Le règlement européen sur l'IA : ce qu'une PME doit vraiment faire, et quand.

Le règlement européen sur l'IA (règlement (UE) 2024/1689) répartit les obligations selon le rôle : le fournisseur construit ou commercialise un système d'IA, le déployeur l'utilise dans son activité.

Une PME qui utilise des assistants d'IA générative, des fonctions IA de ses logiciels ou un moteur installé par un prestataire est déployeur : ses obligations sont réelles, mais sans commune mesure avec celles d'un éditeur de modèles.

La première étape n'est donc pas juridique, elle est factuelle : savoir ce qui tourne déjà chez vous, sur quels comptes, avec quelles données. C'est l'objet du registre des usages.

Premier bloc, depuis le 2 février 2025 : les mesures de littératie IA. L'article 4 exige de toute entreprise dont les équipes utilisent ces outils des mesures adaptées à ses usages, et la capacité de les démontrer. Le texte ne parle pas de formation obligatoire ni de diplôme : il demande des mesures, démontrables.

Deuxième bloc, à partir du 2 août 2026 : la transparence. Une entreprise qui expose un agent conversationnel ou des contenus générés au public doit le signaler comme tel. Une minorité de PME est concernée, et un inventaire établit si vous en êtes.

Troisième bloc, permanent : les pratiques interdites, qui visent des usages qu'une PME de gestion ne pratique pas (manipulation, notation sociale, certaines biométries). Les connaître suffit généralement à constater qu'on n'y est pas.

Le règlement s'applique par paliers, de février 2025 à août 2027. Les dates qui concernent une PME sont passées ou proches : la littératie s'applique déjà, la transparence arrive au 2 août 2026.

Il n'y a rien à guetter : chaque palier est daté, et les gestes à poser (registre, charte, formation documentée) sont les mêmes quelle que soit votre situation.

Notre méthode s'appuie sur des textes publics : le règlement européen sur l'IA, le RGPD pour les données personnelles, le NIST AI Risk Management Framework pour l'analyse de risque, et les normes ISO/IEC 42001, 23894 et 42005 pour la gouvernance des systèmes d'IA.

La formulation est volontairement précise : notre méthode est alignée sur ces référentiels, et chaque livrable s'y rattache pour être vérifiable par un juriste ou un auditeur. Nous n'écrivons jamais « certifié » sans certification obtenue : c'est notre discipline, et elle vaut aussi pour cette page.

Le premier geste est le registre des usages : qui utilise quoi, sur quels comptes, avec quelles données. Le deuxième est la charte d'usage, signée : elle donne un cadre écrit à ce qui est permis. Le troisième est la formation documentée : la pièce qui démontre vos mesures de littératie.

Ces trois gestes sont précisément les livrables de notre audit de quatre semaines, et ils vous restent, avec ou sans suite. La conformité n'est pas un projet séparé : elle se produit par les mêmes documents qui remettent de l'ordre dans les usages.

Sources : règlement (UE) 2024/1689, Journal officiel de l'UE, 12 juillet 2024 ; entrée en vigueur le 1er août 2024 ; application par paliers de février 2025 à août 2027.