Ce que l'AI Act change vraiment pour votre entreprise

L'AI Act est entré en vigueur. La plupart des PME pensent que ça ne les concerne pas. C'est une erreur qui va coûter cher.

Ce règlement européen sur l'intelligence artificielle s'applique à toute organisation qui utilise, déploie ou achète un système d'IA sur le territoire de l'Union. Pas seulement aux éditeurs de logiciels. Pas seulement aux grandes entreprises technologiques. À vous aussi, dès que vous intégrez un outil d'IA dans vos processus.

Avant de paniquer ou d'ignorer le sujet, voici ce que ça signifie concrètement.

Risque élevé ou pas : la question centrale

L'AI Act classe les systèmes d'IA selon leur niveau de risque. Inacceptable, élevé, limité, minimal. La grande majorité des PME opèrent dans les zones limité et minimal. Un chatbot de service client, un outil de génération de contenu, un assistant de rédaction : risque limité ou minimal. Peu d'obligations formelles.

Mais certains cas basculent vers le risque élevé. Un outil qui aide à sélectionner des candidats à l'embauche. Un système qui influe sur l'évaluation de la performance des salariés. Un algorithme qui décide de l'octroi d'un crédit ou d'un contrat. Dès que l'IA touche à des décisions qui affectent des personnes, le niveau de risque monte. Et avec lui, les obligations.

Ce que risque élevé impose réellement

Si votre usage entre dans cette catégorie, les obligations sont précises. Vous devez documenter le système : comment il fonctionne, sur quelles données il a été entraîné, quelles décisions il influence. Vous devez démontrer qu'un humain reste dans la boucle, capable de comprendre et de contester la décision. Vous devez tenir un registre de vos systèmes à risque élevé.

Ce n'est pas une formalité administrative. C'est une exigence de traçabilité. Et si vous utilisez un outil SaaS développé par un tiers, la responsabilité ne disparaît pas pour autant. En tant que déployeur, vous restez engagé. L'éditeur fournit un système. Vous choisissez de l'appliquer à quel processus, sur quelles populations, avec quels garde-fous.

Le RGPD n'est pas mort, il s'étend

L'AI Act ne remplace pas le RGPD. Les deux coexistent. Et dans beaucoup de cas, un usage d'IA déclenche les deux réglementations simultanément.

Si votre système d'IA traite des données personnelles pour prendre une décision automatisée, le RGPD impose déjà des contraintes fortes : droit à l'explication, droit d'opposition, limitation de la durée de conservation. L'AI Act ajoute une couche supplémentaire sur la fiabilité du système lui-même.

La charte IA interne, premier geste concret

Face à ces exigences, beaucoup d'entreprises cherchent par où commencer. La réponse la plus accessible et la plus immédiatement utile : une charte IA interne.

Pas un document juridique de cent pages. Un texte court, opérationnel, qui répond à trois questions. Quels outils d'IA sont autorisés dans l'entreprise ? Pour quels usages ? Avec quelles règles d'utilisation des données ?

Cette charte remplit plusieurs fonctions en même temps. Elle protège l'entreprise juridiquement, en établissant un cadre documenté. Elle protège les salariés, en fixant des règles claires plutôt que de les laisser improviser. Elle protège les clients et partenaires, en signalant que l'usage de l'IA est gouverné, pas anarchique.

Une charte bien construite prend appui sur un inventaire réel des outils utilisés dans l'organisation. Pas celui que la DSI imagine. Celui que les équipes utilisent vraiment, y compris les outils grand public installés sans validation formelle.

L'inventaire avant tout

C'est là que commence le travail sérieux. Avant de rédiger une charte. Avant de structurer une gouvernance. Avant de déployer quoi que ce soit de nouveau.

Quel outil d'IA est utilisé, par qui, pour faire quoi, sur quelles données ? La réponse à cette question est rarement celle qu'on croit. Dans la plupart des PME, des dizaines d'outils IA sont actifs sans recensement central. Des extensions de navigateur, des assistants intégrés aux suites bureautiques, des plateformes SaaS avec des fonctions IA activées par défaut.

Cet inventaire n'est pas une procédure technocratique. C'est la condition pour gouverner. On ne peut pas encadrer ce qu'on ne connaît pas. On ne peut pas réduire un risque qu'on n'a pas identifié.

Ce que la conformité produit vraiment

La conformité à l'AI Act est souvent présentée comme une contrainte. Un coût. Une obligation subie.

C'est une lecture courte. Une organisation qui documente ses usages IA, qui structure sa connaissance des systèmes déployés, qui pose des règles claires d'utilisation : cette organisation construit quelque chose de durable. Elle sait ce qu'elle utilise. Elle sait pourquoi. Elle sait qui est responsable de quoi.

C'est exactement la posture qui permet d'aller plus loin ensuite. D'intégrer des outils plus puissants. De les confier à des équipes. De faire confiance au résultat sans se fier aveuglément au système.

La conformité, bien menée, est un acte de structuration. Pas une case à cocher.

Par où commencer cette semaine

Si vous ne savez pas par où commencer, trois actions concrètes.

Première action : recenser les outils IA utilisés dans votre organisation, service par service. Ne partez pas de la liste autorisée. Partez de ce qui est réellement installé et utilisé.

Deuxième action : évaluer chacun de ces usages selon un critère simple. Est-ce que cet outil influence une décision qui affecte un humain ? Si oui, creusez le sujet. Documentez. Vérifiez ce que dit l'éditeur sur sa conformité AI Act.

Troisième action : engagez la rédaction d'une charte IA interne. Court, opérationnel, ancré dans vos usages réels. Pas un texte générique copié ailleurs.

La question qui reste ouverte

L'AI Act fixe un cadre. Il n'indique pas comment construire une organisation capable de le respecter dans la durée. La conformité n'est pas un projet fini. C'est un état permanent, qui évolue avec les usages, les outils, les équipes.

La vraie question pour un dirigeant de PME n'est donc pas : suis-je conforme aujourd'hui ? Elle est : est-ce que mon organisation est structurée pour rester gouvernée demain, quand les outils auront encore changé ?