Quand vos salariés utilisent ChatGPT, Gemini ou Claude dans leur travail, c'est votre entreprise qui est déployeur au sens de l'AI Act, pas eux. La version gratuite ne change rien à cette responsabilité. Les obligations réelles sont plus limitées que ce qu'on lit partout, mais elles ne portent pas là où on les attend.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Quand vos salariés utilisent ChatGPT, Gemini ou Claude dans leur travail, c'est votre entreprise qui est déployeur au sens de l'AI Act, pas eux. La version gratuite ne change rien à cette responsabilité. Les obligations réelles sont plus limitées que ce qu'on lit partout, mais elles ne portent pas là où on les attend.
Depuis le 2 août 2026, l'article 50 du règlement UE 2024/1689 s'applique. C'est la disposition qui touche le plus d'organisations françaises, parce qu'elle ne dépend pas du niveau de risque du système : une association de six salariés qui rédige ses comptes rendus avec un assistant conversationnel entre dans le même périmètre qu'un groupe industriel. Si le cadre général vous manque, le guide de conformité AI Act pour PME et associations le pose en entier. Cet article traite un cas précis : l'usage d'outils d'IA générative grand public par vos équipes.
L'entreprise, systématiquement, et le salarié jamais à titre individuel. La FAQ de la Commission européenne sur l'article 50 est explicite sur ce point : quand une personne morale est déployeur d'un système d'IA, les salariés qui agissent sur ses instructions et sous son contrôle, qu'il s'agisse de rédacteurs, de graphistes ou de commerciaux, ne sont pas considérés comme des déployeurs distincts. La personne morale reste déployeur même si des prestataires ou des freelances interviennent pour son compte.
La CNIL arrive au même résultat par un autre chemin : dans son questions-réponses sur l'utilisation d'un système d'IA générative, elle rappelle que c'est l'organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel.
Cela a deux conséquences concrètes. D'abord, interdire officiellement l'IA tout en laissant faire ne vous protège pas : le déploiement de fait suffit à vous rendre déployeur. Ensuite, une sanction ne tombera pas sur le salarié qui a copié un contrat client dans un prompt, mais sur l'entreprise qui n'avait ni règle écrite, ni formation, ni contrôle.
Seule exception : l'usage strictement personnel, hors activité professionnelle, sort du champ du règlement. Dès qu'il y a bénéfice économique régulier ou activité professionnelle, même en freelance, on redevient déployeur.
Sur quatre obligations de transparence, une seule vise en général les entreprises utilisatrices, et deux ne concernent que les fournisseurs. La confusion sur ce point produit énormément de sur-conformité inutile.
| Obligation | Article | Qui est tenu | Concerne une PME utilisatrice ? |
|---|---|---|---|
| Informer qu'on interagit avec une IA (chatbot, agent vocal, avatar) | 50(1) | Le fournisseur du système | Seulement si vous exploitez un agent conversationnel face au public |
| Marquer les sorties en format lisible par machine | 50(2) | Le fournisseur | Non, sauf si vous développez ou revendez un système |
| Informer les personnes exposées à la reconnaissance d'émotions ou catégorisation biométrique | 50(3) | Le déployeur | Rare en PME |
| Étiqueter les deepfakes et les textes d'intérêt public publiés sans relecture humaine | 50(4) | Le déployeur | Oui, dès que vous publiez |
Autrement dit, si vos équipes utilisent l'IA générative pour rédiger des mails, préparer des comptes rendus, trier des candidatures en interne ou produire un premier jet de note commerciale, l'article 50 ne vous impose à peu près rien. Rien n'oblige à écrire "généré par IA" sur un devis, une fiche produit ou une newsletter commerciale. Le sujet de la relation client est traité en détail dans l'article sur l'AI Act et l'information des clients.
Le calendrier comporte une nuance utile : la Commission confirme que les contenus générés avant le 2 août 2026 n'ont pas à être étiquetés rétroactivement, et que les systèmes déjà sur le marché avant cette date bénéficient d'un report au 2 décembre 2026 pour la seule obligation de marquage lisible par machine. Le détail des échéances figure dans le calendrier complet de l'AI Act.
Trois faux besoins reviennent systématiquement dans les offres de conformité.
Le premier est le marquage systématique de tout contenu produit avec de l'IA. La Commission exclut explicitement du champ du marquage les séquences courtes de chiffres, symboles ou lettres, le code source, les sorties communiquées uniquement de machine à machine, et celles utilisées en boucle fermée dans des environnements industriels ou de développement produit. Elle précise aussi que l'obligation ne s'applique pas quand l'IA remplit une fonction d'assistance à l'édition standard. Corriger l'exposition d'une photo ou reformuler un paragraphe n'est pas de la génération synthétique au sens du texte.
Le deuxième est l'étiquetage de tout texte publié. L'obligation de l'article 50(4) suppose trois critères cumulatifs : le texte doit être publié, informer le public, et porter sur un sujet d'intérêt public, la notion couvrant la politique, l'administration, la justice, les droits fondamentaux, la sécurité et la santé publiques, l'environnement, la sécurité des consommateurs et les développements économiques, financiers, scientifiques ou culturels susceptibles de faire débat. Un article de blog métier ou une fiche technique ne coche pas ces cases. Et même quand ils les cochent, la relecture humaine de fond ou le contrôle éditorial exonèrent. Attention toutefois : la Commission écarte les vérifications superficielles, purement formelles ou procédurales. Passer un correcteur orthographique n'est pas une relecture.
Le troisième est l'idée qu'un marquage technique suffit. Il ne suffit pas : pour un deepfake, la Commission indique que le déployeur ne peut pas se reposer sur le marquage lisible par machine intégré par le fournisseur, l'information doit être perceptible par une personne, sans outil technique particulier.
Sur un an d'usage réel, l'exposition d'une PME vient presque toujours de la donnée envoyée dans un prompt, pas d'un défaut d'étiquetage. Une traduction de contrat client, un export de base RH collé dans une fenêtre de chat, un compte rendu de comité de direction résumé par un outil grand public : le RGPD, le secret des affaires et, selon les métiers, le secret professionnel sont engagés bien avant l'AI Act.
La CNIL admet qu'un service grand public puisse être utilisé pour des usages non confidentiels, mais à conditions : accès via des adresses électroniques professionnelles dédiées, pas de création de compte avec une adresse personnelle, et désactivation de la réutilisation des données d'usage par le fournisseur quand elle est possible. Dès qu'il s'agit de données personnelles de clients ou de collaborateurs, ou de documentation sensible ou stratégique, elle oriente vers un déploiement sur site, en renvoyant aux recommandations de sécurité de l'ANSSI pour un système d'IA générative.
Le croisement entre les deux réglementations mérite d'être traité pour lui-même : voir AI Act et données salariés et, pour l'outil le plus répandu, AI Act et ChatGPT.
Le tarif ne change pas votre statut de déployeur, il change le régime des données. C'est la seule différence qui compte juridiquement.
Trois points à vérifier dans les conditions du fournisseur, quel que soit l'outil :
Un point pratique souvent négligé : quand l'outil est consommé via API, la maîtrise du système passe quasi intégralement au fournisseur. La vigilance sur les données soumises doit être plus forte, pas moins.
La CNIL recommande explicitement d'encadrer l'utilisation par des politiques ou chartes internes définissant clairement les usages autorisés et les usages interdits. Une charte qui se contente de rappeler la prudence ne sert à rien. Elle doit trancher des cas.
Six décisions minimales :
Un modèle prêt à adapter est disponible dans politique IA en entreprise, et la question de la personne qui porte le sujet en interne est traitée dans nommer un référent IA.
L'article 4 impose depuis février 2025 un niveau suffisant de maîtrise de l'IA aux personnes qui utilisent des systèmes d'IA pour le compte de l'organisation. Cette obligation est antérieure à l'article 50 et indépendante de lui. Elle ne dépend ni de la taille de l'entreprise, ni du caractère gratuit de l'outil.
La CNIL va dans le même sens en recommandant de familiariser les utilisateurs finaux avec le fonctionnement et les limites des systèmes, les usages autorisés et interdits, et d'alerter sur le biais d'automatisation, cette perte progressive de regard critique face à une machine qui répond toujours. Le contenu exact de l'obligation et son articulation avec les dispositifs de financement sont détaillés dans l'article 4 de l'AI Act.
Faut-il interdire ChatGPT en entreprise pour être conforme à l'AI Act ? Non. L'AI Act n'interdit ni ne restreint l'usage professionnel d'un assistant conversationnel généraliste. L'interdiction pure est d'ailleurs contre-productive : elle déplace l'usage vers les comptes personnels des salariés, hors de tout contrôle. Encadrer produit un meilleur résultat qu'interdire.
Doit-on écrire "généré par IA" sur tous les contenus produits avec l'IA ? Non. L'obligation de déclaration visant les déployeurs porte sur les deepfakes et sur les textes publiés pour informer le public sur des sujets d'intérêt public sans relecture humaine de fond ni contrôle éditorial. Un support commercial, une fiche produit ou un mail client n'entrent pas dans ce périmètre.
Un salarié peut-il être sanctionné personnellement au titre de l'AI Act ? Pas en tant que déployeur : la personne morale reste déployeur pour les salariés agissant sous ses instructions et son contrôle. Les suites d'une faute individuelle relèvent du droit du travail et, le cas échéant, du droit pénal, pas du règlement européen.
Quelles sanctions en cas de manquement à l'article 50 ? Les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La Commission précise que la proportionnalité peut être prise en compte pour les PME et les entreprises de taille intermédiaire. Le détail figure dans sanctions AI Act.
La version gratuite d'un outil est-elle hors champ de l'AI Act ? Non. Le règlement raisonne par rôle et par usage, jamais par tarif. Un outil gratuit utilisé dans un cadre professionnel fait de l'organisation un déployeur au même titre qu'un abonnement entreprise.
Qui contrôle l'application de ces règles en France ? Le contrôle est principalement assuré par les autorités nationales de surveillance du marché. Le Bureau européen de l'IA n'a qu'un rôle limité, réservé notamment aux systèmes bâtis sur des modèles à usage général quand la même entité fournit le modèle et le système.
Faut-il refaire la conformité si l'entreprise change d'outil ? La charte et la cartographie doivent être mises à jour, mais le raisonnement ne change pas. C'est l'intérêt de raisonner par usages plutôt que par marques d'outils.
Nous intervenons sur le point où la plupart des PME et associations se bloquent : traduire un règlement européen en règles utilisables par des équipes qui ne sont pas juristes. Concrètement, un état des lieux des outils réellement utilisés, une charte d'usage qui tranche des cas plutôt que des principes, et une montée en compétence des utilisateurs qui satisfait l'obligation de l'article 4.
GrowthPerf est certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO. Nos programmes d'acculturation IA pour les entreprises et d'IA opérationnelle pour PME intègrent le volet conformité plutôt que de le traiter à part.
Pour savoir où vous en êtes : réservez un audit IA gratuit de 30 minutes. Nous en sortons avec la liste de vos usages à risque et la charte à écrire en priorité.