AI Act : ce qu'une TPE doit réellement savoir

Dès qu'on prononce « AI Act » devant un dirigeant de TPE, la réaction est presque toujours la même : « ça, c'est pour les grands groupes qui développent de l'IA, pas pour moi qui utilise ChatGPT pour rédiger des e-mails ». C'est en partie faux, et c'est une bonne nouvelle : la plupart des obligations concrètes sont légères pour une petite entreprise utilisatrice, à condition de savoir où elles se trouvent.

Un règlement pensé pour l'usage, pas seulement pour la technologie

Le règlement européen sur l'intelligence artificielle, entré en vigueur par étapes depuis 2024, ne vise pas uniquement les entreprises qui créent des modèles d'IA. Il encadre aussi la façon dont les organisations les utilisent. Une TPE qui se sert d'un assistant conversationnel, d'un outil de tri de CV ou d'un logiciel de notation client entre donc dans le champ du texte, même sans avoir rien développé elle-même.

L'idée centrale est simple : plus un usage de l'IA peut affecter une personne de façon significative — un candidat à l'embauche, un client, un salarié — plus les obligations sont strictes. À l'inverse, un usage purement interne et sans conséquence directe sur des tiers reste très peu encadré.

Quatre niveaux de risque, et où se situe une petite entreprise

Le texte classe les usages en quatre familles :

• Risque inacceptable : des pratiques interdites purement et simplement, comme la notation sociale généralisée. Aucune TPE de l'Anjou n'est concernée dans son fonctionnement courant.
• Risque élevé : des usages encadrés strictement, notamment dans le recrutement, l'accès au crédit ou l'évaluation des salariés. C'est la catégorie à surveiller si un outil d'IA intervient dans une décision qui touche une personne.
• Risque limité : l'essentiel des cas courants — un assistant de rédaction, un chatbot de site web. L'obligation principale consiste à informer que l'on échange avec une IA quand ce n'est pas évident.
• Risque minimal : la majorité des usages internes de productivité, sans obligation spécifique.

Pour la grande majorité des TPE et PME de Maine-et-Loire, l'essentiel des usages actuels — rédaction, synthèse, recherche, aide à la décision non automatisée — relève du risque limité ou minimal. Le point de vigilance concerne surtout le recrutement et l'évaluation des collaborateurs, deux domaines où un outil mal choisi peut faire basculer l'entreprise dans la catégorie « risque élevé » sans qu'elle s'en rende compte.

Une obligation qui concerne déjà tout le monde : la culture IA

Une obligation s'applique largement, indépendamment du niveau de risque : celle de veiller à ce que les personnes qui utilisent l'IA dans l'entreprise en comprennent le fonctionnement de base, les limites et les risques, à un niveau adapté à leur poste. Dans une structure de cinq ou dix personnes, cela ne suppose pas un plan de formation lourd. Cela suppose en revanche un minimum de cadrage : qui a le droit d'utiliser quel outil, sur quels types de données, et avec quel niveau de vérification du résultat. C'est un travail proche de celui mené autour du RGPD et de la confidentialité des données clients : peu de contraintes nouvelles si les bonnes habitudes existent déjà, un vrai chantier si tout repose encore sur l'usage individuel non cadré de chacun.

Ce qu'il faut vérifier concrètement, sans juriste dédié

Quatre réflexes suffisent, pour la plupart des petites structures, à couvrir l'essentiel :

1. Lister les outils d'IA réellement utilisés dans l'entreprise, y compris ceux adoptés spontanément par un collaborateur sans validation.
2. Identifier si l'un d'eux intervient dans une décision qui touche directement une personne : recrutement, évaluation, tarification individualisée.
3. Vérifier, pour un outil destiné au public, qu'il est clair pour un client qu'il échange avec une IA lorsque ce n'est pas évident.
4. Écrire, même en une page, qui peut utiliser quoi et avec quelles données — un document court vaut mieux qu'aucun.

Le calendrier d'application du règlement s'étale sur plusieurs années et certaines échéances restent techniques à interpréter. Pour une TPE, le plus utile n'est pas de suivre chaque étape juridique en détail, mais de s'assurer que les quatre points ci-dessus sont couverts, et de les revoir chaque fois qu'un nouvel outil entre dans l'entreprise.

Ce que cela change en pratique

Pour l'immense majorité des dirigeants de TPE et PME angevines, l'AI Act ne change rien à l'usage quotidien d'un assistant de rédaction ou d'un outil de synthèse. Il pose en revanche un cadre utile pour les décisions plus sensibles, celles où l'IA touche directement une personne. Le réflexe le plus rentable reste le même qu'ailleurs : cadrer avant de généraliser, plutôt que de corriger après coup.

Un audit initial de 20 minutes permet de faire le point sur les outils déjà en place dans votre entreprise et sur ce qui mérite d'être cadré en priorité.