Règlement européen sur l'IA : ce qui change pour une TPE

Qu'est-ce que l'AI Act, en deux phrases

Le règlement européen sur l'IA (AI Act) a été publié au Journal officiel de l'Union européenne en juillet 2024. Il classe les systèmes d'intelligence artificielle selon leur niveau de risque et impose des obligations proportionnées : plus un système peut nuire, plus les contraintes sont lourdes. L'idée est simple, l'application l'est un peu moins.

Le calendrier réel, date par date

Tout ne s'applique pas en même temps. Voici ce qui compte pour une petite structure.

Pour la grande majorité des indépendants et dirigeants de TPE, l'horizon à surveiller est août 2026. D'ici là, les obligations directes sont limitées, mais pas nulles.

Ce qui ne vous concerne pas (ou presque pas)

L'AI Act distingue plusieurs rôles : le fournisseur, qui conçoit et met sur le marché un système d'IA, le déployeur, qui l'intègre dans un contexte professionnel spécifique, et l'utilisateur final. Quand vous utilisez ChatGPT, Claude ou Gemini pour rédiger une proposition commerciale, vous êtes utilisateur final. Les obligations les plus lourdes — documentation technique, enregistrement dans une base européenne, audit de conformité — pèsent sur le fournisseur, pas sur vous.

Les systèmes à haut risque (liste précise à l'annexe III du règlement) couvrent des domaines comme le recrutement automatisé, le scoring de crédit, la gestion des infrastructures critiques ou les décisions médicales. Si vous utilisez un outil grand public pour générer du texte, des images ou automatiser des e-mails, vous n'êtes pas dans cette catégorie.

Ce qui vous concerne vraiment

L'obligation de transparence envers vos clients

Dès lors qu'un outil d'IA interagit directement avec vos clients — un chatbot, une réponse automatique, un contenu personnalisé —, vous devez leur indiquer qu'ils ont affaire à un système automatisé. Ce principe est déjà dans le RGPD pour les décisions automatisées ; l'AI Act le renforce. En pratique : si votre site utilise un agent conversationnel, une mention claire suffit. Pas besoin d'une notice de dix pages.

Ne pas détourner l'usage prévu par le fournisseur

Si vous utilisez un outil d'IA dans un cadre que son éditeur n'a pas prévu — par exemple, utiliser un assistant généraliste pour prendre des décisions médicales ou juridiques à la place d'un professionnel qualifié —, vous pouvez engager votre responsabilité. L'AI Act tient le déployeur responsable de l'usage qu'il fait d'un système, même quand ce système est fourni par un tiers.

Vérifier ce que vos fournisseurs s'engagent à respecter

Les éditeurs d'outils d'IA à usage général doivent, depuis août 2025, publier leurs politiques de conformité. Cela vous donne un levier : vous pouvez demander à votre fournisseur ce qu'il s'engage à respecter, et le noter dans vos contrats ou CGU si vous revendez des prestations intégrant de l'IA. La CNIL publie des fiches pratiques qui croisent AI Act et RGPD, utiles pour comprendre vos marges.

Les trois actions concrètes à faire maintenant

• Faire un inventaire de vos outils d'IA. Listez chaque outil que vous utilisez, son usage précis et si des données clients transitent par lui. Une feuille de calcul suffit. Cet inventaire vous servira aussi pour le RGPD.
• Ajouter une mention de transparence là où l'IA interagit avec vos clients. Une ligne dans vos CGV, un bandeau sur votre site, une phrase en bas de vos e-mails automatiques. Le format importe moins que la clarté.
• Lire les conditions d'utilisation de vos deux ou trois outils principaux. Cherchez la section sur la conformité réglementaire ou l'AI Act. Si elle est absente, c'est un signal à surveiller.

Le cas particulier des TPE qui revendent une prestation incluant de l'IA

Si vous êtes consultant, agence ou prestataire et que vous intégrez de l'IA dans ce que vous livrez à un client, vous endossez un rôle de déployeur au sens du règlement. Vous n'êtes pas fournisseur (vous n'avez pas créé le modèle), mais vous choisissez de l'appliquer dans un contexte précis pour un client précis. Cela implique de vous assurer que l'usage est compatible avec la classification de risque de l'outil, et d'informer votre client de cette intégration. Sur ce point, le cadre légal existant — détaillé sur le site de la Commission européenne — est déjà suffisamment précis pour que vous puissiez adapter vos contrats sans attendre.

En résumé

L'AI Act ne transforme pas du jour au lendemain la vie d'une TPE de trois personnes qui utilise des outils grand public. Vos obligations réelles aujourd'hui se résument à informer vos clients quand l'IA les touche directement, à ne pas détourner les outils de leur usage prévu et à vérifier ce que vos fournisseurs s'engagent à respecter. Si vous revendez des prestations incluant de l'IA, prenez le temps d'adapter vos contrats avant août 2026. Le reste — audits, documentation technique, enregistrement — concerne les éditeurs et les entreprises qui déploient des systèmes à haut risque, pas la majorité des indépendants français.