AI Act et PME : ce qui s'applique vraiment à une entreprise de moins de 250 salariés

La lecture du règlement européen sur l'IA produit souvent un effet décourageant chez les dirigeants de PME : systèmes de gestion des risques, documentation technique, marquage CE, évaluation de conformité. L'ensemble paraît hors de portée d'une structure de quelques dizaines de personnes.

Cette impression repose sur un malentendu. L'essentiel de ces obligations vise les fournisseurs de systèmes à haut risque. Une PME qui utilise des outils du marché pour des usages courants supporte une charge sans commune mesure.

Faisons le tri.

Le point de départ : vous êtes probablement déployeur

La quasi-totalité des PME se situe dans la catégorie des déployeurs : elles utilisent des systèmes d'IA conçus par d'autres, dans le cadre de leur activité professionnelle.

Ce statut détermine tout le reste. Les obligations lourdes du règlement, celles qui imposent une documentation technique et un marquage CE, pèsent sur le fournisseur. Pas sur vous.

Attention toutefois à trois situations qui vous feraient basculer dans le rôle de fournisseur : apposer votre marque sur un outil tiers, modifier substantiellement un système, ou développer un outil interne qui décide sur des personnes, par exemple un tri automatisé de candidatures.

Ce qui s'applique à toute PME, sans exception

Deux obligations ne comportent aucun seuil de taille et sont déjà applicables depuis février 2025.

Ne pas recourir aux pratiques interdites

La vérification est rapide. Pour une PME, elle se résume généralement à s'assurer qu'aucun outil d'analyse émotionnelle n'est utilisé sur les salariés ou les candidats, et qu'aucun système ne classe les personnes à partir de données sans rapport avec la décision prise.

Le point d'attention porte sur les suites RH achetées sur étagère, dont certains modules d'analyse comportementale peuvent être activés sans que la direction en ait conscience.

Coût de mise en conformité : une demi-journée de revue, documentée.

Former les équipes qui utilisent l'IA

L'article 4 impose de garantir un niveau suffisant de compétence chez les personnes qui utilisent l'IA pour votre compte. Aucun seuil, aucune exemption pour les petites structures.

Le règlement n'impose ni durée ni certification. Une sensibilisation proportionnée, couvrant le fonctionnement des outils, les risques de confidentialité et les règles internes, répond à l'exigence pour des usages courants.

Le point critique est la traçabilité : liste des personnes formées, dates, contenu couvert.

Cette dépense peut généralement s'inscrire au plan de développement des compétences et faire l'objet d'une prise en charge par votre opérateur de compétences, sous réserve de son accord et des critères de votre branche.

Ce qui s'appliquera en août 2026

Les obligations de transparence

Si vous exploitez un agent conversationnel, il devra se présenter comme une IA. Si vous publiez des visuels générés, ils devront être signalés.

Pour les textes, l'exception de contrôle éditorial est large : un contenu relu et validé par une personne identifiée qui en assume la responsabilité n'appelle pas de mention particulière. Formaliser qui relit et qui valide suffit généralement à traiter le sujet.

Le haut risque, si vous êtes concerné

C'est le point où une PME peut être surprise. Deux usages répandus relèvent du haut risque au titre de l'annexe III :

Si vous utilisez un outil de ce type fourni par un tiers, vous restez déployeur. Vos obligations sont alors : utiliser l'outil conformément à sa notice, confier la supervision à une personne compétente et dotée de l'autorité pour écarter une recommandation, conserver les journaux, et informer les personnes concernées.

Si vous avez construit l'outil vous-même, même en assemblant des briques du marché, vous en êtes fournisseur et la charge devient substantielle. C'est la configuration à identifier en priorité.

Ce qui ne vous concerne pas

Pour écarter les fausses inquiétudes, voici ce qui ne s'applique pas à une PME utilisatrice d'outils du marché pour des usages courants :

Les aménagements prévus pour les PME

Le règlement comporte plusieurs dispositions favorables aux petites structures.

Les sanctions sont plafonnées au montant le plus faible entre le pourcentage du chiffre d'affaires et la somme forfaitaire, là où c'est le plus élevé qui s'applique aux autres entreprises.

Les bacs à sable réglementaires doivent être accessibles en priorité aux PME et aux jeunes pousses, avec un accès gratuit, pour tester des systèmes innovants sous la supervision de l'autorité.

Le règlement prévoit également que la Commission et les États membres mettent à disposition des formats simplifiés de documentation à destination des petites structures, et organisent des actions de sensibilisation adaptées.

Un plan de mise en conformité réaliste

Pour une PME, une démarche sérieuse tient en cinq actions.

Recenser les systèmes d'IA utilisés. Y compris les outils adoptés spontanément par les équipes, qui échappent souvent au recensement officiel. C'est la base de tout le reste, et c'est l'étape la plus souvent bâclée.

Vérifier l'absence de pratique interdite. Revue documentée, à refaire à chaque nouvel outil.

Identifier les éventuels usages à haut risque. Principalement du côté des ressources humaines.

Former et tracer. Sensibilisation adaptée aux fonctions, avec conservation des preuves.

Désigner un responsable. Même à temps partiel, même cumulé avec d'autres fonctions. Sans porteur identifié, le sujet reste sans suivi et les échéances passent.

Ces cinq actions représentent, pour une structure de taille moyenne, un effort de quelques jours. Elles constituent le socle démontrable qui fait la différence en cas de contrôle ou de demande d'un donneur d'ordre.

L'enjeu commercial, souvent sous-estimé

Au-delà du risque de sanction, la conformité devient un sujet commercial. Les grands donneurs d'ordre intègrent progressivement des exigences AI Act dans leurs appels d'offres et leurs questionnaires fournisseurs.

Une PME capable de présenter son inventaire, sa classification et ses preuves de formation dispose d'un avantage concret face à un concurrent qui ne le peut pas. Pour beaucoup d'entreprises, cet argument pèsera plus lourd que la crainte d'un contrôle.

Faire le point en quelques minutes

Notre diagnostic de maturité IA comporte un bloc de points de contrôle réglementaires qui vous situe sur l'inventaire, la qualification de votre rôle, la classification des risques, la formation, la transparence et la documentation.

Il s'agit d'un outil de positionnement déclaratif, non d'un audit de conformité ni d'un avis juridique.

Pour échanger sur votre situation : victor@antartica-ai.com

---

*Sources : règlement (UE) 2024/1689, articles 4, 5, 25, 26, 50, 62 et 99. Annexe III. Recommandation 2003/361/CE pour la définition des PME.*

FAQ

Une PME est-elle vraiment concernée par le règlement ?

Oui, mais pas par l'ensemble du texte. Pour la très grande majorité des PME, qui utilisent des outils du marché sans en développer, le règlement se résume à trois points : ne pas tomber dans les pratiques interdites, assurer la littératie IA, et respecter les obligations de transparence.

Quelles obligations ne concernent pas une PME utilisatrice ?

Celles qui pèsent sur les fournisseurs de systèmes à haut risque : système de gestion des risques, documentation technique, évaluation de conformité, marquage. Elles ne s'appliquent que si vous développez ou rebadgez un tel système.

Faut-il nommer un responsable IA ?

Le règlement ne l'impose pas aux déployeurs. En pratique, désigner une personne chargée de tenir l'inventaire des systèmes utilisés et de suivre les échéances est le moyen le plus simple de ne pas découvrir une non-conformité tardivement.

Par quoi commencer concrètement ?

Par l'inventaire des outils d'IA réellement utilisés, y compris ceux adoptés spontanément par les équipes. Beaucoup d'entreprises découvrent à cette occasion des usages dont la direction ignorait l'existence.

Pour aller plus loin

Évaluez votre conformité avec le test de maturité IA d'Antartica AI : 23 questions dont un volet dédié au règlement européen sur l'IA. Pour former vos équipes au titre de l'article 4, découvrez notre offre de formation IA certifiée Qualiopi, ou cadrez votre situation avec un audit IA. Pour en discuter, écrivez à victor@antartica-ai.com.

*Cet article présente une lecture du règlement (UE) 2024/1689 à des fins d'information et ne constitue pas un conseil juridique.*