AI Act : Quelles sont les entreprises réellement concernées ?

L'AI Act ne cible pas les entreprises par leur taille ou leur secteur, mais par la nature des systèmes d'intelligence artificielle qu'elles développent, commercialisent ou utilisent. La question n'est donc pas de savoir si votre PME est concernée, mais à quel degré. Le règlement européen établit une pyramide des risques à quatre niveaux : inacceptable, élevé, limité et minimal. Comprendre où se situent vos activités sur cette échelle est la clé pour évaluer votre exposition réglementaire et les actions à entreprendre.

La majorité des TPE et PME qui utilisent des outils IA du marché (comme des CRM ou des logiciels de productivité) tomberont dans les catégories de risque faible ou limité. En revanche, celles qui développent ou déploient des solutions dans des domaines sensibles comme le recrutement, le crédit ou la santé, feront face à des obligations bien plus lourdes.

Du Développeur à l'Utilisateur : Qui est dans le Viseur de l'AI Act ?

Avant de classer les technologies, il faut identifier les acteurs. Le règlement européen sur l'IA distingue principalement deux rôles, qui peuvent être endossés par la même entreprise : le fournisseur et le déployeur. Un fournisseur est une entité qui développe un système d'IA en vue de sa mise sur le marché. Un déployeur (ou utilisateur professionnel) est celui qui utilise un système d'IA sous sa propre autorité dans le cadre de ses activités professionnelles. S'ajoutent les importateurs et les distributeurs, qui ont des obligations de vérification.

Une PME peut cumuler les casquettes. Si elle intègre un chatbot tiers sur son site, elle est déployeur. Si elle développe une brique d'IA spécifique pour son propre produit SaaS, elle devient fournisseur pour cette brique. La portée du texte est extraterritoriale : toute entreprise, même non-européenne, qui met un système d'IA à disposition sur le marché de l'Union est soumise à l'AI Act. Cette complexité nouvelle oblige les dirigeants à revoir leur stratégie d'investissement et à anticiper les futurs arbitrages, un enjeu qui rappelle les tensions actuelles sur le budget 2027 et le choc de la rigueur pour les entreprises.

Les 4 Niveaux de Risque : Le Vrai Critère de Conformité

La pierre angulaire de l'AI Act est sa classification des risques. C'est ce critère, et non la taille de votre bilan, qui détermine l'intensité de vos obligations. La compréhension de cette pyramide est donc non-négociable.

Les systèmes d'IA à haut risque, souvent au cœur des processus métier, concentrent l'essentiel des nouvelles obligations réglementaires.

Risque Inacceptable : L'Interdiction Pure et Simple

Sont bannis les systèmes d'IA considérés comme une menace pour les droits fondamentaux. Cela inclut les systèmes de notation sociale par les gouvernements, les techniques de manipulation subliminale exploitant les vulnérabilités de certains groupes, ou encore la reconnaissance biométrique à distance en temps réel dans l'espace public à des fins répressives (sauf exceptions très strictes).

Risque Élevé : Le Cœur de la Réglementation

C'est ici que se concentre l'essentiel des contraintes. Un système est classé à haut risque s'il est un composant de sécurité d'un produit déjà réglementé (jouets, machines, dispositifs médicaux) ou s'il figure dans une liste annexée au texte. Cette liste couvre des domaines critiques :

• Gestion des infrastructures critiques (eau, gaz, électricité).
• Éducation et formation professionnelle (évaluation des examens).
• Emploi et gestion des ressources humaines (tri de CV, évaluation des performances).
• Accès aux services essentiels (octroi de crédit, dispatch des services d'urgence).

Les entreprises qui fournissent ou déploient ces systèmes devront se soumettre à une évaluation de conformité avant leur mise sur le marché. Des instituts de recherche comme Inria jouent un rôle clé dans l'établissement des standards techniques qui sous-tendent ces évaluations.

Risque Limité : L'Obligation de Transparence

Cette catégorie concerne les IA avec lesquelles les humains interagissent directement. L'obligation principale est la transparence. Les utilisateurs doivent être informés qu'ils dialoguent avec un chatbot, qu'une vidéo est un hypertrucage (deepfake) ou qu'un texte a été généré par une IA. L'objectif est d'éviter la tromperie. Ces règles d'étiquetage sont un aspect central du règlement, et il est crucial de comprendre ce qui devient obligatoire dès 2026 concernant les contenus IA.

Risque Minimal : La Majorité Silencieuse

Cette catégorie couvre toutes les autres applications d'IA, considérées comme présentant un risque faible ou nul. Pensez aux filtres anti-spam, aux systèmes de recommandation d'un site e-commerce ou à l'optimisation logistique. Aucune obligation légale nouvelle ne pèse sur ces systèmes, même si la Commission encourage l'adoption de codes de conduite volontaires.

Tableau Comparatif : Quel Niveau de Risque pour Votre Usage de l'IA ?

Pour visualiser concrètement l'impact, voici une grille d'analyse qui positionne différents cas d'usage fréquents en entreprise.

Type d'Usage / Système IA	Niveau de Risque	Obligation Principale	Exemple d'entreprise concernée (générique)
Outil de tri de CV pour le recrutement	Élevé	Évaluation de conformité, supervision humaine, logs	PME de services de plus de 50 salariés
Chatbot de service client sur un site web	Limité	Informer l'utilisateur qu'il interagit avec une IA	TPE e-commerce, artisan avec un site vitrine
Utilisation de ChatGPT pour des brouillons d'emails	Minimal	Aucune obligation légale	Freelance, consultant, agence de communication
Système de maintenance prédictive sur une chaîne de production	Élevé (si infrastructure critique)	Documentation technique, gestion des risques	ETI industrielle dans l'énergie ou les transports
Logiciel de reconnaissance faciale pour déverrouiller un smartphone	Élevé (biométrie)	Exigences de qualité des données, cybersécurité	Fabricant de matériel électronique
Système de notation sociale à des fins commerciales	Inacceptable	Interdit sur le marché de l'UE	Toute entreprise serait en infraction

Impacts Concrets : Ce que Chaque Niveau de Risque Implique pour Votre PME

Déterminer son niveau de risque n'est que la première étape. Les conséquences opérationnelles, juridiques et financières varient radicalement d'une catégorie à l'autre. Pour la plupart des PME, le diable se cache dans les détails des systèmes à risque élevé.

Pour ces derniers, les fournisseurs devront mettre en place un système de gestion de la qualité et des risques, rédiger une documentation technique exhaustive, assurer la traçabilité des opérations via des journaux d'événements (« logs »), et garantir un niveau de précision et de cybersécurité robuste. Une supervision humaine doit rester possible à tout moment. En France, la CNIL sera l'une des autorités de surveillance du marché, chargée de contrôler l'application du texte et de prononcer d'éventuelles sanctions. Cette approche s'inscrit dans une logique plus large de résilience numérique qui va au-delà de la simple protection des données.

Pour les systèmes à risque limité, l'effort est minime : il s'agit d'une simple obligation d'information. Une mention claire comme Vous dialoguez avec notre assistant virtuel suffit à remplir l'exigence pour un chatbot. Les entreprises qui utilisent des générateurs de contenu doivent s'assurer que le caractère artificiel est identifiable.

Enfin, pour la grande majorité des PME qui sont de simples utilisatrices d'outils IA intégrés à des logiciels standards (Microsoft 365 Copilot, Google Workspace), le fardeau de la conformité repose quasi exclusivement sur le fournisseur. Le devoir du dirigeant est alors de s'assurer, via les contrats et la documentation fournie, que ses partenaires sont eux-mêmes conformes à l'AI Act. C'est un point clé du guide complet sur l'AI Act pour les entreprises.

Audit et Stratégie : Comment se Préparer sans Surinvestir ?

Face à ce nouveau cadre, la tentation peut être de freiner toute initiative IA. Ce serait une erreur stratégique. L'approche la plus pragmatique consiste à auditer l'existant et à intégrer la dimension réglementaire dans les futurs projets. Il ne s'agit pas de tout stopper, mais de choisir ses combats et de concentrer ses ressources là où le risque est avéré.

Ce que la couverture grand public laisse de côté, c'est que l'AI Act n'est pas qu'une contrainte. C'est aussi un outil de compétitivité. En imposant un standard de confiance, il peut devenir un label "qualité IA" pour les entreprises européennes sur le marché mondial, à l'image de ce que le RGPD est devenu pour la protection des données. Des organisations comme France Digitale accompagnent d'ailleurs les startups de la tech pour transformer cette réglementation en avantage concurrentiel. Pour planifier cet effort, il est utile de consulter le calendrier détaillé de l'AI Act jusqu'en 2028.

En définitive, l'enjeu pour les dirigeants n'est pas de subir l'AI Act, mais de l'utiliser comme un framework pour structurer une adoption de l'intelligence artificielle à la fois ambitieuse et maîtrisée. La conformité devient alors un sous-produit d'une stratégie IA robuste, et non une fin en soi.

Sources & références