Le règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, dit « AI Act ») est entré en vigueur le 1er août 2024 et s'applique par paliers. Les interdictions de certaines pratiques et l'obligation de maîtrise de l'IA par le personnel s'appliquent depuis février 2025, les règles sur les modèles à usage général depuis août 2025, et le gros des obligations, notamment pour les systèmes à haut risque, à partir d'août 2026, avec des discussions en cours au niveau européen sur un étalement de certaines échéances. Pour une PME, la question n'est pas de connaître le texte par cœur, mais de savoir dans quelle case elle se trouve.
1. Fournisseur ou déployeur ?
L'AI Act distingue deux rôles principaux. Le fournisseur développe un système d'IA ou le met sur le marché sous son nom. Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle. Une PME qui utilise ChatGPT, Copilot, un outil de tri de candidatures ou un assistant client intégré à son site est déployeur. Elle devient fournisseur si elle développe son propre système, ou si elle modifie substantiellement un système existant et le commercialise.
La distinction compte : l'essentiel des obligations lourdes (documentation technique, évaluation de conformité, marquage CE) pèse sur les fournisseurs. Les déployeurs ont des obligations plus légères, mais elles existent et elles sont contrôlables.
2. Ce qui s'applique déjà à toutes les PME
La formation des équipes
L'article 4 impose aux déployeurs de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes. Pas un diplôme : une sensibilisation adaptée au contexte, aux risques (données confidentielles, erreurs, biais) et aux règles internes. Une session de deux heures et une charte signée répondent à l'exigence pour la plupart des entreprises.
Les pratiques interdites
Certaines utilisations sont prohibées quel que soit le rôle : notation sociale, manipulation exploitant la vulnérabilité des personnes, reconnaissance des émotions au travail ou en milieu scolaire, sauf raisons médicales ou de sécurité. Une PME y est rarement confrontée, mais un outil de « détection de l'engagement » des salariés en visioconférence, par exemple, tombe dans cette catégorie.
La transparence
Lorsqu'une personne interagit avec un système d'IA (chatbot sur votre site, assistant téléphonique), elle doit en être informée. Les contenus générés ou manipulés par IA (images, voix, vidéos) doivent être identifiables comme tels lorsqu'ils peuvent induire en erreur.
3. Les cas à haut risque : vérifiez vos usages RH et financiers
L'annexe III du règlement liste les usages considérés à haut risque. Pour une PME, trois domaines méritent une attention particulière :
- Le recrutement et la gestion du personnel : tri automatique de CV, évaluation des candidats, affectation des tâches, suivi des performances.
- L'accès au crédit et à l'assurance : scoring de solvabilité, tarification.
- L'accès aux services essentiels : éligibilité à des prestations, priorisation de demandes.
Si vous déployez un outil dans ces domaines, vous devez l'utiliser conformément à sa notice, garantir un contrôle humain effectif, conserver les journaux générés par le système, informer les salariés concernés avant la mise en service, et, pour certaines décisions, informer les personnes qu'une IA est intervenue. Ce sont des obligations de déployeur, pas de fournisseur : elles vous concernent même si vous n'avez pas écrit une ligne de code.
4. L'angle que l'AI Act ne couvre pas : vos données
L'AI Act encadre les systèmes ; il ne protège pas, à lui seul, les informations que vos équipes saisissent dans un outil d'IA. Un devis client collé dans une version grand public d'un assistant peut servir à l'entraînement du modèle et sortir du cadre du RGPD. C'est le risque le plus fréquent que nous rencontrons dans les PME, et c'est une question de cybersécurité autant que de conformité : quels outils sont autorisés, avec quel compte, pour quelles données.
5. Plan d'action en cinq points
- Inventorier. Listez les outils d'IA utilisés, y compris ceux que les équipes utilisent sans en parler. Un questionnaire anonyme révèle souvent la moitié des usages.
- Classer. Pour chaque outil : rôle (déployeur, parfois fournisseur), domaine d'usage, données traitées, niveau de risque au sens du règlement.
- Encadrer. Une charte d'usage d'une page : outils autorisés, données interdites, validation humaine obligatoire pour les décisions sensibles, obligation d'informer en cas de doute.
- Former. Une session courte pour tous, un module complémentaire pour les RH, la finance et le service client.
- Sécuriser. Comptes professionnels plutôt que personnels, filtrage des données sensibles, et, pour les besoins réguliers, un assistant interne hébergé en Europe qui ne répond qu'à partir de vos documents.
Ce qu'il faut retenir
Pour une PME luxembourgeoise, l'AI Act se résume rarement à une mise en conformité lourde. Il demande de savoir quels outils sont utilisés, par qui et pour quoi, de former les équipes, et de redoubler de vigilance sur les usages RH et financiers. Le reste relève de la sécurité des données, qui, elle, ne vous attendra pas.