Le constat : L'AI Act (règlement européen 2024/1689) entre dans sa phase la plus sensible le 2 août 2026. Cette date n'est pas négociable et touche directement les PME françaises qui utilisent ou déploient des systèmes IA — pas seulement les éditeurs de modèles.
Pourtant, beaucoup de dirigeants pensent encore que "l'AI Act, c'est pour OpenAI et Google". Faux. Si vous utilisez un agent IA dans votre process commercial, RH ou support, vous êtes déployeur au sens du règlement et vous avez des obligations. Voici lesquelles, sans jargon, avec les actions concrètes à mener avant l'été.
1. AI Act : un calendrier, 4 niveaux de risque
Le calendrier d'application
L'AI Act a été adopté en août 2024 et s'applique progressivement :
- Février 2025 : interdiction des pratiques à risque inacceptable (notation sociale, manipulation comportementale)
- Août 2025 : obligations pour les modèles d'IA à usage général (ChatGPT, Claude, Gemini)
- Août 2026 ⚠️ : la majorité des obligations entrent en application, dont celles sur les systèmes à haut risque
- Août 2027 : conformité finale pour les systèmes pré-existants en haut risque
Les 4 niveaux de risque
L'AI Act classe les systèmes selon leur impact potentiel sur les droits fondamentaux. Cette classification détermine vos obligations.
Bonne nouvelle pour les PME : la majorité des cas d'usage courants (chatbot client, automatisation devis, support interne) tombent en risque limité ou minimal. Les obligations restent gérables.
Attention aux cas piège : dès que votre IA prend une décision affectant directement une personne (embauche, accès crédit, suivi RH, scoring candidat), vous basculez en haut risque, peu importe la taille de votre PME.
2. Vos obligations dépendent de votre rôle
L'AI Act distingue plusieurs rôles. Pour une PME française, deux concernent quasi tout le monde : déployeur et, plus rarement, fournisseur.
Si vous êtes déployeur (cas le plus fréquent)
Vous utilisez un système IA conçu par un tiers (OpenAI, Anthropic, Lewis, etc.) dans vos opérations. Vos obligations principales sur les systèmes à haut risque :
- Supervision humaine effective : un humain peut comprendre, valider et stopper le système
- Conserver les journaux d'audit du système au moins 6 mois
- Informer les personnes concernées (candidats, clients) qu'une IA intervient dans la décision
- Vérifier la qualité des données que vous fournissez en entrée
- Suivre la performance et signaler les incidents graves à l'autorité compétente
Si vous êtes fournisseur (rare en PME)
Vous concevez et mettez sur le marché un système IA (vous l'avez développé en interne, ou avez fait du fine-tuning substantiel d'un modèle existant). Obligations supplémentaires : marquage CE, documentation technique complète, système de management de la qualité, déclaration de conformité.
"La plupart des PME pensent à tort qu'elles sont fournisseurs parce qu'elles 'utilisent l'IA'. Non : utiliser, c'est déployer. Concevoir et mettre sur le marché, c'est fournir. La distinction change radicalement vos obligations."
3. Les 5 actions concrètes à mener avant le 2 août 2026
On vous demande souvent : "Par où commencer ?". Voici les cinq actions prioritaires pour une PME française.
Action 1 : faire l'inventaire de vos systèmes IA
Listez tous les systèmes IA utilisés dans votre PME : chatbots, agents IA, outils de scoring, scripts d'automatisation, fonctions IA dans vos SaaS (HubSpot, Notion, etc.). Beaucoup d'IA sont "cachées" dans les outils que vous utilisez déjà sans le savoir.
Action 2 : classer chaque système par niveau de risque
Pour chaque système, posez-vous trois questions : prend-il une décision affectant directement une personne (RH, crédit, accès) ? Traite-t-il des données sensibles (santé, biométrie) ? Est-il utilisé dans un contexte critique ? Si oui à l'une, vous êtes potentiellement en haut risque.
Action 3 : produire la documentation manquante
Pour chaque système à haut risque : DPIA, FRIA (analyse d'impact sur les droits fondamentaux), description des données d'entraînement et de validation, procédure de supervision humaine, plan de gestion des incidents. Pour les autres : documentation simplifiée mais traçable.
Action 4 : implémenter les obligations de transparence
Tout chatbot doit informer l'utilisateur qu'il discute avec une IA. Tout contenu généré par IA (texte, image, voix) doit être marqué comme tel. Tout candidat à un poste doit être informé qu'une IA participe à l'évaluation. Ces mentions sont concrètes : 2 lignes en pied d'email, 1 sticker dans l'interface.
Action 5 : former vos équipes
L'AI Act introduit une obligation explicite de littératie IA : les personnes qui utilisent ou supervisent un système IA doivent comprendre ses capacités, ses limites et ses risques. Une demi-journée de formation suffit pour la plupart des PME, mais elle doit être documentée.
4. Cas concret : RH d'un cabinet de recrutement
Contexte : un cabinet de recrutement français (15 consultants, 1 200 candidatures par mois) qui utilise un agent IA pour le tri CV et le scoring initial des candidats. Cas d'usage RH = haut risque au sens AI Act, peu importe la taille du cabinet.
Diagnostic initial (avant accompagnement Lewis)
- Aucune DPIA en place pour le système de scoring CV
- Aucune information aux candidats qu'une IA intervient dans le tri
- Logs de scoring conservés 30 jours seulement (insuffisant)
- Pas de procédure de recours humain documentée pour les candidats refusés
- Données d'entraînement de l'IA non documentées
Mise en conformité Lewis (3 semaines)
- Semaine 1 : DPIA + FRIA produites, classification AI Act documentée, données d'entraînement tracées
- Semaine 2 : ajout d'une mention "Une IA participe à l'évaluation initiale de votre candidature, vous pouvez demander un examen humain à tout moment" sur tous les formulaires de candidature, ajout d'un workflow d'opposition explicite
- Semaine 3 : passage des logs à 6 mois, dashboard de supervision humaine livré aux 3 consultants seniors, formation littératie IA de 4h pour l'ensemble du cabinet
Résultat : conformité AI Act validée par audit externe, sans baisse de productivité du tri CV. Le cabinet peut continuer d'utiliser son agent IA RH avec sérénité.
5. AI Act + RGPD : ce qui se cumule (et ne se substitue pas)
Beaucoup de dirigeants pensent à tort que "puisque je suis RGPD, l'AI Act est couvert". Faux. Les deux règlements se cumulent avec des angles différents.
- RGPD protège les données personnelles : finalité, minimisation, durée, droits des personnes
- AI Act protège les droits fondamentaux face aux décisions algorithmiques : transparence, supervision, robustesse, biais
Pour un système à haut risque, vous devez désormais produire une DPIA (RGPD) et une FRIA (AI Act). Bonne nouvelle : Lewis fournit un template combiné qui couvre les deux dans un seul document. Plus de détails sur notre approche RGPD agents IA.
6. Sanctions et risques réels pour une PME
Le barème des sanctions de l'AI Act fait peur sur le papier. En pratique pour une PME française, l'enjeu est moins l'amende maximale théorique que la réputation, le contrat client perdu et le recours d'un candidat ou d'un salarié.
Le barème théorique
- Pratiques interdites : jusqu'à 35 M€ ou 7% du CA mondial annuel
- Manquements obligations haut risque : jusqu'à 15 M€ ou 3% du CA mondial annuel
- Information incorrecte fournie aux autorités : jusqu'à 7,5 M€ ou 1,5% du CA mondial annuel
Les risques réels au quotidien
- Recours individuels : un candidat refusé qui prouve qu'aucun humain n'a revu sa candidature peut saisir la CNIL ou le tribunal
- Audit clients : vos clients grands comptes (qui sont eux soumis à l'AI Act sur l'ensemble de leur chaîne) vont vous demander de prouver votre conformité avant de signer
- Réputation : un incident IA visible (biais, décision absurde) peut tuer une PME plus vite qu'une amende
Synthèse AI Act PME
- Échéance critique : 2 août 2026
- Inventaire + classification = action 1 prioritaire
- RH, crédit, suivi candidat = haut risque automatique
- AI Act ne remplace pas le RGPD : ils se cumulent