Règlement européen sur l'IA : ce qui change vraiment pour une petite entreprise

En une phrase

Le règlement encadre l'IA selon le risque de chaque usage : il interdit quelques pratiques, impose des règles strictes à quelques usages sensibles, demande de la transparence dans certains cas, et laisse tout le reste libre. Pour la plupart des usages d'une petite entreprise (rédiger un mail, résumer un document, préparer un devis), il n'impose aucune obligation spécifique.

Vous êtes « déployeur »

Le règlement distingue deux rôles principaux :

• le fournisseur, qui conçoit l'outil (l'éditeur de l'assistant que vous utilisez)
• le déployeur, qui l'utilise dans son activité professionnelle.

Une entreprise qui utilise un assistant d'IA pour son travail est déployeur. Les obligations les plus lourdes pèsent sur les fournisseurs, pas sur vous. L'usage strictement personnel, lui, n'est pas concerné.

Ce qui s'applique déjà

Depuis le 2 février 2025 : les pratiques interdites. Notation sociale des personnes, manipulation, reconnaissance des émotions sur le lieu de travail, entre autres. Une petite entreprise n'y est presque jamais confrontée, mais un point mérite attention : analyser les émotions de vos salariés (par exemple pendant des appels ou des réunions) est interdit, sauf raisons médicales ou de sécurité.

Depuis le 2 août 2026 : la transparence. Deux situations concernent directement une entreprise utilisatrice :

• si vous publiez une image, une vidéo ou un son réaliste généré par l'IA qui peut passer pour authentique (un « hypertrucage »), vous devez indiquer qu'il a été généré ou modifié par l'IA.
• si vous publiez un texte généré par l'IA pour informer le public sur une question d'intérêt général, vous devez le signaler, sauf s'il a été relu et que vous en assumez la responsabilité éditoriale.

À l'inverse, un post, une fiche produit ou un mail rédigés avec l'IA puis relus n'imposent aucune mention au titre du règlement. Le marquage technique des contenus (filigrane, métadonnées) incombe aux éditeurs des outils, pas à vous.

Et toujours : le RGPD. Le règlement sur l'IA s'ajoute à la protection des données, il ne la remplace pas. Mettre des données personnelles de clients dans un assistant d'IA reste soumis au RGPD, quel que soit le niveau de risque.

Ce qui est reporté

Les règles du « haut risque » concernent des usages sensibles listés par le règlement : recrutement et gestion du personnel, éducation et formation, accès au crédit, assurance santé, entre autres. Elles devaient s'appliquer au 2 août 2026. L'omnibus numérique adopté en juillet 2026 les a reportées au 2 décembre 2027 (et au 2 août 2028 pour l'IA intégrée à des produits réglementés comme les machines ou les dispositifs médicaux).

Prudence toutefois : reporté ne veut pas dire abandonné. Mieux vaut savoir dès maintenant si l'un de vos usages entre dans cette catégorie.

Les deux pièges à éviter

1. Trier des candidatures avec l'IA. C'est le cas le plus fréquent dans les petites entreprises. Utiliser un assistant pour rédiger une annonce ne pose pas de problème. L'utiliser pour classer ou écarter des candidats fait basculer l'usage dans le haut risque, avec des obligations de contrôle humain, de surveillance et d'information des candidats. Retenez la règle simple : l'IA peut aider à écrire l'annonce, pas à choisir les candidats.

2. Déployer l'IA sans en parler à ses équipes. Pour une entreprise d'au moins 50 salariés, introduire de nouveaux outils numériques qui modifient les conditions de travail suppose de consulter le comité social et économique (CSE). Ce n'est pas le règlement européen, c'est le Code du travail, et il s'applique dès aujourd'hui. En février 2025, le tribunal judiciaire de Nanterre a suspendu le déploiement d'outils d'IA dans une entreprise jusqu'à la fin de la consultation du CSE. Dans les plus petites structures, informer simplement ses équipes reste une bonne pratique.

Et la formation ?

Le règlement demandait initialement à chaque entreprise de « garantir » un niveau suffisant de maîtrise de l'IA chez ses équipes (article 4). L'omnibus numérique a assoupli cette règle : ce sont désormais la Commission et les États qui doivent soutenir et faciliter le développement des compétences. Former ses équipes n'est donc plus une obligation générale stricte. Cela reste en revanche le meilleur moyen d'éviter les usages risqués (données sensibles dans des outils non réglés, tri de candidatures) et de transformer l'IA en gain de temps réel.

Les sanctions

Elles sont élevées sur le papier : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Mais pour les PME, c'est le montant le plus faible des deux qui s'applique. En France, les autorités chargées de contrôler le règlement ne sont pas encore définitivement désignées : la CNIL devrait jouer le rôle central.

En résumé

Le règlement sur l'IA n'est pas une menace pour une petite entreprise. Il demande surtout de savoir ce que l'on fait, et de garder l'humain aux commandes là où ça compte. C'est exactement la démarche que je propose à mes clients.