--- title: "Suis-je concerné par l'IA Act ?" slug: "suis-je-concerne" description: "Oui, si vous utilisez de l'IA dans votre activité professionnelle en France. Voici les 4 niveaux de risque et comment savoir précisément où vous vous situez." articles: ["Article 5", "Annexe III", "Article 50", "Article 26", "Article 99"] updated: "2026-06-09" reading_minutes: 7 faq: - q: "Une PME est-elle concernée par l'IA Act ?" a: "Oui. La taille de votre entreprise n'est pas un critère d'exemption. Le règlement vise l'usage, pas la masse salariale. Une TPE qui utilise un chatbot ou un outil de scoring est dans le périmètre du règlement, au même titre qu'un grand groupe." - q: "Quelle est la différence entre fournisseur et déployeur ?" a: "Le fournisseur (provider) développe et commercialise le système d'IA. Le déployeur (deployer) l'utilise dans son activité professionnelle. Si vous utilisez ChatGPT, Copilot ou un chatbot tiers, vous êtes déployeur. C'est le rôle le plus courant pour une PME française, et il est moins exigeant que le rôle de fournisseur (Article 26)." - q: "Qu'est-ce que le risque inacceptable (Article 5) ?" a: "Ce sont 8 pratiques purement interdites depuis le 2 février 2025 : manipulation cognitive subliminale, exploitation de vulnérabilités, notation sociale généralisée, évaluation prédictive de criminalité, scraping massif facial, reconnaissance d'émotions au travail ou à l'école, catégorisation biométrique sur données sensibles, identification biométrique en temps réel dans l'espace public. Pour une PME standard, aucun de ces cas ne s'applique, sauf peut-être le point sur la reconnaissance d'émotions si vous utilisez un outil RH qui analyse les voix en réunion." - q: "Qu'est-ce que le haut risque (Annexe III) ?" a: "Huit catégories d'usages listées à l'Annexe III du règlement : biométrie, infrastructures critiques, éducation, emploi/recrutement, accès aux services essentiels (crédit, assurance), application de la loi, migration, justice. Pour une PME, le cas le plus fréquent est le recrutement IA (tri de CV, scoring de candidats). Si vous utilisez un ATS avec scoring automatique, vous êtes en haut risque pour cet usage spécifique." - q: "Que signifie le risque limité (Article 50) ?" a: "Tout système d'IA qui interagit avec un humain ou produit du contenu pouvant être confondu avec du contenu humain. L'obligation est simple : informer l'utilisateur qu'il interagit avec une IA, au moment de l'interaction, pas en pied de page. Chatbots, assistants IA, génération d'images marketing : c'est ici que se trouvent 90 % des PME." - q: "Quand les sanctions s'appliquent-elles ?" a: "Les pratiques interdites (Article 5) sont interdites depuis le 2 février 2025. Les obligations haut risque (Annexe III) s'appliquent à partir du 2 août 2026. L'obligation de formation (Article 4, AI Literacy) est en vigueur depuis le 2 février 2025. Le risque limité (Article 50) s'applique depuis le 2 août 2026 également. L'Article 99 §6 prévoit expressément une proportionnalité pour les PME dans les sanctions." sources: - label: "Règlement (UE) 2024/1689, texte complet, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689" - label: "Article 5, Pratiques d'IA interdites, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689#d1e2441-1-1" - label: "Annexe III, Systèmes d'IA à haut risque, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689#d1e7766-1-1" - label: "Article 50, Transparence envers les utilisateurs, EUR-Lex" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689#d1e5728-1-1" - label: "CNIL, IA Act : ce que les entreprises doivent savoir" url: "https://www.cnil.fr/fr/intelligence-artificielle" - label: "AI Office, Guides et ressources officiels" url: "https://digital-strategy.ec.europa.eu/fr/policies/ai-office" related: ["calendrier", "usages-haut-risque", "pratiques-interdites-article-5", "fournisseur-ou-deployeur", "sanctions-amendes-article-99"] # Métadonnées d'applicabilité (épic "Profil de conformité personnalisé", PRD §5) applies_to: risk: "transversal" sectors: ["tous"] triggers: ["chatbot", "scoring-cv", "biometrie", "contenu-genere", "scoring-credit", "transcription"] actions: - "Lister les outils IA utilisés dans l'entreprise (fournisseur, usage, données traitées)" - "Déterminer votre rôle pour chaque outil : fournisseur ou déployeur (Article 26)" - "Classer chaque usage par niveau de risque (interdit, haut, limité, minimal)" --- Oui, vous êtes concerné. Si votre entreprise utilise un chatbot, un outil de scoring, un assistant IA chez vos commerciaux, un outil de transcription automatique ou un ATS de recrutement, vous êtes dans le périmètre du Règlement (UE) 2024/1689, dit IA Act. La taille de votre entreprise n'entre pas en compte. La bonne nouvelle : 90 % des PME françaises tombent dans la catégorie la plus légère (risque limité, Article 50). Deux semaines de mise en place, une heure par mois ensuite. ## Ce que dit vraiment le règlement L'IA Act ne vous interdit pas d'utiliser l'IA. Il classe vos usages en quatre niveaux de risque et impose des obligations proportionnelles à chaque niveau. C'est la même logique que le marquage CE pour vos produits : pas une interdiction, un cadre. Quatre piliers structurent le règlement : 1. **Interdire** les 8 pratiques les plus dangereuses (Article 5) 2. **Superviser** les systèmes à fort impact sur les droits et la sécurité des personnes (Annexe III) 3. **Informer** vos utilisateurs quand ils interagissent avec une IA (Article 50) 4. **Sanctionner** de façon proportionnelle, avec une clause PME explicite (Article 99 §6) ## Fournisseur ou déployeur : à quel titre êtes-vous concerné ? Avant d'entrer dans les niveaux de risque, une question préalable : quel est votre rôle ? **Le fournisseur** développe et met sur le marché un système d'IA sous son nom. OpenAI pour ChatGPT, Anthropic pour Claude, Mistral pour Mistral Large. Si vous avez codé un agent IA propriétaire que vous vendez à vos clients, vous êtes fournisseur. Obligations lourdes : documentation technique, gestion des risques, marquage CE pour les systèmes à haut risque. **Le déployeur** utilise un système d'IA tiers dans le cadre de son activité professionnelle. Vous faites tourner ChatGPT chez vos commerciaux, vous avez installé un chatbot sur votre site, vous utilisez un ATS avec scoring IA : vous êtes déployeur. **C'est très probablement votre cas.** Les obligations sont réelles mais nettement plus légères (Article 26). > **Attention, point de bascule** : si vous modifiez substantiellement un système d'IA tiers (fine-tuning sur vos données pour créer un agent métier que vous commercialisez), vous **devenez fournisseur** au sens du règlement. Avec les obligations qui vont avec. ## Niveau 1 : risque inacceptable (Article 5), les 8 pratiques interdites Depuis le **2 février 2025**, huit pratiques sont **purement interdites** sur le marché européen. Aucune dérogation, aucune période de transition supplémentaire. **1. Manipulation cognitive subliminale** (Art. 5 §1 a) : IA qui influence le comportement d'une personne à son insu pour lui nuire. Pas votre cas. **2. Exploitation des vulnérabilités** (Art. 5 §1 b) : cibler des enfants, des personnes âgées ou précaires pour les pousser à des décisions préjudiciables. Pas votre cas. **3. Notation sociale généralisée** (Art. 5 §1 c) : scorer des citoyens sur leur comportement social, type Crédit Social. Pas votre cas dans une PME standard. Vérifiez si vous scorez vos clients sur des critères comportementaux hors contexte commercial. **4. Évaluation prédictive de criminalité** (Art. 5 §1 d) : justice prédictive pure, sans élément factuel. Pas votre cas. **5. Scraping massif d'images faciales** (Art. 5 §1 e) : constituer une base de reconnaissance faciale à partir de vidéos ou d'internet. Pas votre cas. **6. Reconnaissance d'émotions au travail ou à l'école** (Art. 5 §1 f) : si vous utilisez un outil RH qui analyse les émotions de vos collaborateurs en réunion (stress vocal, micro-expressions en visio), **vérifiez sous 48 heures**. C'est la zone où des PME basculent par accident. **7. Catégorisation biométrique sur données sensibles** (Art. 5 §1 g) : déduire de données biométriques des informations comme l'orientation sexuelle, les opinions politiques ou l'appartenance syndicale. Pas votre cas, sauf marketing très ciblé sur ces données. **8. Identification biométrique en temps réel dans l'espace public** (Art. 5 §1 h) : réservé aux forces de l'ordre, avec trois exceptions encadrées (enfant disparu, menace terroriste imminente, suspects d'infractions graves listées à l'Annexe II). Pas votre cas. > **En pratique** > > Parcourez cette liste une fois. Si vous avez un doute sur le point 6 (outil RH qui analyse les émotions ou les expressions), désactivez la fonctionnalité concernée immédiatement et vérifiez la documentation du produit. C'est la seule zone à risque réel pour une PME ordinaire. > > **Sanctions Article 5** : jusqu'à 35 millions d'euros ou 7 % du CA mondial. Le plafond maximal du règlement. ## Niveau 2 : haut risque (Annexe III), les 8 catégories Le haut risque, c'est là où se situe l'essentiel du chantier de l'IA Act si vous y êtes. L'Annexe III liste 8 catégories : 1. **Biométrie** (identification, catégorisation non interdite) : reconnaissance faciale pour l'accès à vos locaux, authentification client par biométrie. 2. **Infrastructures critiques** : eau, gaz, électricité, transport, réseaux. Pas votre cas sauf si vous opérez ces secteurs. 3. **Éducation et formation professionnelle** : notation automatique d'examens, scoring d'accès aux formations, surveillance automatisée d'examens. Concerné si vous êtes organisme de formation avec correction IA. 4. **Emploi et gestion des travailleurs** : **tri de CV, scoring de candidats, attribution automatique de tâches, évaluation de performance, surveillance IA.** C'est ici que tombent la plupart des PME exposées en haut risque. Si votre ATS (Applicant Tracking System) score automatiquement les candidats, vous êtes en haut risque pour cet usage. 5. **Accès aux services essentiels** : crédit, assurance, prestations sociales, services publics essentiels. Concerné si vous êtes fintech, assureur, courtier. 6. **Application de la loi** : police, douanes. Pas votre cas. 7. **Migration et contrôle aux frontières**. Pas votre cas. 8. **Justice et processus démocratiques**. Pas votre cas. > **Point clé** : le haut risque s'applique au **système concerné**, pas à toute votre entreprise. Vous pouvez avoir un ATS haut risque + un chatbot client en risque limité + dix outils en risque minimal. Chaque système suit son propre régime. Les obligations en haut risque incluent : système de gestion des risques, documentation des données d'entraînement, documentation technique (Annexe IV), conservation des logs (Article 12), supervision humaine effective (Article 14), évaluation de conformité, enregistrement dans la base de données européenne (EU AI Database). **Sanctions Annexe III** : jusqu'à 15 millions d'euros ou 3 % du CA mondial. ## Niveau 3 : risque limité (Article 50), où sont 90 % des PME Le risque limité concerne tout système d'IA qui interagit avec un humain ou produit du contenu qui pourrait être confondu avec du contenu humain. L'Article 50 impose **une seule obligation centrale : la transparence**. Quatre cas pratiques : - **Chatbot, assistant virtuel** : informer l'utilisateur qu'il interagit avec une IA, au moment de l'interaction. Pas en pied de page, pas dans les CGU. Une mention claire au début de la conversation. - **Contenu généré par IA** (texte, image, vidéo, audio) : marquage machine-readable obligatoire pour le contenu diffusé publiquement. - **Deepfakes** : mention visible ("cette image est synthétique"). - **Reconnaissance d'émotions ou catégorisation biométrique non interdites** : informer la personne concernée. > **En pratique** > > Vous avez un chatbot sur votre site : ajoutez une mention "Vous échangez avec un assistant automatisé" au démarrage de la conversation. > > Vous générez des images pour vos communications : intégrez les métadonnées C2PA (Content Authenticity Initiative) dans vos exports. Les principaux outils (Adobe Firefly, DALL-E via API) le font déjà nativement. Vérifiez votre outil. > > **Sanctions Article 50** : jusqu'à 15 millions d'euros ou 3 % du CA mondial. En pratique, les premières sanctions passent par des avertissements et mises en demeure, pas directement par des amendes maximales. ## Niveau 4 : risque minimal, le reste Tout ce qui n'est ni interdit, ni haut risque, ni soumis à l'Article 50. Filtres antispam, moteurs de recommandation produit, catégorisation comptable automatique, traduction DeepL. **Aucune obligation contraignante.** Des codes de conduite volontaires existent (Article 95), mais c'est facultatif. Pour la plupart des PME, c'est ici que se trouvent 70 à 80 % de vos usages IA. ## Auto-diagnostic en 3 questions Pour chacun de vos systèmes IA, posez ces trois questions dans l'ordre : 1. **Est-ce une des 8 pratiques interdites (Article 5) ?** Si oui : arrêtez immédiatement. 2. **Est-ce une des 8 catégories haut risque (Annexe III) ?** Si oui : chantier 60 jours. Sinon... 3. **Est-ce que ça interagit avec un humain ou produit du contenu confondable avec de l'humain ?** Si oui : risque limité, chantier deux semaines. Si non : risque minimal, rien à faire. Résultat : un tableau simple (système / niveau / actions). C'est votre boussole pour la suite. > **Ce que vous devez retenir** > > L'IA Act n'est pas une loi anti-IA. C'est un cadre risque-proportionné. > > Votre taille d'entreprise ne vous exempte de rien, mais l'Article 99 §6 prévoit explicitement une proportionnalité dans les sanctions pour les PME. > > 90 % des PME sont en risque limité (Article 50) : informer vos utilisateurs qu'ils interagissent avec une IA. Deux semaines de mise en place. > > 10 à 15 % ont un usage haut risque spécifique (recrutement IA, scoring crédit) : chantier de 60 jours, faisable sans cabinet d'avocats.