Le règlement sur l’IA ne prévoit aucun seuil de taille. Il s’applique selon le rôle et selon le territoire, et dès lors que des personnes de votre entreprise utilisent l’IA dans le cadre de leur travail, votre organisation est un déployeur, avec ses propres obligations. La nature de ces obligations dépend de ce que l’IA décide – pas de votre taille.
Aucune des deux ne porte sur votre taille.
Des personnes de votre organisation utilisent-elles l’IA au travail ?
Vous êtes un déployeur.
C’est le cas de presque toutes les entreprises, et c’est là que la plupart se trompent. Ne pas développer d’IA signifie que vous n’êtes pas fournisseur ; cela ne vous place pas hors du champ du règlement.
Mettez-vous un système d’IA sur le marché, ou en service sous votre propre nom ?
Vous êtes un fournisseur.
Des obligations nettement plus lourdes, et vous pouvez y arriver sans l’avoir voulu – voir ci-dessous.
Importez, distribuez ou vendez-vous un produit intégrant de l’IA ?
Vous êtes également concerné.
Importateurs, distributeurs, fabricants de produits et mandataires ont chacun leurs propres obligations.
C’est pourquoi le règlement atteint des prestataires qui n’ont jamais eu d’entité dans l’UE, et pourquoi le lieu d’exécution d’un système est une question que votre auditeur posera.
Rien dans le règlement ne fonctionne comme les seuils d’effectifs ou de chiffre d’affaires d’autres textes européens. Les PME disposent de voies allégées pour se conformer – documentation technique simplifiée, bacs à sable réglementaires, amendes proportionnées à leur taille – et non d’une dispense de conformité.
Deux de ces dates ont bougé en juillet 2026. Celle qui est déjà applicable, non.
Tout fournisseur et tout déployeur, à tous les niveaux de risque. Des mesures raisonnables pour que les personnes qui utilisent l’IA comprennent ce qu’elle peut et ne peut pas faire.
Tout le monde.
Les fournisseurs de modèles, et le dispositif d’application qui soutient tout le reste.
Dire aux personnes qu’elles ont affaire à une IA. Marquer les contenus de synthèse. Les autorités nationales peuvent déjà le faire respecter, avec des amendes pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
Période de grâce pour les systèmes génératifs déjà mis sur le marché avant août 2026.
Contrôle humain, surveillance, information des travailleurs – et conservation des journaux générés automatiquement par le système pendant au moins six mois.
Machines, dispositifs médicaux, véhicules et le reste du régime de sécurité des produits.
Les dates de décembre 2027 et d’août 2028 ont été déplacées par le Digital Omnibus, le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Les obligations de transparence, elles, n’ont pas été déplacées – une distinction sur laquelle beaucoup de guides publiés se trompent encore.
Le haut risque se définit par ce que le système décide au sujet des personnes, pas par son degré de sophistication. Voici les domaines de l’annexe III qu’une entreprise ordinaire touche réellement.
Tri des candidatures, attribution des tâches, suivi des performances, décisions de promotion ou de licenciement.
Évaluation de la solvabilité, et tarification du risque en assurance-vie et en assurance maladie.
Admission, évaluation des acquis d’apprentissage, surveillance des examens.
Identification à distance, catégorisation biométrique, reconnaissance des émotions.
Un industriel qui laisse un outil d’IA présélectionner des candidats est le déployeur d’un système à haut risque. Très peu le savent.
La troisième colonne est celle qui est honnête. Aucune plateforme ne rend une organisation conforme, et tout éditeur dont le tableau ne compte que deux colonnes cherche à vous vendre quelque chose.
| L’obligation | Ce que Tandevia enregistre ou applique | Ce qui vous incombe |
|---|---|---|
| Maîtrise de l’IAArticle 4 | Un enregistrement de qui utilise quel modèle, pour quoi et à quelle fréquence – de quoi cibler la formation sur les personnes et les tâches qui en ont besoin. | Décider ce que vos collaborateurs doivent comprendre, et le leur enseigner effectivement. |
| Savoir quelle IA vous avezLa condition préalable à tout | Chaque requête attribuée à une personne, une équipe, une application ou un agent, pour les modèles commerciaux, à poids ouverts et auto-hébergés. | Classer chaque usage au regard de l’annexe III et déterminer votre niveau de risque. |
| Transparence envers les personnesArticle 50 | Quels modèles une application peut atteindre, afin qu’un assistant en contact avec les clients ne puisse pas être basculé discrètement vers un modèle non déclaré. | Inscrire l’information dans les interfaces que vos clients voient réellement. C’est une propriété de votre interface, pas de la couche qui se trouve en dessous. |
| Contrôle humainArticle 26, paragraphe 1 | Des points de validation dans Workflow Studio, avec le validateur, le moment et la décision consignés pour chaque exécution. | Choisir quelles étapes exigent une personne, et donner à cette personne un véritable pouvoir de refus. |
| Conserver les journauxArticle 26, paragraphe 6 | Un enregistrement interrogeable de chaque requête, modèle, décision et coût, avec une durée de conservation configurable – y compris ce qui a été soustrait à un modèle –, exportable sous forme de document. | Fixer la durée de conservation à au moins six mois, et la concilier avec vos règles de protection des données. |
| Surveiller le fonctionnementArticle 26, paragraphe 5 | L’usage, le coût et les décisions de politique par équipe et par application, avec des alertes avant que le plafond ne soit atteint. | Agir sur ce que la surveillance révèle, et signaler les incidents graves. |
| Utiliser selon la noticeArticle 26, paragraphe 1 | Un catalogue de modèles approuvés par équipe. Les modèles non approuvés sont indisponibles, et non pas déconseillés. | Lire la notice d’utilisation du fournisseur et configurer en conséquence. |
| Gouvernance des données d’entréeArticle 26, paragraphe 4 | Inspection des contenus avant qu’ils ne quittent votre réseau, et des contenus provenant de sources externes avant qu’un modèle ne les lise – selon les règles que vous définissez. | Décider ce qui peut être envoyé, et à qui. |
Un point à vérifier au regard de votre propre formule : l’article 26, paragraphe 6, fixe un plancher de six mois pour les journaux d’un déployeur à haut risque. Chez Tandevia, cela suppose la conservation des formules Business ou Enterprise – la formule Team conserve trois mois, ce qui est en deçà du plancher.
Trois voies transforment un déployeur en fournisseur. Dès que l’une d’elles s’applique, les obligations du fournisseur prévues à l’article 16 deviennent les vôtres, et le fournisseur initial cesse d’être le fournisseur de ce système.
La troisième est celle qui rattrape les entreprises ordinaires. Construire, à partir d’un modèle à usage général, une automatisation qui trie les candidats à l’embauche, c’est exactement ce changement de destination – et c’est une décision prise, le plus souvent, par une équipe qui n’a jamais lu le règlement.
Ceci est une carte, pas un conseil juridique. Rien ici ne rend une organisation conforme, et aucun produit ne le peut – la classification, la formation, l’information et la responsabilité restent les vôtres. Vérifiez votre propre situation auprès de votre propre conseil.
Reflète le droit en vigueur en septembre 2026, y compris le règlement (UE) 2026/1744. Le règlement sur l’IA continue d’évoluer ; cette page est datée pour cette raison.
Vous ne pouvez ni classer, ni documenter, ni former pour un usage de l’IA que vous ne voyez pas – et cela vaut quelles que soient les obligations qui finiront par s’appliquer à vous. C’est aussi la partie la plus longue, raison pour laquelle le report à décembre 2027 est un temps à utiliser plutôt qu’un temps d’attente.