Summarize this article with:

Saviez-vous que votre PME ou ETI est soumise depuis février2025 au règlement européen sur l’intelligence artificielle, l’AI Act ?

Que vous utilisiez un chatbot de service client, un outil IA pour trier des CV ou des vidéos générées par l’IA pour votre marketing, vous risquez une amende pouvant atteindre 3 % de votre chiffre d’affaires en cas de manquement. Voici comment vous conformer !

L'AI Act, c'est quoi exactement ? Ma PME est-elle concernée ?

Le règlement européen 2024/1689, dit « AI Act », encadre le développement et l'utilisation des systèmes d'intelligence artificielle dans l'Union européenne. Ce texte de loi encadre donc l’utilisation des chatbots généralistes (ChatGPT, Claude, Gemini…) et des outils IA sectoriels (RH, finance, industrie…).

Le règlement distingue deux principaux acteurs :

Le fournisseur : l'entreprise qui conçoit ou fait développer un système IA et le commercialise. Il peut s’agir des géants de l’IA comme OpenAI, Google et Anthropic ou de startups qui développent des outils IA plus spécialisés.
Le déployeur : c’est l'entreprise qui utilise ce système d'IA dans le cadre de son activité professionnelle. Une PME qui utilise ChatGPT pour préparer ses propositions commerciales, ou qui installe un chatbot sur son site e-commerce, est donc un déployeur au sens du règlement.

Les entreprises françaises sont donc pleinement concernées, quelle que soit leur taille, de la TPE au groupe multinational. Le texte repose sur une approche graduée selon le niveau de risque.

Le règlement classe les systèmes IA dans quatre grandes catégories, avec des obligations plus ou moins strictes en fonction de la classification. Votre PME est probablement concernée par les catégories 2, 3 et4. Dans la partie suivante, nous détaillerons :

Chaque catégorie de l’AI Act ;
L’impact direct sur les PME ou ETI françaises ;
Ce qu’il faut faire pour se conformer au règlement.

#1 L’IA à risque « inacceptable » : les PME ne sont pas concernées

Ces outils IA ont tout simplement été interdits par l’AI Act. Le législateur européen a considéré que ces usages portent une atteinte trop grave aux droits fondamentaux pour être autorisés, quelles que soient les précautions prises. L'interdiction est entrée en vigueur en février 2025.

En pratique, ces usages concernent peu les PME et ETI. Voici quelques exemples :

La notation sociale : attribuer un score aux individus en fonction de leur comportement social ou de leurs caractéristiques personnelles, puis les discriminer en fonction de ce score.
La manipulation subliminale : utiliser des techniques que la personne ne peut pas percevoir consciemment pour influencer son comportement d'une manière qui lui cause un préjudice.
L'identification biométrique en temps réel dans les espaces publics : scanner les visages des passants dans la rue pour les identifier (sauf exceptions très encadrées pour les forces de l'ordre).
La police prédictive individuelle : évaluer le risque qu'une personne commette une infraction sur la seule base de son profil ou de ses caractéristiques personnelles.

#2 L'IA à risque « élevé » : 5 choses à faire avant août 2026

Ces systèmes d'IA ne sont pas interdits par le règlement européen, mais leur utilisation est très encadrée. Il s’agit des cas où l’IA est impliquée dans une décision susceptible d’avoir un impact sur autrui : l’écarter d’un processus de recrutement, lui refuser un crédit (pour une banque), lui refuser une augmentation de salaire, etc.

Dans ces situations, les hallucinations de l’IA et les biais de l’algorithme peuvent causer un préjudice réel. Les PME et les ETI sont donc directement concernées, notamment sur la partie RH. Les obligations pour ces systèmes à haut risque entreront en application en août 2026.

Si vous utilisez un outil IA qui entre dans la définition du« risque élevé », vous devrez appliquer les 5 règles suivantes :

Respecter le cadre d'utilisation prévu par l'éditeur de votre outil IA. Lorsqu'une PME achète ou s'abonne à un logiciel IA (par exemple un outil de tri de CV), l'éditeur doit fournir une documentation qui précise ce que l'outil peut faire, ce qu'il ne peut pas faire et dans quelles conditions l'utiliser. L'entreprise devra s'y conformer et prouver qu’elle a initié les démarches nécessaires (sensibilisation, formation…) ;
Garder un humain dans la boucle. L'IA peut filtrer, classer ou recommander des candidats, mais un collaborateur qualifié devra systématiquement vérifier et valider avant que la décision ne soit appliquée. Si l'outil écarte 50 candidatures, un RH doit revoir cette présélection avant d'envoyer les emails de refus ;
Prévenir les personnes concernées. Un candidat dont le CV est analysé par une IA, ou un salarié dont la performance est évaluée par un algorithme, doit en être informé avec une traçabilité écrite ;
Conserver l'historique des décisions. Les outils IA à haut risque enregistrent automatiquement leurs actions : quelles données ont été analysées, quelles recommandations ont été produites et à quelle date. L'entreprise doit conserver ces enregistrements pour pouvoir expliquer, en cas de litige ou de contrôle, pourquoi telle décision a été prise ;
Signaler les dysfonctionnements. Si l'outil produit des résultats aberrants ou manifestement discriminatoires, l'entreprise doit en informer l'éditeur.

#3 L'IA à risque « limité » : une obligation de transparence pour votre PME

Ces systèmes ne font pas l'objet d'obligations lourdes, mais le règlement impose la transparence : l'utilisateur doit savoir qu'il interagit avec une IA (et non avec un humain), ou qu'il consulte un contenu généré par une IA.

Ces obligations de transparence sont en vigueur depuis février2025. Les PME et ETI sont directement concernées :

Un chatbot IA sur le site web qui interagit avec les clients (support ou service client) doit clairement indiquer qu’il s’agit d’un assistant automatisé, et non d’un humain. Il affichera, par exemple, ce message en début de conversation : « Vous échangez avec un assistant virtuel » ;
Si les images et vidéos marketing diffusées par l’entreprise utilisent l’IA, il faut impérativement le mentionner de manière explicite (« Visuel généré par IA ») ;
Tout texte produit par IA générative (ou avec son aide) et destiné à informer le public sur des sujets d'intérêt général (actualité, politique, santé) devra désormais intégrer une mention explicite sur le rôle de l’IA.

L'objectif du législateur : éviter que les personnes soient trompées sur la nature de leur interlocuteur ou sur l'origine d'un contenu.

La retouche et la correction ne sont pas concernées

L'article 50 du règlement précise que l'obligation de marquage « ne s'applique pas dans la mesure où les systèmes d'IA remplissent une fonction d'assistance pour l'édition standard ou ne modifient pas substantiellement les données d'entrée fournies par le déployeur ou leur sémantique ». En clair, si un collaborateur rédige un texte et utilise l'IA pour corriger l'orthographe, reformuler une phrase ou améliorer le style, aucune mention n'est requise. L'obligation s'applique lorsque l'IA génère le contenu de manière substantielle (texte entièrement produit à partir d'un simple prompt, image créée from scratch, etc.).

#4 L'IA à risque « minimal » : aucune obligation au titre de l'AI Act

La grande majorité des outils IA utilisés par les PME et ETI entrent dans cette catégorie. Le règlement ne prévoit aucune obligation à ce niveau. Quelques exemples :

Les filtres anti-spam de votre messagerie professionnelle ;
Les correcteurs orthographiques et grammaticaux intégrés à vos logiciels de traitement de texte ;
Les systèmes de recommandation de produits sur un site e-commerce (« Les clients ayant acheté X ont aussi acheté Y ») ;
Les outils d'optimisation d'itinéraires pour les livraisons, etc.

Pour ces usages, le législateur européen a estimé que le risque d'atteinte aux droits fondamentaux était trop faible pour justifier un encadrement contraignant.

Le conseil Moon

« Risque minimal » au sens de l'AI Act ne signifie pas qu’il ne faut prendre aucune précaution. Si vous utilisez un outil IA pour traduire un contrat client ou un document financier, l'AI Act n'impose rien, mais le RGPD s'applique toujours. Il faudra donc prévoir une charte interne sur les usages de l'IA, car l’AI Act n’est pas le seul cadre légal qui s’applique.

Quelles sanctions en cas de non-conformité à l'AI Act ?

L'AI Act prévoit des amendes administratives comparables à celles du RGPD, selon la gravité du manquement :

Utilisation d'un système IA interdit (risque inacceptable) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial ;
Non-respect des obligations liées aux systèmes à haut risque (documentation, supervision humaine, traçabilité, information des personnes) : jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial ;
Fourniture d'informations inexactes ou trompeuses aux autorités sur l’usage de l’IA : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires annuel mondial.

À savoir sur les sanctions

Pour les grandes entreprises, c'est le montant le plus élevé entre le pourcentage du CA et la somme fixe qui s'applique. Pour les PME et les startups, c'est l'inverse : le règlement retient le montant le plus bas . Par exemple, une PME avec un chiffre d'affaires annuel de 2 millions d'euros qui ne respecte pas ses obligations de transparence s'expose donc à une amende maximale de 60 000 € (3 % du CA). Les sanctions sont applicables depuis février 2025. En France, c’est la DGCCRF qui coordonne la surveillance du marché, en lien avec la CNIL et l'Arcom selon les domaines concernés.

Moon vous accompagne dans votre mise en conformité à l'AI Act

La transformation IA des PME est avant tout un enjeu business : cette technologie peut vous aider à réduire vos coûts opérationnels, augmenter vos revenus et stimuler l’innovation. Mais ce chantier est désormais encadré par une réglementation européenne stricte.

Pour vous accompagner, Moon vous propose :

Des formations IA : une journée pour acculturer vos équipes à l’IA, vous donner les bonnes pratiques pour appliquer l’IA à votre métier et maîtriser les obligations de l’AI Act pour vous conformer. Nos formations sont certifiées Qualiopi et éligibles à une prise en charge OPCO ;
L'audit IA : nos consultants analysent vos processus métier et identifient les cas d’usage prioritaires pour un retour sur investissement rapide et chiffré. Prestation finançable jusqu'à 42 % par Bpifrance ;
Le développement d'outils IA sur mesure : si vos cas d'usage impliquent des données sensibles ou des processus à fort enjeu de confidentialité, nous développons des solutions IA sur mesure, hébergées selon vos contraintes, avec une documentation technique conforme aux exigences du règlement. Prestation finançable par Bpifrance et les aides régionales.

L’IA simple, utile, rentable et conforme.

Au service de votre croissance.

Prendre rendez-vous