AI Act et TPE : ce que faire avant la date limite

Pourquoi ce règlement vous concerne, même si vous ne codez pas

L'AI Act (règlement UE 2024/1689) est souvent présenté comme un texte pour les grandes entreprises technologiques. C'est inexact. Il s'applique à toute personne qui utilise un système d'IA dans un contexte professionnel, à partir du moment où cette utilisation touche des personnes dans l'Union européenne.

En tant que TPE ou indépendant, vous êtes ce que le règlement appelle un « déployeur » : vous n'avez pas créé l'outil, mais vous le mettez en œuvre dans votre activité. Cette position crée des obligations spécifiques, distinctes de celles des fournisseurs comme OpenAI ou Anthropic.

La bonne nouvelle : vos obligations sont proportionnées. Elles sont bien moins lourdes que celles d'un hôpital ou d'une banque. Mais elles existent, et elles sont déjà partiellement en vigueur.

Le calendrier réel, sans embrouillamini

Le règlement est entré en vigueur le 1er août 2024. Il s'applique ensuite par vagues successives.

Sur le même sujet, lisez aussi « Responsabilité juridique d'un contenu généré par IA : qui paie ? » et « Règlement européen sur l'IA : ce qui change pour une TPE ».

Ce que cela signifie concrètement : depuis février 2025, vous ne pouvez plus utiliser certains types de systèmes d'IA, et vous devez vous assurer que votre équipe — même si elle se résume à vous — comprend a minima ce qu'elle utilise. C'est l'obligation dite de « littératie en matière d'IA ».

L'obligation de littératie : ce n'est pas une option

L'article 4 du règlement impose aux déployeurs de veiller à ce que les personnes qui utilisent des outils IA en leur nom disposent d'un niveau suffisant de compréhension. Pas d'un diplôme, pas d'une certification : d'une compréhension proportionnée à l'usage.

En pratique, si vous utilisez ChatGPT pour rédiger des emails clients, vous devez être capable d'expliquer ce que fait l'outil, quelles données vous lui transmettez, et quels risques vous en avez tirés. Si vous déléguez cet usage à un collaborateur ou à un prestataire, vous devez vous assurer que cette personne a le même niveau de compréhension.

Concrètement, voici ce que vous pouvez faire dès maintenant :

• Lire les conditions d'utilisation et la politique de confidentialité de chaque outil IA que vous utilisez.
• Vérifier si l'outil utilise vos données pour entraîner ses modèles, et désactiver cette option si elle existe.
• Tenir une liste simple de vos outils IA, avec l'usage que vous en faites et les types de données impliquées.

Les pratiques interdites : vérifiez que vous n'y êtes pas

Depuis le 2 février 2025, certaines utilisations de l'IA sont purement et simplement interdites. En tant que TPE, les cas les plus susceptibles de vous concerner :

• La manipulation subliminale : utiliser une IA pour influencer des décisions à l'insu des personnes, en contournant leur libre arbitre. Si vous utilisez un chatbot de vente, assurez-vous qu'il ne pousse pas à l'achat par des techniques de pression cachées.
• L'exploitation de vulnérabilités : cibler des personnes en situation de fragilité (âge, handicap, précarité) avec des techniques d'influence automatisées.
• La notation sociale : évaluer des individus sur la base de leur comportement général pour leur accorder ou refuser un service. Attention si vous utilisez des outils de scoring client.

Ces interdictions ne sont pas nouvelles dans l'esprit : le RGPD couvrait déjà une partie de ces cas. L'AI Act les rend explicites et ajoute des sanctions propres.

Transparence : ce que vous devez dire à vos clients

Si vous utilisez de l'IA pour interagir avec vos clients — chatbot, email automatisé, réponse générée — vous devez le signaler. L'obligation de transparence s'applique dès lors que la personne en face pourrait croire qu'elle interagit avec un humain.

La CNIL rappelle que cette transparence s'articule avec les obligations du RGPD : informer sur le traitement des données reste une obligation distincte, qui s'ajoute à celle de l'AI Act et ne s'y substitue pas.

Ce que cela change pour vous :

• Si votre chatbot de prise de rendez-vous est alimenté par une IA, mentionnez-le clairement sur la page ou dans la première interaction.
• Si vous envoyez des emails rédigés par une IA à des prospects, une mention discrète mais lisible est une bonne pratique, et bientôt une obligation explicite selon l'évolution des textes d'application.
• Si vous produisez du contenu deepfake ou des images hyper-réalistes générées, l'étiquetage est obligatoire.

Les systèmes à haut risque : comment savoir si vous êtes concerné

Le règlement classe les usages de l'IA par niveau de risque. La grande majorité des usages d'une TPE — rédaction de contenu, assistance administrative, génération d'images — relève de la catégorie à risque minimal ou limité. Les obligations y sont légères.

En revanche, si vous intervenez dans l'un des secteurs suivants avec un outil d'IA qui influence une décision importante sur une personne, vous entrez dans la zone à haut risque :

• Recrutement ou évaluation de candidats
• Accès à des services essentiels (logement, crédit, assurance)
• Éducation et orientation professionnelle
• Santé et décisions médicales
• Justice et procédures légales

Si vous êtes consultant RH et utilisez un outil pour présélectionner des CV, ou si vous êtes conseiller financier et qu'un algorithme aide à scorer vos clients, la question mérite un examen sérieux, idéalement avec un juriste spécialisé.

En résumé

L'AI Act ne demande pas à une TPE de recruter un délégué à la protection des IA ou de produire des rapports de conformité trimestriels. Il demande trois choses simples : savoir ce que vous utilisez, comprendre ce que ça fait, et être transparent avec vos clients quand c'est nécessaire. Dressez votre liste d'outils, vérifiez les options de confidentialité, et ajoutez une mention claire partout où une IA parle à vos clients à votre place. C'est la base, elle est à votre portée, et elle suffira pour l'essentiel des situations rencontrées par un indépendant ou un dirigeant de TPE en 2025.