Résumé de l’AI Act pour une petite entreprise : niveaux de risque, devoirs et dates

Ce qu’est l’AI Act européen et qui il concerne

Ce résumé de l’ai act commence par l’essentiel. L’AI Act est le règlement (UE) 2024/1689, que la Commission européenne présente comme le premier cadre juridique complet sur l’IA au monde. Il repose sur le risque : plus un système est dangereux, plus les règles sont lourdes. Il est entré en vigueur le 1er août 2024, et ses obligations s’activent par étapes.

Les questions-réponses de la Commission indiquent que le texte vise les acteurs publics et privés, dans l’UE comme hors de l’UE, qui mettent un système d’IA sur le marché de l’UE ou l’utilisent dans l’UE. Il distingue les fournisseurs, qui développent un système, et les déployeurs, qui l’emploient ; une boutique dotée d’un assistant de chat acheté relève généralement de la seconde catégorie. La recherche avant mise sur le marché et les systèmes conçus exclusivement pour le militaire ou la sécurité nationale sont exclus.

Les quatre niveaux de risque en termes simples

La Commission décrit quatre niveaux. Le risque inacceptable regroupe les systèmes qui menacent la sécurité, les moyens de subsistance ou les droits, et ils sont interdits. Le haut risque regroupe les usages pouvant affecter gravement la santé, la sécurité ou les droits fondamentaux, par exemple dans l’emploi, l’éducation, les services essentiels, les forces de l’ordre et les migrations, et il est soumis à des obligations strictes avant la mise sur le marché.

Le troisième niveau est le risque de transparence : des systèmes pour lesquels les personnes doivent savoir qu’une IA intervient, comme les chatbots et les hypertrucages. Le quatrième est le risque minimal ou nul, sans règle spécifique. La Commission affirme que cela couvre la plupart des IA utilisées aujourd’hui, par exemple celles des jeux vidéo ou des filtres antispam. Pour une petite entreprise, la tâche est de repérer le niveau de chacun de ses outils.

Les pratiques que le règlement interdit purement et simplement

La page de la Commission énumère neuf pratiques interdites. Elles comprennent la manipulation et la tromperie nuisibles, la notation sociale, le moissonnage non ciblé de visages sur internet ou dans la vidéosurveillance, la reconnaissance des émotions au travail et dans l’enseignement, et l’identification biométrique à distance en temps réel par la police dans l’espace public. La neuvième, ajoutée par les modifications de l’omnibus, vise l’IA qui produit des contenus sexuels non consentis ou des images d’abus sur mineurs.

Les premières interdictions s’appliquent depuis le 2 février 2025, avec le devoir de culture de l’IA. Pour la nouvelle interdiction des hypertrucages sexuels non consentis et des contenus d’abus, le Service d’assistance du règlement donne la date du 2 décembre 2026. Peu d’entreprises ordinaires s’approchent de cette liste, mais un outil qui promet de deviner l’humeur des salariés ou des candidats est précisément la fonction sur laquelle interroger son fournisseur.

Devoirs de transparence pour les chatbots et les contenus générés

L’article 50 fixe les règles de transparence. Selon le Service d’assistance du règlement, les fournisseurs doivent concevoir les systèmes qui interagissent directement avec des personnes de sorte que celles-ci sachent qu’elles parlent à une IA, sauf si c’est évident pour une personne raisonnablement informée. Les fournisseurs de systèmes qui génèrent du son, des images, de la vidéo ou du texte doivent rendre le résultat lisible par machine et identifiable comme généré par IA, dans la mesure du techniquement possible.

Les déployeurs ont leurs propres devoirs. Ils doivent informer les personnes exposées à des systèmes de reconnaissance des émotions ou de catégorisation biométrique de leur fonctionnement, et signaler les hypertrucages. Ils doivent aussi indiquer le texte généré par IA publié pour informer le public sur des questions d’intérêt public, sauf si une personne l’a relu et si quelqu’un en assume la responsabilité éditoriale. Le Service d’assistance donne le 2 août 2026 comme début de ces règles, avec une transition jusqu’au 2 décembre 2026 pour certains fournisseurs de systèmes de contenu synthétique déjà sur le marché.

La règle de travail pour une entreprise est d’examiner chaque endroit où une IA parle à un client ou produit du matériel public : le chat du site, une ligne vocale, des images générées pour la publicité, des réponses automatiques. Vérifiez ce que fait déjà le fournisseur de chaque outil et si votre avis à l’utilisateur est clair et donné dès le premier contact. Savoir qui doit quoi dans votre cas est une question pour un avocat.

Culture de l’IA : ce que le texte attend de la formation de votre personnel

L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour développer la culture de l’IA de leur personnel et des autres personnes qui exploitent ou utilisent des systèmes d’IA pour leur compte. Les mesures doivent tenir compte des connaissances de ces personnes et du contexte d’utilisation. Selon la Commission, ce devoir s’applique depuis le 2 février 2025.

La Commission précise aussi ce qu’il n’est pas. L’article n’exige de personne un niveau précis de culture de l’IA et aucune certification n’est nécessaire ; des registres internes de la formation et des autres initiatives suffisent. La surveillance débute le 2 août 2026 par les autorités nationales de surveillance du marché, et l’omnibus numérique a maintenu le devoir sans imposer de niveau précis. En pratique : sachez qui utilise quel outil, expliquez-lui ses limites et notez que vous l’avez fait.

Les dates de 2024 à 2028 après les modifications de l’omnibus

Le Service d’assistance du règlement donne le calendrier. Le texte est en vigueur depuis le 1er août 2024. Les interdictions et la culture de l’IA ont commencé le 2 février 2025. L’essentiel du règlement s’applique à partir du 2 août 2026, date à laquelle démarrent les règles de transparence et la surveillance au niveau national et européen.

L’omnibus numérique sur l’IA a modifié certaines dates. La Commission indique qu’il est entré en vigueur en juillet 2026. Les règles pour les systèmes à haut risque de l’annexe III s’appliquent désormais à partir du 2 décembre 2027, et celles pour l’IA à haut risque intégrée dans des produits réglementés à partir du 2 août 2028. Ces dates ont déjà bougé une fois ; consultez donc le Service d’assistance avant de vous appuyer sur un jour précis.

Quelles amendes existent et quoi consigner par écrit

La page de questions-réponses de la Commission donne trois plafonds de sanction : jusqu’à 35 millions d’euros ou 7 pour cent du chiffre d’affaires mondial pour les pratiques interdites, jusqu’à 15 millions ou 3 pour cent pour les autres exigences, et jusqu’à 7,5 millions ou 1 pour cent pour la fourniture d’informations inexactes ou trompeuses. Pour les petites et moyennes entreprises, le plus faible des deux montants de chaque catégorie s’applique.

L’amende est la fin du chemin ; le dossier en est le début. Notez quels outils d’IA sont utilisés, qui en répond, à quoi ils servent, quelles données y entrent, s’ils parlent au public ou produisent du matériel publié, et ce que le fournisseur dit de leur classe. Ajoutez une courte règle interne sur la manière dont le personnel peut utiliser l’IA, et une trace de la formation dispensée. Ces pages sont celles que réclameraient d’abord un régulateur, un client ou un partenaire.

Quoi préparer avant de commander un forfait de préparation à l’AI Act

Rassemblez la liste de toutes les fonctions d’IA que vous utilisez, y compris celles cachées dans d’autres logiciels : le widget de chat du site, l’outil de transcription, l’assistant de rédaction, le générateur de visuels. Notez pour chacune le fournisseur et l’abonnement. Repérez où le résultat de l’IA atteint le public et qui, dans l’équipe, s’en sert chaque jour.

VITON13 Studio propose cela sous la forme d’un forfait nommé Préparation à l’AI Act européen. Il comprend un inventaire des systèmes d’IA que votre entreprise utilise, une classification du risque pour chacun, des avis de transparence pour les utilisateurs et une politique interne d’usage de l’IA pour le personnel. Avant tout paiement, le studio remplit le modèle d’inventaire d’IA pour trois de vos outils, afin que vous jugiez le format sur votre propre cas.

Le prix fixe est de 113 $ et le travail demande de 5 à 8 jours ouvrés. La classification est un brouillon de travail pour vos dossiers, pas un avis juridique, et un avocat doit confirmer tout ce qui touche un domaine à haut risque. La page du forfait et celle du brouillon gratuit détaillent les conditions exactes.