Règlement européen sur l'IA : ce qu'il demande vraiment à une TPE qui utilise ChatGPT
Image générée par IA
Table des matières
Si quelqu’un, dans votre TPE, se sert de ChatGPT, de Mistral ou d’un logiciel qui contient de l’intelligence artificielle, le règlement européen sur l’IA vous concerne déjà. La bonne nouvelle, c’est que pour presque toutes les petites entreprises, il demande trois choses, et aucune ne coûte cher : former ceux qui s’en servent, signaler une image fabriquée qui pourrait passer pour vraie, et ne pas laisser l’IA juger des personnes sans précautions. Le reste du texte vise surtout ceux qui fabriquent les outils.
Cet article s’appuie sur le webinaire que France Num et la Direction générale des Entreprises ont consacré au sujet le 25 septembre 2026, et sur le texte du règlement lui-même, tel qu’il a été modifié par l’Union européenne en juillet 2026.
Vous l'utilisez au travail : vous êtes concerné
Beaucoup de dirigeants pensent que le règlement ne vise que les grandes entreprises, ou seulement celles qui vendent de l’IA. C’est faux. Pendant le webinaire, un représentant de la Direction générale des Entreprises l’a dit sans détour : « Si vous utilisez une IA en interne dans votre entreprise, vous êtes couvert par le règlement IA. »
Peu importe la taille. Une entreprise de deux salariés, un auto-entrepreneur, une association sont concernés dès qu’ils s’en servent dans un cadre professionnel. Seul l’usage personnel, à la maison, reste en dehors du texte.
Vous êtes « déployeur » : les grosses obligations sont pour l'éditeur
Le règlement distingue deux rôles. Le fournisseur est celui qui développe l’outil et le met sur le marché sous son nom : l’éditeur de ChatGPT, celui de Mistral, celui de votre logiciel de recrutement. Le déployeur est celui qui utilise l’outil, dans un cadre professionnel. Une TPE qui rédige ses mails avec ChatGPT ou qui utilise un logiciel de gestion doté de fonctions d’IA est déployeur. Selon les intervenants du webinaire, c’est le cas de presque toutes les petites entreprises.
C’est une bonne nouvelle, parce que les obligations les plus lourdes, celles sur la sécurité du modèle, la documentation technique ou le marquage invisible des images générées, sont pour le fournisseur.
Il y a un piège, et il est important : utiliser un outil pour ce que son éditeur interdit peut faire de vous un fournisseur aux yeux de la loi. Prenons un exemple. Les conditions d’utilisation d’un assistant d’IA grand public interdisent souvent de s’en servir pour trier des candidatures. Si vous lui faites quand même classer les CV reçus pour un poste, vous détournez l’outil, et vous pouvez devenir le fabricant d’un système à haut risque, avec toutes les obligations qui vont avec. Même chose si vous faites développer par un prestataire un petit outil qui trie les candidats : vous restez le fournisseur. Et un contrat avec votre prestataire ne change rien à cette répartition des responsabilités.
Les quatre niveaux de risque : tout dépend de ce que vous faites faire à l'IA
Le règlement ne classe pas les outils, il classe les usages. Le même logiciel peut être sans risque pour une tâche et à haut risque pour une autre.
- Le risque minime. Rédiger un mail, résumer une réunion, traduire un texte, filtrer les spams, retoucher une photo : aucune obligation contraignante, à part la formation dont on parle plus bas. C’est là que se trouve presque tout ce que fait une TPE.
- La transparence. Un robot qui répond à vos clients sur votre site ou au téléphone, une image réaliste fabriquée pour votre publicité : il faut que les gens sachent qu’ils ont affaire à une IA ou à une image générée.
- Le haut risque. Trier des candidatures, évaluer ou noter des salariés, décider de l’accès à un service essentiel : ces usages demandent des précautions lourdes.
- Les pratiques interdites. Manipuler les gens à leur insu, exploiter la fragilité de personnes âgées ou handicapées, attribuer une « note sociale », reconnaître les émotions de ses salariés au travail : c’est interdit depuis le 2 février 2025.
Ce que vous devez faire, concrètement
Former ceux qui s'en servent
Depuis le 2 février 2025, toute entreprise qui utilise l’IA doit aider les personnes qui s’en servent à bien comprendre l’outil : ce qu’il fait, ce qu’il ne fait pas, ce qu’il ne faut pas lui confier. C’est ce que le texte appelle la « maîtrise de l’IA ».
Prenons un exemple. Votre assistante résume vos réunions avec ChatGPT. Être formée, pour elle, c’est savoir qu’elle ne colle dans l’outil ni le fichier clients, ni les prix, ni les plans d’un chantier, et qu’elle relit chaque chiffre avant d’envoyer le compte rendu. Ce n’est pas un diplôme : c’est une conversation, et une page de règles.
Depuis la modification de juillet 2026, le texte demande d’ailleurs de « favoriser » cette maîtrise, sans imposer de niveau précis. La Commission européenne prépare un référentiel de compétences et publie déjà des exemples pratiques destinés aux petites entreprises.
Signaler une image fabriquée qui peut passer pour vraie
Depuis le 2 août 2026, une image ou une vidéo générée par l’IA qui peut être prise pour une vraie, ce que le texte appelle un « hypertrucage », doit être signalée. Une photo d’un chantier qui n’a jamais existé, d’un produit que vous ne fabriquez pas encore, d’une personne qui n’existe pas : vous écrivez « image générée par IA » à côté.
Un dessin humoristique, un schéma ou une illustration que personne ne peut confondre avec une photo n’a pas besoin de mention. Le code informatique, une présentation ou un texte que vous avez relu et corrigé non plus.
Une précaution qui relève du simple bon sens, et aussi du droit de la consommation : ne présentez jamais une image fabriquée comme une réalisation de votre atelier.
Ne pas laisser l'IA juger des personnes sans précautions
Dès que l’IA sert à juger des personnes, on change de catégorie. Trier des candidatures, noter des salariés, répartir le travail selon le comportement de chacun : ce sont des usages à haut risque. À partir du 2 décembre 2027, l’entreprise qui les utilise devra suivre la notice du logiciel, faire surveiller ses décisions par un humain, informer les salariés et leurs représentants avant la mise en service, informer les personnes concernées par une décision, et garder les traces de fonctionnement au moins six mois.
La loi sur les données personnelles, le RGPD, s’applique déjà à ces usages, aujourd’hui. Pour le tri de CV, c’est d’ailleurs souvent le RGPD qui pose problème en premier.
La différence est parfois fine. Écrire le texte de votre annonce d’emploi avec l’IA, puis le relire, reste un usage à risque minime. Laisser l’IA classer les candidatures que vous recevez est un usage à haut risque.
Le calendrier, modifié en juillet 2026
| Date | Ce qui s’applique |
|---|---|
| 1er août 2024 | le règlement entre en vigueur |
| 2 février 2025 | les pratiques interdites et l’obligation de former |
| 2 août 2026 | les obligations de transparence |
| 2 décembre 2027 | l’IA à haut risque liée à un usage : recrutement, gestion des salariés |
| 2 août 2028 | l’IA à haut risque intégrée dans des produits déjà réglementés |
Trois de ces dates sont donc déjà passées. Le calendrier des usages à haut risque a été repoussé par le règlement (UE) 2026/1744 du 8 juillet 2026, qui a modifié le texte d’origine.
Les sanctions, et ce qui change pour une PME
Les amendes du règlement sont connues pour leurs montants spectaculaires : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions d’euros ou 3 % pour un manquement aux obligations des fournisseurs, des déployeurs ou de transparence.
Mais pour une PME, le texte retient le montant le plus faible des deux. Pour une entreprise qui réalise 500 000 € de chiffre d’affaires, le plafond d’une amende à 3 % est donc de 15 000 €, et non de 15 millions. Les intervenants du webinaire l’ont rappelé : le règlement « n’a pas été pensé pour vous imposer les mêmes standards qu’à des multinationales ».
Le plan d'action : quatre gestes, en une heure
C’est le plan que proposent la Direction générale des Entreprises et France Num (page 49 du support du webinaire), mis à l’échelle d’une TPE.
- Listez les outils d’IA utilisés dans l’entreprise. Demandez à chacun ce qu’il utilise, y compris sur son téléphone personnel. Les usages que personne n’a déclarés comptent aussi.
- Classez chaque usage dans l’un des quatre niveaux : minime, transparence, haut risque, interdit.
- Écrivez trois règles sur une page datée. Par exemple : ce qu’on ne colle jamais dans un outil gratuit (les noms et les prix des clients), ce qu’on relit toujours (les chiffres, les traductions de contrats), ce qu’on ne lui fait jamais faire (juger une personne). Cette page est à la fois votre liste et la trace de votre formation.
- Écrivez à vos éditeurs de logiciels. Demandez-leur la notice d’utilisation et leur statut au regard du règlement, surtout pour les logiciels qui notent, classent ou répartissent le travail de vos salariés.
Pour aller plus loin
- Le webinaire de France Num et de la Direction générale des Entreprises du 25 septembre 2026, en vidéo sur la chaîne YouTube de France Num, avec son support de présentation.
- L’outil d’auto-évaluation en ligne de la Commission européenne, le « AI Act compliance checker ».
- La foire aux questions de la CNIL sur le règlement IA et le RGPD.
- Les fiches pratiques de France Num sur l’IA générative, et son guide du déploiement de l’IA au travail à destination des dirigeants de TPE et PME.
Vos questions sur le règlement IA
Mon salarié utilise ChatGPT sur son téléphone, sans me le dire : suis-je concerné ?
Oui. Pour les intervenants du webinaire, l’entreprise peut être considérée comme déployeur même sans le savoir. D’où le premier geste : demander à chacun ce qu’il utilise.
Dois-je écrire « généré par IA » sur tous mes textes ?
Non. Un mail, un compte rendu ou une présentation rédigés avec l’aide de l’IA n’ont pas besoin de mention. L’obligation vise les images et vidéos qui peuvent passer pour vraies, et les textes publiés pour informer le public sur des questions d’intérêt général, sauf s’ils ont été relus et corrigés par une personne.
Le robot qui répond aux clients sur mon site doit-il se présenter ?
Oui, les personnes doivent savoir qu’elles parlent à une machine. Une phrase du type « vous échangez avec un assistant virtuel » suffit. Le texte confie cette obligation à l’éditeur du robot, mais vérifiez que la phrase apparaît bien sur votre site.
Je suis seul, sans salarié : le règlement me concerne-t-il ?
Oui, dès que vous utilisez l’IA dans votre activité professionnelle. Les obligations restent les mêmes, à votre échelle : savoir ce que vous confiez à l’outil, et signaler une image trompeuse.
Faire ce tour avec vous, outil par outil, et écrire les règles qui conviennent à votre entreprise, c’est notre métier. Parler de votre organisation : 45 minutes au téléphone, gratuit, sans engagement.
Information importante
Les contenus publiés sur ce site sont rédigés à titre informatif et pédagogique uniquement. Ils ne constituent pas un conseil juridique, fiscal, comptable ou financier. Toute décision relative à la cession, à la valorisation ou à la restructuration de votre entreprise doit être prise avec l'accompagnement d'un professionnel qualifié (expert-comptable, avocat, notaire). Mentions légales.