Le règlement européen sur l’intelligence artificielle — l’« AI Act » — est entré en application progressive depuis 2025. Il fixe pour la première fois un cadre juridique commun à toute l’Union européenne pour le développement et l’usage de l’IA. Aucune entreprise n’y échappe : ni les grands groupes, ni les TPE, ni les PME, ni les autorités locales qui utilisent des outils d’IA au quotidien.
Un calendrier en plusieurs étapes
L’entrée en vigueur du règlement s’est faite par vagues successives.
- 2 février 2025 — interdiction des pratiques d’IA jugées inacceptables (notation sociale, manipulation comportementale, etc.) et premières dispositions générales.
- 2 août 2025 — obligations applicables aux fournisseurs de modèles d’IA à usage général (GPAI).
- 2 août 2026 — entrée en application des obligations de transparence prévues à l’article 50, seule échéance maintenue à cette date pour l’ensemble des acteurs.
Un « paquet omnibus numérique », sur lequel le Conseil et le Parlement européen se sont accordés le 7 mai 2026, a par ailleurs reporté les obligations les plus lourdes liées aux systèmes à haut risque : au 2 décembre 2027 pour les usages listés en annexe III, et au 2 août 2028 pour ceux de l’annexe I. Les entreprises disposent donc d’un délai supplémentaire sur ce volet, mais pas sur les obligations de transparence.
Quatre niveaux de risque, quatre régimes d’obligations
L’AI Act classe les systèmes d’IA selon quatre niveaux de risque, chacun avec ses propres obligations.
- Risque inacceptable : systèmes interdits purement et simplement — notation sociale, manipulation comportementale, certains usages de reconnaissance biométrique.
- Haut risque : obligations strictes de documentation, de supervision humaine et de gestion des risques pour les usages en recrutement, en octroi de crédit, en santé ou dans l’accès à des services essentiels.
- Risque limité : obligation de transparence — informer clairement l’utilisateur qu’il interagit avec une IA (chatbots, contenus générés, etc.).
- Risque minimal : aucune obligation spécifique, ce qui couvre la majorité des usages courants (filtres anti-spam, outils de recommandation simples).
Ce que cela change concrètement pour une TPE ou une PME
Point important : l’AI Act ne prévoit aucun seuil d’effectif ou de chiffre d’affaires en dessous duquel une entreprise serait exemptée. Ce n’est pas la taille de la structure qui déclenche les obligations, mais le rôle qu’elle joue — fournisseur ou déployeur d’un système d’IA, au sens de l’article 3 du règlement. Une petite entreprise qui utilise un chatbot sur son site, un outil de tri de CV ou un générateur de contenu est donc concernée au même titre qu’un grand groupe, dès lors que l’usage entre dans le champ du règlement.
Concrètement, pour la plupart des TPE et PME, l’enjeu immédiat porte sur l’obligation de transparence : informer les utilisateurs lorsqu’ils interagissent avec une IA, et former les collaborateurs qui utilisent ces outils. Le règlement prévoit en effet une obligation de formation des personnels à la compréhension et à l’usage responsable de l’IA, en vigueur avant l’échéance d’août 2026.
Des sanctions à plusieurs niveaux
Le régime de sanctions est structuré en paliers :
- jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (le montant le plus élevé étant retenu) pour le non-respect des pratiques interdites ;
- jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour les manquements aux obligations liées aux systèmes à haut risque, aux GPAI ou à la transparence ;
- jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial en cas d’informations inexactes fournies aux autorités compétentes.
Pour les PME et les jeunes entreprises, le règlement prévoit un tempérament : le plafond applicable est le plus bas entre le montant absolu et le pourcentage du chiffre d’affaires. Une micro-entreprise réalisant 500 000 euros de chiffre d’affaires ne s’expose donc pas, en pratique, à une amende de 35 millions d’euros.
Et pour les autorités locales ?
Les pouvoirs publics locaux qui déploient des outils d’IA — pour le traitement de dossiers administratifs, la détection de fraude, ou l’aide à la décision — endossent eux aussi un rôle de déployeur au sens du règlement. Les mêmes obligations de transparence et, selon les cas, de gestion des risques s’appliquent. Le règlement prévoit toutefois des mécanismes d’accompagnement : chaque État membre doit mettre en place au moins un bac à sable réglementaire (regulatory sandbox) avant le 2 août 2026, ainsi qu’un soutien des autorités nationales compétentes et des documents-types pour faciliter la mise en conformité.
Se préparer sans attendre
Entre le report des obligations les plus lourdes et le maintien de l’échéance de transparence au 2 août 2026, la période actuelle est propice à une mise en conformité progressive : cartographier les outils d’IA utilisés, identifier son rôle (fournisseur ou déployeur), informer les utilisateurs concernés et former les équipes. Une démarche d’autant plus utile qu’elle prépare aussi aux échéances à venir sur les systèmes à haut risque, en 2027 et 2028.
Contenu généré avec l’aide d’une IA