les journaux, et, pour un employeur, informer les salariés et leurs représentants avant la mise en service.
Si vous envisagez un outil de tri de CV « boosté à l’IA », c’est le moment de poser ces questions à l’éditeur, pas en novembre 2027.
Où se situent vos propres outils ?
Prenez vos outils un par un, et placez chacun dans ce tableau. La plupart des lignes tombent dans la première catégorie.
| Si l’outil sert à… | Niveau | Que faire |
|---|---|---|
| Rédiger, reformuler, résumer, traduire, préparer un devis | Usage courant | Former, encadrer par une charte, relire |
| Créer une image, une voix ou une vidéo qui imite le réel | Transparence | Le signaler clairement au public |
| Publier un texte d’information sur un sujet d’intérêt général | Transparence | Le faire relire par une personne responsable, ou le signaler |
| Trier des candidatures, évaluer ou surveiller des salariés | Haut risque | Supervision humaine, information des salariés, avant le 2 décembre 2027 |
| Déduire les émotions de salariés au travail | Interdit | Ne pas l’utiliser |
Que faire concrètement, dès maintenant ?
Quatre gestes, que je mets en place avec les équipes que j’accompagne :
- Faire l’inventaire des outils d’IA utilisés dans l’entreprise, y compris sur des comptes personnels. On découvre souvent plus d’usages qu’on ne pensait.
- Former les équipes à leurs usages réels, et garder une trace : dates, participants, contenu. C’est le cœur de la formation IA telle que je la conçois.
- Écrire une charte d’usage : outils autorisés, données interdites, relecture obligatoire. J’en donne un modèle en six rubriques.
- Repérer les usages sensibles : tout ce qui touche au recrutement, à l’évaluation ou à la surveillance des salariés mérite une analyse à part.
Chez ADD-ONE, distributeur d’accessoires sport, le parcours de formation en deux niveaux, la mémoire collective partagée et les référents IA par service vont déjà dans le sens de l’article 4. Ce n’était pas le but : c’est d’abord ce qui permet à l’équipe de s’approprier l’IA au quotidien.
Faut-il payer une « mise en conformité AI Act » ?
Pour une PME qui utilise des outils du marché pour rédiger, traduire ou résumer, rarement. Méfiez-vous des offres qui promettent un certificat : l’AI Act n’en impose pas pour la maîtrise de l’IA. Ce qui compte, c’est que vos équipes sachent ce qu’elles font, que vos règles soient écrites, et que les usages sensibles soient identifiés.
La formation IA couvre ces trois points : une formation sur vos tâches réelles, une charte d’usage et une attestation qui sert de trace. Je ne suis pas certifié Qualiopi : elle se finance sur le budget de l’entreprise.
Sur le terrain
Questions fréquentes
Mon entreprise est-elle « fournisseur » ou « déployeur » ?
Si vous utilisez un outil d'IA conçu par un autre, comme ChatGPT, Copilot ou un logiciel qui intègre de l'IA, vous êtes déployeur. Vous devenez fournisseur si vous développez et mettez sur le marché votre propre système d'IA sous votre nom.
L'omnibus numérique a-t-il supprimé l'obligation de former ses salariés ?
Non, il l'a assouplie. Depuis le 27 juillet 2026, l'article 4 demande aux entreprises de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, sans leur imposer de garantir un niveau précis pour chaque salarié. La Commission et les États membres prennent une part plus active dans la sensibilisation.
Utiliser l'IA pour trier des CV, est-ce à haut risque ?
Oui. Les systèmes d'IA utilisés pour le recrutement, la sélection des candidats ou l'évaluation des salariés figurent à l'annexe III de l'AI Act. Pour ces usages, les obligations des déployeurs s'appliqueront à partir du 2 décembre 2027, dont l'information des salariés et de leurs représentants.
Faut-il signaler qu'un texte a été écrit avec l'IA ?
Pas pour un texte commercial relu par un humain. L'article 50 vise surtout les hypertrucages (images, sons ou vidéos générés qui imitent le réel) et les textes publiés pour informer le public sur des questions d'intérêt général, sauf s'ils ont été relus ou contrôlés par une personne responsable.
Qui contrôle l'application de l'AI Act en France ?
Les autorités nationales de surveillance du marché, désignées par chaque État membre. La CNIL publie déjà ses recommandations sur l'IA générative et le RGPD, qui s'appliquent en parallèle.
Sources et références
- Règlement (UE) 2024/1689 sur l'intelligence artificielleEUR-Lex, Journal officiel de l'Union européenne
- Règlement (UE) 2026/1744, omnibus numérique sur l'IAEUR-Lex, Journal officiel de l'Union européenne
- AI Omnibus enters into forceCommission européenne
- Article 5 : pratiques d'IA interditesAI Act Service Desk, Commission européenne
- Article 26 : obligations des déployeurs de systèmes d'IA à haut risqueAI Act Service Desk, Commission européenne
- Transparency obligations under Article 50 of the AI ActCommission européenne
