AI Act et entreprise : ce qu'une PME qui utilise ChatGPT doit vraiment faire (2025-2028)

L'AI Act est le règlement (UE) 2024/1689 sur l'intelligence artificielle, publié au Journal officiel de l'Union européenne et consultable sur EUR-Lex. Comme tout règlement européen, il s'applique directement en France, sans loi de transposition.

Sa logique tient en une idée : plus un usage de l'IA peut nuire aux personnes, plus les règles sont strictes. La Commission européenne décrit quatre niveaux : le risque inacceptable (pratiques interdites), le haut risque, le risque lié à la transparence, et le risque minimal ou nul. Pour ce dernier niveau, la Commission écrit que le règlement n'introduit aucune règle, et que la grande majorité des systèmes d'IA utilisés dans l'Union y entrent, comme les filtres anti-spam.

Le texte distingue aussi les rôles. Le fournisseur développe un système d'IA et le met sur le marché : OpenAI, Microsoft, Anthropic, ou une PME qui vend son propre logiciel d'IA. Le déployeur est, selon l'article 3 du règlement, la personne ou l'organisation qui utilise un système d'IA sous sa propre autorité. Une PME qui équipe ses salariés de ChatGPT Business ou de Copilot est donc déployeur. C'est ce rôle, et lui seul, que cet article détaille.

Le calendrier initial a été modifié par le règlement dit « omnibus IA », entré en vigueur le 27 juillet 2026. Il a surtout repoussé les règles des systèmes à haut risque. Les dates ci-dessous viennent de la page de la Commission européenne et de la foire aux questions de la CNIL, mise à jour le 17 août 2026 pour intégrer l'omnibus.

Retenez trois choses. Les interdictions et l'article 4 s'appliquent déjà. Les règles de transparence s'appliquent depuis août 2026. Le haut risque n'arrive qu'en décembre 2027 pour les usages sensibles listés à l'annexe III (emploi, éducation, crédit…), et en août 2028 pour l'IA intégrée dans des produits réglementés.

L'article 4 vise à la fois les fournisseurs et les déployeurs. Dans sa version de 2024, il demandait de prendre des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l'IA pour le personnel. L'omnibus a assoupli cette rédaction. Selon la foire aux questions de la Commission sur la maîtrise de l'IA, la maîtrise de l'IA reste une obligation pour les fournisseurs et les déployeurs, mais aucun niveau « suffisant » n'est plus imposé : il s'agit de prendre des mesures pour la soutenir.

Ce que la Commission précise dans la même foire aux questions est rassurant pour une PME. Aucun certificat n'est nécessaire. Aucun programme précis n'est imposé. Le texte n'exige pas de mesurer le niveau des salariés. Une trace interne des mesures prises suffit. Les mesures doivent tenir compte du rôle des personnes, de leurs connaissances, du contexte d'usage et des risques. La Commission ajoute qu'il est souvent insuffisant de se contenter des notices d'utilisation des outils.

Côté contrôle, la Commission indique que les règles de surveillance et de sanction s'appliquent depuis le 2 août 2026, et que ce sont les autorités nationales de surveillance du marché qui les feront respecter, pas le Bureau européen de l'IA.

Concrètement, une PME peut documenter ses mesures de plusieurs façons : une note d'usage remise à chaque salarié, une séance de prise en main sur les vrais dossiers, un référent par équipe, une liste des outils autorisés. Aucune de ces formes n'est imposée par le règlement. Choisissez celle qui colle à vos usages réels, et gardez la trace. Notre article sur la façon de monter en compétence sur l'IA en entreprise détaille une méthode sur six semaines.

Les pratiques interdites sont listées à l'article 5 du règlement. Elles s'appliquent à tout le monde, déployeurs compris, depuis le 2 février 2025. La plupart ne concernent pas une PME de services ou d'industrie. Deux méritent pourtant l'attention d'un employeur : la reconnaissance des émotions sur le lieu de travail, et certaines catégorisations biométriques. Un outil qui prétend analyser l'humeur des salariés à partir de leur voix en réunion, ou de leur visage devant une caméra, entre dans le champ de l'interdiction, sauf raisons médicales ou de sécurité.

Voici la liste résumée de l'article 5, paragraphe 1, telle qu'elle figure dans le texte publié sur EUR-Lex. L'omnibus y a ajouté une neuvième interdiction, visant les contenus pédocriminels et les hypertrucages sexuels non consentis, applicable en décembre 2026 selon la Commission.

Le troisième bloc concerne la transparence. La Commission résume l'objectif ainsi : les personnes doivent savoir qu'elles échangent avec une machine quand elles parlent à un chatbot, et certains contenus générés par IA doivent être clairement signalés. Elle cite deux cas : les hypertrucages (images, sons ou vidéos réalistes qui font croire à une personne ou à un événement réel) et les textes publiés pour informer le public sur des questions d'intérêt général.

Pour une PME utilisatrice, cela donne des réflexes simples. Une image réaliste d'une personne fabriquée par IA, publiée dans une communication, doit être signalée comme telle. Un texte généré par IA et publié pour informer le public sur un sujet d'intérêt général relève aussi de cette règle ; l'article 50 du règlement précise les cas et les exceptions, à lire avant toute publication sensible. Un e-mail commercial, une relance de devis ou une note interne rédigés avec l'aide de l'IA ne relèvent pas de ces cas.

Si votre entreprise construit elle-même un assistant qui dialogue avec des clients, elle devient en partie fournisseur de ce système : c'est alors à elle d'informer les utilisateurs qu'ils parlent à une IA. Ce point se règle à la conception, avec le prestataire.

Une PME devient déployeur d'un système à haut risque dès qu'elle utilise l'IA dans un domaine listé à l'annexe III. Le cas le plus courant en entreprise est l'emploi : la Commission cite les outils d'IA de gestion des travailleurs et d'accès à l'emploi, avec l'exemple du logiciel de tri de CV pour le recrutement. Le crédit et l'éducation figurent aussi dans la liste.

Pour ces usages, l'article 26 du règlement fixe les obligations du déployeur, applicables à partir du 2 décembre 2027 pour l'annexe III. Les principales sont résumées ci-dessous. Elles restent de votre côté même si le logiciel est acheté à un éditeur : le fournisseur porte ses propres obligations (marquage, documentation, gestion des risques), vous portez celles de l'usage.

Si vous n'utilisez l'IA ni pour recruter, ni pour évaluer des salariés, ni pour accorder un crédit, ni dans un produit réglementé, ce bloc ne vous concerne pas aujourd'hui. Notez-le dans votre inventaire des outils, et revenez-y avant tout achat d'un logiciel RH « augmenté ».

L'AI Act ne remplace pas le RGPD. La CNIL l'écrit sans détour dans sa foire aux questions : le règlement sur l'IA ne remplace pas les exigences du RGPD, qui s'applique à tous les traitements de données personnelles. La CNIL reste compétente pour le faire respecter, y compris quand les données passent par un outil d'IA.

Pour une PME utilisatrice, c'est souvent le point le plus concret. Un salarié qui colle la liste des clients dans un assistant grand public, ou le dossier médical d'un collaborateur pour « reformuler un courrier », crée un problème de RGPD bien avant de créer un problème d'AI Act. D'où l'intérêt de choisir des offres professionnelles dont les conditions excluent l'usage de vos données pour entraîner les modèles. Notre comparaison entre ChatGPT Entreprise, Copilot et un assistant sur mesure reprend ce que chaque éditeur s'engage à faire de vos données, d'après sa documentation officielle.

Le tableau suivant croise des usages réels de PME avec les règles résumées plus haut. Il ne remplace pas une analyse juridique de votre situation, mais il permet de repérer en quelques minutes les cas qui méritent d'aller plus loin.

La plupart des PME n'ont pas besoin d'un audit juridique de plusieurs milliers d'euros pour l'AI Act. Elles ont besoin de savoir ce qui se passe déjà chez elles. La démarche ci-dessous tient en une demi-journée pour une entreprise de 20 à 100 personnes. Aucune de ses étapes n'est imposée sous cette forme par le règlement : c'est une façon pratique de répondre à l'article 4 et de vérifier que vous n'êtes concerné ni par une interdiction, ni par le haut risque.

Pour aller plus vite, nous mettons à disposition un modèle de charte d'usage de l'IA, que vous pouvez adapter. Si vous préférez être accompagné, la rédaction de la charte et l'inventaire font partie de notre diagnostic IA, ou peuvent être commandés seuls, à partir de 1 500 € HT. Nous ne sommes pas juristes : pour un engagement juridique (contrat, contentieux, système à haut risque), nous orientons vers un avocat.

Clickzou, la maison mère d'Agent Métier IA, est son propre premier client. Nous utilisons au quotidien des agents IA internes : un agent qui suit les demandes de devis dans Axonaut, un agent comptable qui transmet factures et justificatifs à Pennylane et relance les paiements en retard. Nous nous sommes appliqué la démarche décrite plus haut.

Inventaire d'abord : un seul modèle d'IA en production, Claude d'Anthropic, utilisé par son interface professionnelle. Anthropic indique dans sa documentation sur l'entraînement des modèles que, par défaut, les entrées et sorties de ses produits commerciaux ne servent pas à entraîner ses modèles. Classement ensuite : tous nos usages sont de risque minimal. Aucun ne touche au recrutement ni à l'évaluation de personnes.

Contrôle humain enfin, même là où le règlement ne l'impose pas. Entre le 19 octobre et le 9 novembre 2026, notre agent comptable a soumis 20 cas à la décision de JC Castanet (fournisseur nouveau, société inconnue) au lieu de trancher seul ; 17 avaient été tranchés au 9 novembre. Et le rapprochement entre la banque et les factures reste validé par une personne. C'est un choix : tant qu'un agent ne fait pas mieux qu'un humain sur une tâche, l'humain garde la main.

L'AI Act fait beaucoup parler, et une partie du marché vend des audits de conformité coûteux à des entreprises qui n'en ont pas besoin. Pour une PME qui utilise l'IA générative dans son travail courant, le règlement demande surtout trois choses : des mesures pour que le personnel maîtrise l'outil, aucune pratique interdite, et la transparence sur certains contenus publiés.

Le vrai risque, aujourd'hui, est ailleurs : des salariés qui utilisent l'IA sans règles, avec des données qui ne devraient pas sortir de l'entreprise. Une charte courte, un inventaire tenu à jour et une prise en main sur les vrais dossiers règlent l'essentiel, et préparent sereinement les échéances de 2027 et 2028 si vous adoptez un jour un usage à haut risque.

Un dernier conseil : le calendrier a déjà bougé une fois en 2026. Vérifiez les dates sur la page de la Commission européenne ou sur cnil.fr avant toute décision importante, plutôt que sur un article de blog, celui-ci compris. Nous mettons cet article à jour à chaque évolution officielle.