L'AI Act européen pour les petites entreprises

Information juridique — à jour en juillet 2026. L’AI Act européen se met en place progressivement sur plusieurs années, les dates et les orientations changent, et cet article est une orientation générale, pas un avis juridique. Vérifiez vos obligations actuelles avec un spécialiste européen ou belge, en partant de la documentation sur l’AI Act de la Commission européenne. Nous gardons en ligne la version maintenue et datée de ce document.

L’AI Act — le règlement européen sur l’IA — est facile à sursimplifier, et les résumés pleins d’assurance que vous lirez en ligne sont souvent faux. Voici une orientation datée sur les rôles clés du règlement, ses catégories de risques et ses échéances actuelles : de quoi comprendre la forme du texte et poser les bonnes questions, sans prétendre vous donner une liste définitive d’obligations. Savoir si une obligation s’applique réellement dépend des faits précis et des articles concernés — prenez donc tout ce qui suit comme un point de départ pour un examen sérieux.

Comprenez votre rôle probable

Le règlement distingue les fournisseurs — ceux qui développent un système d’IA (ou le font développer) et le mettent sur le marché ou en service sous leur propre nom ou marque — des déployeurs, qui utilisent un système d’IA sous leur autorité à des fins professionnelles, parmi d’autres rôles. La plupart des petites entreprises qui utilisent des outils ordinaires sont plus proches du déployeur que du fournisseur — mais le rôle, et les obligations qui vont avec, dépendent de ce que vous faites réellement du système et dans quel contexte. Ne partez pas du principe qu’une seule étiquette règle la question.

Les mesures de maîtrise de l’IA

Un point durable et largement applicable : les fournisseurs et les déployeurs doivent prendre des mesures proportionnées pour assurer la maîtrise de l’IA chez leur personnel et les autres personnes qui utilisent l’IA pour leur compte — adaptées à leurs connaissances existantes, à la façon dont le système est utilisé et aux personnes qui peuvent être concernées. Aucun niveau précis de compréhension n’est garanti ni exigé par personne ; c’est à l’entreprise de prendre des mesures adaptées. Pour une petite entreprise, le cœur pratique consiste à s’assurer que les personnes qui s’appuient sur les résultats de l’IA savent ce qu’elle fait, où elle se trompe et qu’elle doit être vérifiée — un élément utile du tableau juridique, et le cœur de l’humain dans la boucle.

Certains usages sont interdits ou strictement encadrés

Plutôt que quatre « niveaux » bien rangés qui décideraient de vos obligations, voyez un spectre avec quelques repères :

• Les pratiques interdites. Un ensemble défini d’usages est purement interdit — par exemple certains systèmes manipulateurs et la notation sociale. Utiliser l’IA pour déduire les émotions sur le lieu de travail est interdit, sauf si le système est destiné à des fins médicales ou de sécurité. Ces règles s’accrochent à des pratiques précises, pas à la taille de l’entreprise.
• Les usages à haut risque. Certains usages — par exemple certaines applications de l’IA dans le recrutement et l’évaluation du personnel — sont classés à haut risque et emportent des obligations précises de classification et de déployeur. La plupart de ces obligations « haut risque » ont été reportées et s’appliqueront progressivement à partir de fin 2027 (plus tard encore pour les systèmes liés à des produits). Ces dates reportées ne repoussent pas le RGPD, le droit anti-discrimination, la confidentialité ni le droit du travail, qui s’appliquent dès aujourd’hui. Si vous envisagez l’IA pour la sélection RH ou un usage semblable, ce n’est pas une case générique « faire une analyse de risques » à cocher ; faites vérifier la classification réelle, les obligations et les dates en vigueur.
• Tout le reste. Pour l’AI Act lui-même, les mesures de maîtrise de l’IA ci-dessus sont l’essentiel pour la plupart des usages de bureau quotidiens. Le RGPD, la confidentialité, la propriété intellectuelle, la protection des consommateurs et les obligations professionnelles peuvent toujours s’appliquer pleinement.

La bonne question n’est pas « dans laquelle des quatre cases suis-je ? », mais « une règle précise s’accroche-t-elle à ce que je fais réellement ? »

Les obligations de transparence sont plus étroites qu’on ne le croit

Il n’existe aucune obligation générale d’étiqueter tout contenu généré par l’IA. Les règles de transparence (article 50), applicables à partir du 2 août 2026 (avec une courte transition pour certains systèmes déjà sur le marché), sont précises — et elles se répartissent par rôle :

• L’interaction avec un chatbot. Les personnes doivent pouvoir savoir quand elles ont affaire à un système d’IA plutôt qu’à un humain. L’obligation de conception pèse surtout sur le fournisseur, et elle ne s’applique pas quand la nature IA est déjà évidente — mais si vous exploitez un chatbot face aux clients, c’est vous qui êtes face au client : assurez-vous que l’information lui parvient réellement, clairement et à temps.
• Les contenus synthétiques et manipulés. Les fournisseurs de systèmes génératifs doivent faire en sorte que les contenus audio, image, vidéo et texte synthétiques concernés soient marqués de façon lisible par machine et détectables. À part cela, une entreprise qui publie une image, un son ou une vidéo qui constitue un hypertrucage (deepfake) doit le signaler clairement et de manière perceptible — une marque lisible par machine ne suffit pas. Les œuvres artistiques, créatives ou satiriques ne sont pas exemptées de ce signalement, même s’il peut être présenté d’une manière qui ne gâche pas l’œuvre.
• Certains textes d’intérêt public. Certains textes générés par l’IA et publiés pour informer le public portent une obligation de signalement — avec une exception quand le texte a fait l’objet d’une relecture humaine substantielle ou d’un contrôle éditorial et qu’une personne ou une entité en assume la responsabilité éditoriale. Une relecture superficielle ne suffit pas pour en bénéficier.

Le conseil honnête est donc : rendez claire la nature d’un chatbot, signalez les hypertrucages de manière perceptible, marquez les médias synthétiques comme il faut — et n’appliquez pas à outrance une règle « tout étiqueter » que le règlement n’impose pas.

Une gouvernance raisonnable (pas une liste légale)

Rien de ce qui suit n’est, en soi, une exigence légale universelle — mais chaque point peut améliorer le contrôle, révéler des manques et vous aider à documenter vos décisions :

1. Une courte politique IA — quels outils sont autorisés, quelles données peuvent y entrer, qui peut faire quoi.
2. Un inventaire simple — quels outils sont utilisés, où et pour quoi.
3. Une classification des données — voir quelles données confier à l’IA.
4. Une trace de la sensibilisation du personnel — qui soutient aussi les mesures de maîtrise de l’IA.
5. Un réexamen périodique — à revoir à mesure que les outils et le droit évoluent.

Les obligations légales pèsent sur l’entreprise elle-même, et nommer un coordinateur IA ne les transfère pas — documentez clairement la responsabilité interne. Et si vous nommez quelqu’un, réfléchissez avant de fusionner simplement ce rôle avec votre fonction de protection des données : les deux peuvent entrer en conflit, et l’indépendance peut compter. Prenez conseil plutôt que de supposer que c’est le même poste.

Mises en garde

• Surveiller le personnel avec l’IA est un terrain glissant. La déduction des émotions par l’IA au travail est interdite (hors exception médicale ou de sécurité), et l’analyse des communications du personnel est régie séparément par le RGPD et, en Belgique, par les conventions collectives de travail.
• Le droit du travail belge ajoute des obligations. Introduire de nouveaux systèmes d’IA peut déclencher des obligations d’information et de consultation envers les représentants du personnel — impliquez-les tôt si vous en avez.
• Les règles bougent encore. Les dates et les orientations continuent de changer — un paquet de simplification de l’UE adopté mi-2026 a repoussé la plupart des échéances « haut risque » à fin 2027 et au-delà, tandis que la date de transparence de l’article 50 n’a pas bougé. Confirmez la situation actuelle avant d’agir.

Une matinée passée sur les bases, plus une vérification par un spécialiste là où c’est important, vous aide à voir où des contrôles de routine suffisent et où un travail de spécialiste s’impose — avec l’humain dans la boucle là où ça compte.

Ce qu’il faut faire

1. Prenez des mesures proportionnées et documentées pour développer la maîtrise de l’IA chez les personnes qui utilisent l’IA pour votre entreprise.
2. Esquissez une courte politique, un inventaire et une classification des données, au titre des bonnes pratiques.
3. Rendez claire la nature de tout chatbot pour les clients, signalez les hypertrucages de manière perceptible et marquez les médias synthétiques comme il faut — sans sur-étiqueter.
4. Pour tout ce qui touche aux RH, à la surveillance du personnel ou à d’autres usages à plus haut risque, faites vérifier les obligations réelles par un spécialiste — et rappelez-vous que le RGPD et le droit du travail s’appliquent dès maintenant, quelles que soient les dates de l’AI Act.
5. Lisez les orientations officielles — la documentation sur l’AI Act de la Commission européenne, y compris ses lignes directrices de transparence au titre de l’article 50 — et prenez cette page comme une simple orientation.