craft.ai
Guides

Déployeur

Ce que l'AI Act demande à une PME qui utilise de l'IA

Vous n'êtes pas un éditeur de modèles. Vous êtes un déployeur. La liste de ce qui pèse vraiment sur vous, au 21 août 2026, tient en quelques articles — et ce n'est pas le dossier « haut risque » qu'on vous vend.

Rendez-vous Décrire mon besoin

Page mise à jour le

La réponse courte

Une TPE ou PME qui utilise un système d'IA dans le cadre de son activité est un « déployeur » au sens de l'article 3, point 4. Au 21 août 2026, trois blocs lui pèsent vraiment : l'article 5 (pratiques interdites, depuis le 2 février 2025), l'article 50 (transparence, depuis le 2 août 2026) et l'article 4 (favoriser la maîtrise de l'IA, depuis le 2 février 2025, rédaction allégée depuis le 27 juillet 2026). L'article 26 (obligations du déployeur de système à haut risque) n'est pas applicable avant le 2 décembre 2027 pour un usage d'annexe III. L'AIDF de l'article 27 ne vise pas une PME privée ordinaire.

Déployeur, pas fournisseur — et le piège de l'article 25

« Déployeur », ce n'est pas un jargon d'éditeur. C'est toute personne morale qui utilise un système d'IA sous sa propre autorité, hors usage personnel. Un cabinet de cinq personnes qui fait relire ses courriers par un assistant est déployeur, au même titre qu'un groupe. Les obligations lourdes de fournisseur (marquage CE, documentation technique, enregistrement dans la base de l'Union) ne vous concernent pas, sauf bascule. L'article 25 décrit cette bascule : commercialiser le système sous votre nom, lui apporter une modification substantielle, ou changer la destination d'un modèle généraliste de sorte qu'il entre dans l'annexe III. Une agence qui livre un outil en marque blanche sous son propre nom devient fournisseur. Attention : l'article 25 est au chapitre III, section 3, donc reporté au 2 décembre 2027 pour l'annexe III. C'est une préparation, pas une obligation de ce mois-ci.

Ce qui est déjà dû : interdictions, transparence, maîtrise

L'article 5, paragraphe 1, point f), interdit d'inférer les émotions d'une personne sur le lieu de travail ou dans un établissement d'enseignement, hors raisons médicales ou de sécurité. Un outil d'analyse de sentiment sur des entretiens vidéo, un scoring émotionnel d'appels, tombent dedans. C'est en vigueur depuis le 2 février 2025, et c'est le plafond le plus lourd (article 99, paragraphe 3 : 35 millions d'euros ou 7 % du CA mondial, le plus élevé — mais pour une PME, le plus faible des deux, article 99, paragraphe 6). L'article 50, lui, s'applique depuis le 2 août 2026 : hypertrucages à signaler, textes d'intérêt public générés par IA à indiquer, personnes exposées à un système de reconnaissance des émotions à informer. L'obligation du chatbot « dire que c'est une IA » (article 50, paragraphe 1) pèse sur le fournisseur du système, pas automatiquement sur le site qui l'installe. L'article 4 est traité ailleurs sur ce site : ce n'est pas une formation obligatoire, et il n'y a pas d'amende européenne dédiée dans l'article 99.

Ce qui n'est pas dû, malgré ce qu'on vous raconte

On vous vendra un registre des systèmes d'IA, une analyse d'impact sur les droits fondamentaux, un dossier de conformité haut risque « parce que c'est le 2 août ». Pour une PME privée ordinaire, l'AIDF de l'article 27 ne s'applique pas : elle vise les organismes de droit public, les entités privées fournissant des services publics, et les déployeurs de scoring de crédit ou de tarification d'assurance-vie et santé (annexe III, points 5 b et 5 c). L'article 26 n'est pas applicable avant décembre 2027. L'enregistrement de l'article 49, pour les déployeurs, ne concerne que les autorités publiques. En revanche le RGPD, lui, s'applique déjà, et c'est souvent là que se joue la conformité réelle : base légale, information, AIPD, contrat de sous-traitance. La CNIL le formule ainsi : un déployeur qui traite des données personnelles en sera le plus souvent responsable au titre du RGPD.

Sanctions : lire l'article 99 jusqu'au paragraphe 6

Les plafonds qui circulent — « 35 millions ou 7 % » collés sur n'importe quel manquement — sont ceux de l'article 5 seulement. Un manquement à l'article 50 ou, plus tard, à l'article 26, relève du paragraphe 4 : 15 millions ou 3 %. Les informations inexactes aux autorités relèvent du paragraphe 5 : 7,5 millions ou 1 %. Les chiffres « 30 millions / 6 % » viennent de la proposition de 2021, pas du texte adopté : ne jamais les reprendre. Pour une PME au sens de la recommandation 2003/361/CE, l'article 99, paragraphe 6, inverse la règle des grandes entreprises : on retient le plus faible des deux plafonds, pas le plus élevé. Une société à deux millions d'euros de CA n'est pas exposée à 15 millions sur l'article 50, mais à 3 % de son chiffre. L'article 4 n'apparaît dans aucune de ces listes.

À vérifier chez vous

Ce que vous pouvez contrôler vous-même

Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.

  • Lister les systèmes d'IA réellement utilisés (assistant, chatbot, outil RH, scoring) et qui les utilise.
  • Vérifier qu'aucun outil n'infère des émotions au travail (article 5, § 1, f).
  • Pour chaque contenu généré publié, savoir si l'article 50 s'applique — et ne pas confondre fournisseur et déployeur.
  • Ne pas lancer un chantier « AIDF » ou « registre haut risque » sans vérifier que vous y êtes assujetti.
  • Lire l'article 99, paragraphe 6, avant d'accepter un argument de vente calé sur 15 ou 35 millions d'euros.

Sources

Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.

Vos questions

Un micro-entrepreneur qui utilise ChatGPT est-il concerné ?

Oui, dès lors que l'usage n'est pas strictement personnel. L'article 3, point 4, ne pose ni plancher d'effectif ni seuil de chiffre d'affaires. Ce qui change avec la taille, c'est la proportion de l'effort, pas l'assujettissement. Concrètement, pour un indépendant, l'article 4 se résume souvent à deux règles écrites (ce qu'on a le droit de coller dans l'outil, ce qu'on n'y colle jamais) et l'article 50 à une mention visible si un client interagit avec un système. L'article 26, lui, attend 2027 — et encore, seulement si l'usage entre dans l'annexe III.

Dois-je tenir un registre des systèmes d'IA ?

Le règlement n'impose pas de registre général aux déployeurs privés. L'enregistrement dans la base de l'Union (article 49) vise les fournisseurs de systèmes à haut risque et, pour les déployeurs, uniquement les autorités publiques et institutions de l'Union (article 26, paragraphe 8). Une liste interne de ce que vous utilisez reste une bonne pratique, surtout pour répondre à un questionnaire client, mais la présenter comme une obligation AI Act actuelle est inexact. Ce qui est déjà obligatoire, c'est le registre des traitements du RGPD, dès lors que vous n'êtes pas dans les cas de dispense, et il peut simplement mentionner les finalités qui passent par un outil d'IA.

La CNIL peut-elle me contrôler au titre de l'AI Act ?

Pas en tant qu'autorité de surveillance du marché de l'AI Act : elle n'est pas désignée. Elle le dit elle-même dans son programme 2026. En revanche, elle reste l'autorité de contrôle du RGPD, et un usage d'IA qui traite des données personnelles tombe déjà sous ce régime. Les contrôles prioritaires 2026 incluent le recrutement, précisément sous l'angle des décisions automatisées. Le risque de contrôle réel, aujourd'hui, est donc un risque RGPD, pas un risque AI Act. Le schéma annoncé (CNIL sur l'annexe III point 4, emploi) n'est pas encore du droit.

Une idée en tête ?

Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.

Rendez-vous Écrire un message