EU AI Act à partir du 02/08/2026.

Qu'est-ce que l'EU AI Act et pourquoi concerne-t-il les PME ?

L'EU AI Act (officiellement : règlement européen 2024/1689 sur l'intelligence artificielle) est en vigueur depuis le 02 août 2024, mais devient effectif par étapes. Il réglemente l'usage des systèmes d'IA dans l'UE avec une approche fondée sur le risque : les systèmes à haut risque (p. ex. l'IA dans le diagnostic médical, la sélection du personnel, l'octroi de crédit) nécessitent des évaluations de conformité complètes. Un risque plus faible (IA au contact client, chatbots, voicebots, automatisation marketing) ne nécessite « que » des obligations de transparence, mais celles-ci sont strictes à partir du 02 août 2026. Ce que beaucoup de dirigeantes et dirigeants de PME ignorent : même si vous ne développez pas vous-même l'IA mais l'utilisez seulement (terme « déployeur » dans le règlement), vous êtes responsable des obligations dans votre entreprise. Qui utilise un assistant téléphonique IA, un chatbot ou une IA marketing doit informer les utilisateurs finaux et documenter l'usage pour ses propres collaborateurs. Le règlement s'applique dans toute l'UE, y compris aux fournisseurs de pays tiers (États-Unis, Royaume-Uni, Suisse) s'ils mettent leurs systèmes d'IA à disposition dans l'UE. Qui utilise donc un outil américain ou un autre fournisseur tiers doit vérifier si le fournisseur prend en charge les obligations.

Les 4 obligations les plus importantes pour les PME DACH en 2026

Premièrement, l'art. 4 (littératie en IA), déjà en vigueur depuis le 02 février 2025. Qui déploie de l'IA en entreprise doit présenter une documentation minimale des limites d'usage et de la logique d'escalade. Concrètement : un PDF qui décrit comment votre IA est déployée, ce qu'elle ne peut pas faire, quand elle escalade vers des humains. Deuxièmement, l'art. 50 (obligation de transparence), effectif à partir du 02 août 2026. Toute personne qui interagit avec votre système d'IA (personnes qui appellent, visiteurs de chat, contacts e-mail) doit en être clairement informée au premier contact. Pour les agents vocaux, cela signifie : l'annonce d'accueil doit révéler la nature IA. Pour les widgets de chat : un badge IA persistant. Pour les e-mails : un avertissement dans l'en-tête. Troisièmement, le RGPD art. 28 (sous-traitance), déjà obligatoire depuis 2018. Lors de l'usage d'IA tierce, un contrat de sous-traitance doit être en place, réglant le traitement des données. Quatrièmement, le RGPD art. 22 (décisions automatisées), pour les décisions IA à portée juridique, une escalade humaine doit être possible. Concrètement, pour une IA de service client : pour les réclamations, les litiges, les résiliations, l'agent IA doit pouvoir escalader vers un humain.

• Art. 4 littératie en IA : documentation des limites d'usage + logique d'escalade (depuis le 02/02/2025)
• Art. 50 obligation de transparence : information au premier contact IA (à partir du 02/08/2026)
• RGPD art. 28 : contrat de sous-traitance avec chaque fournisseur d'IA
• RGPD art. 22 : escalade humaine pour les décisions à portée juridique

Amendes dans l'EU AI Act, ce qui est vraiment en jeu

L'EU AI Act prévoit des amendes graduées. Les infractions aux obligations les plus strictes (pratiques d'IA interdites au titre de l'art. 5, notation sociale, manipulation, surveillance biométrique de masse) peuvent être sanctionnées jusqu'à 35 millions d'euros ou 7 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Infractions aux obligations pour les systèmes d'IA à haut risque : jusqu'à 15 millions d'euros ou 3 pour cent. Infractions aux obligations de transparence (art. 50) et à la plupart des autres obligations : jusqu'à 15 millions d'euros ou 3 pour cent. Renseignements faux ou trompeurs aux autorités : jusqu'à 7,5 millions d'euros ou 1 pour cent. Pour les PME dont le chiffre d'affaires annuel est inférieur à 500 millions d'euros, les montants fixes deviennent contraignants (et non le pourcentage du chiffre d'affaires), mais 15 millions d'euros sont de fait une menace existentielle pour une PME DACH. S'y ajoute : en cas d'infractions répétées, l'autorité de surveillance du marché compétente (en Allemagne : la Bundesnetzagentur) peut interdire le système d'IA ou le faire retirer du marché. Les amendes ne sont donc que la partie financière de l'iceberg, le préjudice de réputation et de perte d'activité en cas d'infraction est souvent plus élevé.

EU AI Act vs. RGPD, où les obligations se recoupent et où non

Beaucoup de PME confondent l'EU AI Act et le RGPD. En réalité, les deux règlements sont complémentaires : le RGPD réglemente le traitement des données personnelles (toutes les données rattachables à une personne physique), l'EU AI Act réglemente l'usage des systèmes d'IA indépendamment du traitement ou non de données personnelles. Dans le contexte d'une IA de service client, les deux s'appliquent en même temps : le RGPD réglemente le traitement des données des personnes qui appellent (hébergement Hetzner, LLM européens, contrat de sous-traitance, mentions de protection des données au titre de l'art. 13 RGPD). L'EU AI Act réglemente en plus l'obligation de transparence (art. 50, les personnes qui appellent doivent savoir qu'elles parlent à une IA) et la littératie en IA (art. 4, qui déploie l'IA doit en connaître les limites d'usage). Concrètement pour les PME DACH : un fournisseur d'IA conforme au RGPD n'est pas automatiquement conforme à l'AI Act. Vous avez besoin des deux, RGPD + art. 50 + art. 4. Rinqo remplit les trois obligations dans une seule plateforme : Hetzner Allemagne (RGPD), annonce d'information par défaut (art. 50), modèles de littératie en IA à adapter (art. 4). Chez les fournisseurs américains, vous devez vérifier séparément la conformité RGPD (exposition au Cloud Act, la volatilité du DPF subsiste) et implémenter vous-même l'information au titre de l'art. 50 (ce qui, techniquement, est souvent tout simplement impossible).

Comment Rinqo remplit l'EU AI Act, concrètement et vérifiable

Rinqo remplit toutes les obligations de l'EU AI Act pour les PME DACH dès le jour 1, sans que vous ayez à fournir votre propre travail de conformité. Premièrement, l'information par défaut art. 50 : chaque agent IA Rinqo (téléphone, chat, e-mail) fait au premier contact une annonce claire indiquant qu'il s'agit d'une IA, la formulation est modifiable pour la voix de votre marque, l'information elle-même n'est pas désactivable. En voix : « Bonjour, ici l'assistance IA de [entreprise]. Vous parlez à une IA, l'appel est traité à des fins de qualité. » En chat : badge IA persistant dans l'en-tête + bannière d'accueil. En e-mail : mention « Cette réponse a été rédigée avec l'aide d'une IA » dans le pied de page. Deuxièmement, la littératie en IA art. 4 : des modèles dans le tableau de bord Rinqo, que vous pouvez adapter à votre configuration d'usage spécifique, quels modèles d'IA sont déployés, quelles données sont traitées, quels seuils d'escalade s'appliquent. Vous documentez une fois, tenez la documentation à jour lors des changements de configuration. Troisièmement, le RGPD art. 28 : le contrat de sous-traitance est fourni automatiquement à la signature, sans demande séparée. Quatrièmement, le RGPD art. 13 : les mentions de protection des données sont annoncées automatiquement au début de la conversation dans l'agent vocal. Cinquièmement, l'hébergement UE : Hetzner Falkenstein et Nuremberg comme lieu d'hébergement, LLM européens sur un Microsoft Azure OpenAI dédié (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary – Microsoft Corp. est la société mère américaine, indiqués de façon transparente sur /security), résidence des données UE pour vos données clients.