Qui est concerné, vraiment
Le règlement ne vise pas que les éditeurs de modèles. Toute entreprise qui utilise un système d'IA est concernée en tant qu'utilisatrice, avec des obligations plus légères que celles des fournisseurs, mais réelles : savoir ce qu'elle utilise, informer les personnes concernées, former ses équipes.
Une PME de services qui emploie des assistants IA, un chatbot ou des automatisations est donc dans le champ. Pour la grande majorité de ces usages, les obligations se limitent à la transparence et à la maîtrise documentée ; aucun dossier de certification à monter. L'enjeu est de pouvoir montrer, par écrit, ce qu'on utilise et comment.
Les niveaux de risque, expliqués simplement
Le règlement classe les systèmes par niveau de risque. En haut, les pratiques interdites, comme la manipulation ou la notation sociale. Puis les systèmes à haut risque, soumis à des obligations lourdes : ils touchent au recrutement, au crédit et à d'autres domaines sensibles, et restent rares dans une PME de services.
Viennent ensuite les systèmes soumis à une obligation de transparence : un chatbot doit dire qu'il est une IA, un contenu généré doit pouvoir être identifié comme tel. Enfin, le risque minimal : la majorité des outils de productivité, sans obligation particulière au-delà du bon sens.
L'exercice utile pour un dirigeant consiste à classer ses propres usages dans ces niveaux, sans avoir à apprendre le texte. Ce classement tient sur une page et détermine tout le reste.
Le registre des usages d'IA
Le registre des usages est le socle. Pour chaque usage d'IA : l'outil, la finalité, les données touchées, les personnes qui l'utilisent, le prestataire et son contrat. Y compris les usages officieux : ce sont souvent les plus risqués, précisément parce qu'ils échappent à tout cadre.
Ce registre sert au-delà de la conformité : il répond aux questions des clients et des donneurs d'ordre, qui demandent de plus en plus souvent comment leurs données sont traitées. Une réponse écrite et à jour devient un argument commercial.
Tenez-le vivant : un usage ajouté, une ligne ajoutée. Un registre daté d'il y a 18 mois vaut à peine mieux que pas de registre du tout. Confiez sa tenue au référent interne, et relisez-le à chaque nouvel outil introduit dans l'entreprise : la mise à jour prend quelques minutes, la reconstruction prend des semaines.
L'obligation de formation
Le point le plus immédiat : les équipes qui utilisent l'IA doivent être formées à ses limites et à ses règles d'usage, avec une échéance en août 2026. C'est une obligation à part entière, et elle concerne les entreprises ordinaires autant que les acteurs de la technologie.
Une formation utile part des vrais cas de l'entreprise : quels outils, quelles données on peut y mettre, ce qu'on vérifie avant de réutiliser une sortie. Et elle se documente : qui a été formé, quand, sur quel contenu.
Nous assurons ces formations et nous en documentons la trace. Le dossier de preuve compte autant que la formation elle-même : c'est lui qu'on présente le jour où la question arrive. Prévoyez des sessions courtes, par équipe, sur les outils réellement utilisés : c'est plus efficace qu'une journée générale pour tout le monde.
Par où commencer ce trimestre
Ce trimestre, trois chantiers suffisent. Un : l'inventaire des usages, officiels et officieux, pour poser le registre. Deux : la désignation d'un référent interne, qui simplifie tout même là où rien ne l'impose. Trois : les mentions de transparence là où elles manquent, à commencer par le chatbot.
Planifiez ensuite la formation des équipes avant l'échéance d'août 2026, en commençant par les personnes qui manipulent des données clients. Pour une PME de services, l'essentiel se traite en quelques semaines de travail encadré.
Le Diagnostic Stratégique structure ce démarrage : cartographie de vos usages, de vos risques et de vos priorités, plan d'action daté. 3 500 €, déduits si vous poursuivez avec nous. Vous repartez avec un document présentable tel quel à votre comité, à vos clients ou à votre assureur.