Une question revient quasi systématiquement quand on échange avec un dirigeant de PME : « On utilise juste ChatGPT pour la rédaction et un peu de recherche, on n'est pas concerné par l'AI Act, non ? » Réponse courte : si, vous l'êtes. L'AI Act ne distingue pas « usage léger » et « usage intensif ». Il distingue les rôles dans la chaîne de valeur (provider, deployer, GPAI) et applique des obligations à chacun.
Voici les 4 obligations qui s'appliquent à une PME utilisant ChatGPT, Claude, Mistral ou Gemini, même de façon ponctuelle.
1. Article 4 : Formation AI Literacy obligatoire
Depuis le 2 février 2025, l'Article 4 du règlement (UE) 2024/1689 impose à tout employeur de garantir une « maîtrise suffisante de l'IA » chez les employés qui utilisent un système d'IA, y compris en usage grand public (ChatGPT, Copilot, Claude, etc.).
Concrètement : les employés doivent comprendre les limites du modèle, les risques (hallucination, biais), les bonnes pratiques de prompt et les règles internes de votre PME en matière de données sensibles. Pas besoin d'une certification : une session de 1 à 2 heures documentée suffit. Mais l'absence totale de formation expose à un risque réglementaire dès aujourd'hui.
2. Article 50 : Transparence et étiquetage
Applicable au 2 août 2026, l'Article 50 impose deux choses différentes :
- Côté utilisateur final (vos clients, prospects, candidats) : signaler explicitement toute interaction avec une IA. Un chatbot, un email généré par IA, un visuel produit par génération ? Mention obligatoire.
- Côté contenu : tout contenu généré ou modifié significativement par IA (texte, image, audio, vidéo) doit être étiqueté comme tel. La méthode d'étiquetage (texte visible, métadonnée, watermark) reste à l'appréciation mais l'information doit être accessible.
3. Article 5 : Pratiques interdites (le piège du screening)
En vigueur depuis le 2 février 2025, l'Article 5 interdit certaines utilisations de l'IA, sans exception ni exemption PME. Sanctions au plafond : 35 M€ ou 7 % du CA mondial.
La pratique la plus risquée pour une PME : l'inférence d'émotions sur le lieu de travail (Article 5 §1(f)). Si vous utilisez un outil d'analyse de sentiment sur des emails internes, un système de productivité qui score l'humeur des équipes via webcam, ou même un outil RH qui détecte les signaux de démotivation chez les candidats, vous êtes potentiellement en pratique interdite.
4. Provider ou Deployer ? Le piège du wrapper
L'AI Act distingue le « provider » (qui développe ou intègre un système IA dans un produit revendu) du « deployer »(qui utilise un outil IA en interne). Les obligations du provider sont 10 fois plus lourdes : documentation technique (Articles 11 + Annexe IV), gestion des risques, surveillance humaine, etc.
Le piège : si vous wrappez un modèle (GPT, Claude, Mistral) dans votre produit SaaS sous votre marque, vous êtes providerau sens du règlement, même si vous ne faites qu'orchestrer des prompts. Selon nos retours terrain, 80 % des SaaS PME français wrappent un modèle aujourd'hui sans avoir conscience du statut juridique qu'ils endossent.
Le test rapide
Pour savoir où vous en êtes en 5 minutes, 4 questions simples suffisent :
- Vos employés utilisent-ils un outil IA (même ChatGPT) ? → Article 4.
- Vos contenus client incluent-ils des sorties IA ? → Article 50.
- Utilisez-vous l'IA pour de l'analyse RH ou comportementale ? → Article 5 à vérifier.
- Revendez-vous un produit qui intègre un modèle IA ? → Provider, pas Deployer.
Si vous avez répondu oui à au moins une de ces questions (c'est le cas de 95 % des PME qu'on accompagne), vous avez des obligations concrètes à mettre en place avant le 2 août 2026.