AI Act et entrepreneurs : ce que ça change concrètement pour vous en 2026

Temps de lecture : 25-30 min

Mis à jour le 2 août 2026

Vous utilisez ChatGPT pour rédiger vos emails, un CRM avec scoring prédictif, ou un outil RH qui trie des candidatures ?

Le règlement européen sur l’intelligence artificielle, l’AI Act, vous concerne probablement déjà. Voici ce qu’il impose réellement aux entrepreneurs, freelances et dirigeants de PME en 2026, sans jargon et sans catastrophisme.

L’AI Act est entré progressivement en application à partir de février 2025. C’est le premier règlement au monde à encadrer l’intelligence artificielle de façon horizontale, tous secteurs, toutes tailles d’entreprise, tous usages professionnels confondus.

Pourtant, la majorité des entrepreneurs ne savent pas encore s’ils sont concernés, ni par quoi exactement. Les articles disponibles s’adressent aux juristes ou aux grandes entreprises. Les obligations des fournisseurs de modèles IA occupent l’essentiel de l’espace médiatique. Ce qui s’applique concrètement à une startup de 10 personnes, à un freelance ou à une PME sans DPO reste largement inexpliqué.

Ce dossier ne s’adresse pas aux entreprises qui développent des systèmes d’IA pour les commercialiser, elles ont généralement des équipes juridiques pour les accompagner. Il s’adresse aux entrepreneurs qui utilisent l’IA dans leurs process, dans leurs outils, dans leurs prestations. Cette catégorie représente aujourd’hui la quasi-totalité des acteurs économiques, et c’est celle que la réglementation a le plus de mal à atteindre faute d’information accessible.

Deux questions structurent ce dossier : êtes-vous concerné par l’AI Act ? Et si oui, qu’est-ce que ça implique concrètement pour votre activité ?

Ce dossier fait partie de notre Guide juridique pour entrepreneurs, votre référence pour sécuriser chaque étape de votre activité. Pour une vue d’ensemble des enjeux juridiques de l’IA, consulter notre page IA & Droit : naviguer entre innovation et sécurité juridique. Pour comprendre comment structurer votre conformité au quotidien, consultez notre guide Gouvernance IA & RGPD : comment piloter votre conformité en 2026.

Mis à jour le 2 août 2026 – Le Digital Omnibus, adopté définitivement le 29 juin 2026, a modifié le calendrier de l’AI Act. Les obligations pour les systèmes à haut risque de l’annexe III sont reportées au 2 décembre 2027 (contre le 2 août 2026 initialement). Les obligations de transparence de l’article 50 et les obligations GPAI entrent bien en vigueur le 2 août 2026 comme prévu. Ce dossier a été mis à jour pour refléter ces évolutions.

L’AI Act s’applique-t-il à votre activité ?

C’est la question que posent en premier lieu tous les entrepreneurs qui entendent parler de l’AI Act. La réponse dépend d’un seul critère : ce que vous faites avec l’IA.

Le règlement distingue deux positions juridiques fondamentalement différentes. Identifier la vôtre détermine l’ensemble de vos obligations.

Vous développez un outil IA pour le vendre ou l’intégrer dans un produit

Si vous concevez un système d’intelligence artificielle (que ce soit une application, un module, une API ou une fonctionnalité automatisée) pour le commercialiser ou l’intégrer dans une offre destinée à des tiers, vous êtes ce que l’AI Act appelle un provider (fournisseur).

C’est le cas d’une startup qui intègre un moteur de recommandation dans son SaaS, d’un éditeur de logiciel qui ajoute une fonctionnalité de scoring à son outil RH, ou d’un développeur qui commercialise un chatbot à destination d’entreprises clientes.

Les obligations des providers sont les plus étendues du règlement : documentation technique complète, enregistrement dans la base de données européenne, évaluation de conformité avant mise sur le marché, supervision humaine obligatoire pour les systèmes à haut risque, responsabilité directe en cas d’incident. Pour les systèmes classés à haut risque, ces obligations sont applicables à partir du 2 décembre 2027.

Si vous êtes dans cette situation, la mise en place d’une gouvernance IA structurée n’est pas optionnelle. Notre guide Gouvernance IA & RGPD : comment piloter votre conformité en 2026 détaille les étapes concrètes pour structurer cette démarche.

Vous utilisez des outils IA dans votre activité professionnelle

Si vous utilisez des systèmes d’IA existants (sans les développer ni les commercialiser) dans le cadre de votre activité professionnelle, vous êtes un deployer (opérateur ou déployeur).

C’est le cas de la très grande majorité des entrepreneurs, freelances et PME en 2026. Utiliser ChatGPT pour rédiger, un CRM avec scoring prédictif, un outil de présélection de candidatures, une solution de traduction automatique ou GitHub Copilot pour coder : toutes ces situations placent l’utilisateur professionnel en position de deployer.

Les obligations du deployer sont allégées par rapport à celles du provider, mais elles existent et elles sont souvent méconnues. Elles varient selon le niveau de risque du système utilisé et le contexte d’usage. La suite de ce dossier leur est entièrement consacrée.

Tableau – Votre usage, votre position, vos obligations principales

Note : la classification « risque élevé » dépend du contexte précis d’usage et de la liste des systèmes définie à l’annexe III de l’AI Act. En cas de doute sur votre situation, une analyse juridique individualisée est recommandée.

Cas particulier – Vous codez une application en utilisant l’API Claude, OpenAI ou un autre modèle

C’est le profil le plus fréquent dans l’écosystème startup tech, et le plus mal compris du point de vue réglementaire.

Un développeur qui utilise une API IA pour construire une application destinée à des tiers n’est pas un simple deployer. Dès lors que cette application est proposée à des clients ou utilisateurs, vous avez mis un système d’IA sur le marché au sens de l’AI Act, vous êtes provider, avec les obligations qui s’y attachent.

L’AI Act ne définit pas le provider par la capacité à entraîner un modèle. Il le définit par la mise sur le marché d’un système d’IA. Le fait que le modèle sous-jacent appartienne à OpenAI ou Anthropic ne change pas votre position vis-à-vis de vos propres utilisateurs.

Cas concret le plus fréquent : une startup qui utilise l’API OpenAI pour alimenter son propre outil est deployer vis-à-vis d’OpenAI, et provider vis-à-vis de ses clients. Ces deux positions coexistent et créent deux niveaux d’obligations à gérer en parallèle, les confondre est l’erreur la plus fréquente dans cet écosystème.

Le calendrier de l’AI Act : ce qui est déjà en vigueur et ce qui arrive

L’AI Act n’est pas entré en application d’un seul coup. Il s’applique par phases, selon un calendrier échelonné jusqu’en 2028. Comprendre ce calendrier permet de savoir ce qui vous oblige aujourd’hui, ce que vous devez anticiper, et ce qui peut encore attendre.

Février 2025 – Ce qui est interdit aujourd’hui

Depuis le 2 février 2025, les pratiques IA classées à « risque inacceptable » sont interdites sur l’ensemble du territoire européen. Ces interdictions s’appliquent immédiatement, sans délai de transition.

Concrètement, sont interdits :

• La manipulation cognitive à l’insu des personnes : utiliser des techniques subliminales ou exploiter des biais psychologiques pour influencer un comportement sans que la personne en soit consciente. Si vous utilisez un outil de personnalisation marketing qui pousse des décisions d’achat en exploitant des vulnérabilités émotionnelles identifiées, vous êtes potentiellement dans cette zone.
• L’exploitation des vulnérabilités : systèmes ciblant spécifiquement des personnes en situation de faiblesse (âge, handicap, situation économique précaire) pour les influencer de façon préjudiciable.
• La notation sociale généralisée par les pouvoirs publics : non applicable pour la plupart des entrepreneurs, mais à connaître si vous développez des outils à destination d’acteurs publics.
• La reconnaissance faciale en temps réel dans les espaces publics à des fins d’identification, sauf exceptions strictement encadrées (recherche de personnes disparues, menaces terroristes imminentes).

Ce que ça signifie pour vous :

Si vous utilisez ou développez des outils de personnalisation comportementale poussée, de profilage émotionnel ou de scoring basé sur des données sensibles, une vérification juridique de vos usages est recommandée dès maintenant. Ces interdictions sont applicables et les autorités peuvent intervenir.

Août 2025 – Ce que vos fournisseurs doivent publier, et pourquoi ça vous concerne

Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général (GPAI), OpenAI, Google, Anthropic, Mistral, Meta et les autres, sont soumis à des obligations de transparence spécifiques.

Ils doivent notamment :

• Publier une documentation technique sur leur modèle
• Respecter le droit d’auteur européen dans leurs données d’entraînement
• Publier un résumé des données utilisées pour entraîner le modèle

Les modèles présentant un « risque systémique » (les plus puissants, définis par un seuil de capacité de calcul) ont des obligations supplémentaires : évaluation des risques, signalement des incidents graves à la Commission européenne, mesures de cybersécurité renforcées.

Ce que ça signifie pour vous :

Vous n’êtes pas directement obligé par ces règles, elles s’adressent aux providers GPAI. Mais vous en bénéficiez indirectement de deux façons.

D’abord, vous avez désormais le droit d’exiger de vos fournisseurs une documentation transparente sur leurs modèles. Si OpenAI ou Google ne peut pas vous fournir d’informations sur les données d’entraînement ou les risques identifiés de son modèle, c’est un signal d’alerte contractuel.

Ensuite, cette obligation de transparence renforce votre devoir de diligence en tant que deployer : choisir un fournisseur dont le modèle respecte le cadre GPAI devient une composante de votre propre conformité. C’est précisément ce que couvre le scoring fournisseurs du Module 2 de notre Pack Gouvernance IA.

Décembre 2027 – La date qui concerne le plus grand nombre d’entrepreneurs

Le 2 décembre 2027 est la date la plus structurante pour votre activité si vous utilisez des outils IA dans des contextes RH, commerciaux ou décisionnels.

À partir de cette date, les systèmes d’IA classés à « haut risque » (annexe III de l’AI Act) doivent être conformes à l’ensemble des obligations du règlement. Ces systèmes couvrent notamment :

• Les outils RH : recrutement, présélection de candidatures, évaluation des performances, gestion des promotions. Si vous utilisez un outil qui analyse des CV, classe des candidats ou évalue des performances de façon automatisée, il entre dans cette catégorie.
• Les outils de crédit et de solvabilité : scoring client, analyse de risque financier, décisions d’octroi de crédit automatisées. Concernés : les fintech, les plateformes e-commerce avec paiement différé, les solutions de factoring.
• Les systèmes de décision dans les services publics essentiels : accès aux aides sociales, évaluation des besoins, orientation automatisée. Concernés : les prestataires qui développent des outils pour le secteur public.
• Les systèmes éducatifs : outils d’évaluation des élèves, d’orientation scolaire, de détection de la fraude dans les examens.

Pour ces systèmes, les obligations applicables aux deployers incluent à partir de décembre 2027 :

• Supervision humaine obligatoire et documentée
• Information explicite des personnes concernées par une décision automatisée
• Tenue d’un registre d’utilisation du système
• Coopération avec les autorités de surveillance en cas de contrôle
• Signalement des incidents graves

Ce que ça signifie pour vous :

Si vous utilisez aujourd’hui un outil entrant dans ces catégories, vous avez encore plus d’un an pour vous préparer. La préparation minimale consiste à identifier l’outil concerné, vérifier que le provider est lui-même en conformité, mettre en place une procédure de supervision humaine documentée, et informer les personnes concernées.

Août 2028 – Les secteurs critiques et l’annexe I

Le 2 août 2028 marque l’entrée en application des obligations pour les systèmes à haut risque couverts par l’annexe I de l’AI Act : les secteurs soumis à une législation européenne sectorielle préexistante : dispositifs médicaux, équipements de sécurité, véhicules autonomes, aviation, infrastructure ferroviaire.

Ce que ça signifie pour vous :

Si vous intervenez dans ces secteurs réglementés, cette date est votre horizon de conformité. Pour tous les autres entrepreneurs, cette échéance est la moins immédiatement prioritaire.

Tableau récapitulatif – Le calendrier AI Act pour les entrepreneurs

Vous utilisez l’IA professionnellement : voici ce que l’AI Act vous impose réellement

La quasi-totalité des articles sur l’AI Act se concentre sur les providers, les entreprises qui développent et commercialisent des systèmes d’IA. C’est compréhensible : leurs obligations sont les plus complexes et les plus médiatisées.

Mais pour la majorité des entrepreneurs, la question n’est pas « comment mettre un système IA sur le marché », c’est « j’utilise des outils IA dans mon activité, qu’est-ce que ça m’impose ? »

Cette section y répond de façon directe et actionnable.

Première précision essentielle : vos obligations dépendent du niveau de risque de l’outil utilisé

En tant que deployer, vous n’avez pas les mêmes obligations selon que vous utilisez ChatGPT pour rédiger des emails ou un outil automatisé pour présélectionner des candidatures. Le règlement module les exigences selon le niveau de risque du système.

Pour les outils à risque minimal ou limité (génération de contenu, traduction, outils de productivité, assistants rédactionnels) : les obligations AI Act sont quasi inexistantes. Le RGPD continue de s’appliquer si des données personnelles sont traitées, mais l’AI Act n’ajoute pas de couche réglementaire significative.

Pour les outils à risque élevé (RH, crédit, décision automatisée, systèmes éducatifs) : quatre obligations concrètes s’appliquent à vous en tant que deployer. Ce sont ces quatre obligations que cette section détaille.

Obligation 1 – Supervision humaine des systèmes à haut risque

Ce que dit le règlement : le deployer d’un système à haut risque doit mettre en place des mesures de supervision humaine appropriées et s’assurer que les personnes chargées de cette supervision ont les compétences, l’autorité et les ressources nécessaires pour intervenir.

Ce que ça signifie concrètement :
Si vous utilisez un outil de présélection de CV, la décision finale d’inviter ou d’écarter un candidat ne peut pas reposer uniquement sur la sortie du système. Un collaborateur compétent doit examiner le résultat, être en mesure de le contester, et avoir l’autorité de passer outre la recommandation de l’outil.

Ce n’est pas suffisant d’avoir un humain dans la boucle en théorie, il faut que cette supervision soit réelle, documentée et effectivement pratiquée. Un processus où le responsable RH valide systématiquement les recommandations de l’outil sans les examiner ne satisfait pas l’exigence.

Ce que vous devez faire :

• Identifier les outils dans votre activité qui entrent dans la catégorie haut risque
• Définir formellement qui est chargé de la supervision humaine pour chaque outil
• Documenter le processus de validation humaine dans votre politique interne IA
• Former les personnes concernées aux limites et risques du système utilisé

Obligation 2 – Information des personnes concernées

Ce que dit le règlement : lorsqu’un système d’IA à haut risque est utilisé pour prendre ou influencer une décision affectant des personnes, celles-ci doivent être informées qu’elles font l’objet d’un traitement automatisé.

Ce que ça signifie concrètement :
Si vous utilisez un outil de scoring commercial qui classe vos prospects ou clients, ces personnes ont le droit de savoir qu’une décision les concernant est influencée par un système automatisé. Cette information doit être claire, accessible et formulée dans un langage compréhensible, pas noyée dans des CGU de quarante pages.

Si vous utilisez un outil d’évaluation des performances ou de gestion RH, vos collaborateurs doivent être informés de l’existence et du fonctionnement général du système.

Cette obligation s’articule directement avec les droits des personnes prévus par le RGPD, notamment le droit à l’information (articles 13 et 14) et le droit de ne pas faire l’objet d’une décision exclusivement automatisée (article 22). L’AI Act renforce ces droits sans les remplacer. Pour comprendre l’articulation complète entre AI Act et RGPD sur ce point, consultez notre dossier IA & RGPD.

Ce que vous devez faire :

• Identifier les décisions dans votre activité qui sont influencées ou prises par un système IA
• Vérifier que vos mentions d’information (politique de confidentialité, contrats, communications internes) mentionnent l’usage de systèmes automatisés
• Formuler cette information de façon claire et accessible pour les personnes concernées
• Prévoir un mécanisme permettant aux personnes de contester une décision automatisée

Obligation 3 – Tenue d’un registre d’utilisation

Ce que dit le règlement : pour certains systèmes à haut risque, le deployer doit tenir des journaux d’utilisation (logs) dans la mesure où ces journaux sont accessibles, c’est-à-dire lorsque le fournisseur les met à disposition ou les génère automatiquement.

Ce que ça signifie concrètement :
Cette obligation est plus technique que les deux précédentes, et elle s’applique principalement aux deployers de systèmes intégrés (via API) plutôt qu’aux utilisateurs d’interfaces grand public.

En pratique, si vous utilisez un outil via API, vérifiez que votre contrat avec le fournisseur vous donne accès aux logs d’utilisation et que vous les conservez pendant la durée requise. Si vous utilisez une interface grand public (SaaS), l’obligation porte sur la documentation de vos propres usages, tel qu’un registre interne recensant quand, comment et par qui le système est utilisé, et pour quelles décisions.

Pour les deployers de systèmes de reconnaissance biométrique ou de systèmes utilisés dans des espaces publics, les obligations de journalisation sont plus strictes et nécessitent une analyse juridique spécifique.

Ce que vous devez faire :

• Vérifier dans votre DPA fournisseur si des logs d’utilisation sont générés et accessibles
• Mettre en place un registre interne documentant vos usages des systèmes à haut risque
• Définir une durée de conservation de ces journaux cohérente avec vos obligations RGPD
• Intégrer ce registre dans votre tableau de gouvernance IA, c’est précisément l’objet du Module 3 du Pack Gouvernance IA

Obligation 4 – Coopération avec les autorités de surveillance

Ce que dit le règlement : le deployer doit coopérer avec les autorités nationales compétentes en cas de contrôle, d’enquête ou d’incident impliquant un système à haut risque.

Ce que ça signifie concrètement :
En cas de contrôle par l’autorité de surveillance nationale (en France, le cadre institutionnel est encore en cours de définition – plusieurs régulateurs sectoriels sont potentiellement compétents selon le domaine d’activité), vous devez être en mesure de présenter :

• La liste des systèmes IA utilisés dans votre activité et leur classification de risque
• La documentation de vos mesures de supervision humaine
• Les journaux d’utilisation si disponibles
• Vos contrats avec les fournisseurs, notamment les DPA

C’est ce que l’on appelle le principe d’accountability, déjà connu des organisations soumises au RGPD. Vous n’avez pas seulement à être conforme : vous devez être en mesure de prouver que vous l’êtes.

Ce que vous devez faire :

• Documenter proactivement vos usages, vos mesures et vos contrats
• Ne pas attendre un contrôle pour constituer ce dossier
• Centraliser ces éléments dans un espace accessible : c’est l’architecture du Pack Gouvernance IA

Tableau récapitulatif – Vos obligations de deployer selon votre usage

Un point que la plupart des articles omettent : la responsabilité résiduelle du deployer

Même si votre fournisseur IA est lui-même conforme à l’AI Act, cela ne vous exonère pas de vos propres obligations en tant que deployer. La conformité du provider ne se transfère pas automatiquement à l’utilisateur.

En d’autres termes : choisir un outil certifié ou audité ne suffit pas. Vous restez responsable de la façon dont vous l’utilisez, des décisions que vous prenez sur la base de ses résultats, et de l’information que vous donnez aux personnes concernées.

C’est cette responsabilité résiduelle, souvent ignorée, qui justifie une gouvernance IA documentée même pour les deployers dont les usages semblent modestes. Pour comprendre comment votre responsabilité s’articule avec celle du fournisseur en cas d’incident, consultez notre dossier Responsabilité Juridique de l’IA.

RGPD + AI Act : pourquoi les deux coexistent et ce que ça change pour vous

C’est l’une des confusions les plus fréquentes chez les entrepreneurs qui découvrent l’AI Act : beaucoup pensent que ce règlement remplace ou absorbe le RGPD, ou qu’être conforme à l’un suffit pour satisfaire l’autre. Cette confusion est compréhensible, les deux textes parlent d’IA, de données, de risques et de droits des personnes. Mais ils ne régulent pas la même chose, et les ignorer l’un par rapport à l’autre crée des angles morts juridiques réels.

Deux règlements, deux objets distincts

Le RGPD régule le traitement des données personnelles, peu importe la technologie utilisée. Il s’applique depuis 2018 à toute organisation qui collecte, traite ou stocke des données relatives à des personnes physiques identifiables. L’IA n’est pas son objet principal : il s’applique exactement de la même façon à un tableur Excel qu’à un modèle de langage, dès lors que des données personnelles sont en jeu.

L’AI Act régule les systèmes d’intelligence artificielle, peu importe qu’ils traitent des données personnelles ou non. Un système d’IA qui ne traite aucune donnée personnelle (par exemple un outil de prévision météorologique industrielle ou un système de contrôle qualité automatisé) est soumis à l’AI Act mais pas au RGPD.

En pratique, la très grande majorité des usages IA en entreprise impliquent à la fois un traitement de données personnelles et un système d’intelligence artificielle. Les deux règlements s’appliquent alors simultanément, sur des périmètres qui se chevauchent partiellement sans jamais se confondre.

La zone de chevauchement : où les deux textes parlent de la même réalité

Plusieurs obligations se recoupent et se renforcent mutuellement. C’est dans cette zone que la confusion est la plus fréquente, et que les angles morts sont les plus dangereux.

La décision automatisée est le point de chevauchement le plus important pour les entrepreneurs.

Le RGPD encadre depuis 2018 le droit de ne pas faire l’objet d’une décision exclusivement automatisée ayant un effet significatif (article 22). Ce droit impose déjà une information des personnes concernées et la possibilité d’une intervention humaine.

L’AI Act renforce ces exigences pour les systèmes à haut risque : il impose une supervision humaine structurée, documentée et effective, pas seulement une possibilité théorique d’intervention. L’AI Act va donc plus loin que le RGPD sur ce point, mais dans le même sens.

Conséquence pratique : si vous utilisez un outil de décision automatisée, satisfaire l’article 22 du RGPD ne suffit plus. Vous devez également satisfaire les exigences de supervision humaine de l’AI Act. Les deux obligations se cumulent.

La transparence et l’information des personnes est le deuxième point de chevauchement.

Le RGPD impose d’informer les personnes de l’existence d’un traitement automatisé et de sa logique générale (articles 13, 14 et 15). L’AI Act impose d’informer les personnes qu’elles interagissent avec un système d’IA ou qu’une décision les concernant est influencée par un tel système.

Les deux obligations visent le même objectif, la transparence, mais par des voies légèrement différentes. En pratique, vous devez satisfaire les deux, ce qui signifie que votre politique de confidentialité et vos communications doivent intégrer les deux niveaux d’information.

L’Analyse d’Impact (AIPD) est le troisième point de jonction.

Le RGPD impose une Analyse d’Impact relative à la Protection des Données pour les traitements présentant un risque élevé pour les droits et libertés des personnes. Les déploiements d’IA à haut risque entrent presque systématiquement dans cette catégorie, profilage à grande échelle, surveillance systématique, usage de technologies émergentes.

L’AI Act impose de son côté une évaluation de conformité pour les systèmes à haut risque. Ces deux évaluations portent sur des aspects différents (protection des données d’un côté, conformité technique et organisationnelle de l’autre) mais se nourrissent mutuellement. Une AIPD bien conduite fournit des éléments utiles à l’évaluation AI Act, et vice versa.

Pour aller plus loin sur l’articulation AIPD / AI Act et les obligations RGPD spécifiques aux usages IA, consultez notre dossier complet IA & RGPD : obligations et bonnes pratiques.

Ce que le RGPD ne couvre pas, et que l’AI Act adresse

C’est là que l’AI Act apporte une réelle valeur ajoutée réglementaire par rapport au RGPD seul.

Le RGPD ne traite pas des biais algorithmiques en tant que tels. Un système d’IA peut produire des résultats discriminatoires sans traiter de données personnelles au sens strict, ou en traitant des données parfaitement anonymisées mais biaisées à la source. L’AI Act impose une gestion documentée des biais dans les données d’entraînement des systèmes à haut risque. Le RGPD ne le prévoit pas.

Le RGPD ne traite pas de la robustesse et de la cybersécurité des modèles en tant que tels. L’AI Act impose des exigences de robustesse, résistance aux attaques adversariales, aux données corrompues, aux tentatives de manipulation du modèle. Ces exigences vont au-delà de la sécurité des données personnelles que le RGPD encadre à l’article 32.

Le RGPD ne traite pas de la qualité des données d’entraînement. Un modèle entraîné sur des données biaisées ou non représentatives peut produire des résultats injustes sans avoir violé une seule règle RGPD. L’AI Act impose aux providers de documenter et de gérer la qualité des jeux de données, ce qui, en tant que deployer, vous donne le droit d’exiger cette documentation de vos fournisseurs.

Ce que l’AI Act ne couvre pas, et que le RGPD adresse

Symétriquement, l’AI Act ne remplace pas le RGPD sur ses domaines propres.

L’AI Act ne traite pas des droits d’accès, de rectification et d’effacement des personnes concernées. Ces droits restent exclusivement encadrés par le RGPD. Si une personne vous demande d’accéder aux données que vous traitez sur elle via un outil IA, c’est le RGPD qui régit votre obligation de réponse, pas l’AI Act.

L’AI Act ne traite pas des transferts de données hors UE. Si votre fournisseur IA héberge vos données aux États-Unis ou dans un pays tiers, les règles applicables sont celles du RGPD (clauses contractuelles types, décision d’adéquation). L’AI Act n’ajoute rien sur ce point.

L’AI Act ne traite pas du consentement et de la base légale du traitement. Identifier la base légale qui justifie le traitement de données personnelles par un outil IA reste une obligation exclusivement RGPD.

Tableau – RGPD vs AI Act : qui couvre quoi

Ce que ça signifie concrètement pour votre gouvernance

Gérer le RGPD sans tenir compte de l’AI Act crée des angles morts sur les biais, la robustesse et la supervision humaine. Gérer l’AI Act sans tenir compte du RGPD crée des angles morts sur les droits des personnes, les transferts et la base légale.

Une gouvernance IA efficace articule les deux textes dans un cadre unique, pas deux conformités parallèles qui s’ignorent mutuellement. C’est précisément l’architecture du guide Gouvernance IA & RGPD : comment piloter votre conformité en 2026, qui traite les deux règlements comme les deux faces d’une même exigence organisationnelle.

Les 5 erreurs les plus fréquentes des entrepreneurs face à l’AI Act

Ces erreurs ne viennent pas d’une mauvaise volonté, elles viennent d’une information incomplète ou mal orientée. Les corriger maintenant coûte infiniment moins cher que de les découvrir lors d’un contrôle ou d’un litige.

Erreur 1 – « Je n’utilise que ChatGPT donc je ne suis pas concerné »

La réalité juridique : pour un usage de ChatGPT en interface grand public pour un usage de productivité interne sans données personnelles sensibles, effectivement l’AI Act n’impose pas d’obligation spécifique dans ce cas précis. Mais « je n’utilise que ChatGPT » est rarement la réalité complète.

Dans la plupart des organisations, à côté de ChatGPT coexistent un CRM avec scoring, un outil de recrutement assisté, une solution de support client automatisée, ou des intégrations API développées en interne. Ces usages, souvent moins visibles, sont précisément ceux que l’AI Act cible.

L’erreur n’est pas d’utiliser ChatGPT, c’est de réduire sa cartographie des usages IA à l’outil le plus connu et d’ignorer les autres. C’est le Shadow AI qui expose, pas l’usage conscient et maîtrisé.

Erreur 2 – « Mon fournisseur est conforme donc je n’ai rien à faire »

La réalité juridique : La conformité du provider ne vous protège pas en tant que deployer. Ce sont deux niveaux d’obligations distincts et cumulatifs.

Qu’OpenAI, Microsoft ou Google soit conforme à l’AI Act ne vous dispense pas de vos propres obligations en tant qu’utilisateur professionnel : supervision humaine, information des personnes concernées, registre d’utilisation, coopération avec les autorités. Ces obligations vous appartiennent en propre, elles ne peuvent pas être sous-traitées à votre fournisseur, même contractuellement.

C’est l’équivalent RGPD d’un responsable de traitement qui penserait que son sous-traitant conforme le décharge de ses obligations propres. Ce n’est pas ainsi que fonctionne le droit.

Erreur 3 – « Le RGPD couvre déjà tout »

La réalité juridique : Le RGPD et l’AI Act coexistent et se cumulent, l’un ne remplace pas l’autre. Comme détaillé dans la section précédente, le RGPD ne traite pas des biais algorithmiques, de la robustesse des modèles, de la qualité des données d’entraînement, ni de la supervision humaine structurée au sens de l’AI Act.

Une organisation parfaitement conforme au RGPD peut avoir des angles morts significatifs au regard de l’AI Act. Gérer les deux comme une seule obligation est la seule approche qui couvre l’ensemble du périmètre réglementaire.

Erreur 4 – « Mes usages sont trop modestes pour être dans le radar »

La réalité juridique : L’AI Act ne prévoit pas de seuil de taille d’entreprise pour les obligations des deployers de systèmes à haut risque. Un freelance RH qui utilise un outil automatisé de présélection de candidatures est soumis aux mêmes obligations de supervision humaine qu’une grande entreprise.

Ce qui détermine vos obligations, c’est la nature de l’usage, pas la taille de votre structure. Un usage modeste mais à haut risque (décision automatisée affectant des personnes) est plus exposé réglementairement qu’un usage massif mais à risque minimal (génération de contenu interne).

Par ailleurs, les premières sanctions ne viendront pas nécessairement des plus grands acteurs, les autorités de surveillance ont intérêt à établir une jurisprudence sur des cas représentatifs, et les PME sont souvent moins bien préparées que les grandes entreprises.

Erreur 5 – « Je verrai quand les sanctions tomberont »

La réalité juridique : C’est la stratégie la plus coûteuse à long terme, pour deux raisons.

D’abord, les premières sanctions significatives sont attendues à partir de 2028, mais les obligations sont applicables maintenant pour certaines pratiques et en décembre 2027 pour les systèmes à haut risque. Attendre les sanctions pour se mettre en conformité, c’est s’exposer à une mise en demeure sans délai de grâce.

Ensuite, et c’est le point le plus souvent ignoré, la vraie exposition des entrepreneurs ne viendra pas principalement des autorités de surveillance mais de leurs clients et partenaires commerciaux. Un client enterprise qui vous demande une attestation de conformité AI Act avant de signer, un investisseur qui conditionne sa due diligence à une gouvernance IA documentée, ou un partenaire qui résilie un contrat après un incident IA non couvert : voilà les risques concrets à court terme, bien avant toute sanction réglementaire.

Par où commencer : les 3 actions prioritaires

L’AI Act peut sembler intimidant lorsqu’on le découvre dans sa globalité. En réalité, pour la majorité des entrepreneurs en position de deployer, la mise en conformité se structure autour de trois actions concrètes, dans cet ordre.

Action 1 – Identifier si vos outils tombent en catégorie haut risque

C’est le point de départ incontournable. Avant de mettre en place quoi que ce soit, vous devez savoir exactement quels outils vous utilisez et dans quelle catégorie de risque ils s’inscrivent.

La question à vous poser pour chaque outil : est-ce que cet outil influence ou prend des décisions ayant un effet sur des personnes, dans un contexte RH, de crédit, d’éducation, de services essentiels ou de justice ? Si la réponse est oui, vous êtes potentiellement dans le périmètre haut risque.

Cette identification passe par une cartographie complète de vos usages IA, y compris les usages informels et le Shadow AI. Notre guide Gouvernance IA & RGPD détaille la méthode et fournit les outils pour réaliser cette cartographie efficacement, y compris la grille d’évaluation du niveau de risque par usage.

Action 2 – Vérifier les DPA de vos fournisseurs principaux

Une fois vos outils identifiés, l’étape suivante consiste à vérifier que vos fournisseurs sont eux-mêmes en mesure de satisfaire leurs obligations et que vos contrats vous protègent.

Cinq points à vérifier systématiquement dans chaque DPA : la clause d’opt-out training, la durée de rétention des données, le droit d’audit ou d’accès à des rapports de conformité tiers, la limitation de responsabilité, et la liste des sous-traitants avec garanties de transfert.

Cette lecture contractuelle est précisément ce que ni un logiciel GRC ni un guide générique ne peut faire à votre place. Elle suppose une analyse juridique des DPA et une compréhension des implications de chaque clause dans votre contexte spécifique. Notre dossier Gouvernance IA & RGPD détaille les cinq critères d’évaluation, et le Pack Sécurité IA vous permet de faire vérifier vos contrats par une juriste spécialisée.

Action 3 – Documenter vos usages dans un cadre centralisé

La conformité sans documentation n’existe pas juridiquement. Ce qui n’est pas tracé ne peut pas être prouvé, et ce qui ne peut pas être prouvé n’existe pas aux yeux d’un auditeur ou d’une autorité de surveillance.

Documenter vos usages ne signifie pas produire des milliers de pages. Pour la grande majorité des PME et entrepreneurs, un espace centralisé couvrant quatre éléments suffit : la cartographie des usages et leur niveau de risque, le scoring de vos fournisseurs sur les critères contractuels essentiels, un registre de suivi des évolutions, et une politique interne IA formalisée.

C’est exactement l’architecture du Pack Gouvernance IA, conçu pour permettre à un entrepreneur de structurer l’ensemble de cette documentation en quelques heures, avec une session de validation juridique pour s’assurer que rien d’essentiel n’a été manqué.

FAQ : AI Act et entrepreneurs

L’AI Act n’est pas une menace, c’est un cadre