La première distinction à comprendre est celle entre fournisseur et déployeur. Le fournisseur développe et met sur le marché un système d'IA ; le déployeur l'utilise dans son activité. La plupart des PME sont déployeurs : elles utilisent des outils construits par d'autres. Les obligations les plus lourdes du règlement — documentation technique, gestion des risques, conformité produit — pèsent sur les fournisseurs. Au déployeur revient surtout d'utiliser le système selon les instructions, avec une supervision humaine adéquate.
Le deuxième concept clé est la pyramide des risques. Les pratiques interdites (manipulation, notation sociale) ne concernent pas l'activité typique d'une PME. Les systèmes à haut risque touchent des domaines précis — recrutement, accès au crédit, infrastructures critiques — et là, les obligations augmentent vraiment. La plupart des usages commerciaux quotidiens, comme le service client et le marketing, relèvent en revanche des niveaux à risque limité ou minimal, où l'obligation centrale est la transparence : les personnes doivent savoir quand elles interagissent avec une IA.
Que faire en pratique, aujourd'hui : recenser où vous utilisez déjà l'IA dans l'entreprise ; vérifier que vos outils déclarent leur nature d'IA dans les conversations avec les clients ; choisir des fournisseurs capables de vous fournir documentation et traçabilité — une piste d'audit des actions des agents aide aussi ici ; former les personnes qui utilisent ces outils, car la culture de l'IA du personnel figure parmi les premières obligations déjà applicables.
Avertissement : les échéances et les modalités d'application du règlement évoluent, et votre cas spécifique peut présenter des particularités. Pour les décisions à impact juridique, adressez-vous à un professionnel qualifié.