Vos collaborateurs utilisent ChatGPT, Copilot ou Claude ? Un chatbot répond à vos clients ? Vous automatisez une partie de votre administratif ? Alors l'AI Act vous concerne. Mais sans doute beaucoup moins que ce que vous avez pu lire.
Depuis le 2 août 2026, une grande partie du règlement européen sur l'intelligence artificielle est applicable. Contrairement à ce que laissent croire certains titres alarmistes, il ne demande pas à chaque PME de monter une lourde procédure de conformité. Tout dépend de ce que vous faites réellement avec l'IA.
À la fin de cet article, vous saurez répondre à trois questions : est-ce que mon entreprise utilise de l'IA, à quel niveau de risque, et qu'est-ce que je dois concrètement faire.
L'essentiel en 5 points
- Utiliser ChatGPT, Copilot ou Claude au travail n'est pas interdit. La plupart des usages en PME sont à risque minimal.
- Depuis le 2 août 2026, un chatbot ou un agent vocal doit annoncer qu'il est une IA.
- Vous devez prendre des mesures pour sensibiliser vos équipes à l'IA. Aucune certification n'est exigée.
- Les usages sensibles (recrutement, solvabilité) seront strictement encadrés à partir du 2 décembre 2027.
- Le fameux « 35 millions » vise les pratiques interdites. Pour une PME, c'est toujours le plafond le plus faible qui s'applique.
Premier geste : savoir où l'IA est déjà utilisée dans votre entreprise. Réserver un audit →
L'AI Act en 30 secondes
L'AI Act est un règlement européen : il s'applique directement en Belgique, sans loi de transposition. Il ne régule pas « l'IA » en général, mais des usages, classés selon le risque qu'ils font courir aux personnes.
Plus on descend, plus les obligations sont légères. La grande majorité des usages en PME se situe dans les deux derniers niveaux.
Le règlement distingue aussi deux rôles. Le fournisseur conçoit ou met sur le marché le système d'IA (OpenAI, Microsoft, ou le prestataire qui vous installe un agent sur mesure). Le déployeur, c'est vous : l'entreprise qui l'utilise dans son activité. Les obligations ne sont pas les mêmes selon le rôle.
Votre PME est-elle concernée ?
Oui, dès qu'un collaborateur utilise un outil d'IA dans son travail. La vraie question est : à quel point. Repérez-vous dans ce tableau.
Sensibiliser les équipes et fixer quelles données peuvent y être introduites.
Les données traitées (RGPD) et un contrôle humain sur les étapes sensibles.
Informer clairement la personne qu'elle parle à une IA.
Signaler que le contenu est généré ou manipulé.
Analyse approfondie avant décembre 2027.
Analyse approfondie avant décembre 2027.
Le niveau ne dépend pas de l'outil mais de l'usage. Le même ChatGPT peut servir à reformuler un e-mail (risque minimal) ou à classer des candidats (potentiellement à haut risque).
Ce qui s'applique déjà, et ce qui arrive
Le calendrier a changé cet été. Le règlement dit « Digital Omnibus sur l'IA » (Règlement (UE) 2026/1744), entré en vigueur le 27 juillet 2026, a reporté les règles sur le haut risque et assoupli certaines obligations. Un article écrit avant juillet 2026 est donc déjà en partie dépassé.
Ce qui a changé pour la maîtrise de l'IA. Depuis le 27 juillet 2026, vous devez prendre des mesures qui soutiennent la maîtrise de l'IA de vos équipes, en tenant compte de leur expérience et de l'usage qu'elles en font. Vous n'avez plus à garantir un « niveau suffisant » pour chaque personne. Aucune formation externe ni certification n'est exigée : une sensibilisation adaptée et documentée suffit.
Et en Belgique ? Le SPF Économie coordonne la mise en œuvre du règlement. L'accord de gouvernement 2025-2029 confie le contrôle à l'IBPT, mais le cadre légal belge qui organise cette surveillance est encore en cours de finalisation. Dès que vos usages touchent à des données personnelles, l'Autorité de protection des données (APD) reste compétente.
Chatbots, agents vocaux, contenus : la règle de transparence
Depuis le 2 août 2026, une personne qui échange avec une IA doit le savoir, sauf si c'est évident dans le contexte. C'est l'obligation la plus concrète pour les PME qui installent un assistant.
Prenons un agent téléphonique qui décroche pour votre entreprise.
- À éviter : « Bonjour, je suis Clara, comment puis-je vous aider ? »
- À privilégier : « Bonjour, je suis Clara, l'assistante virtuelle de l'entreprise. Comment puis-je vous aider ? »
Une demi-phrase suffit. Et cette obligation pèse d'abord sur celui qui conçoit le système : si un prestataire vous installe un agent, il doit le livrer avec cette information intégrée. C'est une bonne question à lui poser.
Faut-il écrire « généré par IA » sous chaque texte ? Non. L'obligation de signaler un texte généré par IA vise les publications destinées à informer le public sur des sujets d'intérêt général. Elle ne s'applique pas lorsqu'une personne a relu le contenu et en assume la responsabilité éditoriale. Un article de blog que vous avez relu et validé n'a pas besoin de mention. Les deepfakes, c'est-à-dire les images, vidéos ou voix qui imitent de façon trompeuse des personnes, lieux ou événements réels, doivent en revanche toujours être signalés.
Non, votre PME ne risque pas 35 millions parce qu'un collaborateur utilise ChatGPT
Le chiffre circule partout, mais il vise les pratiques interdites, comme la notation sociale ou la manipulation des personnes vulnérables. Pour la plupart des autres manquements, dont la transparence, le plafond est de 15 millions d'euros ou 3 % du chiffre d'affaires mondial.
Surtout, pour les PME et les start-up, c'est le plus faible des deux montants qui sert de plafond, pas le plus élevé. Et un plafond n'est pas une amende type : les autorités tiennent compte de la taille de l'entreprise, de la gravité, du caractère intentionnel ou non et de la coopération.
Le vrai risque pour une PME n'est pas l'amende record. C'est de ne pas savoir quelles données partent dans quels outils, et de ne pas pouvoir l'expliquer le jour où un client ou une autorité pose la question.
Onur Sar, fondateur de RunoLabsEt le RGPD dans tout ça ? L'AI Act et le RGPD sont deux règles distinctes qui s'appliquent en même temps. Un outil peut être à risque minimal au sens de l'AI Act et poser un vrai problème RGPD, par exemple si des données de clients sont copiées dans un outil grand public sans contrat adapté. Vérifier l'un ne dispense jamais de vérifier l'autre.
Par où commencer : cinq gestes simples
Utiliser ChatGPT au travail n'est pas interdit. Laisser chacun l'utiliser sans règles, sans savoir quelles données y passent, devient en revanche difficile à défendre. Voici par où commencer, sans juriste.
- Recensez les outils d'IA utilisés, y compris ceux que vos collaborateurs ont adoptés d'eux-mêmes.
- Identifiez les données qui y sont envoyées : données clients, données RH, documents confidentiels.
- Repérez les processus où l'IA influence une décision qui touche une personne (recrutement, crédit, évaluation).
- Sensibilisez vos équipes avec quelques règles claires, et gardez une trace de cette sensibilisation.
- Documentez vos automatisations et prévoyez une validation humaine là où une erreur aurait des conséquences.
Avant de parler de conformité, il faut savoir où l'IA est réellement utilisée dans votre entreprise, ce qui rejoint ce que je constate sur le terrain quand une entreprise n'est pas encore prête pour l'IA. C'est exactement le point de départ de notre audit IA et automatisation : RunoLabs s'immerge dans votre PME, cartographie vos processus, vos outils et vos usages, puis identifie ce qui peut être automatisé, les données concernées et les points de vigilance.
RunoLabs est une entreprise bruxelloise spécialisée dans l'intelligence artificielle et l'automatisation des processus.
Cet article fournit des informations générales à jour au 25 septembre 2026. Il ne constitue pas un avis juridique.