Règlement sur l'IA en France : ce qu'une PME doit vérifier

Quelqu'un dans votre équipe a commencé à utiliser Copilot, ou une fonction d'intelligence artificielle est apparue toute seule dans un logiciel que vous payez déjà depuis des années. Et puis les mots « règlement sur l'IA » sont arrivés dans une conversation, avec un ton qui laissait entendre que vous étiez peut-être en tort sans le savoir. Cette page est faite pour clarifier la situation, sans jargon juridique et sans faire semblant que tout est simple.

Un règlement européen qui s'applique directement, sans loi française à voter

Le règlement (UE) 2024/1689, dit règlement sur l'IA ou AI Act, est un règlement européen et non une directive. Concrètement, cela signifie qu'il s'applique tel quel en France, sans qu'une loi nationale doive d'abord le transposer. Ce que la France doit faire, en revanche, c'est désigner les autorités chargées de le faire respecter sur son territoire et organiser la surveillance du marché — un travail institutionnel qui, à l'échelle de l'Union, avance à des rythmes différents selon les États membres.

En France, ce contexte réglementaire arrive alors que l'écosystème IA est particulièrement actif : Mistral AI est devenue une référence européenne de l'IA générative, et La French Tech pousse depuis des années les PME et scale-ups françaises à adopter des outils d'IA tôt, souvent avant même que leurs obligations de conformité soient claires dans leur tête. Résultat : beaucoup d'entreprises françaises utilisent déjà de l'IA en production sans avoir formellement posé la question « est-ce que cela nous concerne, et à quel niveau ? ».

Qui contrôle réellement l'application du règlement en France

La CNIL est l'autorité française de protection des données, compétente sur le RGPD depuis 2018. Pour le règlement sur l'IA, le paysage institutionnel est plus récent et encore en construction : la CNIL joue un rôle central, notamment pour tout système d'IA qui traite des données personnelles, mais elle n'agit pas seule — des régulateurs sectoriels comme la DGCCRF interviennent selon les secteurs et les types de pratiques concernées. Les désignations précises et définitives d'autorités de surveillance du marché pour le règlement sur l'IA évoluent encore ; ne considérez pas ce paragraphe comme la dernière parole officielle sur le sujet, mais comme la situation généralement admise à ce stade.

Les niveaux de risque, en bref

Le règlement ne traite pas toute IA de la même façon : il distingue quatre niveaux. Un nombre restreint de pratiques est interdit pour risque inacceptable (comme la notation sociale généralisée). Un niveau à haut risque encadre des usages sensibles — recrutement, évaluation du personnel, scoring de solvabilité — avec des obligations renforcées. Un niveau à risque limité impose surtout des obligations de transparence, par exemple signaler qu'un contenu est généré par IA ou qu'un client parle à un chatbot. Et un niveau à risque minimal, où se situe la majorité des outils du quotidien, sans obligation nouvelle particulière.

Les sanctions : des montants qu'il vaut mieux connaître

Le régime de sanctions est fixé par l'article 99 du règlement, identique dans toute l'Union européenne, y compris en France. L'objectif du texte n'est pas de collecter des amendes mais d'éviter des risques réels ; il reste utile d'avoir les ordres de grandeur en tête :

• Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, pour les pratiques d'IA interdites.
• Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel pour la plupart des autres manquements, y compris ceux des fournisseurs et des utilisateurs (deployers) de systèmes à haut risque.
• Jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial annuel en cas d'informations inexactes ou trompeuses fournies aux autorités.

Un point important pour une PME : l'article 99, paragraphe 6, prévoit explicitement des plafonds proportionnés et plus favorables pour les PME et les jeunes pousses. Le texte n'a pas vocation à traiter une entreprise de vingt salariés comme une multinationale, même si les plafonds généraux ci-dessus donnent le cadre.

Ce que votre PME doit vérifier concrètement

Plutôt que d'essayer de retenir des articles, il est plus utile de se poser quelques questions précises sur vos usages réels de l'IA :

• Votre entreprise est-elle « fournisseur » (elle développe ou fait développer un système d'IA) ou « utilisatrice »/deployer (elle achète et utilise des outils déjà construits) ? L'immense majorité des PME sont utilisatrices, pas fournisseuses.
• L'un de vos usages d'IA touche-t-il un domaine listé à haut risque à l'annexe III, comme le recrutement, l'évaluation du personnel ou l'évaluation de solvabilité ?
• Utilisez-vous un chatbot face à vos clients, ou publiez-vous du contenu généré par IA sans le signaler ? Ces cas déclenchent généralement des obligations de transparence, même sans être à haut risque.
• Savez-vous avec certitude quels logiciels déjà payés par votre entreprise ont ajouté une fonction d'IA au cours de la dernière année, sans que personne ne l'évalue formellement ?

Information générale, pas un conseil juridique

Tout ce qui précède est une information générale pour vous orienter, pas un conseil juridique sur votre situation précise. Le règlement sur l'IA comporte des nuances qu'un article ne peut pas couvrir entièrement, et son application dépend des usages exacts de chaque entreprise. Quand Komplya publie ce type de contenu, nous distinguons clairement ce qui a été revu juridiquement de ce qui reste un document de travail, afin que vous puissiez l'utiliser en connaissance de cause.

Le moyen le plus rapide de passer de « je crois que cela nous concerne » à une réponse claire est de passer en revue, cas par cas, les usages réels de l'IA dans votre entreprise. Répondez à un court questionnaire sur votre utilisation de l'IA et obtenez une lecture en langage simple de votre situation probable.