Par Thaddée Leblond · Publié le · À jour: juillet 2026
Pour la plupart des PME, l'IA relève du risque limité : un assistant bureautique ou un chatbot n'impose qu'une obligation de transparence, pas le régime lourd des systèmes à haut risque. Mais une obligation est déjà active depuis février 2025 : former ses équipes à un usage maîtrisé de l'IA. Et le bon outil pour s'organiser n'est pas technique — c'est une charte IA interne : quelques règles claires sur les usages, les données et la validation humaine.
Ce que l'AI Act impose vraiment à une PME
L'AI Act (règlement UE 2024/1689) s'applique progressivement. Les pratiques interdites le sont depuis février 2025 ; les obligations sur les grands modèles (GPAI) depuis août 2025 ; et l'essentiel des obligations — systèmes à haut risque, transparence — entre en application le 2 août 2026 (certaines échéances haut risque ayant été ajustées par le paquet Omnibus numérique). Première chose à retenir : la plupart des usages de PME ne sont pas à haut risque. Un chatbot d'accueil ou un assistant de rédaction relève du risque limité, soumis seulement à l'obligation d'informer l'utilisateur qu'il interagit avec une IA.
L'obligation que beaucoup ignorent : former ses équipes
Depuis février 2025, l'obligation de littératie IA est active : toute organisation qui recourt à l'IA doit s'assurer que ses utilisateurs disposent d'un niveau de compétence suffisant. C'est l'obligation la plus immédiate pour une PME — et la plus simple à enclencher.
Le vrai risque quotidien : les données
Au-delà de l'AI Act, le risque le plus concret est le RGPD. Coller des données personnelles de clients, des informations confidentielles ou des éléments stratégiques dans un outil d'IA grand public, sans cadre, expose l'entreprise. La règle d'or : ne jamais confier à une IA externe ce qu'on ne mettrait pas dans un email non sécurisé.
La charte IA interne : l'outil de gouvernance
Plutôt qu'un investissement technique, commencez par un document court et opérationnel. Une charte IA efficace cartographie les usages autorisés et interdits, fixe les règles sur les données sensibles, impose une validation humaine sur les contenus à enjeu, et organise la formation des équipes. C'est rapide à mettre en place, et cela couvre l'essentiel du risque réel d'une PME.
La bonne séquence
Cartographier ses usages d'IA, qualifier leur niveau de risque (comme on l'a fait pour le RGPD), rédiger une charte, former les équipes. Une démarche progressive, pragmatique, qui transforme une contrainte réglementaire mouvante en cadre de confiance — pour vos équipes comme pour vos clients.
Le calendrier et le périmètre de l'AI Act évoluent, notamment via le paquet Omnibus numérique. Vérifiez les obligations applicables à votre situation auprès des sources officielles.
Questions fréquentes
Dès qu'un salarié utilise un outil d'IA, oui — au minimum par l'obligation de littératie IA (former les équipes), active depuis février 2025. Mais la plupart des usages de PME relèvent du risque limité : un chatbot ou un assistant bureautique n'impose qu'une obligation de transparence, pas le régime lourd des systèmes à haut risque.
Pas d'obligation spécifique pour un usage bureautique interne : c'est le fournisseur du modèle qui porte les obligations GPAI. En revanche, le RGPD s'applique : coller des données personnelles de clients dans un prompt sans base légale reste interdit.
Le 2 août 2026 active la majorité des obligations, notamment pour les systèmes à haut risque et la transparence. Certaines échéances haut risque ont été ajustées par le paquet Omnibus numérique, distinct de la directive Omnibus I sur la durabilité. Les sanctions peuvent atteindre 35 M€ ou 7 % du CA, plafonnées pour les PME.
Un document court qui cartographie les usages autorisés, fixe les règles sur les données sensibles, impose la validation humaine et organise la formation. C'est l'outil de gouvernance le plus efficace pour une PME, bien avant tout investissement technique.
Sources
- Règlement (UE) 2024/1689 — AI Act
- CNIL — Autorité de référence IA en France
- Commission européenne — Paquet Omnibus numérique