Guide · Conformité
AI Act : les obligations d'une PME qui déploie un agent IA
Fournisseur ou déployeur, niveau de risque, transparence, formation, dates à retenir : ce que le règlement européen demande à une PME qui met un agent IA en service.
L'AI Act s'applique-t-il à une PME qui déploie un agent IA ?
Oui, dès qu'elle utilise un système d'IA. Dans le cas courant, la PME est déployeur : elle doit assurer la maîtrise de l'IA de ses équipes (article 4) et informer les personnes qui échangent avec l'agent (article 50). Les obligations lourdes visent les systèmes à haut risque de l'annexe III, comme le tri de candidatures.
1. Votre rôle : fournisseur ou déployeur ?
Le règlement (UE) 2024/1689, dit AI Act, distingue des rôles qui déclenchent des obligations différentes. L'article 3 définit le fournisseur comme la personne ou l'organisme qui développe un système d'IA (ou le fait développer) et le met sur le marché ou en service sous son propre nom ou sa propre marque. Le déployeur est celui qui utilise un système d'IA sous son autorité, hors usage personnel non professionnel.
Une PME qui met en service un agent IA conçu par un prestataire est en principe déployeur. Elle peut devenir fournisseur dans certains cas, notamment si elle appose son nom ou sa marque sur un système à haut risque déjà sur le marché, le modifie substantiellement, ou change sa destination pour qu'il devienne à haut risque (article 25, paragraphe 1). Le prestataire qui conçoit et met à disposition l'agent est, lui, plutôt fournisseur. Le partage exact se règle dans le contrat.
2. Les niveaux de risque
| Niveau | Principe | Exemples d'agents d'entreprise |
|---|---|---|
| Interdit (art. 5) | Pratiques jugées inacceptables, applicables depuis le 2 février 2025 | Hors usage normal d'un agent métier |
| Haut risque (art. 6 et annexe III) | Systèmes dans des domaines listés : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, services essentiels (par exemple scoring de crédit), maintien de l'ordre, migration, justice | Un agent qui trie ou note des candidats, évalue des salariés ou décide d'un accès à un service essentiel |
| Transparence (art. 50) | Obligations d'information pour certains systèmes, dont ceux qui interagissent avec des personnes | Un agent de support, de qualification ou d'avant-vente qui échange avec des clients |
| Autre usage | Pas d'obligation spécifique hors maîtrise de l'IA (art. 4) et règles générales (RGPD) | Un agent de tri de documents ou de saisie interne |
La grande majorité des agents d'avant-vente, d'après-vente et d'opérations internes ne relèvent pas du haut risque. Un agent qui touche au recrutement ou à la gestion de personnel mérite en revanche une analyse spécifique avant tout déploiement, car l'annexe III vise l'emploi.
3. Article 50 : les obligations de transparence
L'article 50 prévoit notamment : (1) les fournisseurs de systèmes d'IA destinés à interagir directement avec des personnes doivent les concevoir de façon que ces personnes soient informées qu'elles interagissent avec une IA, sauf si c'est évident ; (2) les fournisseurs de systèmes qui génèrent du contenu synthétique doivent le marquer dans un format lisible par machine ; (3) les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées ; (4) les déployeurs d'hypertrucages doivent signaler que le contenu est artificiel, ainsi que, dans certains cas, pour un texte généré publié pour informer le public sur des sujets d'intérêt public.
Pour un agent de support ou de qualification, le point concret est le paragraphe 1 : informer l'interlocuteur dès le premier échange qu'il parle à une IA. Notre article dédié détaille le cas du service client : AI Act, article 50 et service client.
4. Maîtrise de l'IA : l'article 4
L'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des autres personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'usage. La version publiée sur le site du service d'assistance de la Commission précise que cela n'oblige pas à garantir un niveau donné à chaque individu. Il s'applique depuis le 2 février 2025.
En pratique, pour une PME : une courte formation des personnes qui utilisent l'agent (ce qu'il sait faire, ses limites, quand corriger, quand escalader), une consigne écrite d'usage, et une trace de ce qui a été fait. Pas besoin de certification.
5. Le calendrier d'application
| Date | Ce qui s'applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement |
| 2 février 2025 | Dispositions générales (définitions, maîtrise de l'IA) et interdictions |
| 2 août 2025 | Obligations pour les fournisseurs de modèles d'IA à usage général |
| 2 août 2026 | La plupart des règles s'appliquent, dont les obligations de transparence de l'article 50 |
| 2 décembre 2026 | Délai transitoire pour certains fournisseurs de systèmes de contenu synthétique déjà sur le marché, concernant l'article 50, paragraphe 2 |
| 2 décembre 2027 | Règles pour les systèmes à haut risque de l'annexe III (report issu du « Digital Omnibus ») |
| 2 août 2028 | Règles pour l'IA à haut risque intégrée dans des produits réglementés (annexe I) (même report) |
Ce calendrier tient compte du « Digital Omnibus » sur l'IA, qui a modifié certaines dates. Il peut encore évoluer : vérifiez sur le calendrier officiel de la Commission avant d'agir.
6. Checklist de la PME qui déploie un agent IA
- Qualifier le rôle : déployeur dans le cas courant, et noter ce que le contrat attribue au prestataire.
- Classer l'usage : l'agent touche-t-il à l'emploi, au crédit ou à un service essentiel ? Si oui, analyse approfondie.
- Informer l'interlocuteur qu'il échange avec une IA, sur chaque canal.
- Former les personnes qui utilisent l'agent et garder une trace.
- Garder un humain dans la boucle sur les décisions qui comptent, et journaliser.
- Articuler avec le RGPD : DPA, minimisation, durée de conservation. Voir sécurité et conformité.
Pour une vue d'ensemble de nos agents, voir agents IA sur mesure. Ce guide est une information générale, pas un avis juridique : votre conseil juridique valide votre situation.
Voir aussi : AI Act, article 50 et service client, sécurité et conformité, mise en production, agents IA sur mesure, ou tous les guides Bynevo Labs.
Il se branche sur vos outils
Nos agents IA se connectent à vos outils métier, et Gustave, l'agent de SAV e-commerce, à votre boutique et au helpdesk que vous utilisez déjà, Gorgias, Zendesk ou Front. Changer d'outil n'est pas un préalable.
Questions fréquentes
Tout ce que vous voulez savoir.
Une PME qui utilise un agent IA est-elle fournisseur ou déployeur ?
Dans le cas courant, déployeur : elle utilise sous son autorité un système conçu par un prestataire. Elle peut devenir fournisseur si elle appose sa marque sur un système à haut risque déjà sur le marché, le modifie substantiellement ou change sa destination (article 25). Le contrat précise le partage des obligations.
Mon agent IA est-il à haut risque ?
Il l'est s'il relève d'un domaine de l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, services essentiels, maintien de l'ordre, migration, justice. Un agent de support, de qualification commerciale ou de tri de documents n'en relève en principe pas. Un agent de tri de candidatures, oui.
Dois-je dire au client qu'il parle à une IA ?
Oui, l'article 50, paragraphe 1, prévoit que les personnes soient informées qu'elles interagissent avec une IA, sauf si c'est évident. Cette obligation s'applique depuis le 2 août 2026. Voir notre guide dédié au service client.
Qu'est-ce que la maîtrise de l'IA de l'article 4 ?
L'obligation, pour les fournisseurs et déployeurs, de prendre des mesures pour soutenir le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent l'IA pour eux. Elle ne demande pas de garantir un niveau précis pour chaque personne. Elle s'applique depuis le 2 février 2025.
Quand les règles sur le haut risque s'appliquent-elles ?
Selon le calendrier de la Commission, qui intègre le Digital Omnibus : le 2 décembre 2027 pour les systèmes de l'annexe III et le 2 août 2028 pour l'IA intégrée dans des produits réglementés. Ces dates peuvent encore évoluer, vérifiez la source officielle.
Bynevo Labs m'aide-t-il à être conforme ?
Nous concevons les agents avec information de l'interlocuteur, journalisation, validation humaine et DPA fourni, et nous classons l'usage avec vous pendant le diagnostic. La conformité de votre organisation reste de votre responsabilité, avec l'appui de votre conseil juridique.
Prochaine étape
Parlons conformité de votre agent.
Avant de le déployer.
30 minutes sur votre cas d'usage : rôle, niveau de risque, information des utilisateurs, formation.
Sans engagement · nous répondons sous 24 h ouvrées