Règlement européen sur l'IA : l'essentiel pour un dirigeant

Le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, souvent appelé « AI Act ») classe les usages de l'IA selon leur niveau de risque. Pour la plupart des PME, qui utilisent des outils du commerce pour écrire, résumer ou répondre à des questions, les obligations sont légères : informer quand on fait parler une machine, et prendre des mesures pour que le personnel sache se servir de l'IA. Elles deviennent lourdes dès qu'un outil touche au recrutement, au crédit ou à d'autres domaines sensibles. Cette page résume la règle ; elle ne remplace pas l'avis d'un avocat ou d'un conseil spécialisé.

Quatre niveaux de risque

À part, le règlement encadre aussi les « modèles d'IA à usage général », comme les grands modèles de langage. Ces règles visent surtout leurs éditeurs.

Fournisseur ou déployeur : quel est votre rôle ?

La CNIL rappelle que le règlement concerne principalement deux acteurs, que l'article 3 définit :

• le fournisseur, qui développe ou fait développer un système d'IA (ou un modèle d'IA à usage général) et le met sur le marché ou en service sous son propre nom ou sa propre marque, gratuitement ou non ;
• le déployeur, qui utilise un système d'IA sous sa propre autorité, sauf dans le cadre d'une activité personnelle non professionnelle.

Une PME qui s'abonne à un assistant d'IA ou à un logiciel intégrant de l'IA pour son activité est donc en général déployeur. Elle peut aussi devenir fournisseur si elle fait développer un système et le met en service sous son propre nom. En cas de doute sur votre situation, c'est une question à poser à un juriste.

Le calendrier, après l'omnibus de 2026

Le règlement s'applique par étapes. Un texte de simplification, l'« omnibus numérique sur l'IA », est entré en vigueur le 27/07/2026 et a décalé certaines dates. Calendrier présenté par la Commission européenne (page mise à jour le 19/10/2026) :

Ce qui vous concerne concrètement

La maîtrise de l'IA par votre personnel

L'article 4 du règlement, dans sa version modifiée par l'omnibus, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel et les autres personnes qui utilisent les systèmes pour eux. Ces mesures tiennent compte des connaissances, de l'expérience, de la formation de chacun et du contexte d'utilisation. Le texte précise qu'il n'impose pas de garantir un niveau donné pour chaque personne. La Commission et les États membres doivent soutenir ces efforts, en particulier ceux des PME, et la Commission publie des exemples pratiques.

En pratique : une note interne sur les outils autorisés et leurs limites, une courte formation, une personne référente.

La transparence

La Commission résume la règle ainsi : les personnes doivent savoir qu'elles échangent avec une machine. Si vous mettez un chatbot sur votre site, vos clients doivent en être informés. Certains contenus générés par l'IA, comme les hypertrucages, doivent être signalés. Selon les cas, l'obligation pèse sur le fournisseur de l'outil ou sur l'entreprise qui le déploie.

Les usages à haut risque

Si vous utilisez un outil d'IA pour trier des candidatures, évaluer des salariés ou décider d'un crédit, vous entrez dans le haut risque. Les obligations s'appliqueront à partir du 02/12/2027 pour ces systèmes. Interrogez dès maintenant votre fournisseur sur sa mise en conformité, et faites-vous conseiller.

Le RGPD reste en place

Le règlement sur l'IA ne remplace pas le RGPD (règlement général sur la protection des données) : il le complète, souligne la CNIL. Une entreprise qui utilise un outil d'IA sur des données personnelles en est généralement responsable de traitement.

Votre liste de contrôle

• Lister les outils d'IA utilisés dans l'entreprise, y compris ceux intégrés à vos logiciels.
• Pour chacun, noter l'usage : écrire, répondre aux clients, trier des personnes, décider.
• Repérer tout usage qui touche au recrutement, à l'évaluation de personnes ou au crédit.
• Informer vos clients quand ils échangent avec un chatbot.
• Prévoir une sensibilisation de l'équipe aux bons usages et aux limites.
• Vérifier, avec la CNIL ou votre conseil, le traitement des données personnelles.

Pour le reste, les règles changent encore : consultez la page de la Commission européenne et les questions-réponses de la CNIL avant toute décision.