AI Act : quelles obligations pour une PME ou une ETI ?

Le règlement européen sur l'intelligence artificielle expliqué aux dirigeants : catégories de risque, calendrier, obligations pratiques et premières décisions à inscrire à l'ordre du jour du comité exécutif.

Par Mounir Fassouane, fondateur d'Acadewie — Paris · Cannes · Nice. Cet article informe ; il ne constitue pas un conseil juridique.

L'AI Act oblige toute PME ou ETI qui utilise l'IA à classer ses usages par niveau de risque, à interdire certaines pratiques, à documenter et superviser les usages à haut risque, et à informer les utilisateurs des systèmes à risque limité. Le règlement s'applique par étapes, et les entreprises utilisatrices — pas seulement les éditeurs — sont concernées. La première obligation opérationnelle, déjà en vigueur, est de garantir un niveau suffisant de maîtrise de l'IA chez les collaborateurs qui la manipulent.

Précision indispensable : cette page vulgarise le règlement pour éclairer vos décisions. Elle ne remplace pas l'analyse de votre conseil juridique, qui reste seul compétent pour qualifier vos systèmes et vos obligations exactes.

Quatre catégories de risque : le cœur du règlement

L'AI Act ne réglemente pas « l'IA » en bloc. Il classe les systèmes selon le risque qu'ils font peser sur les personnes :

• Risque inacceptable : pratiques interdites (notation sociale, manipulation exploitant la vulnérabilité, certaines identifications biométriques). Aucune entreprise ne doit les déployer.
• Haut risque : systèmes utilisés dans le recrutement, l'accès au crédit, l'éducation, les infrastructures critiques… Obligations lourdes : gestion des risques, qualité des données, documentation, supervision humaine, traçabilité.
• Risque limité : obligations de transparence — l'utilisateur doit savoir qu'il interagit avec une IA ou qu'un contenu est généré artificiellement.
• Risque minimal : la grande majorité des usages (tri de courriels, aide à la rédaction interne), sans obligation spécifique au-delà des bonnes pratiques.

Décision COMEX : mandater un responsable pour cartographier tous les usages d'IA de l'entreprise — y compris les usages non déclarés par les équipes — et les classer dans ces quatre catégories. Sans cette cartographie, aucune conformité n'est pilotable.

Un calendrier par étapes, déjà engagé

Le règlement est entré en vigueur en 2024 et s'applique progressivement : d'abord les interdictions et l'exigence de maîtrise de l'IA par les collaborateurs, puis les règles sur les modèles à usage général, enfin l'essentiel des obligations des systèmes à haut risque. Attendre la dernière échéance est une erreur d'allocation de capital : les chantiers les plus longs — données, documentation, formation — sont précisément ceux qu'on ne rattrape pas en quelques mois.

Décision COMEX : inscrire les échéances de l'AI Act au calendrier des risques de l'entreprise, au même titre que le RGPD, avec un point d'avancement trimestriel.

Vos obligations pratiques en tant qu'entreprise utilisatrice

Une PME qui se contente d'utiliser des outils d'IA du marché n'échappe pas au texte. En qualité de « déployeur », elle doit notamment :

1. Former ses équipes : garantir un niveau adéquat de maîtrise de l'IA chez les collaborateurs concernés. C'est aussi l'angle mort économique le plus documenté.
2. Utiliser les systèmes à haut risque conformément aux notices des fournisseurs, avec supervision humaine effective et remontée des incidents.
3. Assurer la transparence : signaler les contenus générés par IA et les interactions avec des agents conversationnels lorsque le texte l'exige.
4. Contractualiser avec les fournisseurs : exiger la documentation de conformité de vos éditeurs, comme vous le faites pour la sous-traitance RGPD.

Décision COMEX : arbitrer un budget de formation IA — notre parcours GenAI for Leaders en détaille les fondements — et exiger un avenant de conformité AI Act dans tout nouveau contrat fournisseur.

La conformité comme argument économique, pas comme coût

Le réflexe naturel d'un dirigeant est de lire l'AI Act comme une ligne de coût supplémentaire au P&L. C'est une lecture courte. Selon BCG, seules 6 % des entreprises tirent plus de 5 % d'EBIT de l'IA — et ce qui distingue ces entreprises n'est pas la technologie, mais la discipline d'exécution. La règle 10-20-70 le résume : 10 % du succès tient aux algorithmes, 20 % à la technologie et aux données, 70 % à l'humain et aux processus. Or cartographie des usages, gouvernance des données, supervision humaine et formation — les obligations de l'AI Act — sont exactement les 70 % qui font la différence.

Se mettre en conformité avec l'AI Act, c'est construire l'infrastructure de gouvernance qui sépare les 6 % qui gagnent des 94 % qui expérimentent.

McKinsey estime entre 2 600 et 4 400 Md$ la valeur annuelle potentielle de l'IA générative, et mesure un taux d'adoption de l'IA en entreprise de 71 %. La question n'est donc plus « faut-il y aller ? » mais « avec quelle gouvernance ? ». Nos analyses sur ce point sont développées sur le blog Acadewie.

Décision COMEX : traiter le budget de conformité comme un investissement de gouvernance rattaché aux cas d'usage créateurs de valeur, et non comme une dépense réglementaire isolée.

Vos trois premières actions

1. Cartographier : inventaire exhaustif des usages d'IA, classement par catégorie de risque, identification des pratiques à arrêter immédiatement.
2. Former : programme de maîtrise de l'IA priorisé sur les équipes exposées (RH, crédit, relation client), avec un objectif chiffré validé en comité exécutif.
3. Gouverner : désigner un responsable IA, formaliser un registre des systèmes et un processus de revue avant tout nouveau déploiement — en s'appuyant sur des partenaires : 67 % des projets réussissent avec des partenariats technologiques stratégiques, contre 22 % en développement purement interne.

Dernier chiffre pour cadrer l'arbitrage : 78 % des dépenses IA vont aujourd'hui à l'infrastructure, pas à la valeur métier. La conformité bien menée force précisément l'inverse — partir des usages, donc de la valeur.

Questions fréquentes

L'AI Act s'applique-t-il à une PME qui utilise simplement ChatGPT ou un outil équivalent ?

Oui. Toute entreprise utilisatrice d'IA est concernée en qualité de déployeur : au minimum, elle doit garantir la maîtrise de l'IA par ses collaborateurs et respecter les obligations de transparence applicables à ses usages.

Quelles sont les sanctions prévues par l'AI Act ?

Le règlement prévoit des sanctions financières graduées selon la gravité du manquement, les plus lourdes visant les pratiques interdites. Leur montant exact dépend de la qualification juridique de chaque cas : consultez votre conseil pour évaluer votre exposition.

Une PME bénéficie-t-elle d'aménagements spécifiques ?

Le texte prévoit des mesures de soutien aux PME, notamment un accès facilité aux bacs à sable réglementaires et une documentation simplifiée. Ces aménagements allègent la charge, mais ne suppriment aucune obligation de fond.

Par où commencer concrètement ?

Par la cartographie des usages d'IA de l'entreprise et leur classement par catégorie de risque. C'est le prérequis de toutes les autres obligations, et la première décision à faire valider en comité exécutif.