AI Act : ce qui s'applique vraiment à une TPE qui utilise ChatGPT

Votre secrétaire rédige les relances avec ChatGPT, votre conducteur de travaux résume ses comptes rendus avec Copilot, et vous venez de lire qu'une nouvelle échéance de l'AI Act tombe le 2 décembre 2026. La question est légitime : qu'est-ce que ce règlement européen vous demande, à vous, petite entreprise qui utilise des outils d'IA sans en fabriquer ? Pour situer vos usages en deux minutes, commencez par le check conformité IA et RGPD.

La réponse courte rassure, à condition de bien lire le texte : une TPE qui utilise ChatGPT pour écrire, résumer ou trier n'a ni dossier de conformité à constituer ni déclaration à faire. Elle a en revanche quelques obligations précises, et quelques usages à éviter absolument.

Fournisseur ou déployeur : de quel côté se trouve une TPE ?

Une TPE qui utilise ChatGPT, Copilot, Gemini ou Meta AI dans son travail est un « déployeur » au sens de l'AI Act, c'est-à-dire un utilisateur professionnel, et non un « fournisseur » qui développe et met l'outil sur le marché.

La distinction compte parce que l'essentiel des obligations lourdes pèse sur les fournisseurs : documentation technique, marquage des contenus générés, évaluation de conformité. OpenAI, Microsoft ou Google portent ces obligations pour leurs modèles. Votre rôle se limite à l'usage que vous en faites.

Il existe une zone grise à connaître. Si vous faites développer un assistant ou un chatbot à votre nom, ou si vous modifiez substantiellement un système d'IA, vous pouvez basculer du côté fournisseur pour cet outil précis. Dans ce cas, posez la question par écrit à votre prestataire avant la mise en service : qui est le fournisseur, et qui assume les obligations de transparence ?

Former l'équipe : ce que demande l'article 4 depuis l'Omnibus

L'article 4 de l'AI Act demande aux entreprises qui utilisent l'IA de prendre des mesures pour soutenir la maîtrise de l'IA des personnes qui s'en servent pour leur compte, en tenant compte de leur niveau, de leur formation et du contexte d'usage.

Le texte a changé en juillet 2026. La version initiale exigeait de garantir « un niveau suffisant » de maîtrise de l'IA. Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, a remplacé cette formulation : l'entreprise doit prendre des mesures, mais le texte précise désormais qu'elle n'a pas à garantir un niveau donné pour chaque personne. La Commission et les États membres doivent en parallèle aider les entreprises, en particulier les PME, notamment en publiant des exemples pratiques.

Pour une TPE, des mesures proportionnées suffisent et se documentent simplement : une demi-journée de prise en main, une page de règles d'usage, un rappel des données à ne jamais copier dans un outil grand public. Notre article sur les données à ne pas copier dans ChatGPT donne la règle de base, et la charte IA pour TPE sert de support écrit.

Les usages interdits depuis février 2025

Depuis le 2 février 2025, l'article 5 de l'AI Act interdit certaines pratiques à toutes les entreprises, quelle que soit leur taille, et une TPE peut y tomber sans le savoir avec un outil acheté sur étagère.

Trois interdictions concernent directement la vie d'une petite entreprise :

• utiliser un logiciel qui déduit les émotions des salariés sur le lieu de travail, par exemple pour analyser la voix ou le visage en réunion, hors raisons médicales ou de sécurité ;
• recourir à des techniques de manipulation ou exploiter la vulnérabilité d'une personne, par exemple liée à son âge ou à sa situation économique, pour altérer son comportement d'une manière qui lui cause un préjudice important ;
• noter des personnes sur leur comportement social pour leur réserver ensuite un traitement défavorable sans rapport avec le contexte.

Le 2 décembre 2026, l'Omnibus ajoute l'interdiction des systèmes qui génèrent des images intimes sans consentement, ce qui ne change rien pour un usage professionnel normal.

Transparence : quand faut-il signaler l'IA ?

Depuis le 2 août 2026, l'article 50 impose aux utilisateurs professionnels de signaler qu'une image, un son ou une vidéo a été généré ou truqué par IA lorsqu'il imite de façon trompeuse une personne, un lieu ou un événement réel.

Concrètement, une photo de chantier retouchée pour faire croire à une réalisation qui n'existe pas, ou une vidéo où un faux client témoigne, doit être signalée, et mieux vaut ne pas la publier. Une illustration manifestement fictive, comme une scène 3D de bureau, ne se fait en principe pas passer pour authentique et ne relève pas de cette définition.

Pour le texte, l'obligation est plus étroite qu'on ne le dit souvent. Elle vise les textes générés par IA publiés pour informer le public sur des questions d'intérêt général, et elle tombe lorsqu'un humain a relu le contenu et qu'une personne en assume la responsabilité éditoriale. Un devis, une relance ou un article de blog relu et signé par l'entreprise n'a donc pas à porter de mention « écrit par IA ».

Le cas du chatbot sur votre site est différent : l'outil doit être conçu pour indiquer aux visiteurs qu'ils parlent à une IA. C'est d'abord une obligation de l'éditeur, mais vérifiez que le message s'affiche bien sur votre site.

Tableau de décision : votre usage, votre obligation

Le tableau ci-dessous classe les usages les plus courants dans une TPE selon ce que l'AI Act demande réellement, à la date d'octobre 2026.

Usage dans l'entreprise	Ce que demande l'AI Act	Ce que vous faites
Rédiger mails, devis, relances avec ChatGPT	Mesures de maîtrise de l'IA (article 4)	Former, relire, ne pas copier de données sensibles
Publier un article de blog assisté par IA	Pas de mention si relu et assumé par l'entreprise	Relire, vérifier les faits, signer
Image ou vidéo truquée imitant une personne ou un lieu réel	Signaler le contenu généré (article 50)	Signaler, ou mieux renoncer
Chatbot sur le site	Information du visiteur, d'abord à la charge de l'éditeur	Vérifier que le message s'affiche
Tri automatique de CV ou notation de candidats	Usage à haut risque (annexe III), règles applicables au 2 décembre 2027	Garder une décision humaine, interroger l'éditeur dès maintenant
Analyse des émotions des salariés	Interdit depuis février 2025	Ne pas utiliser

Ce tableau ne remplace pas une analyse juridique pour un cas particulier, mais il couvre l'essentiel des situations rencontrées en TPE.

Le recrutement, seul vrai point de vigilance à moyen terme

Les outils d'IA qui filtrent des candidatures, évaluent des candidats ou suivent la performance des salariés sont classés à haut risque par l'annexe III de l'AI Act, et c'est le seul cas où une TPE peut avoir de vraies obligations de déployeur.

L'Omnibus a reporté l'application de ces règles au 2 décembre 2027 pour ce type de systèmes. Les obligations à prévoir côté utilisateur portent notamment sur le contrôle humain, la conservation des journaux et l'information des personnes concernées. Si vous envisagez un logiciel de recrutement qui classe les CV, demandez dès maintenant à l'éditeur comment il compte s'y conformer, et gardez la décision finale entre des mains humaines.

Côté sanctions, l'article 99 prévoit pour les PME que chaque amende est plafonnée au montant le plus bas entre le pourcentage du chiffre d'affaires et le montant fixe. Le risque principal reste donc moins l'amende que l'usage mal maîtrisé : données clients copiées dans un outil grand public, contenu faux publié, décision RH automatisée.