Le Règlement européen sur l'IA pour les PME : quelles obligations pour vous, et quand ?
La plupart des entreprises utilisent seulement des outils d’IA. Voyez ce que la loi vous demande, et ce qui peut attendre.
Êtes-vous concerné ?
Quatre questions pour vous situer.
Oui seulement à la première : vos obligations sont légères. Chaque oui de plus en ajoute. Les critères exacts figurent plus bas, dans la partie destinée à votre DSI.
- Vos équipes utilisent-elles des outils d’IA ?ChatGPT, Claude, Copilot, ou l’IA intégrée à vos logiciels. Le règlement vous appelle alors « déployeur » : une entreprise qui utilise l’IA. Votre principale obligation est d’aider vos équipes à comprendre les outils qu’elles utilisent.
- Un de vos usages pourrait-il être interdit ?Par exemple, un logiciel qui analyse les émotions de vos salariés. Quelques usages sont interdits, et une vérification rapide les écarte.
- L’IA vous aide-t-elle à décider sur des personnes ?Recrutement, crédit, tarification d’assurance, accès à la formation ou aux services publics. Ces usages « à haut risque » suivent des règles plus strictes dès le 2 décembre 2027.
- Vendez-vous un produit qui intègre de l’IA ?Même construit sur un modèle comme ChatGPT ou Claude. Vous en êtes alors en général le « fournisseur ». Les personnes doivent savoir qu’elles ont affaire à une IA, et les contenus produits par l’IA doivent être marqués.
Pas concerné ?
Obligations légères ? Vos clients peuvent quand même demander.
Les grands comptes demandent désormais, dans leurs questionnaires de sécurité et leurs contrats, comment vous encadrez l’IA. Une courte politique d’usage et une liste d’outils autorisés répondent à la plupart de ces questions.
Comment nous fixons les règles d’usage de l’IACe qui change pour vous
Pour la plupart des entreprises : des règles claires et une vérification.
Si vos équipes utilisent seulement des outils d’IA, le règlement demande deux choses. Aider vos équipes à comprendre les outils qu’elles utilisent, à la mesure du risque ; aucun test ni certificat n’est exigé. Et vérifier qu’aucun de vos usages n’est interdit.
Des règles plus strictes s’appliquent dès le 2 décembre 2027 à l’IA qui aide à décider sur des personnes, comme le recrutement ou le crédit. Elles portent sur la supervision humaine, la conservation de traces et parfois une analyse d’impact. Les entreprises qui vendent ces systèmes portent la charge la plus lourde.
Pour la plupart des entreprises, le vrai risque n’est pas l’amende. Ce sont des données clients copiées dans le mauvais outil, ou une réponse de l’IA envoyée à un client sans relecture. Trois règles couvrent l’essentiel : quelles données peuvent y entrer, quels outils sont autorisés, et une relecture humaine avant tout envoi à un client.
Par où commencer
Recenser vos usages de l’IA, puis fixer les règles.
Ce que nous livrons
- La liste de chaque outil et fonction d’IA utilisés, avec votre rôle pour chacun
- La vérification qu’aucun usage n’est interdit, ou à haut risque à votre insu
- Une politique d’usage de l’IA et une liste d’outils autorisés
- Une sensibilisation adaptée aux outils de chaque métier
- Si l’IA décide sur des personnes : le plan haut risque, avec l’échéance de 2027 dans votre calendrier
Qui fait quoi
Nous fixons les règles. Vos équipes et fournisseurs exploitent l’IA.
Ce que nous pilotons
- Recenser vos usages de l’IA et votre rôle pour chaque outil
- Repérer les usages interdits et à haut risque
- Rédiger la politique d’usage et la liste d’outils autorisés
- Former vos équipes aux outils qu’elles utilisent
- Préparer les preuves qu’un client ou une autorité demandera
Ce qui reste chez votre prestataire informatique
- Configurer les outils d’IA et leurs réglages de données
- Gérer les comptes et les accès
- Conserver les journaux et traces prévus par le plan
Nous ne développons, ne déployons ni ne configurons de systèmes d’IA.
Pour commencer
Première étape : la carte de vos usages de l’IA.
En 1 à 2 semaines, vous savez quelle IA vous utilisez, votre rôle pour chaque outil et les règles qui s’appliquent. La suite est dimensionnée à partir de cette carte, au forfait.
- Prix
- Forfait fixe
- Durée
- Premiers résultats en 1 à 2 semaines
Devis ferme après l'appel gratuit.
Découvrir le service Gouvernance de l’IAPour votre DSI, DPO ou DAF
Ce que le règlement exige, article par article.
Le jeu d'obligations qui vous concerne est cadré en Phase 1 (Découverte) selon votre rôle et vos systèmes. Voici les articles qui touchent le plus souvent une PME.
- 01Art. 5
Pratiques IA interdites
En vigueur depuis février 2025. Notation sociale, moissonnage non ciblé d'images faciales, reconnaissance des émotions au travail et en éducation, certaines catégorisations biométriques. L'Omnibus 2026 en a ajouté deux — la génération par IA d'images intimes non consenties, et celle de contenus pédopornographiques — applicables au 2 décembre 2026. Porte la bande d'amende maximale, dont les petites entreprises à moyenne capitalisation ne bénéficient d'aucun allègement.
- 02Art. 4
Maîtrise de l'IA
En vigueur depuis février 2025, et assouplie par l'Omnibus. Les fournisseurs et déployeurs doivent prendre des mesures pour favoriser le développement de la maîtrise de l'IA chez le personnel qui l'utilise ou la supervise, proportionnées au risque et au contexte d'usage. L'article amendé précise expressément qu'aucun niveau particulier n'a à être garanti pour quiconque — une obligation de moyens, non de résultat.
- 03Art. 6 · annexe III
Classification haut risque
Huit domaines de l'annexe III définissent l'usage haut risque autonome : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, accès aux services essentiels publics et privés (dont solvabilité et assurance), forces de l'ordre, migration et contrôle aux frontières, et administration de la justice.
- 04Art. 9 · 10
Gestion des risques & gouvernance des données
Les fournisseurs de systèmes haut risque doivent exploiter un système continu de gestion des risques sur tout le cycle de vie et garantir la qualité, la pertinence et la représentativité des données d'entraînement, de validation et de test.
- 05Art. 13 · 14
Transparence & supervision humaine
Les systèmes haut risque doivent être suffisamment transparents pour que les déployeurs les interprètent et les utilisent correctement, et être conçus pour une supervision humaine effective — y compris la capacité d'intervenir, de passer outre ou d'arrêter le système.
- 06Art. 15
Exactitude, robustesse & cybersécurité
Les systèmes haut risque doivent atteindre un niveau approprié d'exactitude, de robustesse et de cybersécurité sur tout leur cycle de vie — résistants aux erreurs, aux défaillances et aux tentatives adverses de manipuler le modèle ou ses données.
- 07Art. 26
Devoirs du déployeur (haut risque)
En vigueur en décembre 2027. Utilisation conforme aux instructions du fournisseur, supervision humaine compétente, surveillance de l'exploitation et conservation des journaux, suspension et signalement en cas de risque, information des personnes concernées. Le jeu d'obligations principal pour qui déploie de l'IA annexe III.
- 08Art. 27
Évaluation d'impact sur les droits fondamentaux
Les organismes publics et certains déployeurs privés d'IA haut risque (dont solvabilité et évaluation du risque assurantiel) doivent réaliser une EIDF avant déploiement. Conçue pour s'intégrer à l'AIPD du RGPD plutôt que de la dupliquer.
- 09Art. 50
Obligations de transparence
S'applique depuis le 2 août 2026, et n'a explicitement pas été reportée. Les utilisateurs doivent être informés qu'ils interagissent avec une IA ; les contenus générés ou manipulés par IA (hypertrucages, médias de synthèse) doivent être divulgués et marqués de façon lisible par machine. L'article 111(4) laisse aux systèmes mis sur le marché avant le 2 août 2026 jusqu'au 2 décembre 2026 pour satisfaire à cette obligation de marquage.
- 10Art. 53 · 55
Modèles d'IA à usage général
En vigueur depuis août 2025. Les fournisseurs GPAI doivent tenir une documentation technique, publier un résumé des données d'entraînement et respecter le droit d'auteur de l'UE ; les modèles présentant un risque systémique portent des devoirs supplémentaires d'évaluation, de tests adverses et de signalement d'incidents.
Article 99 : trois bandes d'amende, et un vrai amortisseur PME.
Les amendes du Règlement IA sont proportionnées à la gravité du manquement et fixées comme le montant le plus élevé entre une somme forfaitaire et un pourcentage du chiffre d'affaires annuel mondial. Les pratiques interdites de l'Article 5 sont dans la bande supérieure ; les obligations haut risque et de transparence qui s'imposent sur 2026–2028 sont dans la bande intermédiaire ; fournir des informations inexactes ou trompeuses aux autorités est dans la bande inférieure.
Il existe un amortisseur réel pour les plus petites organisations, et ce n'est pas le même pour tout le monde. Au titre de l'article 99(6), une PME ou start-up acquitte le montant le plus faible entre la somme forfaitaire et le pourcentage, et ce sur les trois bandes — l'inverse de la règle applicable aux grandes entreprises. Une entreprise à 2 M€ de chiffre d'affaires plafonne donc à 140 000 € en bande supérieure, pas 35 M€. L'Omnibus a ajouté l'article 99(6 bis) pour les petites entreprises à moyenne capitalisation, mais pour les seules bandes à 15 M€ / 3 % et 7,5 M€ / 1 % : une petite entreprise à moyenne capitalisation qui enfreint les interdictions de l'Article 5 encourt toujours le montant le plus élevé, soit 35 M€ ou 7 %. Et les conséquences réputationnelles et commerciales d'un parc IA non documenté — qui ressortent dans toute due diligence client, partenaire ou assureur — mordent généralement bien avant le régulateur.
Pratiques interdites (Art. 5)
35 M€ / 7 %
le plus élevé, du chiffre d'affaires annuel mondial. Seules les PME acquittent le plus faible dans cette bande.
Obligations haut risque & transparence
15 M€ / 3 %
la plupart des manquements des opérateurs, Article 50 compris. Les fournisseurs de modèles d'IA à usage général relèvent de l'Article 101 : amendes infligées par la Commission, au même plafond, depuis août 2026.
Informations inexactes
7,5 M€ / 1 %
informations trompeuses ou incomplètes aux autorités. Les PME et les petites entreprises à moyenne capitalisation paient le montant le plus faible.
Calendrier type
Le report Omnibus est une marge de planification, pas des vacances. Une mission Déploiement d'IA Réglementé, plus le pilote, la validation et un cycle de remédiation, représente un projet de sept à neuf mois : la dernière date réaliste de kick-off pour décembre 2027 est donc le premier trimestre 2027. Et l'échéance du Règlement IA la plus proche n'est pas en 2027 — c'est le 2 décembre 2026.
1–2 semaines
Découverte & classification
Inventaire du parc IA, détermination du rôle, classification par système et par niveau de risque, et un Profil de mission qui cadre la suite.
Après la découverte
Analyse des risques & des écarts
Évaluation des risques IA alignée ISO/IEC 23894 par système, analyse d'écarts au Règlement IA pour votre rôle, et feuille de route avec les vraies échéances mises en regard de votre calendrier.
Phase la plus dense
Gouvernance & contrôles
Politique IA, rôles, programme de maîtrise, diligence fournisseurs, et la couche propre au rôle — EIDF pour le déployeur réglementé, documentation technique et SMQ pour le fournisseur, protocoles d'évaluation pour l'intégrateur GPAI.
Avant échéance
Préparation & validation
Revue interne au regard de vos obligations, constitution du dossier de preuves, clôture des écarts et dossier de validation par l'organe de direction, prêt pour un audit ou un contrôle du régulateur.
FAQ