Règlement UE sur l'IA expliqué pour les PME : s'applique-t-il à votre entreprise ?

Qu'est-ce que le règlement UE sur l'IA ?

Le règlement UE sur l'IA (officiellement : règlement (UE) 2024/1689) est la première loi européenne complète encadrant l'utilisation de l'intelligence artificielle. Il est entré en vigueur en août 2024. La plupart des obligations s'appliquent à partir d'août 2026.

La loi repose sur une approche fondée sur le risque : plus le risque qu'un système d'IA fait peser sur la santé, la sécurité ou les droits fondamentaux est élevé, plus les exigences sont strictes. Il existe quatre catégories de risque : risque inacceptable (interdit), haut risque (exigences strictes), risque limité (obligations de transparence) et risque minimal (aucune obligation).

À qui s'applique le règlement UE sur l'IA ?

La loi s'adresse à quatre types d'acteurs :

Fournisseurs (providers) — les entreprises qui développent des systèmes d'IA et les mettent sur le marché. Pensez à un éditeur de logiciels qui vend un outil d'IA.

Déployeurs — les entreprises qui utilisent dans leurs propres processus des systèmes d'IA développés par des tiers. Pensez à un service RH qui utilise un outil d'IA pour le tri des CV.

Importateurs et distributeurs — les entreprises qui importent des systèmes d'IA de pays tiers ou les revendent dans l'UE.

Fabricants de produits intégrant de l'IA — pensez à un constructeur de machines qui intègre une fonction de sécurité pilotée par l'IA.

Si votre entreprise ne relève d'aucune de ces catégories — vous n'utilisez pas d'IA, vous n'en développez pas et vous ne vendez pas de produits intégrant de l'IA —, alors aucune obligation au titre du règlement UE sur l'IA ne s'applique à vous.

Le règlement UE sur l'IA s'applique-t-il à ma PME ?

Dans la plupart des cas, pas directement. Une entreprise d'installation, un entrepreneur du bâtiment, un transporteur ou une entreprise de production qui ne développe ni ne vend de systèmes d'IA se situe en dehors du champ d'application direct de la loi.

Il existe toutefois trois situations dans lesquelles le règlement UE sur l'IA peut malgré tout vous concerner :

Situation 1 — Vous utilisez l'IA pour des décisions concernant des personnes. Si vous déployez l'IA pour des décisions relatives au personnel (recrutement, évaluation, licenciement), l'évaluation de la solvabilité des clients ou des évaluations de sécurité sur le lieu de travail, cela peut relever de la catégorie à haut risque. Vous êtes alors un déployeur soumis à des obligations : transparence envers les personnes concernées, supervision humaine et journalisation des décisions de l'IA.

Situation 2 — Votre client demande une déclaration au titre du règlement sur l'IA. Si vous fournissez des logiciels ou des services technologiques à un grand client qui est lui-même déployeur d'IA à haut risque, ce client peut, dans le cadre de son devoir de vigilance sur la chaîne d'approvisionnement, vous demander si vos produits ou services contiennent de l'IA et, le cas échéant, de quel niveau de risque. Cela est comparable à la manière dont la CSRD répercute les questions de durabilité sur la chaîne.

Situation 3 — Vous développez une fonctionnalité d'IA dans votre produit. Si votre entreprise conçoit des logiciels et y ajoute de l'IA — même s'il s'agit d'une petite fonctionnalité —, vous êtes fournisseur au sens de la loi. S'appliquent alors des obligations de documentation technique, une évaluation de la conformité pour les systèmes à haut risque et un enregistrement dans la base de données de l'UE.

Pour la grande majorité des PME néerlandaises et européennes, la situation 1, 2 ou 3 ne s'applique pas. Un couvreur, un électricien ou un grossiste en matériaux de construction se situe en dehors du champ d'application direct.

Quelles sont les applications d'IA à haut risque ?

L'annexe III du règlement UE sur l'IA énumère les applications à haut risque. Pour les PME, les catégories les plus pertinentes sont :

Emploi et gestion du personnel — l'IA qui trie les candidats, évalue les performances, recommande des promotions ou appuie la rupture de contrat. Si vous utilisez un outil RH qui déploie l'IA pour ces décisions, votre entreprise est déployeur d'IA à haut risque.

Accès à l'éducation et à la formation professionnelle — l'IA qui détermine l'admission à une formation ou évalue les résultats d'apprentissage.

Composants de sécurité des produits — l'IA dans les machines, les véhicules ou les dispositifs médicaux déjà soumis à la réglementation de sécurité existante.

Infrastructures critiques — l'IA dans les réseaux d'énergie, d'eau ou de transport.

Si votre utilisation de l'IA ne relève pas de ces catégories — comme un chatbot sur votre site web, un correcteur orthographique ou un système de recommandation de produits —, vous relevez d'un risque minimal ou limité. Le risque minimal n'entraîne aucune obligation. Le risque limité n'entraîne qu'une obligation de transparence : les utilisateurs doivent savoir qu'ils interagissent avec une IA.

Applications d'IA interdites — ce que vous ne pouvez jamais faire

Quelle que soit la taille de l'entreprise, certaines applications d'IA sont interdites depuis le 2 février 2025 :

Notation sociale (social scoring) — les systèmes d'IA qui attribuent aux personnes une note générale fondée sur leur comportement et utilisent cette note pour les désavantager dans des contextes sans rapport.

Identification biométrique en temps réel dans les espaces publics — la reconnaissance faciale dans la rue ou dans les commerces à des fins d'identification (avec des exceptions étroites à des fins répressives).

IA manipulatrice — les systèmes qui influencent les utilisateurs à leur insu d'une manière préjudiciable à leurs intérêts.

Exploitation de groupes vulnérables — l'IA qui exploite délibérément les vulnérabilités des enfants, des personnes âgées ou des personnes en situation de handicap.

Pour la plupart des PME, ces interdictions ne sont pas pertinentes pour l'activité quotidienne.

Que devez-vous faire concrètement dès maintenant ?

Pour la plupart des PME, la réponse est simple : recensez les outils d'IA que vous utilisez et à quelles fins.

Étape 1 — Dressez la liste des outils d'IA utilisés. Pensez à : ChatGPT ou des outils comparables pour le travail rédactionnel, les fonctions d'IA de votre logiciel de comptabilité, les outils de tri de CV, les chatbots sur votre site web, les systèmes de recommandation de votre boutique en ligne.

Étape 2 — Évaluez l'usage. Utilisez-vous ces outils pour des décisions concernant des personnes (personnel, clients) ? Un examen approfondi est alors nécessaire. Les utilisez-vous uniquement pour un soutien à la productivité (rédiger, traduire, résumer des textes) ? Vous relevez alors de la catégorie à risque minimal et aucune obligation ne s'applique.

Étape 3 — Documentez votre conclusion. Même si vous concluez que le règlement UE sur l'IA ne s'applique pas, il est prudent de documenter brièvement cette conclusion. Si votre client vous interroge un jour, vous pourrez donner une réponse claire.

Étape 4 — Suivez les évolutions. Le règlement UE sur l'IA est récent et son application pratique se précisera au cours des prochaines années par des actes délégués et des lignes directrices du Bureau européen de l'IA (European AI Office). Suivez ces évolutions si vous déployez l'IA de manière structurelle.

verified.supply vous aide à tenir votre profil de conformité à jour — pour la durabilité (VS-Standard), les droits humains (CSDDD) et la cybersécurité (NIS2). Le règlement UE sur l'IA ne relève pas de notre plateforme car il ne constitue pas une obligation de reporting sur la chaîne d'approvisionnement, mais nous vous informons de la réglementation pertinente.

Que faire si mon client demande une déclaration au titre du règlement sur l'IA ?

Si un grand client vous demande de démontrer que vos produits ou services sont conformes au règlement UE sur l'IA, deux scénarios se présentent :

Scénario A — Vous ne fournissez pas de systèmes d'IA. Une brève déclaration écrite suffit : « Nos produits et services ne contiennent aucun système d'IA au sens du règlement (UE) 2024/1689. Nous ne sommes ni fournisseur ni déployeur de systèmes d'IA relevant du champ d'application du règlement UE sur l'IA. »

Scénario B — Vous fournissez bien une fonctionnalité d'IA. En tant que fournisseur, vous avez alors des obligations : documentation technique, évaluation de la conformité (pour le haut risque) et enregistrement dans la base de données de l'UE pour les systèmes à haut risque. Pour ce scénario, consultez un conseiller juridique spécialisé dans la réglementation de l'UE.

Le règlement UE sur l'IA suit une logique comparable à celle de la CSDDD : les grandes entreprises doivent cartographier leur chaîne et peuvent donc adresser des questions à leurs fournisseurs. Mais contrairement à la CSRD et à la CSDDD, aucun format de reporting standardisé n'a été défini pour les fournisseurs. Cela fait d'une simple déclaration écrite la solution la plus pratique pour l'instant.