AI Act et RGPD : ce qu'une PME qui utilise l'IA doit faire

L’AI Act ne vise pas que les éditeurs de modèles. Une PME qui fait rédiger ses offres par ChatGPT ou laisse son CRM noter ses prospects utilise l’IA, et le règlement européen comme le RGPD lui donnent déjà des obligations, pour la plupart quelques gestes d’organisation.

Ce guide de notre rubrique IA d’entreprise, privée et au juste coût fait le point en octobre 2026, sur le texte révisé en juillet 2026. Ce n’est pas un conseil juridique : pour un usage sensible, faites valider votre cas par votre délégué à la protection des données (DPO) ou un avocat.

En bref

• Vos obligations dépendent de votre rôle : faire développer un assistant exploité sous votre nom vous rend fournisseur, avec des obligations de plus.
• Le calendrier : le 2 février 2025 pour les interdictions et la maîtrise de l’IA, le 2 août 2026 pour la transparence, le 2 décembre 2027 pour le haut risque (recrutement, personnel, crédit).
• Le RGPD s’y ajoute : contrat avec chaque fournisseur, registre, analyse d’impact si le risque est élevé.
• Le point de départ est l’inventaire de vos usages, comptes ouverts par les équipes compris.

Êtes-vous « déployeur » ou « fournisseur » au sens de l’AI Act ?

Vos obligations dépendent de votre rôle. Selon l’article 3 du règlement sur l’IA, le déployeur utilise « sous sa propre autorité un système d’IA », dans un cadre professionnel. Une PME qui ouvre des comptes ChatGPT ou Copilot à ses équipes, ou qui active l’IA de son CRM, est déployeur.

Le fournisseur développe un système d’IA, ou le fait développer, et le met sur le marché ou en service sous son nom ou sa marque, qu’il le facture ou non. Une PME qui fait développer un assistant et l’exploite sous son nom en devient donc le fournisseur, avec des obligations de plus.

Cas fréquent, l’affinage d’un modèle sur vos propres données (le fine-tuning) : selon les questions-réponses de la CNIL sur l’IA générative, il vous en rend responsable, y compris comme fournisseur au titre du règlement sur l’IA, « mais seulement pour ce qui concerne cet affinage ».

Qu’est-ce qui s’applique, et depuis quand ?

Le règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024 et s’applique par étapes, selon l’article 113, dans sa version révisée par le règlement (UE) 2026/1744 du 8 juillet 2026, qui a repoussé les règles du haut risque :

Les systèmes à haut risque intégrés à des produits déjà réglementés (annexe I) suivent le 2 août 2028. Deux interdictions ajoutées par la révision, sur les images intimes générées sans consentement et les contenus pédopornographiques, s’appliquent à partir du 2 décembre 2026. Les sanctions s’appliquent depuis le 2 août 2025.

Quels usages de l’IA sont interdits depuis 2025 ?

L’article 5 dresse la liste des pratiques interdites. Trois peuvent concerner une PME :

• déduire les émotions de ses salariés au travail, sauf raison médicale ou de sécurité : un outil qui lirait l’humeur de vos commerciaux dans leur voix ou sur leur visage en visioconférence est interdit ;
• noter des personnes d’après leur comportement social ou leur personnalité, quand cette note les fait traiter défavorablement hors du contexte où les données ont été recueillies, ou de façon disproportionnée ;
• manipuler une personne, ou exploiter une vulnérabilité liée à son âge, à un handicap ou à sa situation sociale ou économique, d’une manière qui lui cause un préjudice important.

Un outil qui fait l’une de ces choses doit être arrêté, quelle que soit la taille de l’entreprise.

Quand un usage de l’IA devient-il « à haut risque » ?

Le haut risque dépend de l’usage, pas de l’outil. Parmi les domaines de l’annexe III du règlement, quatre concernent une PME :

• le recrutement : offres d’emploi ciblées, tri des candidatures, évaluation des candidats ;
• la gestion du personnel : promotion, licenciement, attribution des tâches, suivi des performances ;
• la solvabilité ou la note de crédit d’une personne, hors détection de fraude ;
• la tarification de l’assurance vie et de l’assurance maladie.

L’article 6 prévoit des sorties, par exemple pour une tâche procédurale étroite ou une tâche préparatoire, mais un système de l’annexe III qui fait du profilage de personnes est « toujours » à haut risque.

À partir du 2 décembre 2027, son déployeur doit, selon l’article 26 :

1. l’utiliser conformément à sa notice d’utilisation ;
2. confier le contrôle humain à des personnes « qui disposent des compétences, de la formation et de l’autorité nécessaires » ;
3. le surveiller, le suspendre en cas de risque et signaler les incidents graves ;
4. conserver les journaux du système au moins six mois ;
5. informer les salariés concernés et leurs représentants avant de l’utiliser au travail ;
6. informer les personnes visées par une décision qu’il prend ou aide à prendre.

Pour le crédit et l’assurance, l’article 27 ajoute une analyse d’impact sur les droits fondamentaux. Un système en service avant cette date n’est concerné que s’il subit ensuite d’importantes modifications de sa conception (article 111). Le RGPD encadre déjà ces décisions par son article 22, présenté plus bas.

Un chatbot doit-il dire qu’il est une IA ?

Oui, depuis le 2 août 2026. L’article 50 veut que les personnes sachent qu’elles interagissent avec un système d’IA « au plus tard au moment de la première interaction », sauf si cela ressort clairement pour une personne « normalement informée et raisonnablement attentive et avisée ».

Le texte confie cette obligation au fournisseur : si votre chatbot a été développé pour vous et tourne sous votre nom, elle est pour vous. Avec l’outil d’un éditeur, elle est d’abord la sienne, mais vous choisissez ce que voient vos visiteurs, et un premier message qui annonce un assistant automatique règle la question.

Le même article fait signaler les hypertrucages et certains textes générés publiés pour informer le public, sauf relecture humaine sous une responsabilité éditoriale.

Que veut dire la « maîtrise de l’IA » pour vos équipes ?

C’est l’obligation qui concerne le plus de PME. Dans sa version réécrite en juillet 2026, l’article 4 demande de prendre « des mesures pour favoriser le développement de la maîtrise de l’IA » par le personnel et par ceux qui utilisent ces systèmes pour l’entreprise, sans obligation de « garantir un niveau spécifique de maîtrise de l’IA par un individu ». C’est une obligation de moyens : pas de diplôme à exiger, mais une démarche que vous pouvez montrer, et la Commission doit publier des exemples pratiques de mise en conformité.

La CNIL rappelle que « dans le cas général, c’est l’organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel ». Une formation utile tient en trois points :

• un modèle génératif n’est pas une base de connaissance : il produit la réponse la plus probable, pas forcément la vraie ;
• certaines données ne vont jamais dans un service grand public : données personnelles, secrets d’affaires ;
• chaque réponse se vérifie et ne se recopie pas telle quelle.

Que demande déjà le RGPD quand vous utilisez l’IA ?

Dès qu’un modèle reçoit une donnée personnelle, c’est un traitement au sens du RGPD. Trois articles de son chapitre IV comptent ici :

• l’article 28 : un contrat avec chaque prestataire qui traite des données pour vous, éditeur du modèle compris, qui encadre aussi les transferts ;
• l’article 30 : une ligne dans votre registre des traitements ;
• l’article 35 : une analyse d’impact (AIPD) avant tout traitement à risque élevé pour les personnes.

L’article 22 encadre en plus la décision fondée exclusivement sur un traitement automatisé, et le chapitre V les transferts hors de l’Union.

La CNIL précise qu’une entreprise qui connecte un modèle à sa propre base de connaissance (le RAG) est responsable de ce traitement quand cette base contient des données personnelles. Le fonctionnement est expliqué dans le RAG appliqué aux documents d’une entreprise.

Les huit étapes pour utiliser l’IA dans les règles

1. Faites l’inventaire de vos usages, y compris les comptes que vos équipes ont ouverts d’elles-mêmes, et notez pour chacun les données qu’il reçoit.
2. Classez vos données : ce qui peut partir chez un fournisseur, ce qui reste chez vous. Les options sont comparées dans les quatre niveaux d’IA privée.
3. Écrivez une charte d’usage « définissant clairement les usages autorisés et les usages interdits », comme le recommande la CNIL. Notre guide de la gouvernance de l’IA en propose une, la charte IA d’entreprise en cinq lignes.
4. Formez les équipes, et gardez la trace de qui a été formé et quand.
5. Encadrez vos fournisseurs : contrat, transferts, et réutilisation de vos données désactivée quand l’offre le permet.
6. Tenez le registre, et l’analyse d’impact si elle s’impose, avec votre DPO si vous en avez un.
7. Informez les visiteurs de votre chatbot et, pour un outil à haut risque utilisé au travail, les salariés et leurs représentants.
8. Faites un bilan régulier, annuel par exemple, avec l’avis des utilisateurs sur l’utilité et les limites du système : la CNIL recommande de le recueillir pendant les premiers mois et les premières années d’usage.

Que risque une PME qui ne fait rien ?

Les sanctions de l’article 99 s’appliquent depuis le 2 août 2025 : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour une pratique interdite, jusqu’à 15 millions d’euros ou 3 % pour un manquement aux obligations du déployeur ou de transparence. Le plafond est le plus élevé des deux en règle générale, le plus faible pour une PME. Le texte prévoit aussi des avertissements et des mesures non monétaires, et les États tiennent compte des intérêts des PME et de leur viabilité économique.

Le RGPD a ses propres sanctions, prononcées en France par la CNIL. Le risque le plus courant reste ce qu’on ne voit pas : un fichier client collé dans un compte grand public, une décision sur un salarié que personne ne sait expliquer.

Par où commencer

L’inventaire et le classement des données viennent en premier : ils alimentent le registre, montrent si un usage approche du haut risque et préparent la charte. La CNIL rassemble, sur sa page utiliser l’IA générative dans les TPE et PME, les quatre fiches pratiques de France Num, conçues avec la CPME et la CNIL.

Pour obtenir une grille écrite de ce qui peut partir chez quel fournisseur, et des modèles testés sur vos propres contenus, voyez notre offre IA au juste coût. Pour un usage à haut risque, votre DPO ou un avocat a le dernier mot.

Questions fréquentes

Une PME qui utilise seulement ChatGPT est-elle concernée par l’AI Act ?

Oui, comme déployeur : elle doit veiller à la maîtrise de l’IA par les personnes qui l’utilisent et ne pas s’en servir pour une pratique interdite. Les règles du haut risque ne la visent que si elle s’en sert pour recruter, gérer son personnel ou noter un crédit. Le RGPD, lui, s’applique dès qu’une donnée personnelle est saisie.

Qu’est-ce qui change le 2 août 2026 ?

Le règlement devient applicable dans son ensemble, à quelques exceptions près. Pour une PME, la nouveauté est la transparence : un chatbot doit se présenter comme tel, sauf évidence, et les hypertrucages se signalent. La révision de juillet 2026 a en revanche repoussé au 2 décembre 2027 les règles du haut risque de l’annexe III.

Peut-on saisir des données clients dans ChatGPT ?

Pas avec un compte grand public. Avec une offre professionnelle, il faut un contrat de sous-traitance, des transferts encadrés et la réutilisation de vos données désactivée quand c’est possible. La CNIL conseille d’éviter autant que possible d’envoyer des données personnelles à un service utilisé par API, et écrit qu’un déploiement sur site semble en général plus sûr pour ces données et les documents sensibles.

Faut-il une analyse d’impact (AIPD) pour utiliser l’IA ?

Pas systématiquement. Le RGPD l’exige avant un traitement à risque élevé, par exemple une évaluation systématique et approfondie de personnes, fondée sur un traitement automatisé, qui sert à prendre des décisions les affectant de manière significative. Votre DPO, s’il existe, doit être consulté, et pour un système à haut risque, les informations du fournisseur aident à la réaliser.