Règlement IA : obligations en vigueur pour une TPE en Pévèle

Qu'est-ce qui s'impose déjà à une TPE qui utilise l'IA ?

Pour le règlement, vous êtes un « déployeur ». L'article 3 désigne ainsi toute personne ou entreprise qui utilise un système d'IA sous sa propre autorité, hors activité personnelle. Attention au sur-mesure : le même article range parmi les fournisseurs celui qui « fait développer » un système d'IA et le met en service sous son propre nom. Sur un outil codé pour vous, comme ceux de ma page IA et automatisation, votre rôle se vérifie avant la mise en service.

Les pratiques interdites, depuis le 2 février 2025

Quatre usages interdits par l'article 5 peuvent toucher une petite entreprise.

• Les techniques subliminales ou manipulatrices qui faussent une décision et causent, ou risquent de causer, un préjudice important.
• L'exploitation nuisible d'une vulnérabilité liée à l'âge, au handicap ou à la situation sociale ou économique.
• La notation sociale, qui classe des personnes d'après leur comportement ou leur personnalité et les traite défavorablement hors contexte ou sans justification.
• La déduction des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité.

L'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial (article 99). Pour une PME, microentreprises comprises, le plafond retenu est le plus faible des deux.

La maîtrise de l'IA, réécrite le 27 juillet 2026

L'article 4 s'applique aussi depuis le 2 février 2025. Depuis l'omnibus, il vous demande des mesures pour favoriser la maîtrise de l'IA chez votre personnel et chez ceux qui utilisent ces outils pour votre compte. Le texte précise : « Cette obligation ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

La foire aux questions du service d'assistance de la Commission ajoute qu'aucune formation ni certification externe n'est obligatoire. Aucun responsable de l'IA n'est à désigner non plus.

La transparence, depuis le 2 août 2026

Depuis cette date, la Commission et les autorités des États membres contrôlent l'application du règlement. L'article 50 demande deux gestes au déployeur. D'abord, signaler un hypertrucage : image, son ou vidéo générés par l'IA, qui ressemblent à des personnes, lieux ou événements réels et peuvent passer pour authentiques. Ensuite, signaler un texte publié pour informer le public sur une question d'intérêt public. Cette seconde obligation tombe si un humain a relu le texte et qu'une personne en assume la responsabilité éditoriale.

L'assistant conversationnel relève d'abord du fournisseur : c'est à lui de concevoir l'outil pour que l'utilisateur sache qu'il échange avec une IA. L'information doit être claire et arriver au plus tard au premier échange. Pour les obligations de transparence, le plafond tombe à 15 millions d'euros ou 3 % du chiffre d'affaires mondial, le plus faible des deux pour une PME.

Qu'est-ce qui est reporté, et jusqu'à quand ?

Selon la Commission, les règles des systèmes à haut risque s'appliqueront en deux temps. Le 2 décembre 2027 pour ceux de l'annexe III, qui vise notamment l'emploi, l'éducation et la biométrie. Le 2 août 2028 pour l'IA intégrée à des produits réglementés comme les jouets ou les ascenseurs.

Pour une TPE, le cas le plus probable est le recrutement. L'annexe III vise les systèmes destinés à « analyser et filtrer les candidatures et évaluer les candidats ». À partir du 2 décembre 2027, l'article 26 fixera au déployeur de tels outils plusieurs obligations, dont celles-ci.

• Utiliser l'outil conformément à la notice du fournisseur.
• Confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires.
• Conserver au moins six mois les journaux générés par l'outil, quand ils sont sous votre contrôle.
• Informer les représentants du personnel et les salariés concernés avant tout usage au travail, ainsi que les personnes sur lesquelles l'outil aide à décider.

Quelle règle s'applique aux usages de l'IA au programme en Pévèle ?

À Ennevelin, Terrabùndo est la maison des entrepreneurs que Pévèle Carembault a inaugurée en 2023. Ses Focus Business du 19/02/2026 et du 19/03/2026 portaient sur l'IA dans l'entreprise. Le programme du second annonçait des cas d'usage en quatre familles. Voici où chacune se range.

• Automatiser l'administratif : courriels, documents, facturation. En règle générale, ces usages ne figurent ni parmi les interdits, ni à l'annexe III, ni à l'article 50. Pour ce risque minimal, la CNIL indique que le règlement ne prévoit pas d'obligation spécifique. Restent les interdits et la maîtrise de l'IA.
• Répondre par un assistant conversationnel. La transparence s'applique depuis le 2 août 2026 : l'internaute doit savoir qu'il échange avec une IA.
• Générer des contenus : textes, lettres d'information, publications. Un visuel qui imite une personne, un lieu ou un événement réels et peut passer pour authentique se signale. Un texte d'information d'intérêt public aussi, sauf relecture humaine sous votre responsabilité éditoriale.
• Trier des CV et présélectionner des candidats. Ces systèmes figurent en principe à l'annexe III : les règles du haut risque s'appliqueront le 2 décembre 2027. Le RGPD, lui, s'applique déjà. La CNIL cite le tri automatique de CV parmi les cas où les deux textes jouent ensemble.

Dans les quatre cas, le RGPD s'applique dès que des données personnelles entrent dans l'outil. La CNIL rappelle que le déployeur qui traite ces données en sera « le plus souvent responsable au titre du RGPD ». La règle que je tiens dans chaque mission, détaillée dans Comment je travaille, vaut ici : aucune collecte inutile.

Par où commencer, et qui peut répondre ?

Mon conseil : commencez par un inventaire écrit.

1. Listez les outils d'IA de l'entreprise, y compris ceux intégrés à vos logiciels, et les personnes qui s'en servent.
2. Notez votre rôle pour chacun : déployeur, ou fournisseur si l'outil a été développé pour vous et mis en service sous votre nom.
3. Écartez tout usage proche d'un interdit, comme un outil qui déduit les émotions des salariés.
4. Gardez une trace de vos mesures de maîtrise de l'IA : consignes écrites, temps de prise en main, ressources consultées. Aucune certification externe n'est exigée.
5. Vérifiez que votre assistant conversationnel s'annonce comme une IA dès le premier échange.
6. Signalez les visuels générés qui imitent le réel, par une mention ou l'une des trois icônes facultatives proposées par la Commission.
7. Si l'IA trie des candidatures chez vous, préparez 2027 : notice, contrôle humain, journaux, information des salariés.

Pour une question précise, le service d'assistance de la Commission propose une foire aux questions traduite en français, un outil de conformité et une page de contact. La Commission le présente comme sa plateforme d'information unique, là où l'article 4 lui demande de publier des exemples pratiques de maîtrise de l'IA. La Direction générale des Entreprises publie la répartition des autorités de contrôle prévue en France. Elle donne deux adresses pour les questions : reglement-ia@dgccrf.finances.gouv.fr et reglement-ia.dge@finances.gouv.fr. Pour les données personnelles, l'interlocuteur reste la CNIL. Ces éléments sont une information générale, à jour au 23/09/2026 : vérifiez votre situation auprès de l'organisme compétent.