Depuis le 2 février 2025, l'AI Act européen impose des obligations à TOUTES les entreprises qui utilisent de l'IA — même ChatGPT gratuit. Pas que les grandes boîtes. À partir du 2 août 2026, les sanctions nationales entrent en jeu. Voilà les 3 choses à faire pour votre PME, en langage simple.
Déjà, c'est quoi l'AI Act ?
Un règlement européen voté en 2024, en vigueur par étapes. L'objectif : responsabiliser les utilisateurs d'IA. L'IA n'est pas interdite, mais vous devez la maîtriser, savoir ce qu'elle fait avec vos données, et former vos équipes.
Il concerne 2 types d'acteurs :
- Les fournisseurs (OpenAI, Mistral, Google) : règles strictes sur leurs modèles
- Les déployeurs : vous, dès que vous utilisez ChatGPT au travail ou que vous mettez un chatbot sur votre site
Obligation 1 : former vos salariés à l'IA (déjà en vigueur)
Article 4 de l'AI Act, en vigueur depuis le 2 février 2025. Toute entreprise dont les salariés utilisent de l'IA au travail doit garantir qu'ils ont une "culture IA" suffisante.
Concrètement :
- Vos salariés doivent comprendre comment l'IA fonctionne (en gros)
- Ils doivent savoir ce que l'IA peut et ne peut pas faire (hallucinations, biais)
- Ils doivent connaître les règles de confidentialité (quelles données on peut mettre dedans)
- Ils doivent savoir ce qu'ils peuvent et ne peuvent pas automatiser
- Organiser une demi-journée de formation pour les salariés qui utilisent l'IA (ChatGPT, Copilot, chatbot sur votre site). Prix marché : 200-400 €/personne, ou formation interne 2h si vous êtes à l'aise.
- Écrire une charte interne IA en 1 page : outils autorisés, données interdites, règles d'usage. Modèle gratuit chez la CNIL.
- Garder une trace (feuille de présence, email récap) : en cas de contrôle, vous devez prouver que la formation a eu lieu.
Obligation 2 : tenir un registre des usages IA (recommandé fortement)
Pas obligatoire pour les PME non "risque élevé", mais la CNIL recommande de documenter :
- Quels outils IA sont utilisés dans l'entreprise
- Pour quels usages (rédaction mail, analyse de contrats, chatbot client...)
- Quelles données y sont envoyées
- Qui en est responsable en interne (DPO ou dirigeant)
Un simple tableau Excel suffit. 30 min à remplir, à mettre à jour tous les 6 mois.
Obligation 3 : interdictions à partir du 2 août 2026
Depuis le 2 août 2026, certains usages de l'IA sont interdits en Europe. Ça concerne peu les PME classiques, mais à vérifier :
- ❌ Notation sociale des salariés par IA (noter les gens selon leur comportement sans transparence)
- ❌ Reconnaissance biométrique en temps réel dans les espaces publics
- ❌ Manipulation subliminale des comportements
- ❌ Reconnaissance d'émotions des salariés sur leur lieu de travail (sauf raisons de sécurité)
Si vous faites une de ces choses, il faut arrêter avant août 2026. Sinon, pas d'impact direct.
Les sanctions prévues
Elles sont lourdes sur le papier, mais graduées. Pour les PME :
| Infraction | Amende max |
|---|---|
| Non-respect des interdictions (art. 5) | 35 M€ ou 7% du CA mondial |
| Non-conformité générale (art. 99) | 15 M€ ou 3% du CA |
| Informations trompeuses aux autorités | 7,5 M€ ou 1% du CA |
Pour les PME, les sanctions seront en pratique proportionnées à la taille (CA et effectif). Dans la plupart des cas réels, on parle plutôt de rappels à l'ordre + mise en conformité forcée.
Qui contrôle en France ?
La CNIL est l'autorité compétente pour la protection des données + conseil sur l'IA. L'Arcom et la DGCCRF peuvent aussi intervenir selon les usages. En pratique, les contrôles sur PME démarrent par un courrier de mise en conformité, pas directement par une amende.
Ce que vous devez faire d'ici l'été 2026
- □ Former les salariés qui utilisent l'IA (demi-journée, trace écrite)
- □ Charte interne IA (1 page, modèle CNIL)
- □ Registre des outils IA utilisés (tableau Excel)
- □ Vérifier qu'aucun usage interdit (notation sociale, biométrie)
- □ Si vous avez un DPO : le prévenir et acter dans le registre RGPD
- □ Si vous développez votre propre IA ou chatbot : documentation technique
Astorya Web peut vous aider sur quoi ?
Je ne suis pas avocat. Mais je peux vous aider à :
- Rédiger votre charte interne IA à partir de modèles officiels (gratuit, 1h de boulot)
- Tenir le registre des outils IA si vous utilisez un assistant interne que j'ai posé
- Choisir un fournisseur IA conforme (Mistral AI France, OVH Endpoints) plutôt qu'un service qui exfiltre vos données
- Développer un assistant IA interne qui garde vos données en France (compatibilité AI Act maximale)
Pour les aspects juridiques pointus (certification haut risque, AIPD, DPO), orientez-vous vers un cabinet d'avocats spécialisé. La CNIL a publié des guides gratuits.
À retenir
- Formation IA des salariés : obligatoire depuis 02/2025 (demi-journée + trace écrite)
- Charte interne IA : fortement recommandée, 1 page suffit
- Registre des outils IA : non obligatoire pour PME classiques mais recommandé
- Interdictions "haut risque" : à vérifier (notation sociale, biométrie, émotions au travail)
- Sanctions proportionnées à la taille, démarrent par un courrier CNIL dans la pratique
- Date clé : 2 août 2026 — mise en application nationale complète
Un projet IA, dev ou web ?
30 min au tel, je vous dis si c'est faisable, combien et en combien de temps.
Me contacter →