AI Act : votre entreprise est-elle déjà concernée sans le savoir ?

Conformité numérique

Vous n’avez pas de département IA. Vous ne développez pas d’algorithme. La conformité AI Act TPE PME est un sujet que beaucoup de dirigeants pensent ne pas concerner leur structure. Et pourtant, l’AI Act est un sujet qui vous concerne probablement déjà dans votre quotidien professionnel si l’intelligence artificielle est entrée dans votre organisme.

L’AI Act — officiellement le Règlement (UE) 2024/1689 — est entré en vigueur le 1er août 2024. Ce texte européen, premier au monde à réguler l’intelligence artificielle de façon globale, ne vise pas uniquement les géants de la tech. Il s’adresse à toute organisation qui utilise, déploie ou met sur le marché des systèmes d’IA dans l’Union européenne. Et la définition de « système d’IA » est bien plus large que ce que la plupart des dirigeants imaginent.

Concrètement : êtes-vous concerné ? Quels sont les risques réels pour votre structure ? Et que faut-il faire maintenant ? Cet article va vous permettre de l’évaluer — avec des exemples tirés de situations que vous avez peut-être déjà vécues, ou que vous reconnaîtrez immédiatement dans votre entourage professionnel.

L’AI Act en trois minutes : ce que vous devez vraiment retenir

L’AI Act classe les systèmes d’intelligence artificielle en quatre niveaux de risque. Les systèmes à risque inacceptable — manipulation comportementale, notation sociale — sont interdits depuis le 2 février 2025. Les systèmes à haut risque — recrutement automatisé, scoring de crédit, outils médicaux — sont soumis à des obligations strictes dont l’application est prévue à partir de décembre 2027, suite au report acté par le Digital Omnibus du 7 mai 2026. Les systèmes à risque limité — chatbots, générateurs de contenu, outils de retouche d’images — doivent respecter des obligations de transparence prévues à l’article 50, déjà en vigueur. Les systèmes à risque minimal sont libres d’utilisation.

Ce que beaucoup ignorent : la grande majorité des outils IA utilisés au quotidien dans les entreprises — ChatGPT, Gemini, Copilot, outils de retouche photo, générateurs de texte — tombent dans la catégorie « risque limité » avec obligation de transparence. Ce n’est pas interdit. Mais ce n’est pas sans règle.

En cas de violation, les sanctions prévues sont significatives : jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires mondial pour les infractions les plus graves. Pour les manquements aux obligations générales de transparence, les amendes peuvent atteindre 15 millions d’euros ou 3% du CA. Source : Règlement (UE) 2024/1689, article 99.

Cas n°1 — Ces photos de biens immobiliers qui ne ressemblent plus à rien

Imaginez : vous cherchez un appartement. Vous tombez sur une annonce avec des photos lumineuses, des espaces généreux, une vue dégagée. Vous visitez. Et vous découvrez un bien sombre, aux proportions bien différentes, avec une vue sur un mur de parpaing.

Ce scénario — que de plus en plus d’acheteurs rapportent — est le résultat direct d’une utilisation non encadrée de l’IA générative dans le secteur immobilier. Certaines agences utilisent des outils d’IA pour retoucher ou recréer des visuels de biens : lumière améliorée, meubles remplacés, espaces agrandis, défauts effacés. Sans aucune mention que l’image a été traitée par IA.

L’article 50 de l’AI Act est explicite : tout contenu généré ou significativement modifié par un système d’IA doit être identifié comme tel de manière lisible pour l’utilisateur final. Cette obligation de marquage s’applique aux images, aux vidéos et aux textes synthétiques. Ne pas l’appliquer constitue une violation du règlement — dès aujourd’hui.

Au-delà de l’AI Act, cette pratique expose les agences à un risque supplémentaire : la publicité trompeuse au sens du droit de la consommation. Un acheteur qui se déplace pour visiter un bien dont les photos ne correspondent pas à la réalité dispose de recours légaux. Et ces recours vont se multiplier à mesure que la réglementation sera mieux connue.

Cas n°2 — Ces documents professionnels que personne n’a relus

Vous avez probablement déjà reçu un document — une formation, un guide, un rapport, une proposition commerciale — dont vous avez eu l’impression, en le lisant, qu’il avait été produit un peu trop vite. Des formulations génériques, des affirmations non sourcées, peut-être une erreur factuelle qui vous a fait tiquer. La probabilité que ce document ait été généré par IA sans relecture humaine sérieuse est aujourd’hui bien réelle.

Les outils d’IA générative permettent de produire des contenus longs, bien structurés et apparemment crédibles en quelques minutes. Mais ces outils « hallucinent » — terme technique désignant les erreurs factuelles présentées avec assurance. Ils reproduisent des biais présents dans leurs données d’entraînement. Et ils ne savent pas ce qu’ils ne savent pas.

Dans le contexte de la formation professionnelle, les enjeux sont particulièrement sensibles. Un formateur qui délivre un contenu erroné sur un sujet réglementé — droit du travail, fiscalité, cybersécurité, santé — engage sa responsabilité professionnelle. L’argument « c’est l’IA qui a écrit » n’est pas une défense recevable.

L’article 50 de l’AI Act le précise : les diffuseurs qui publient des textes générés par l’IA dans le but d’informer le public sur des questions d’intérêt général doivent préciser que ces textes ont été générés par l’IA, à moins qu’ils n’aient fait l’objet d’une vérification humaine et d’un contrôle éditorial. artificialintelligenceact.eu

Cas n°3 — ChatGPT personnel au bureau : le risque que personne ne voit venir

C’est probablement le cas le plus répandu — et le plus sous-estimé. Dans de nombreuses TPE et PME, les salariés utilisent leur compte ChatGPT personnel, leur compte Gemini lié à leur Gmail, ou d’autres outils d’IA générative en accès libre, pour accomplir des tâches professionnelles. Rédiger des emails commerciaux. Résumer des contrats. Analyser des données clients. Produire des tableaux financiers.

Cette pratique est humaine et compréhensible. Ces outils sont efficaces, accessibles et souvent gratuits. Le problème est que leur utilisation dans un contexte professionnel crée des risques que ni le salarié ni l’employeur ne mesurent généralement.

Premier risque : le RGPD. Dès qu’un salarié saisit des données personnelles dans un outil d’IA tiers — nom d’un client, coordonnées, informations sur un dossier — ces données quittent le périmètre de l’entreprise sans contrat de sous-traitance, sans base légale identifiée, sans entrée dans le registre des traitements. C’est une violation RGPD potentielle, directement imputable à l’entreprise. CNIL — IA et RGPD

Deuxième risque : la confidentialité. Les données saisies dans un compte personnel ne bénéficient d’aucune des protections contractuelles qu’un compte entreprise pourrait offrir. Certains outils, dans leur version gratuite, utilisent les conversations pour améliorer leurs modèles. Des informations stratégiques, financières ou commerciales peuvent ainsi sortir du périmètre de l’entreprise.

Troisième risque : l’AI Act. L’utilisation non encadrée d’outils d’IA dans des processus décisionnels — validation de contrats, analyse de candidatures, évaluation de risques financiers — peut faire entrer votre structure dans le périmètre des obligations pour les systèmes à haut risque, sans que vous en ayez conscience.

Ce que l’AI Act TPE PME va changer concrètement pour votre structure

Pour une TPE ou une PME, les risques immédiats les plus concrets sont au nombre de trois. D’abord, l’absence de transparence sur les contenus générés par IA expose à des sanctions et à des recours clients — cette obligation est en vigueur aujourd’hui. Ensuite, l’utilisation non encadrée d’outils d’IA avec des données personnelles crée un double risque RGPD et AI Act. Enfin, l’absence de politique interne sur l’utilisation de l’IA rend la structure incapable de démontrer sa conformité en cas de contrôle.

Le report des obligations pour les systèmes à haut risque à décembre 2027 ne doit pas être interprété comme un signal de relâchement. C’est une opportunité de préparer sérieusement sa conformité — avec le temps nécessaire pour le faire bien. Source : accord politique provisoire Digital Omnibus, 7 mai 2026 — adevweb.com

DUO Conseil accompagne les TPE, PME et collectivités dans leur mise en conformité AI Act — audit des usages IA, politique interne d’utilisation, formation des équipes et accompagnement dans la durée.

AI Act TPE PME : par où commencer ? Faites votre diagnostic en 5 minutes

La mise en conformité AI Act TPE PME ne nécessite pas de compétences techniques avancées — elle nécessite une méthode. Avant toute chose, il s’agit de savoir où vous en êtes. Cinq questions simples permettent d’identifier vos risques prioritaires :

• Utilisez-vous des outils d’IA générative dans votre activité — même ponctuellement ?
• Savez-vous quelles données y sont saisies par vos collaborateurs ?
• Avez-vous une politique interne sur l’utilisation de l’IA ?
• Vos contenus produits avec IA sont-ils identifiés comme tels lorsqu’ils sont destinés à des tiers ?
• Avez-vous évalué si certains usages entrent dans la catégorie « haut risque » au sens de l’AI Act ?

Si vous avez répondu non à l’une de ces questions — et c’est le cas de la grande majorité des TPE et PME aujourd’hui — votre structure a des points de conformité à traiter. Notre outil de diagnostic AI Act gratuit et anonyme vous permet d’obtenir une évaluation personnalisée en 5 minutes — sans inscription, sans collecte de données personnelles.