Que vous soyez auto-entrepreneur, TPE ou PME, voici comment vous mettre en conformité avec l'AI Act. Vous utilisez ChatGPT pour rédiger vos mails, un outil d'IA pour trier des CV, ou un assistant pour générer du contenu ? Voici, en questions-réponses simples, ce que dit vraiment l'AI Act pour une petite entreprise.
Est-ce que l'AI Act me concerne, même si je suis seul(e) ou juste quelques salariés ?
Oui. L'AI Act ne prévoit aucun seuil d'effectif. Que vous soyez auto-entrepreneur, indépendant, ou à la tête d'une équipe de 3 personnes, dès que vous utilisez un outil d'intelligence artificielle dans votre activité, vous êtes concerné au même titre qu'une grande entreprise.
J'utilise juste Copilot pour écrire des mails, ça compte vraiment ?
Oui, ça compte. Utiliser Copilot ChatGPT, un outil de rédaction IA, un chatbot ou un logiciel de tri de CV, c'est "déployer" un système d'IA au sens du règlement. Peu importe que ce soit un usage simple ou ponctuel : l'obligation s'applique dès le premier usage professionnel de l'IA.
Quelle est mon obligation principale, concrètement ?
Depuis février 2025, l'article 4 de l'AI Act impose à toute organisation utilisant l'IA de s'assurer que les personnes qui l'utilisent en comprennent :
- le fonctionnement général,
- les limites (erreurs possibles, biais),
- les risques (fuite de données, décisions biaisées).
C'est ce qu'on appelle la littératie IA — en clair : former vos équipes (ou vous former vous-même si vous êtes seul(e)) à un usage raisonné de l'IA. Pas besoin d'une formation lourde : une sensibilisation courte et documentée suffit.
Depuis quand cette obligation est-elle vraiment contrôlée ?
Depuis le 2 août 2026, les autorités peuvent contrôler les entreprises et sanctionner les manquements — y compris l'absence de formation de vos équipes à l'IA. Avant cette date, l'obligation existait déjà, mais les moyens de contrôle effectifs n'étaient pas encore pleinement actifs.
Quelles sanctions je risque concrètement ?
Les montants sont fixés au niveau européen :
- jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages d'IA interdits,
- jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les autres manquements, dont l'absence de formation IA.
Pour les TPE et petites entreprises, ces plafonds sont adaptés : le règlement prévoit que le montant retenu est le plus bas entre le montant fixe et le pourcentage du chiffre d'affaires, contrairement aux grandes entreprises où c'est le montant le plus élevé qui s'applique. Cela ne dispense toutefois pas de l'obligation elle-même — former ses équipes à l'IA reste requis dès le premier usage, quelle que soit la taille de la structure.
Qui peut me contrôler en France ?
Plusieurs autorités françaises sont déjà identifiées, chacune sur son domaine :
- la CNIL, dès que votre usage de l'IA touche à des données personnelles (clients, salariés, prospects) — c'est le cas le plus fréquent pour une TPE,
- la DGCCRF, qui coordonne l'ensemble du dispositif,
- l'Arcom, pour les contenus générés ou les deepfakes,
- l'ANSSI, pour la cybersécurité des systèmes d'IA.
Une loi française doit encore compléter officiellement cette répartition, mais cela ne suspend rien : le règlement européen s'applique déjà, et la CNIL agit comme autorité de référence dès que des données personnelles sont en jeu — ce qui concerne la quasi-totalité des petites structures.
Mes outils IA traitent des données de mes clients : qu'est-ce que je dois vérifier ?
Vos obligations dépendent d'abord de votre rôle vis-à-vis de l'outil d'IA :
- Vous l'utilisez, fourni par un tiers (ChatGPT, un CRM avec IA intégrée, un logiciel RH...) → vous êtes "déployeur" au sens de l'AI Act. Vos obligations : utiliser l'outil conformément aux instructions du fournisseur, assurer une supervision humaine réelle sur les décisions assistées par l'IA, informer les personnes concernées lorsqu'elles interagissent avec le système, et conserver les journaux d'utilisation lorsque l'outil en produit.
- Vous le développez ou le commercialisez vous-même (vous intégrez de l'IA dans un produit ou service vendu à vos propres clients) → vous êtes alors "fournisseur" au sens de l'AI Act (article 16). Si votre outil entre dans une catégorie à haut risque (annexe III), les obligations sont lourdes : gestion des risques, documentation technique, transparence sur le fonctionnement, conformité complète avant mise sur le marché. Si ce n'est pas le cas, une obligation de transparence plus légère s'applique tout de même dès que l'outil interagit avec des personnes ou génère du contenu.
Quel que soit votre rôle et vos obligations au titre de l'AI Act, dès que l'un de vos outils traite des données personnelles (nom, email, CV, historique client...), le RGPD s'applique en plus (pour en savoir plus, rendez-vous sur ma FAQ et mon blog, ou prenez rendez-vous pour discuter de votre projet.)
Comment se mettre en conformité à l'AI Act, concrètement ?
-
Listez vos outils d'IA utilisés dans votre activité (rédaction, recrutement, service client, analyse de données...).
-
Qualifiez votre rôle pour chaque outil : êtes-vous simple utilisateur ("déployeur"), ou fournissez-vous vous-même un système d'IA à vos clients ? Les obligations diffèrent selon ce statut.
-
Vérifiez qu'aucun de vos outils ne relève d'une pratique interdite. C'est la ligne rouge absolue de l'AI Act, en vigueur depuis février 2025. Par exemple :
- Reconnaissance des émotions de vos salariés ou de vos apprenants (ex. outil qui analyse la fatigue, l'humeur ou l'engagement via webcam ou voix) → interdite, sauf finalité médicale ou de sécurité strictement encadrée.
- Notation sociale de personnes selon leur comportement.
- Manipulation ou exploitation de vulnérabilités (âge, handicap, situation sociale).
Si l'un de vos outils fait cela, il faut arrêter son usage immédiatement — c'est la catégorie la plus sévèrement sanctionnée (jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial).
-
Vérifiez si l'un de vos usages entre dans un domaine "à haut risque" (recrutement, tri de CV, évaluation de salariés, scoring de crédit, biométrie de contrôle d'accès...). Ces usages restent autorisés mais imposent des obligations renforcées de documentation et de supervision humaine.
-
Vérifiez si une obligation de transparence s'applique, dès maintenant :
- Chatbot sur votre site ou pour du service client → la personne doit être informée qu'elle échange avec une IA.
- Contenu généré ou modifié par IA (texte, image, voix) destiné au public → à signaler comme tel, sauf relecture humaine avec responsabilité éditoriale assumée.
-
Formez-vous ou formez vos équipes à un usage raisonné de l'IA : fonctionnement général, limites, risques. Une sensibilisation courte suffit pour un usage à risque minimal, mais elle doit être documentée.
-
Relisez vos contrats avec vos fournisseurs d'outils IA.
-
Gardez une trace de votre démarche : inventaire des outils, qualification du niveau de risque, registre simple, attestations de formation, mentions de transparence mises en place — c'est votre meilleure preuve de bonne foi en cas de contrôle.
Se faire accompagner pour sa conformité IA(AI) Act 2026 et RGPD
Beaucoup de dirigeants de TPE pensent, à tort, ne pas être concernés parce qu'ils "n'ont qu'un usage basique" de l'IA. C'est justement l'erreur à éviter : l'obligation s'applique dès le premier usage, quelle que soit la taille de votre structure.
Chez My DPO Partner, j'accompagne les TPE et petites entreprises pour faire le point rapidement sur leurs usages d'IA, clarifier leurs obligations RGPD et AI Act, et mettre en place la documentation nécessaire — sans mobiliser de ressources internes dédiées.
