Règlement européen sur l'IA : ce qui s'applique déjà à une petite entreprise

Vous utilisez un assistant d'IA pour rédiger des courriers ou répondre à des clients ? Le règlement européen sur l'intelligence artificielle vous concerne, même si vous ne développez rien. Il s'applique par étapes depuis 2025 et sa date générale d'application, le 2 août 2026, est passée. Voici ce qui vous engage déjà.

Vous êtes un « déployeur », et cela compte

Le règlement distingue deux rôles. Le fournisseur développe un système d'IA et le met sur le marché. Le déployeur est toute personne ou organisme « utilisant sous sa propre autorité un système d'IA », hors usage personnel. Une entreprise dont les salariés travaillent avec un outil d'IA est donc un déployeur, quelle que soit sa taille.

Bonne nouvelle : pour les systèmes à risque minimal, la très grande majorité, la CNIL rappelle que le règlement « ne prévoit pas d'obligation spécifique ». Trois séries de règles peuvent malgré tout concerner tout déployeur, y compris une TPE.

Trois obligations déjà en vigueur

Première règle : les pratiques interdites de l'article 5, applicables depuis le 2 février 2025. Les cas à connaître pour une TPE :

• Utiliser un système d'IA pour déduire les émotions de personnes sur le lieu de travail, sauf raisons médicales ou de sécurité.
• Recourir à des techniques manipulatrices ou trompeuses pour pousser une personne vers une décision qu'elle n'aurait pas prise, avec un préjudice important.
• Exploiter les vulnérabilités liées à l'âge, au handicap ou à la situation sociale ou économique d'une personne pour altérer son comportement, avec un préjudice important.
• Noter des personnes selon leur comportement social pour les traiter défavorablement dans un autre contexte.
• Constituer une base de reconnaissance faciale par moissonnage non ciblé d'images sur internet ou de vidéosurveillance.

Deuxième règle : la maîtrise de l'IA, article 4, depuis le 2 février 2025. Fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel. Le texte précise qu'ils n'ont pas à « garantir un niveau spécifique de maîtrise de l'IA par un individu ». Dans sa foire aux questions, la Commission européenne indique qu'aucune formation obligatoire ni certificat n'est exigé. Elle ajoute : si vos salariés rédigent ou traduisent avec un outil d'IA générative, ils doivent être informés des risques spécifiques. Exemple : les hallucinations, des réponses inventées présentées comme vraies. Un registre interne des formations peut servir de trace.

Troisième règle : la transparence, article 50, depuis le 2 août 2026. Un hypertrucage (image, vidéo ou son réaliste généré ou manipulé par IA) que vous publiez doit le mentionner. Même règle pour un texte généré par IA informant le public sur une question d'intérêt public, sauf relecture humaine et responsabilité éditoriale assumée. Côté fournisseurs : un assistant conversationnel doit indiquer à vos clients qu'ils parlent à une machine, et les contenus générés être marqués de façon lisible par machine.

Le calendrier, revu cet été

Un règlement modificatif du 8 juillet 2026, en vigueur depuis le 27 juillet 2026, a décalé plusieurs échéances. Le calendrier actuel :

• 2 février 2025 : pratiques interdites et maîtrise de l'IA.
• 2 août 2025 : règles pour les modèles d'IA à usage général.
• 2 août 2026 : date générale d'application, dont la transparence, et début des contrôles par les autorités nationales de surveillance du marché.
• 2 décembre 2026 : interdiction des systèmes qui génèrent des images, vidéos ou sons sexuels réalistes d'une personne identifiable sans son consentement, ou des contenus pédocriminels. Même date : fin du délai accordé aux fournisseurs pour marquer les contenus des outils d'IA générative mis sur le marché avant le 2 août 2026.
• 2 décembre 2027 : systèmes à haut risque de l'annexe III, dont le tri de candidatures et l'évaluation des salariés.
• 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés (annexe I).

Pour une TPE, l'échéance à surveiller est décembre 2027 si vous envisagez un outil d'IA pour recruter ou évaluer vos équipes. Le règlement imposera alors des exigences au fournisseur et des obligations à l'entreprise utilisatrice.

Le règlement IA « ne remplace pas les exigences du RGPD », rappelle la CNIL. Et c'est « l'organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation de l'IA » par son personnel. Pour les pratiques interdites, les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Autres manquements, dont la transparence : 15 millions d'euros ou 3 %. Pour une PME, c'est le plus faible des deux montants qui sert de plafond.

Ce que vous pouvez faire en une heure

• Listez les outils d'IA utilisés dans l'entreprise, y compris les comptes gratuits ouverts par des salariés.
• Vérifiez qu'aucun usage ne relève des pratiques interdites, en particulier l'analyse des émotions au travail.
• Informez vos salariés : résultats inexacts mais plausibles, aucune donnée personnelle ou confidentielle dans un outil grand public, relecture avant envoi. Datez cette information.
• Demandez à vos fournisseurs comment leur outil signale à vos clients qu'ils parlent à une machine et marque les contenus générés.