AI Act et RGPD : ce qu'une PME doit vraiment faire

Si tu utilises l'IA pour automatiser des tâches dans ta PME, trier des emails, relancer des factures, préparer un reporting, tu es déployeur au sens du règlement européen sur l'IA, pas fournisseur. Et dans l'immense majorité des cas, ton usage relève du risque minimal : tes obligations tiennent en trois points, pas en un projet de conformité à six chiffres.

Le sujet fait peur parce qu'on le présente presque toujours du point de vue de celui qui construit les systèmes. Ce n'est pas ta situation. Voici ce qui s'applique réellement quand tu te contentes d'utiliser l'IA, et ce que tu dois exiger des outils auxquels tu confies tes accès.

Cet article explique le cadre en langage simple. Ce n'est pas un conseil juridique : pour un cas particulier, notamment si tu touches au recrutement ou à des données sensibles, fais valider ta situation par un professionnel du droit.

Fournisseur ou déployeur : la distinction qui change tout

Le règlement (UE) 2024/1689, dit AI Act, sépare deux rôles :

• Le fournisseur développe un système d'IA et le met sur le marché sous son nom. C'est lui qui porte le gros des obligations : documentation technique, évaluation de conformité, gestion des risques.
• Le déployeur utilise le système sous sa propre autorité, dans un cadre professionnel. C'est toi si tu branches un SaaS d'automatisation sur ta boîte mail.

Cette distinction est la meilleure nouvelle de tout le règlement pour une PME : tu n'as pas à produire la documentation d'un système que tu n'as pas construit.

Une nuance à connaître quand même : tu peux basculer du côté fournisseur si tu mets ta propre marque sur un système d'IA que tu redistribues, ou si tu le modifies substantiellement. Utiliser un outil tel quel ne te fait pas basculer.

En résumé : utiliser l'IA ne fait pas de toi un fournisseur. Le revendre sous ton nom, si.

Le calendrier, en clair

Le règlement s'applique par étapes depuis son entrée en vigueur en 2024 :

• 2 février 2025 : les pratiques interdites deviennent applicables, ainsi que l'obligation de littératie IA.
• 2 août 2025 : obligations relatives aux modèles d'IA à usage général, ceux qui font tourner les assistants que tu connais.
• 2 août 2026 : application complète, dont le régime des systèmes à haut risque.

Le calendrier et son détail évoluent ; la référence qui fait foi reste le texte publié au Journal officiel de l'Union européenne, et le cadre réglementaire publié par la Commission européenne en donne la lecture officielle. Ne te fie pas à un article de blog, celui-ci compris, pour une date qui engage ton entreprise.

À quel niveau de risque se situe ton usage

Le règlement classe les usages, pas les technologies. C'est le point que presque tout le monde rate : le même modèle peut être à risque minimal ou à haut risque selon ce que tu lui fais faire.

• Risque inacceptable, donc interdit. Notation sociale, manipulation exploitant une vulnérabilité, et notamment la reconnaissance des émotions sur le lieu de travail. Si un outil te propose d'analyser l'humeur de tes salariés, la réponse est non, et ce n'est pas négociable.
• Haut risque. Les usages qui décident du sort de quelqu'un : tri de candidatures, décisions de promotion ou de licenciement, accès au crédit, éducation. C'est le piège pour une PME : automatiser le tri des CV paraît anodin et te fait pourtant entrer dans la catégorie la plus exigeante.
• Risque limité. Les usages où quelqu'un interagit avec une IA. L'obligation est la transparence : la personne doit pouvoir savoir qu'elle ne parle pas à un humain.
• Risque minimal. Tout le reste, et c'est là que se situe l'essentiel de l'automatisation de PME : relancer une facture impayée, trier des emails entrants, mettre à jour un suivi client, générer un reporting.

En résumé : automatiser tes relances, c'est du risque minimal. Automatiser ton recrutement, c'est du haut risque. Les deux se ressemblent vus de loin, pas du tout au regard du droit.

Les trois obligations qui te concernent probablement

Si tes usages sont à risque minimal ou limité, voici ce qui reste à ta charge, et c'est faisable en une après-midi :

• La littératie IA. Les personnes qui utilisent l'IA chez toi doivent comprendre ce qu'elles manipulent : qu'un modèle peut se tromper, inventer une information, et que ses sorties se vérifient. Aucune certification n'est exigée, mais l'ignorance totale n'est plus une position tenable.
• La transparence. Si un client échange avec une IA, il doit pouvoir le savoir. Concrètement : une mention claire, et une page publique qui explique ton usage de l'IA.
• La supervision humaine sur ce qui compte. Tout ce qui écrit vers l'extérieur, envoi d'emails, publication, engagement, mérite une validation humaine tant que tu n'as pas la preuve que ça tourne juste.

Le RGPD n'a pas disparu, et c'est souvent lui qui mord en premier

On parle tellement de l'AI Act qu'on en oublie le texte qui s'applique déjà et qui sanctionne déjà. L'IA ne crée aucune exception au RGPD. Si ton automatisation traite des données personnelles, et c'est le cas dès que tu manipules des emails clients :

• Il te faut une base légale, et le traitement doit figurer dans ton registre.
• Le principe de minimisation s'applique : tu ne donnes accès qu'à ce qui est nécessaire, pas à toute ta boîte mail parce que c'est plus simple.
• Ton fournisseur d'IA est un sous-traitant : il faut un contrat qui l'encadre, et savoir où les données sont hébergées.
• Les durées de conservation valent aussi pour ce que l'IA produit.

Le piège le plus fréquent en PME n'a rien de sophistiqué : coller le fichier client dans un assistant grand public pour lui demander un tri. Là, tu transfères des données personnelles hors de tout cadre, sans contrat, sans base légale, et souvent vers un service qui pourra s'en servir. La CNIL publie des recommandations sur l'IA qui font autorité en France sur ces questions.

Les 7 questions à poser avant de donner tes accès à un outil d'IA

C'est la partie la plus utile, et elle vaut pour n'importe quel fournisseur, Venis compris. Un outil sérieux répond à ces sept questions sans détour :

1. Mes données servent-elles à entraîner vos modèles ? La seule bonne réponse est non, et elle doit être écrite quelque part.
2. Où sont hébergées les données, et qui y accède ? Un fournisseur qui ne sait pas répondre ne s'est pas posé la question.
3. Quels accès exacts demandez-vous, et puis-je les restreindre ? Lire une boîte mail et pouvoir écrire partout ne sont pas la même chose.
4. Puis-je révoquer un accès sans casser le reste ? La réversibilité se teste avant, pas le jour où tu en as besoin.
5. Qu'est-ce qui s'exécute sans validation humaine ? Tu dois pouvoir lister ce que le système fait tout seul.
6. Que se passe-t-il quand le système se trompe ? Une réponse honnête décrit un comportement précis : mise en pause, notification, trace consultable.
7. Puis-je récupérer et supprimer mes données ? Y compris après avoir résilié.

Ce qui doit te faire refuser un outil

• Le fournisseur ne sait pas dire clairement si tes données alimentent l'entraînement de ses modèles.
• Il demande un accès large quand une lecture ciblée suffirait.
• Il n'existe aucune trace de ce que le système a fait, ni moyen de la consulter.
• Il écrit dans tes outils sans validation dès le premier jour, sans que tu aies rien vu fonctionner.
• Il promet un résultat garanti. En automatisation, un gain sérieux s'estime puis se mesure ; il ne se garantit pas.

Comment Venis se situe

Par cohérence avec ce qui précède, voici les réponses de Venis, vérifiables sur la note de transparence IA : tes données servent uniquement à réaliser ton audit et à faire tourner tes agents, elles ne sont pas utilisées pour entraîner des modèles publics et ne transitent pas par un assistant grand public. Les actions qui écrivent suivent le principe « l'agent propose, tu valides ». En cas d'échec ou de doute, l'agent se met en pause et te prévient plutôt que d'agir en silence. Et les estimations produites restent des estimations, à valider avec ton jugement.

Par où commencer ?

Le plus simple est de partir de tes tâches réelles plutôt que du règlement. L'audit gratuit liste ce qui est automatisable chez toi et te dit quoi lancer en premier ; tu verras tout de suite que l'essentiel relève du risque minimal, et tu sauras identifier le cas qui mérite un vrai examen.

Lance ton audit IA gratuit

Questions fréquentes

Ma PME est-elle concernée si elle utilise seulement ChatGPT ?

Oui, comme déployeur, mais avec des obligations légères tant que l'usage reste à risque minimal. Ce qui compte est moins l'outil que ce que tu lui fais faire, et surtout les données que tu lui confies : le vrai risque immédiat pour une PME est du côté du RGPD, pas de l'AI Act.

Automatiser mes relances clients, est-ce du haut risque ?

Non. Relancer une facture impayée, trier des emails ou générer un reporting relèvent du risque minimal. Tu bascules en haut risque quand le système participe à une décision sur une personne, typiquement en recrutement.

Faut-il un DPO pour utiliser l'IA dans une PME ?

L'IA ne change pas les critères de désignation d'un DPO, qui relèvent du RGPD et dépendent de la nature et de l'ampleur de tes traitements. Beaucoup de TPE et PME n'y sont pas tenues, ce qui ne dispense ni du registre ni des autres obligations.

Que risque concrètement une PME ?

Le règlement prévoit des sanctions élevées, jusqu'à plusieurs dizaines de millions d'euros ou un pourcentage du chiffre d'affaires mondial pour les manquements les plus graves, avec pour les PME un plafonnement au montant le plus favorable. Dans les faits, le risque quotidien d'une petite structure est plus prosaïque : une fuite de données clients confiées à un outil mal choisi.

Puis-je utiliser l'IA sur des données de mes clients ?

Oui, à condition d'avoir une base légale, de limiter les accès au strict nécessaire, d'encadrer le fournisseur par contrat et de savoir où les données sont traitées. C'est exactement ce que les sept questions plus haut permettent de vérifier avant de signer.