AI Act : qui est concerné ? Le guide clair pour les PME européennes

La question revient dans presque tous nos échanges avec des dirigeants : « nous n'avons pas développé d'intelligence artificielle, sommes-nous vraiment concernés par l'AI Act ? ». La réponse courte : oui, très probablement. Le règlement (UE) 2024/1689 ne s'adresse pas qu'aux éditeurs de modèles. Il encadre toute la chaîne, du développeur au simple utilisateur professionnel.

La bonne nouvelle, c'est que le niveau d'exigence dépend de votre rôle et de vos usages. Une PME qui utilise ChatGPT pour rédiger des offres commerciales n'a pas les obligations d'une banque qui déploie un scoring crédit. Encore faut-il savoir où vous vous situez.

Le rôle qui concerne 90% des PME : déployeur

Vous êtes déployeur dès que votre organisation utilise un système d'IA sous sa propre autorité dans un cadre professionnel (art. 3). Utiliser Copilot, un ATS avec tri de CV, un chatbot client ou un outil de scoring fourni par un éditeur : dans tous ces cas, vous êtes déployeur.

Vos obligations principales : former votre personnel à la maîtrise de l'IA (art. 4, applicable depuis février 2025), utiliser les systèmes conformément aux notices des fournisseurs, informer les personnes exposées, et organiser un contrôle humain pour les systèmes sensibles (art. 26).

Le rôle qui change tout : fournisseur

Vous êtes fournisseur si vous développez un système d'IA, ou le faites développer, et le mettez sur le marché ou en service sous votre nom (art. 3). C'est le rôle des éditeurs de logiciels, mais pas seulement : une entreprise qui met en service un outil IA développé en interne pour ses équipes est aussi fournisseur.

Attention au piège du rebranding : commercialiser sous votre marque un système existant, ou le modifier substantiellement, peut vous requalifier de déployeur en fournisseur, avec les obligations complètes qui vont avec (art. 25). C'est le point de vigilance numéro un pour les agences et intégrateurs.

Ce qui détermine l'intensité de vos obligations : l'usage, pas l'outil

L'AI Act classe les usages en quatre niveaux : pratiques interdites (art. 5), haut risque (annexe III : recrutement, crédit, éducation, biométrie...), transparence renforcée (art. 50 : chatbots, contenus générés), et risque minimal pour tout le reste.

Le même outil peut relever de plusieurs niveaux selon l'usage. Un LLM utilisé pour résumer des documents internes est à risque minimal. Le même LLM branché sur le tri de candidatures bascule dans le haut risque (annexe III, point 4).

Par où commencer

Ce travail prend quelques heures pour une PME, pas quelques mois. Notre diagnostic gratuit vous situe en deux minutes, et l'analyse détaillée d'un projet vous sort une cartographie complète avec plan d'action daté.

• Listez vos usages réels de l'IA, y compris les outils utilisés sans validation officielle (le shadow AI).
• Qualifiez votre rôle pour chaque usage : déployeur, fournisseur, ou les deux.
• Classez chaque usage par niveau de risque, en citant la base réglementaire.
• Traitez d'abord ce qui est déjà applicable : littératie (art. 4) et pratiques interdites (art. 5).