Le règlement européen sur l'IA : ce qu'une PME doit en retenir

En bref. Lors de la réunion de direction du 12 mars, le responsable comptable a indiqué que le traitement des factures fournisseurs prenait en moyenne 3,2 jours, contre 1,5 jour attendu après l’automatisation proposée. Le règlement européen sur l’IA classe ce type d’usage comme « risque limité » dès lors que le système n’influence pas une décision juridique ou sociale significative. Pour une PME, il suffit donc de vérifier que l’outil n’exerce pas de pouvoir de décision autonome sur des personnes ou des contrats, puis de documenter la conformité avant déploiement.

Les quatre niveaux de risque du règlement IA

Le règlement européen distingue quatre catégories : risque inacceptable, risque élevé, risque limité et risque minimal. Chaque catégorie déclenche des obligations différentes, allant de l’interdiction pure et simple à la simple transparence.

• Risque inacceptable : pratiques manipulatives, notation sociale, identification biométrique en temps réel dans les espaces publics. Ces systèmes sont interdits.
• Risque élevé : systèmes utilisés pour le recrutement, l’évaluation de crédit, la gestion des ressources humaines, ou tout dispositif qui influence une décision ayant des effets juridiques ou sociaux importants.
• Risque limité : systèmes qui interagissent avec des personnes mais ne prennent pas de décision autonome, comme les chatbots d’assistance ou les outils de génération de contenu destinés à être relus par un humain.
• Risque minimal : usages purement internes, tels que le tri de documents non sensibles ou l’optimisation de processus où l’humain garde le contrôle final.

Où se situent les usages courants d’IA dans une PME

Dans la plupart des PME françaises, les applications les plus fréquentes restent du côté du risque limité ou minimal. Par exemple :

• Utilisation de GPT‑4o ou Mistral pour rédiger des réponses types à des demandes clients, avec relecture obligatoire par un chargé de compte.
• Automatisation de la saisie de factures via n8n ou Make qui extrait les données d’un PDF et les envoie vers un Excel partagé, sans prendre de décision sur le paiement.
• Scoring simple de leads dans un CRM basé sur des règles explicites (nombre de visites du site, ouverture d’e‑mail) où l’IA ne fait que suggérer un classement, laissé à la validation du commercial.
• Génération de rapports hebdomadaires à partir de données de production avec Claude, où le manager vérifie les chiffres avant diffusion.

Dans ces scénarios, l’intervention humaine reste obligatoire avant toute action qui engage l’entreprise (paiement, embauche, accord contractuel). Le règlement considère donc ces usages comme « risque limité », à condition de mettre en place une procédure de vérification documentaire.

Les usages à éviter absolument (risque inacceptable)

Certaines tentations d’automatisation peuvent conduire à une catégorie interdite. Voici deux exemples concrets où la réponse doit être « ne le faites pas » :

• Scoring de crédit automatisé : mettre en place un modèle qui, à partir de données bancaires et de comportement en ligne, décide seul de l’octroi ou du refus d’un prêt à un particulier. Même si le modèle est basé sur des données publiques, il prend une décision ayant un effet juridique immédiat sur la capacité d’endettement d’une personne. Selon l’article 5 du règlement, ce type de système est classé risque inacceptable et donc interdit.
• Surveillance biométrique en temps réel : déployer une caméra couplée à un logiciel de reconnaissance faciale (par exemple via une API de Claude ou d’un fournisseur tiers) pour contrôler l’accès aux locaux et enregistrer les entrées/sorties sans consentement explicite. Ce procédé relève de l’identification biométrique dans un espace public ou de travail, prohibé par le règlement.

Dans les deux cas, la mise en œuvre expose l’entreprise à des sanctions pouvant atteindre 6 % du chiffre d’affaires mondial annuel, voire à l’interdiction d’exercer l’activité concernée.

Comment mettre en place une gouvernance légère adaptée

Pour les usages situés en risque limité ou minimal, une gouvernance allégée suffit à démontrer la conformité sans alourdir les processus. Voici une démarche en trois étapes :

1. Cartographie des flux : répertoriez dans un tableau simple (Excel ou Google Sheets) chaque outil d’IA, ses entrées (ex. facture PDF, e‑mail client), ses sorties (proposition de réponse, classement de lead) et le point de validation humaine.
2. Documentation de la procédure de contrôle : rédigez une note d’une page qui précise qui vérifie la sortie, dans quel délai (ex. relecture sous 24 h) et quelles sont les critères de validation (ex. conformité au ton de la marque, exactitude des chiffres). Conservez cette note avec les registres de traitement.
3. Journalisation légère : activez la fonction de logs de l’outil (n8n, Make, ou le CRM) pour conserver pendant six mois les horaires d’exécution et l’identité de l’utilisateur qui a validé. Aucun traitement de données personnelles sensibles n’est requis si les données restent internes.

Cette approche permet de répondre à l’obligation de transparence et de traçabilité sans nécessiter d’audit externe coûteux.

Prochaine étape concrète pour votre entreprise

Commencez par une réunion de trente minutes avec le responsable administratif et le responsable informatique. Lors de cette réunion :

• Listez les trois processus où vous utilisez déjà un outil d’IA ou envisagez d’en installer un (ex. réponse client via GPT‑4o, traitement de factures via Make, scoring de leads dans le CRM).
• Pour chaque processus, notez le rôle de l’humain : validation obligatoire, simple conseil, ou décision autonome.
• Si l’humain ne fait que conseiller, décidez d’ajouter une étape de validation explicite avant toute action qui engage l’entreprise (paiement, envoi d’offre, modification de contrat).
• Consignez le résultat dans un tableau partagé et planifiez une revue trimestrielle.

Cette première cartographie constitue la base documentaire exigée par le règlement et vous évite de vous lancer dans des projets qui seraient requalifiés en risque élevé sans le savoir.

Questions fréquentes

Dois-je déclarer mon utilisation de GPT‑4o à l’autorité compétente ?

Non. Le règlement ne demande pas de déclaration préalable pour les systèmes de risque limité ou minimal, à condition que vous puissiez démontrer la présence d’une vérification humaine et conserver les preuves de cette procédure.

Un outil de génération de factures basé sur n8n nécessite‑t‑il une évaluation d’impact ?

Non, tant que l’outil se contente d’extraire des données et de les transmettre à un tableur sans déclencher de paiement ou de décision contractuelle automatique. Une évaluation d’impact n’est requise que pour les systèmes de risque élevé.

Puis-je utiliser un modèle de langage pour trier des CV sans risque ?

Non. Le tri de CV influence directement une décision d’embauche, qui possède des effets juridiques et sociaux importants. Selon le règlement, ce usage relève du risque élevé et nécessite une analyse d’impact, des mesures de mitigation et souvent une évaluation par un organisme notifié.

Que faire si mon prestataire affirme que son IA est « conforme » sans fournir de preuve ?

Demandez spécifiquement la documentation relative à la catégorie de risque attribuée au système, ainsi que les procédures de contrôle humain mises en place. En l’absence de ces éléments, considérez l’outil comme non conforme et ne le déployez pas tant que la preuve n’est pas fournie.