AI Act : ce que les PME doivent faire maintenant

Le 2 août 2026, sans grand communiqué, la partie la plus contraignante du règlement européen sur l'intelligence artificielle est entrée en application.

Si votre PME utilise l'IA pour trier des CV, scorer des clients ou piloter un agent qui parle à vos prospects, cette date vous concerne. Et si vous pensez que « c'est pour les géants de la tech », lisez la suite : la plupart des obligations qui touchent une PME sont déjà applicables depuis février 2025.

J'ai traduit l'essentiel du texte en langage dirigeant. Quatre niveaux de risque, deux obligations qui frappent toutes les entreprises, trois situations où une PME tombe réellement dedans.

Les quatre niveaux de risque en deux minutes

L'AI Act ne régule pas « l'IA » en bloc. Il classe chaque usage selon le danger qu'il présente :

1. Risque inacceptable : interdit. La notation sociale, la manipulation subliminale, l'exploitation des vulnérabilités liées à l'âge ou au handicap. Non négociable, aucune exception pour les petites structures.
2. Haut risque : autorisé mais encadré. Le gros du texte. Recrutement, éducation, scoring de crédit, infrastructures critiques. Autorisé, mais avec des obligations lourdes.
3. Risque limité : obligation de transparence. Vous devez dire que c'est de l'IA. Chatbots et deepfakes sont ici.
4. Risque minimal : rien du tout. Filtres anti-spam, jeux vidéo, la majorité des usages bureautiques. Pas réglementé.

La question qui compte pour vous n'est pas « est-ce que j'utilise l'IA ? ». C'est : « à quel niveau de risque mes usages se situent-ils ? ».

Ce qui est carrément interdit

La liste des pratiques interdites mérite le détour, parce que certains outils commerciaux flirtent avec la limite :

• Noter des individus selon leur comportement social (le crédit social à la chinoise).
• Techniques manipulatrices ou subliminales qui faussent la décision.
• Exploiter les vulnérabilités : âge, handicap, situation socio-économique.
• Déduire les émotions au travail et dans l'éducation. Relisez cette ligne. Certains logiciels RH vendent exactement ça.
• Catégoriser les personnes biométriquement (orientation sexuelle, opinions, religion).
• Prédire la délinquance sur la seule base d'un profilage.
• Constituer des bases de visages en aspirant massivement le web.

Les sanctions montent jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour ces pratiques. Pour la plupart des autres manquements : 15 millions ou 3 %.

Une PME ne fera jamais l'objet de tels montants, soyons sérieux. Mais l'interdit reste l'interdit : si un outil que vous avez acheté déduit les émotions de vos collaborateurs, il faut le couper, point.

Le haut risque : là où une PME tombe vraiment dedans

L'annexe III du règlement liste les usages classés à haut risque. Trois concernent directement les PME :

1. Le recrutement

Tout système d'IA qui trie des candidatures, filtre des CV, évalue des candidats, décide de promotions ou surveille des performances. Si votre logiciel de recrutement score automatiquement les profils, vous êtes dans la case. Depuis le 2 août 2026.

Les obligations les plus lourdes pèsent sur les fournisseurs (documentation technique, gouvernance des données, journalisation, robustesse). Mais le déployeur, c'est vous, n'est pas exempt : supervision humaine effective, information des personnes, usage conforme aux instructions.

La règle pratique : une IA peut présélectionner, un humain doit décider. Si personne chez vous ne relit les rejets automatiques, vous êtes hors clous.

2. Le scoring financier

Évaluation de solvabilité, tarification d'assurance vie ou santé. Concerné si vous accordez du paiement à terme ou si votre secteur y touche.

3. L'accès à des services essentiels

Moins courant pour une PME classique, mais à connaître si vous opérez dans la formation professionnelle (l'éducation figure aussi en annexe III).

Les deux obligations qui frappent TOUTES les PME

La maîtrise de l'IA obligatoire depuis février 2025

C'est l'article 4, et c'est probablement votre plus gros angle mort. Tout fournisseur OU déployeur de système d'IA doit s'assurer que ses collaborateurs ont un niveau suffisant de maîtrise de l'IA pour en comprendre les limites et l'utiliser correctement.

Depuis dix-huit mois donc. Or dans la plupart des PME que je croise, tout le monde copie-colle des données clients dans des outils d'IA publics sans cadre, sans règle et sans formation.

Ce n'est pas une formation certifiante qui est exigée, c'est une maîtrise démontrable. Une équipe cadrée, formée sur vos vrais outils et vos vrais processus, coche la case. Une équipe livrée à elle-même, non.

La transparence des agents et des contenus

Applicable aussi depuis le 2 août 2026 : vos prospects ont le droit de savoir qu'ils parlent à une IA, et les contenus générés (images, voix, textes synthétiques) doivent être identifiables comme tels.

Concrètement pour une PME équipée d'un agent vocal ou d'un chatbot commercial : une mention simple suffit (« assistant virtuel »), mais elle doit exister. Idem pour vos vidéos de marque générées par IA.

---

Le tableau des échéances

Mon avis : pas de panique, mais pas d'improvisation

Soyons francs : si vous utilisez Claude pour rédiger des emails et un CRM classique, l'AI Act ne change presque rien à votre quotidien. Le risque minimal n'est pas réglementé, et c'est le cas de la majorité des usages bureautiques.

Mais trois signaux doivent vous faire agir maintenant :

1. Votre outil de recrutement trie des CV tout seul et personne ne relit les refus.
2. Vos équipes utilisent l'IA publique sans règle ni formation depuis plus d'un an.
3. Un agent parle à vos clients sans annoncer qu'il est une IA.

Aucun de ces trois points ne demande un projet de conformité de six mois. Ça demande une décision, une règle écrite et une demi-journée de mise au propre.

Et il y a un angle positif : l'article 4 oblige à former, or la vraie adoption de l'IA dans une PME bute exactement sur ce mur. La conformité et la performance passent par la même action : des équipes entraînées sur de vrais dossiers, pas sur un powerpoint générique. C'est exactement le principe des micro-formations intégrées à la Direction IA Externalisée : chaque mois, l'équipe apprend sur les processus qu'elle utilise déjà.

Comment se mettre en règle cette semaine

1. Listez tous vos usages d'IA. Outils achetés, agents déployés, habitudes des équipes. Une feuille, une colonne par usage. Sans inventaire, pas de conformité possible.
2. Vérifiez la liste des interdits contre vos outils RH. Détection d'émotion, scoring de personnalité ? Si oui, désactivez et documentez.
3. Identifiez si vous êtes en haut risque. Tri automatique de candidatures ou scoring client : demandez les instructions de déploiement conforme par écrit à votre fournisseur (il est tenu de les fournir).
4. Rétablissez l'humain dans la boucle. Toute décision automatisée affectant une personne (candidat, client) doit être relue et pouvoir être corrigée.
5. Ajoutez la mention IA là où elle manque. Chatbot, agent vocal, contenus générés : une ligne suffit.
6. Cadrez la formation (article 4). Une session sur vos vrais cas d'usage vaut mieux qu'un e-learning générique jamais fini. Et si vous voulez que quelqu'un s'en occupe de bout en bout, parlons-en : l'audit offert de 45 minutes sert aussi à cartographier vos risques.

Conclusion

L'AI Act n'est pas un monstre administratif conçu pour étouffer les PME. C'est un filet : interdire ce qui nuit, encadrer ce qui peut blesser, laisser tranquille le reste.

La plupart des PME sont déjà dans le vert sans le savoir. Certaines sont dans le rouge sans le savoir.

La différence entre les deux, c'est une demi-journée d'inventaire.