Depuis le 2 août 2026, l’AI Act PME revient dans les discussions des dirigeants : faut-il arrêter ChatGPT, créer un registre, demander un avocat, former toute l’équipe ? Pour une TPE ou PME, le risque n’est pas seulement juridique. Le vrai risque, c’est de bloquer des usages utiles par peur de mal faire, ou de laisser se développer des pratiques sensibles sans cadre. La bonne approche consiste à trier vos usages IA selon leur rôle réel dans l’entreprise : simple aide bureautique, outil métier encadré, ou système qui influence une décision importante sur une personne. Voici une méthode praticable cette semaine.
Ce qui a réellement changé le 2 août 2026 pour une PME 🎯
Le 2 août 2026 marque surtout une étape de mise en application et de transparence, pas l’obligation soudaine de traiter tous vos usages IA comme des systèmes à haut risque.
Le règlement européen sur l’IA, ou AI Act, est entré en vigueur le 1er août 2024. Les interdictions sur les usages à risque inacceptable ont commencé à s’appliquer le 2 février 2025, tandis que les règles de gouvernance et certaines obligations liées aux modèles d’IA à usage général ont démarré le 2 août 2025. La page de Service Public Entreprendre sur l’AI Act rappelle cette logique progressive et les quatre niveaux de risque : inacceptable, haut risque, risque limité, risque minimal. (entreprendre.service-public.gouv.fr)
Le point à bien comprendre : la Commission européenne, dans sa mise à jour du 3 août 2026, indique que l’AI Act est devenu applicable le 2 août 2026, avec des exceptions. Les règles de transparence entrent en application en août 2026, mais certaines obligations complètes sur les systèmes à haut risque sont reportées, notamment au 2 décembre 2027 pour plusieurs usages sensibles de l’annexe III et au 2 août 2028 pour les IA intégrées à certains produits réglementés. (digital-strategy.ec.europa.eu)
Exemple concret : une PME de 22 salariés qui utilise un assistant IA pour reformuler des devis ou résumer des comptes rendus n’est pas dans la même situation qu’une entreprise qui achète un logiciel de tri automatique de CV notant les candidats.
À faire cette semaine :
- Lister les outils IA utilisés, même gratuitement.
- Repérer ceux qui interagissent avec clients, salariés ou candidats.
- Identifier les usages qui produisent une décision ou une recommandation métier.
- Séparer les outils bureautiques des outils intégrés à un processus critique.
Votre objectif n’est pas de rédiger un dossier juridique complet. C’est de savoir où regarder d’abord.
La première question AI Act PME : utilisez-vous l’IA ou la fournissez-vous ?
Votre niveau d’obligation dépend fortement de votre rôle : simple utilisateur, intégrateur dans un processus métier, ou fournisseur d’un système IA.
Dans le vocabulaire de l’AI Act, une PME peut être « déployeur » lorsqu’elle utilise un système d’IA dans son activité. Elle peut devenir fournisseur si elle développe ou fait développer une solution IA mise sur le marché sous son nom. Ce n’est pas un détail. Une même technologie peut créer des obligations différentes selon votre place dans la chaîne.
Mini-scénario : une PME de 30 personnes dans le négoce industriel utilise Microsoft Copilot pour préparer des réponses commerciales. Elle reste généralement dans un usage d’assistance, à condition qu’un salarié relise et valide. Si cette même PME demande à un prestataire de créer un outil qui classe automatiquement les prospects selon leur solvabilité et décide qui aura accès à une offre, le sujet change : l’IA influence une décision qui peut avoir un effet économique direct.
Posez-vous quatre questions simples :
- Qui choisit l’outil ? Vous, un éditeur, un prestataire, votre groupe ?
- Qui paramètre les règles ? Un utilisateur, un responsable métier, un développeur ?
- Qui subit l’effet de la sortie IA ? Un salarié, un candidat, un client, un fournisseur ?
- Qui valide la décision finale ? Une personne identifiée, ou l’outil tout seul ?
Si vous utilisez des outils standards pour gagner du temps, commencez par une documentation légère. Si vous transformez l’outil, l’intégrez à votre logiciel métier ou automatisez une décision, prévoyez un cadrage plus solide.
Avant de lancer un chantier complexe, un diagnostic IA peut aider à qualifier vos rôles, vos risques et vos priorités sans immobiliser vos équipes pendant des semaines.
La grille de tri : bureautique courant, risque limité ou haut risque 📊
Un usage bureautique courant assiste un salarié, tandis qu’un système à haut risque influence une décision sensible sur une personne, une sécurité ou un droit.
C’est la distinction la plus utile pour un dirigeant. L’AI Act ne traite pas de la même manière un filtre anti-spam, un chatbot client, un outil RH ou une IA embarquée dans une machine. La Commission européenne classe comme haut risque des usages pouvant affecter la santé, la sécurité ou les droits fondamentaux : biométrie, infrastructures critiques, éducation, emploi, accès à certains services essentiels, justice, migration ou maintien de l’ordre. (digital-strategy.ec.europa.eu)
Exemple concret : rédiger une offre d’emploi avec une IA générative reste un usage d’assistance. Utiliser un logiciel qui trie les CV, attribue un score aux candidats et recommande automatiquement qui recevoir en entretien se rapproche d’un usage à haut risque, car l’outil intervient dans l’accès à l’emploi.
Votre feu tricolore interne
Vert : usage bureautique courant
- Reformulation d’e-mails.
- Résumé de réunions internes.
- Aide à la rédaction de procédures.
- Création de brouillons commerciaux relus par un salarié.
Action : documenter l’usage, fixer les règles de données, former les utilisateurs.
Orange : usage métier à surveiller
- Chatbot client donnant des réponses personnalisées.
- Analyse de réclamations avec données personnelles.
- Aide à la priorisation commerciale.
- Pré-remplissage de décisions validées ensuite par un humain.
Action : renforcer la gouvernance, vérifier les données, prévoir une supervision claire.
Rouge : avis juridique avant déploiement
- Tri ou scoring de candidats.
- Évaluation automatisée de salariés.
- Décision d’accès à un crédit, logement, assurance ou service essentiel.
- Biométrie, contrôle d’identité, sécurité de machine ou dispositif médical.
Action : suspendre le déploiement large tant que le niveau de risque n’est pas qualifié.
Cette grille ne remplace pas un avis juridique. Elle évite surtout de mettre dans le même sac un assistant de rédaction et un outil de décision RH.
Si l’usage est bureautique : documentez sans vous noyer ⚙️
Pour un usage IA courant, votre priorité est de garder une trace claire des outils, des règles d’utilisation et des contrôles humains.
La CNIL propose une rubrique dédiée aux TPE-PME, avec des ressources sur le RGPD, les données personnelles et l’usage de l’IA générative. Elle rappelle notamment que les petites entreprises doivent, comme les autres, respecter les règles de protection des données personnelles. (cnil.fr)
Mini-scénario : une entreprise de services de 18 personnes à Pau utilise un outil d’IA pour transformer des notes de réunion en compte rendu. Si les salariés n’y mettent ni données médicales, ni informations clients sensibles, ni secrets commerciaux, et si un responsable relit avant diffusion, le sujet relève plutôt d’une bonne hygiène numérique que d’un dossier haut risque.
Votre documentation peut tenir sur deux pages au départ :
- Nom de l’outil : ChatGPT, Copilot, Gemini, Mistral, outil métier.
- Finalité : rédaction, résumé, traduction, analyse, support client.
- Données autorisées : publiques, internes, anonymisées, jamais sensibles.
- Contrôle humain : qui relit, qui valide, qui corrige.
- Responsable interne : une personne joignable en cas de doute.
Ajoutez une règle simple : aucune donnée personnelle sensible, aucun fichier client complet, aucun document confidentiel dans un outil IA sans validation préalable. Ce réflexe protège aussi votre conformité RGPD.
Pensez aussi à la formation. L’AI Act a introduit une logique de maîtrise des outils IA par les personnes qui les utilisent. Pour une PME, cela peut prendre la forme d’un atelier de deux heures sur les bons prompts, les limites des réponses, les données interdites et la vérification des résultats. Le catalogue des formations IA peut servir de base pour construire un parcours adapté à vos métiers.
Quand renforcer la gouvernance ou demander un avis juridique ?
Vous devez renforcer la gouvernance dès que l’IA touche une décision métier sensible, des données personnelles importantes ou un processus difficile à expliquer.
Le bon réflexe n’est pas de demander un avis juridique pour chaque résumé de document. En revanche, certains signaux doivent vous alerter. Ils indiquent que l’usage sort du confort bureautique et mérite un cadrage formel.
Exemple concret : une PME industrielle près de Tarbes veut installer une caméra avec IA pour détecter des défauts sur une ligne de production. Si l’outil ne fait que repérer des pièces non conformes avant contrôle humain, le risque peut rester maîtrisable. Si la même technologie sert à surveiller les gestes des salariés, mesurer leur performance ou déclencher des alertes disciplinaires, vous entrez dans un terrain social, RGPD et potentiellement AI Act beaucoup plus sensible.
Demandez un avis juridique ou spécialisé si l’IA :
- Classe, note ou exclut des personnes.
- Produit une décision avec effet juridique, financier ou professionnel.
- Utilise des données sensibles ou biométriques.
- Est intégrée à un produit réglementé ou à un dispositif de sécurité.
- Remplace un contrôle humain auparavant obligatoire.
Renforcez votre gouvernance si l’IA reste utile mais demande un cadre :
- Désignez un référent IA, même à temps très partiel.
- Créez un registre simple des usages.
- Validez les outils avant ouverture à toute l’équipe.
- Préparez une procédure d’incident : erreur grave, fuite de données, réponse inappropriée.
- Demandez à vos fournisseurs leurs garanties : hébergement, conservation des données, journalisation, sécurité.
Pour les PME d’Occitanie et des Pyrénées, notamment autour de Pau, Tarbes ou Toulouse, le format présentiel peut aider à faire travailler ensemble direction, RH, commerce et production. L’enjeu n’est pas de transformer tout le monde en juriste. Il s’agit de créer un vocabulaire commun et des décisions traçables.
Votre plan d’action sur 7 jours
Vous pouvez avancer sur l’AI Act sans lancer un projet lourd, à condition de commencer par un inventaire court et une règle de tri partagée.
Jour 1, demandez à chaque responsable de service quels outils IA sont utilisés. Incluez les outils gratuits, les extensions de navigateur et les fonctionnalités déjà présentes dans vos logiciels.
Jour 2, classez chaque usage en vert, orange ou rouge avec la grille précédente. Ne cherchez pas la perfection. Cherchez les zones qui méritent une décision.
Jour 3, rédigez une consigne interne d’une page : données interdites, obligation de relecture, usages autorisés, personne à contacter.
Jour 4, vérifiez vos usages orange : chatbot, RH, support client, analyse de données, automatisation commerciale. Pour chacun, notez les données utilisées et l’impact possible sur les personnes.
Jour 5, bloquez ou mettez en pause les usages rouges tant qu’ils ne sont pas qualifiés.
Jour 6, contactez vos fournisseurs d’outils IA métier. Demandez leurs engagements sur l’AI Act, le RGPD, la sécurité, les logs et la documentation.
Jour 7, choisissez une suite : formation courte, audit, cadrage juridique, ou pilote mieux sécurisé.
Chez Docentia, nous aidons les TPE et PME à transformer ce sujet réglementaire en décisions simples : quoi autoriser, quoi encadrer, quoi vérifier avant d’aller plus loin. Si vous voulez passer de la question « sommes-nous concernés ? » à une feuille de route claire, prenez contact pour un premier échange.