Conformité à l'IA Act de l'UE pour les PME : obligations, dates clés et mesures à prendre.

Oui. Les entreprises qui déploient des systèmes IA développés par d'autres — appelées « déployeurs » — ont des obligations au titre de l'IA Act de l'UE. Celles-ci comprennent la prise de mesures pour soutenir la maîtrise de l'IA parmi le personnel (Article 4, en vigueur depuis le 2 août 2026), l'information des utilisateurs lorsqu'ils interagissent avec des systèmes IA (Article 50, en vigueur depuis le 2 août 2026), et la préparation aux obligations des déployeurs à haut risque de l'Annexe III au titre de l'Article 26, qui s'appliquent à partir du 2 décembre 2027. L'étendue des obligations dépend des outils IA que vous utilisez et de leur finalité.

Les systèmes IA à haut risque sont ceux répertoriés à l'Annexe III du règlement. Ils comprennent l'IA utilisée dans le recrutement et les décisions RH (comme le filtrage de CV), la gestion des infrastructures critiques, les évaluations d'éducation et de formation professionnelle, l'accès aux services essentiels (crédit, assurance), l'application de la loi et l'identification biométrique. Les obligations de conformité complètes pour les systèmes Annexe III — notamment l'évaluation de conformité, l'enregistrement dans la base de données de l'UE et les obligations du déployeur au titre de l'Article 26 — s'appliquent à partir du 2 décembre 2027. Cette date a été modifiée par rapport à la date initiale du 2 août 2026 par le Regulation (EU) 2026/1744.

Le règlement (Regulation (EU) 2024/1689) est entré en vigueur le 1er août 2024. Dates clés : les pratiques interdites de l'Article 5 s'appliquent depuis le 2 février 2025 (et restent en vigueur). Les obligations des fournisseurs de modèles IA à usage général s'appliquent depuis le 2 août 2025. L'Article 4 (mesures de maîtrise de l'IA) et l'Article 50 (transparence) s'appliquent depuis le 2 août 2026. Deux nouvelles interdictions de l'Article 5 ajoutées par le Regulation (EU) 2026/1744 s'appliquent à partir du 2 décembre 2026. Les obligations complètes pour les systèmes à haut risque de l'Annexe III (Chapitre III) s'appliquent à partir du 2 décembre 2027 — modifié par le Regulation (EU) 2026/1744 par rapport à la date initiale d'août 2026. Les systèmes à haut risque de produits réglementés de l'Annexe I s'appliquent à partir du 2 août 2028.

L'Article 4 (tel que modifié par le Regulation (EU) 2026/1744) exige des fournisseurs et déployeurs qu'ils prennent des mesures pour soutenir le développement de compétences suffisantes en matière de maîtrise de l'IA parmi leur personnel et les autres personnes traitant de l'IA en leur nom. L'obligation est proportionnée — le niveau de soutien à la maîtrise requis est proportionnel au rôle et au niveau de risque des systèmes IA concernés. Aucune certification de formation spécifique, durée de cours ou niveau de qualification minimum n'est exigé. Des orientations documentées, des registres de formation et des informations au personnel sont des moyens pratiques pour démontrer la conformité. Cette obligation s'applique depuis le 2 août 2026.

L'Article 5 interdit certains usages de l'IA de manière absolue. Les interdictions initiales (en vigueur depuis le 2 février 2025) incluent : l'IA qui manipule les comportements par des techniques subliminales ou trompeuses ; l'exploitation des vulnérabilités de groupes spécifiques ; l'identification biométrique à distance en temps réel dans les espaces publics (avec des exceptions étroites pour les forces de l'ordre) ; le scoring social par les autorités publiques ; la reconnaissance des émotions sur le lieu de travail ou dans des établissements d'enseignement (avec des exceptions limitées) ; et l'IA qui infère des caractéristiques protégées à partir de données biométriques. Le Regulation (EU) 2026/1744 a ajouté deux nouvelles interdictions s'appliquant à partir du 2 décembre 2026 : l'Article 5(1)(ba) interdisant l'IA qui génère des images synthétiques intimes non consenties de personnes réelles, et l'Article 5(1)(bb) interdisant l'IA qui génère des contenus d'abus sexuels sur mineurs. Cette évaluation vérifie certains risques au titre de l'Article 5 mais ne constitue pas une autorisation juridique exhaustive pour chaque interdiction.

L'Article 50 exige des déployeurs qu'ils informent les utilisateurs lorsqu'ils interagissent avec un système IA (Article 50(1)) — par exemple via des chatbots ou des assistants virtuels — sauf si cela est évident dans le contexte. Les images, fichiers audio et vidéo générés ou significativement modifiés par IA doivent être étiquetés comme tels dans un format lisible par machine (Article 50(4)). Ces obligations s'appliquent depuis le 2 août 2026. Les systèmes préexistants en service avant cette date auraient dû atteindre la conformité rapidement. Il existe une accommodation transitoire limitée pour certains systèmes de contenus synthétiques préexistants dans le cadre du règlement modifié.