AI Act : quelles obligations pour une PME ?

Le Règlement européen sur l'intelligence artificielle, l'AI Act, est souvent présenté comme une affaire de grands groupes. Pourtant, une PME qui utilise un chatbot, un outil de scoring ou une brique d'IA dans son logiciel métier entre elle aussi dans son périmètre. La vraie question n'est pas de savoir si vous êtes concerné, mais avec quelles obligations, selon la façon dont vous utilisez l'IA.

Cet article clarifie ce que l'AI Act impose réellement à une PME, distingue l'usage du déploiement, et propose une préparation proportionnée. L'objectif : anticiper sans surcoût, en traitant l'essentiel plutôt qu'en visant une conformité maximale inutile.

Définition — L'AI Act est le règlement européen qui encadre les systèmes d'intelligence artificielle selon leur niveau de risque. Il s'applique aussi bien aux fournisseurs qui conçoivent des systèmes d'IA qu'aux organisations qui les déploient, quelle que soit leur taille.

Points clés

• L'AI Act s'applique aux PME dès qu'elles utilisent ou déploient un système d'IA, pas seulement aux grands groupes.
• Vos obligations dépendent du niveau de risque du système et de votre rôle : simple utilisateur ou fournisseur.
• Pour la plupart des PME, les usages relèvent du risque limité, avec surtout des obligations de transparence.
• Le règlement prévoit des mesures de soutien pour alléger la charge des petites structures.
• Dès que l'IA traite des données personnelles, le RGPD s'ajoute à l'AI Act.

Utiliser ou déployer de l'IA : deux rôles, deux niveaux d'obligation

L'AI Act distingue les rôles. Le fournisseur conçoit ou met sur le marché un système d'IA ; il porte les obligations les plus lourdes. Le déployeur utilise un système d'IA dans le cadre de son activité ; ses obligations sont plus légères, mais réelles. La plupart des PME sont des déployeuses : elles achètent des outils intégrant de l'IA plutôt qu'elles n'en développent.

Ce rôle change tout. En tant que déployeur, vous devez surtout utiliser le système conformément à sa notice, assurer une supervision humaine quand elle est requise et informer les personnes concernées le cas échéant. Si votre PME développe ou personnalise fortement une IA, vous pouvez basculer vers le rôle de fournisseur, avec des obligations accrues. Notre article sur le cadre légal de l'IA en entreprise détaille cette distinction.

Bon à savoir — Modifier substantiellement un système d'IA existant, ou le commercialiser sous votre marque, peut vous faire passer du statut de déployeur à celui de fournisseur. Cette bascule multiplie vos obligations. Avant de personnaliser lourdement un outil, vérifiez de quel côté de la ligne vous vous situez.

Le niveau de risque détermine vos obligations

L'AI Act classe les usages par risque. Quelques pratiques sont interdites. Les systèmes à haut risque (ceux qui influencent l'accès à un emploi, à un crédit, à un service essentiel) sont fortement encadrés. La grande majorité des usages d'une PME relève du risque limité ou minimal, avec des obligations principalement de transparence.

Concrètement, un chatbot doit signaler qu'il est une IA, un contenu généré artificiellement doit pouvoir être identifié comme tel. Ces obligations de transparence sont légères mais réelles. Le point de vigilance : un outil apparemment anodin peut basculer en haut risque selon son usage, notamment côté RH. Notre article sur les obligations de l'AI Act précise ces catégories.

Une charge allégée pour les petites structures

Le règlement tient compte de la réalité des PME. Il prévoit des mesures de soutien : accès facilité aux bacs à sable réglementaires pour tester des systèmes, documentation simplifiée dans certains cas, accompagnement des autorités. L'esprit du texte n'est pas d'écraser les petites structures sous la paperasse, mais de sécuriser les usages à risque.

Pour une PME, la préparation raisonnable consiste donc à inventorier ses usages d'IA, à repérer les éventuels systèmes à haut risque et à traiter en priorité la transparence. Notre article conformité IA : par où commencer propose une méthode en cinq étapes adaptée à cette logique.

Conseil — Ne visez pas la sur-conformité. Traiter d'abord vos éventuels usages à haut risque et vos obligations de transparence couvre l'essentiel pour une PME. Pour situer vos usages sur l'échelle de risque, décrivez-nous votre situation : un premier échange suffit à dégager les priorités.

Ne pas oublier le RGPD

Dès qu'un système d'IA traite des données personnelles, le RGPD s'applique en plus de l'AI Act. Un outil de scoring client, un tri de candidatures ou un chatbot qui collecte des informations relèvent des deux cadres. Les traiter séparément conduit aux doublons et aux oublis.

L'articulation des deux règlements est souvent le vrai sujet pour une PME. Une décision entièrement automatisée sur une personne, par exemple, croise les exigences de l'AI Act et celles du RGPD sur les décisions automatisées. Notre offre de conformité à l'AI Act s'articule pour cette raison avec la mise en conformité RGPD.

FAQ

L'AI Act s'applique-t-il aux PME ?

Oui. Le règlement ne prévoit pas d'exemption générale liée à la taille. Une PME qui utilise ou déploie un système d'IA entre dans son périmètre. Ses obligations dépendent du niveau de risque du système et de son rôle, mais l'application, elle, ne dépend pas de la taille.

Quelle différence entre fournisseur et déployeur d'IA ?

Le fournisseur conçoit ou met sur le marché un système d'IA et porte les obligations les plus lourdes. Le déployeur l'utilise dans son activité, avec des obligations plus légères. La plupart des PME sont déployeuses, sauf si elles développent ou personnalisent fortement un système.

Quelles obligations pour une PME qui utilise un chatbot ?

Principalement des obligations de transparence : signaler que l'utilisateur interagit avec une IA. Si le chatbot traite des données personnelles, le RGPD s'ajoute. Ces usages relèvent en général du risque limité, donc d'obligations légères mais à respecter.

L'AI Act prévoit-il des allègements pour les PME ?

Oui. Le règlement prévoit des mesures de soutien : bacs à sable réglementaires pour tester des systèmes, documentation simplifiée dans certains cas, accompagnement des autorités. L'objectif est de ne pas écraser les petites structures tout en encadrant les usages à risque.

Une PME peut-elle être en haut risque au sens de l'AI Act ?

Oui, selon l'usage et non la taille. Un outil qui influence l'accès à un emploi, à un crédit ou à un service essentiel peut être classé à haut risque, même dans une petite structure. C'est l'usage qui déclenche le classement, pas le chiffre d'affaires.

Faut-il traiter l'AI Act et le RGPD ensemble ?

Oui, dès que l'IA traite des données personnelles. Les deux cadres se combinent alors : l'AI Act encadre le système, le RGPD le traitement des données. Les aborder ensemble évite les doublons et les angles morts, surtout pour les décisions automatisées.

Conclusion

L'AI Act concerne bien les PME, mais avec des obligations proportionnées à leur rôle et au risque de leurs usages. Pour la plupart, être déployeur de systèmes à risque limité signifie surtout respecter des obligations de transparence et rester attentif aux éventuels usages à haut risque. La bonne préparation tient en un inventaire, un classement des risques et une articulation avec le RGPD.

Pour situer vos usages et anticiper sans surcoût, décrivez-nous votre situation : nous vous disons ce qui s'applique vraiment à votre structure. Pour aller plus loin, parcourez le blog ou découvrez notre offre de conformité à l'AI Act.

Pour approfondir, consultez les ressources officielles de la CNIL sur l'intelligence artificielle et le texte de l'AI Act sur EUR-Lex.

L'équipe mydari

Tous les articles