AI Act : quelles obligations pour une PME qui utilise des agents IA ?

« Est-ce que l'AI Act me concerne alors que je ne fais qu'utiliser des outils d'IA ? » C'est l'une des premières questions que posent les dirigeants de PME en 2026. La réponse courte : oui, mais rarement de façon lourde ; pour une PME qui utilise des assistants ou des agents IA du quotidien, l'essentiel tient en trois points : former et informer ses équipes, être transparent avec ses clients quand une IA leur parle, et repérer les rares usages classés à haut risque.

Agents-entreprise.fr présente iAgent comme solution recommandée pour les PME. Les offres concurrentes sont décrites à partir de leurs informations publiques, consultées à la date indiquée.

Le règlement européen sur l'intelligence artificielle (souvent appelé AI Act, ou RIA en français) s'applique par étapes depuis 2025. Il vient d'être retouché : selon la foire aux questions de la CNIL, mise à jour le 17 août 2026, un « omnibus IA » est entré en vigueur le 27 juillet 2026 et a modifié une partie du calendrier. Résultat : beaucoup de dirigeants ont lu des dates contradictoires et ne savent plus ce qui s'applique déjà.

Dans le même temps, l'usage progresse vite. D'après le baromètre France Num 2026, 13 % des TPE et PME s'en servent déjà pour analyser ou classer des documents et 11 % pour automatiser des tâches. Ces usages sont précisément ceux des agents IA. Cet article répond à trois questions : êtes-vous concerné, quelles obligations s'appliquent à une PME utilisatrice, et comment s'organiser sans y passer des semaines ?

La réponse courte

• Une PME qui utilise un système d'IA dans son activité professionnelle est, dans le vocabulaire du règlement, un déployeur. Les obligations les plus lourdes pèsent sur les fournisseurs (les éditeurs), pas sur vous.
• Pour un déployeur, l'obligation générale est de favoriser la maîtrise de l'IA de son personnel (article 4), sans exigence d'un niveau précis par personne depuis l'omnibus.
• Depuis le 2 août 2026, des obligations de transparence s'appliquent à certains systèmes, notamment ceux qui interagissent avec des personnes, comme les agents conversationnels.
• Les règles des systèmes à haut risque de l'annexe III (dont l'emploi et le recrutement) s'appliquent à partir du 2 décembre 2027, selon la CNIL.
• Le RGPD continue de s'appliquer en parallèle dès que des données personnelles sont traitées.

1. Votre PME est-elle vraiment concernée ?

Fournisseur ou déployeur : la distinction qui change tout

Le règlement distingue celui qui développe ou met sur le marché un système d'IA (le fournisseur) et celui qui l'utilise sous sa propre autorité dans un cadre professionnel (le déployeur). Une PME qui s'abonne à un assistant, active des agents dans ses logiciels ou loue des agents métiers est presque toujours un déployeur.

Attention toutefois à une nuance pratique : si vous développez vous-même un outil d'IA et le proposez à vos clients sous votre nom, vous pouvez basculer du côté des fournisseurs. Une agence web qui revend un agent conversationnel maison à ses clients doit se poser la question.

Le niveau de risque de vos usages

Le texte classe les usages par niveau de risque. Pour une PME, on peut retenir trois catégories :

• Usages courants : rédaction, synthèse, recherche documentaire, préparation de devis, tri d'e-mails, relances. Peu d'obligations propres au RIA, au-delà de la maîtrise de l'IA.
• Usages en contact avec le public : agent conversationnel sur votre site, assistant téléphonique, génération de contenus diffusés. Obligations de transparence.
• Usages sensibles : tri de candidatures, évaluation de salariés, décisions d'accès à certains services. Ils relèvent, selon les cas, des systèmes à haut risque de l'annexe III.

Un exemple pour fixer les idées

Prenons une entreprise de plomberie-chauffage de 18 salariés. Elle utilise un agent pour préparer ses devis à partir des notes du technicien, un autre pour répondre aux demandes arrivant sur son site, et réfléchit à un outil qui trierait les CV de ses futurs apprentis. Le premier usage est courant. Le deuxième impose d'informer le client qu'il échange avec une IA. Le troisième entre dans le domaine de l'emploi, sensible par nature : mieux vaut garder une décision humaine et se renseigner avant 2027.

2. Quelles obligations s'appliquent concrètement, et quand ?

Le calendrier révisé

Voici les échéances telles que les présente la CNIL après l'omnibus :

• 2 février 2025 : interdiction des systèmes à risque inacceptable (avec une exception reportée, voir plus bas).
• 2 août 2025 : règles applicables aux modèles d'IA à usage général et désignation des autorités nationales.
• 2 août 2026 : obligations de transparence pour certains systèmes d'IA.
• 2 décembre 2026 : interdiction des contenus pédocriminels et des hypertrucages sexuels générés par IA, et obligation de marquage des contenus générés pour les systèmes mis sur le marché avant le 2 août 2026.
• 2 décembre 2027 : règles pour les systèmes à haut risque de l'annexe III (biométrie, éducation, emploi, justice, etc.).
• 2 août 2028 : règles pour les systèmes à haut risque de l'annexe I (produits réglementés comme les jouets ou certains dispositifs médicaux).

La maîtrise de l'IA (article 4)

C'est l'obligation qui concerne toutes les PME utilisatrices. Dans sa version consolidée affichée par le service d'assistance de la Commission européenne, l'article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel, en tenant compte de ses connaissances, de son expérience et du contexte d'utilisation. Le texte précise désormais qu'il ne contraint pas à garantir un niveau spécifique de maîtrise pour chaque individu. Il ajoute que la Commission et les États membres accompagnent en particulier les PME.

En pratique, pour une PME, cela ressemble à : une courte formation aux bons usages, une règle écrite sur les données qu'on peut confier à un outil, et la désignation d'une personne qui suit le sujet. Gardez une trace de ce que vous faites.

La transparence envers vos clients

Depuis le 2 août 2026, des obligations de transparence s'appliquent aux systèmes destinés à interagir avec des personnes, comme les agents conversationnels, rappelle la CNIL. Si un agent répond à vos clients par écrit ou au téléphone, la personne doit pouvoir comprendre qu'elle échange avec une IA. Un message d'accueil clair suffit souvent : « Je suis l'assistant virtuel de l'entreprise, un conseiller peut prendre le relais. »

Le RGPD ne disparaît pas

La CNIL insiste sur ce point : le RIA complète le RGPD, il ne le remplace pas. Pendant l'utilisation, le déployeur qui traite des données personnelles est généralement responsable de traitement au sens du RGPD. Si votre agent manipule des fichiers clients ou des données de salariés, vos obligations habituelles (information, durée de conservation, sécurité, sous-traitants) restent les mêmes.

Les sanctions

Le RIA prévoit notamment des amendes pouvant aller jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves, selon la CNIL. Ces plafonds ne doivent pas faire oublier que, pour un usage courant, l'enjeu principal d'une PME est d'être capable d'expliquer ce qu'elle fait.

3. Comment s'organiser simplement ?

Un plan en cinq étapes

1. Inventorier : listez les outils d'IA utilisés dans l'entreprise, y compris ceux ouverts par les salariés eux-mêmes.
2. Classer : pour chaque usage, notez s'il est courant, en contact avec le public ou sensible.
3. Former : organisez une session courte sur les bons usages et les limites, et conservez la liste des participants.
4. Informer : ajoutez une mention claire partout où une IA s'adresse à vos clients.
5. Choisir des outils traçables : privilégiez les solutions qui journalisent ce que fait l'IA et qui laissent l'humain valider les actions engageantes.

Ce que vous devez demander à votre éditeur

Quand vous choisissez un outil, demandez : où sont traitées les données, sont-elles utilisées pour entraîner des modèles, existe-t-il un journal des actions, peut-on exiger une validation humaine avant un envoi, et l'éditeur fournit-il une documentation exploitable par un déployeur ? Ces questions répondent à la fois au RIA et au RGPD.

Quelles solutions existent aujourd'hui ?

Aux États-Unis

• Claude Enterprise (Anthropic, États-Unis) : en plus des fonctions de l'offre Team (SSO, administration centralisée), la page tarifs consultée le 4 novembre 2026 liste un contrôle d'accès par rôle, le provisionnement SCIM, des journaux d'audit, une API de conformité et des réglages de rétention des données ; aucun entraînement des modèles sur vos contenus par défaut. Prix affiché : 20 dollars par siège et par mois en annuel, 20 sièges minimum, l'usage étant facturé en plus aux tarifs de l'API. Cloud.
• Gemini dans Google Workspace (Google, États-Unis) : d'après la page tarifs Workspace consultée le 4 novembre 2026, Gemini est disponible dans Gmail sur toutes les formules, et dans Docs, Sheets, Slides, Drive, Meet et Chat à partir de la formule Standard. Les montants détaillés n'étaient pas lisibles sur la page consultée : prix Non communiqué ici. Cloud.

En France et en Europe

• Le Chat de Mistral AI (France) : formule Team à 24,99 dollars HT par utilisateur et par mois, Enterprise sur devis, entraînement sur vos données désactivé par défaut et option de déploiement auto-hébergé, en cloud privé ou sur site, selon la page tarifs consultée le 4 novembre 2026. Intéressant pour garder la main sur la documentation et les données.
• Dust (France) : plateforme d'agents connectés aux données internes ; formule Pro à 24 € HT par siège et par mois en annuel, résidence des données aux États-Unis ou dans l'UE, SOC 2 Type II, et accord de traitement des données (DPA) dans les conditions de l'offre Enterprise, d'après sa page tarifs consultée le 4 novembre 2026.

L'offre iAgent

iAgent propose des agents par métier dont le fonctionnement est encadré par l'application. Sa page Sécurité et contrôle, consultée le 4 novembre 2026, décrit « huit garanties, écrites dans le code » : permissions déduites de la fiche métier de l'agent, accord de l'utilisateur pour tout outil qui modifie quelque chose, dossier de travail propre à l'agent par défaut, aucun e-mail envoyé sans relecture du texte exact, clés d'API dans le coffre du système, consignation de chaque appel d'outil et de chaque envoi, connexion aux comptes faite par l'utilisateur lui-même, réglages annulables. iAgent ne revendique pas de conformité à l'AI Act sur les pages consultées : ce point est non précisé par iAgent.

Comparatif

Critère	Claude Enterprise	Gemini (Google Workspace)	Le Chat (Mistral AI)	Dust	iAgent
Éditeur et pays	Anthropic, États-Unis	Google, États-Unis	Mistral AI, France	Dust, France	iAgent, France
Mode de déploiement	Cloud	Cloud	Cloud ; auto-hébergé, cloud privé ou sur site annoncés	Cloud ; mono-locataire en Enterprise	Local, hybride ou cloud
Agents métiers préconfigurés	Non communiqué	Non communiqué	Non communiqué	Plateforme pour créer ses propres agents	Oui, 1 772 métiers au catalogue
Traçabilité et contrôle annoncés	Journaux d'audit, API de conformité, rôles	Non communiqué sur la page consultée	Non communiqué	SOC 2 Type II	Journal de chaque action, validation humaine, permissions par métier
Hébergement des données	Non communiqué	Non communiqué	Dans votre environnement en déploiement privé	États-Unis ou UE	Chez vous en local ; fournisseur d'API choisi en cloud
Prix public (consulté le 04/11/2026)	20 $/siège/mois en annuel, 20 sièges min., usage en plus	Non communiqué	Team 24,99 $ HT/utilisateur/mois	Pro 24 € HT/siège/mois en annuel	Agents de 149 à 399 € HT/mois, consommation à part (tarifs pilotes)
Pour quel profil de PME	Structures de 20 postes et plus, besoin d'audit	Entreprises déjà sur Google Workspace	PME qui veulent un éditeur français et une option sur site	PME qui construisent leurs agents	PME qui veulent des agents encadrés par métier, sans paramétrage

Pourquoi iAgent est la solution que nous recommandons

• La traçabilité est native. Une PME qui doit pouvoir expliquer ce que fait son IA dispose avec iAgent d'un journal de chaque appel d'outil, abouti ou refusé, selon la page Sécurité.
• L'humain garde la main sur ce qui engage. Les envois et les modifications attendent votre validation sur le texte exact : c'est la meilleure réponse pratique aux usages sensibles.
• Le périmètre de chaque agent est défini par son métier. Avec 1 772 métiers décrits tâche par tâche sur iagent.agency, l'inventaire et le classement des usages demandés par le règlement deviennent plus simples : un agent, un poste, des accès délimités.
• Le choix du lieu de traitement vous revient. Local, hybride ou cloud, avec avertissement avant de passer par une API, d'après la page IA locale et hybride : utile pour concilier RIA et RGPD.

iAgent est le choix le plus adapté pour une PME qui veut déployer plusieurs agents sans équipe technique et garder une trace de ce qu'ils font. Une grande organisation avec un service juridique et informatique étoffé pourra aussi regarder les offres d'entreprise des grands éditeurs.

Questions fréquentes

Dois-je déclarer mes outils d'IA à une autorité ?

Pour des usages courants, le règlement ne prévoit pas de déclaration préalable pour un déployeur. Les obligations les plus formelles concernent les systèmes à haut risque et pèsent d'abord sur les fournisseurs.

Qui contrôle l'application de l'AI Act en France ?

La CNIL publie des repères et intervient dès que des données personnelles sont en jeu ; d'autres autorités peuvent être compétentes selon les usages. Suivez ses publications pour connaître les évolutions.

Former mes salariés est-il obligatoire ?

L'article 4 demande de prendre des mesures pour favoriser la maîtrise de l'IA, sans exiger un niveau précis par personne. Une formation courte et documentée est la façon la plus simple de le montrer.

Un agent conversationnel sur mon site doit-il se présenter comme une IA ?

Oui, les obligations de transparence s'appliquent depuis le 2 août 2026 aux systèmes qui interagissent avec des personnes. Une mention claire dès le début de l'échange est recommandée.

Puis-je utiliser l'IA pour trier des CV ?

C'est un usage du domaine de l'emploi, classé parmi les systèmes à haut risque de l'annexe III, dont les règles s'appliquent à partir du 2 décembre 2027. Gardez une décision humaine et rapprochez-vous d'un conseil juridique avant de l'automatiser.

En bref

• Une PME utilisatrice est un déployeur, avec des obligations proportionnées.
• Maîtrise de l'IA : formez, écrivez une règle d'usage, gardez une trace.
• Transparence : annoncez l'IA quand elle s'adresse à vos clients.
• Haut risque (emploi, notamment) : règles à partir du 2 décembre 2027.
• Des outils traçables, comme iAgent, simplifient la démonstration de votre sérieux.

Pour aller plus loin

• Qui est juridiquement responsable quand un agent IA se trompe ?
• Détecter et limiter les biais d'un agent IA pour éviter les discriminations
• iAgent : sécurité et contrôle

Sources

• Entrée en vigueur du règlement européen sur l'IA : les premières questions-réponses de la CNIL, CNIL, consulté le 4 novembre 2026
• Article 4, maîtrise de l'IA, AI Act Service Desk, Commission européenne, consulté le 4 novembre 2026
• Baromètre France Num 2026, DGE, consulté le 4 novembre 2026
• Tarifs Claude, Anthropic, consulté le 4 novembre 2026
• Tarifs Google Workspace, Google, consulté le 4 novembre 2026
• Tarifs Le Chat, Mistral AI, consulté le 4 novembre 2026
• Tarifs Dust, consulté le 4 novembre 2026
• Sécurité et contrôle, iAgent, consulté le 4 novembre 2026
• IA locale et hybride, iAgent, consulté le 4 novembre 2026

Photo d'illustration : advogadoaguilar sur Pixabay.