Le règlement européen sur l'intelligence artificielle, dit « AI Act » (règlement (UE) 2024/1689), est la première grande loi au monde sur l'IA. Il s'applique par étapes, et il concerne non seulement ceux qui fabriquent des systèmes d'IA, mais aussi les entreprises qui les utilisent.
Pour une PME belge, la question n'est pas « suis-je un géant de l'IA ? », mais « quels outils d'IA utilisons-nous, pour quoi, et qu'avons-nous mis en place ? ». Cet article donne les repères essentiels.
Important : le calendrier de certaines obligations fait l'objet d'ajustements au niveau européen. Cet article présente les principes ; vérifiez les dates à jour auprès des sources officielles avant toute décision.
niveaux de risque dans le règlement : inacceptable, élevé, limité, minimal
date d'application de l'obligation de maîtrise de l'IA (article 4)
Fournisseur ou utilisateur : quel est votre rôle ?
Le règlement distingue plusieurs rôles. Deux nous intéressent ici :
- Le fournisseur — Celui qui développe un système d'IA ou le met sur le marché sous son nom. Les obligations les plus lourdes pèsent sur lui.
- Le déployeur (l'utilisateur professionnel) — L'entreprise qui utilise un système d'IA dans son activité. C'est le cas de la plupart des PME : un outil de rédaction, un chatbot sur le site, un logiciel de tri de candidatures, un outil de scoring.
Une PME peut aussi devenir fournisseur si elle intègre de l'IA dans un produit qu'elle vend sous son nom, ou si elle modifie substantiellement un outil existant.
Les niveaux de risque
- Risque inacceptable (interdit) — Pratiques jugées contraires aux droits fondamentaux : manipulation subliminale nuisible, notation sociale des citoyens, certaines formes de reconnaissance des émotions au travail ou à l'école, etc. Ces interdictions s'appliquent depuis février 2025.
- Risque élevé — Systèmes utilisés dans des domaines sensibles : recrutement et gestion du personnel, accès à l'éducation, à des services essentiels, évaluation de la solvabilité, etc. Ils sont soumis à des exigences strictes de documentation, de contrôle humain et de qualité des données.
- Risque limité (obligations de transparence) — Par exemple les chatbots qui doivent signaler qu'on parle à une machine, et les contenus générés ou truqués (deepfakes) qui doivent être identifiés comme tels.
- Risque minimal — La grande majorité des usages courants (filtres anti-spam, correcteurs, aides à la rédaction) : pas d'obligation spécifique, hors règles générales.
L'obligation qui concerne déjà toutes les entreprises : la maîtrise de l'IA
L'article 4 du règlement demande aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour que leur personnel, et les autres personnes qui utilisent des systèmes d'IA pour leur compte, aient un niveau suffisant de maîtrise de l'IA, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. Cette obligation s'applique depuis le 2 février 2025.
Concrètement, il n'y a pas de diplôme à obtenir ni de formulaire à remplir : il s'agit de pouvoir démontrer une démarche raisonnable et proportionnée :
- un inventaire des outils d'IA utilisés dans l'entreprise ;
- une formation adaptée aux rôles (dirigeants, utilisateurs, équipes techniques) ;
- une charte d'usage connue de tous ;
- une trace écrite de ces actions : date, contenu, participants.
C'est précisément l'objectif de notre formation « reconnaître l'IA » : une base de maîtrise, avec un support que vous pouvez joindre à votre dossier.
La transparence : chatbots et contenus générés
Le règlement impose des obligations d'information quand une personne interagit avec un système d'IA (par exemple un chatbot de service client) et quand des contenus sont générés ou manipulés par l'IA au point de pouvoir passer pour authentiques. Pour une PME, cela signifie surtout : indiquer clairement qu'un assistant virtuel est une machine, et ne pas publier comme réels des images, voix ou vidéos synthétiques de personnes. Les échéances précises de certaines de ces obligations sont en cours d'ajustement : contrôlez le calendrier en vigueur.
Votre plan d'action en cinq étapes
- 1. Inventorier — Quels outils d'IA sont utilisés, par qui, pour quelles tâches, avec quelles données ?
- 2. Classer — Repérer les usages sensibles (recrutement, évaluation, décisions sur des personnes) qui demandent des précautions renforcées.
- 3. Cadrer — Rédiger une charte d'usage et désigner un référent.
- 4. Former — Organiser une formation adaptée et en garder la trace.
- 5. Interroger les fournisseurs — Demander des garanties de conformité et de transparence, voir nos huit questions.
Cet article est une information générale, qui ne remplace pas un avis juridique. Pour un usage sensible ou un doute sur votre rôle, consultez un juriste spécialisé.
Vos questions sur l'AI Act
L'AI Act concerne-t-il les petites entreprises ?
Oui, dès qu'elles utilisent des systèmes d'IA dans leur activité professionnelle. Certaines obligations, comme la maîtrise de l'IA par le personnel, concernent toutes les entreprises, quelle que sa taille.
Que dit l'article 4 de l'AI Act ?
Il demande aux entreprises qui fournissent ou utilisent des systèmes d'IA de prendre des mesures pour que leur personnel ait un niveau suffisant de maîtrise de l'IA. Il s'applique depuis le 2 février 2025.
Faut-il une certification pour former ses équipes à l'IA ?
Le règlement n'impose pas de certification particulière. Il demande une démarche adaptée au contexte, que l'entreprise doit pouvoir démontrer : formation, charte, inventaire.
Utiliser ChatGPT au travail est-il concerné ?
Oui : l'entreprise qui l'utilise est un déployeur. L'usage courant (rédaction, résumé) relève du risque minimal ou limité, mais l'obligation de maîtrise et le respect du RGPD s'appliquent.
Soyez prêt avant qu'on vous le demande.
Nous formons vos équipes et vous remettons les éléments pour documenter votre démarche.