"L'IA Act ne concerne que les grandes entreprises." C'est l'idée reçue la plus répandue que je rencontre en formation. Elle est fausse, et elle peut coûter cher à ceux qui s'en satisfont trop longtemps.
Pourquoi les PME pensent ne pas être concernées
La confusion vient d'une lecture partielle du règlement. Les obligations les plus lourdes (documentation technique, audits, organismes notifiés) pèsent effectivement sur les fournisseurs de systèmes d'IA à haut risque : les grandes entreprises tech qui développent et commercialisent ces outils. Une PME qui utilise ChatGPT pour rédiger ses emails ne rentre pas dans cette catégorie.
Mais il y a une obligation qui s'applique à toutes les entreprises qui utilisent l'IA, quelle que soit leur taille : l'obligation de culture IA.
L'obligation qui concerne toutes les PME : l'article 4
Depuis février 2025, l'article 4 de l'IA Act impose à tout déployeur de systèmes d'IA de veiller à ce que ses collaborateurs disposent d'un niveau suffisant de culture IA, proportionnel à leur rôle et à l'usage qu'ils font de ces outils. Une PME de 12 personnes qui utilise ChatGPT, Copilot ou un outil de traduction automatique est un déployeur au sens du règlement. Elle est donc concernée.
La proportionnalité joue : une PME n'a pas les mêmes obligations qu'un grand groupe. Mais "proportionné" ne veut pas dire "nul". Une sensibilisation documentée, même courte, vaut mieux qu'aucune action, surtout si la question est posée lors d'un contrôle ou d'un appel d'offres public.
Les autres obligations selon l'usage
Si votre PME utilise un système d'IA dans un cadre à risque élevé au sens du règlement, les obligations deviennent plus substantielles. Le recrutement assisté par IA, l'évaluation de solvabilité automatisée ou la gestion RH via algorithme entrent dans cette catégorie. Le détail des niveaux de risque permet de vérifier si votre usage est concerné.
Par ailleurs, si vous utilisez un chatbot ou tout système d'IA en contact avec vos clients, une obligation de transparence s'applique : l'utilisateur doit savoir qu'il interagit avec une IA. C'est simple à mettre en place, mais il faut le faire.
Ce qu'une PME peut faire concrètement
- Lister les outils IA utilisés dans l'entreprise (y compris les usages informels)
- Vérifier si l'un de ces usages relève d'une catégorie à haut risque
- Organiser une sensibilisation adaptée pour les collaborateurs concernés
- Conserver une trace écrite de cette démarche
- S'assurer que les chatbots ou assistants IA en contact client sont identifiés comme tels
Et les sanctions pour les PME ?
Le règlement prévoit des plafonds réduits pour les PME en cas de sanction. Cela n'en fait pas une obligation facultative pour autant. Et au-delà des sanctions directes, la conformité IA Act commence à apparaître dans les appels d'offres publics et les questionnaires RSE des grands donneurs d'ordre. Ne pas pouvoir répondre à ces questions, c'est déjà un désavantage commercial concret.