L'IA Act, le règlement européen sur l'intelligence artificielle, s'applique par étapes : pratiques interdites et obligation de formation depuis février 2025, règles sur les modèles à usage général depuis août 2025, et l'essentiel des obligations sur les systèmes à haut risque entre août 2026 et août 2027. Pour une PME, l'urgence n'est pas de tout documenter, mais de savoir précisément quels systèmes d'IA elle utilise ou fournit, de vérifier qu'aucun usage n'est interdit et de préparer les échéances qui la concernent réellement.
Une approche par les risques : quatre niveaux d'exigence
L'IA Act (règlement UE 2024/1689, entré en vigueur le 1er août 2024) ne réglemente pas la technologie en soi mais ses usages, classés selon le risque :
- Pratiques interdites : notation sociale généralisée, manipulation exploitant les vulnérabilités des personnes, reconnaissance des émotions au travail, certaines identifications biométriques. Elles sont proscrites purement et simplement.
- Systèmes à haut risque : IA utilisée pour le recrutement, l'évaluation des salariés, l'octroi de crédit, l'accès à l'éducation ou aux services essentiels, ou intégrée à des produits réglementés. Obligations lourdes de documentation, de contrôle et de surveillance humaine.
- Obligations de transparence : chatbots, contenus générés et hypertrucages doivent être signalés comme tels aux utilisateurs.
- Risque minimal : la grande majorité des usages (aide à la rédaction, tri interne, assistants bureautiques) reste libre, sous réserve du droit existant, RGPD en tête.
S'y ajoutent des règles dédiées aux modèles d'IA à usage général (GPAI), qui pèsent d'abord sur les grands fournisseurs de modèles, pas sur les PME utilisatrices.
Le calendrier : ce qui est en vigueur, ce qui arrive
Depuis le 2 février 2025 : interdictions et maîtrise de l'IA
Les pratiques interdites sont proscrites et chaque organisation qui utilise l'IA doit garantir un niveau suffisant de maîtrise à ses équipes (article 4). Autrement dit, la formation de vos collaborateurs est déjà une obligation, quel que soit votre niveau d'usage.
Depuis le 2 août 2025 : les modèles à usage général
Les fournisseurs de grands modèles doivent publier de la documentation technique, respecter le droit d'auteur et coopérer avec le Bureau européen de l'IA. L'impact direct est limité pour une PME, mais l'impact indirect est réel : vos fournisseurs d'outils IA doivent désormais pouvoir vous fournir cette documentation.
2 août 2026 : le gros des obligations
Le règlement devient applicable dans sa généralité : régime complet des systèmes à haut risque listés à l'annexe III (RH, crédit, éducation, services essentiels), obligations de transparence, régime de sanctions et autorités nationales de surveillance opérationnelles. C'est l'échéance structurante pour la plupart des entreprises.
2 août 2027 : produits réglementés et modèles antérieurs
Les systèmes à haut risque intégrés dans des produits soumis à une réglementation sectorielle (dispositifs médicaux, machines, jouets, véhicules) disposent d'un an supplémentaire, tout comme la mise en conformité des grands modèles mis sur le marché avant août 2025.
À noter : des ajustements de calendrier sont régulièrement discutés à Bruxelles, notamment des reports ciblés de certaines obligations à haut risque dans le cadre des chantiers de simplification. Une veille s'impose, mais miser sur un report pour ne rien faire serait une erreur : les interdictions et la formation s'appliquent déjà.
Utilisatrice ou fournisseuse : ce qui concerne concrètement votre PME
Votre PME utilise des systèmes d'IA (déployeur)
C'est le cas le plus fréquent. Vos obligations : utiliser les systèmes conformément à leur notice, garantir une surveillance humaine adaptée, contrôler la qualité des données d'entrée que vous maîtrisez, informer les personnes concernées (salariés, candidats, clients) et signaler les incidents graves. Le point de vigilance numéro un : l'IA appliquée aux ressources humaines, tri de CV ou évaluation, quasi systématiquement classée à haut risque.
Votre PME développe ou intègre de l'IA (fournisseur)
Si vous mettez sur le marché un système d'IA, y compris intégré à votre logiciel, et qu'il relève du haut risque, vous portez des obligations lourdes : gestion des risques, gouvernance des données, documentation technique, marquage CE, enregistrement dans la base de données européenne. Attention : personnaliser fortement un système existant ou le commercialiser sous votre marque peut vous requalifier en fournisseur.
Plan d'action pragmatique en cinq étapes
- Inventoriez tous les usages d'IA, y compris ceux embarqués dans vos logiciels SaaS et les usages officieux de vos équipes.
- Classez chaque usage : interdit, haut risque, transparence, risque minimal. Dans le doute, documentez votre raisonnement.
- Interrogez vos fournisseurs : demandez leur documentation de conformité et intégrez des clauses IA Act dans les nouveaux contrats.
- Formez vos équipes : une sensibilisation générale pour tous, plus approfondie pour ceux qui exploitent des systèmes sensibles. C'est déjà obligatoire.
- Désignez un référent IA et organisez une veille réglementaire : le cadre bouge encore, et vos usages aussi.
Des sanctions dissuasives mais proportionnées
Les plafonds sont élevés : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements. Le règlement prévoit toutefois une proportionnalité pour les PME, et les régulateurs privilégieront d'abord l'accompagnement. Le vrai risque à court terme est commercial : vos clients grands comptes exigent déjà des garanties de conformité de leurs sous-traitants.
La mise en conformité à l'IA Act ressemble beaucoup à ce que le RGPD a été en 2018 : un chantier de gouvernance plus qu'un chantier technique. Le mener avec un partenaire qui connaît à la fois le règlement et la réalité des systèmes d'information permet d'éviter les deux écueils classiques : la sur-conformité paralysante et l'inaction risquée.