Utiliser ChatGPT en entreprise reste autorisé par l'AI Act. Depuis le 2 août 2026, vos obligations tiennent en trois points : signaler l'IA quand ce n'est pas évident, étiqueter certains contenus publiés, et savoir si vous agissez en déployeur ou en fournisseur.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Utiliser ChatGPT en entreprise reste autorisé par l'AI Act. Depuis le 2 août 2026, vos obligations tiennent en trois points : signaler l'IA quand ce n'est pas évident, étiqueter certains contenus publiés, et savoir si vous agissez en déployeur ou en fournisseur.
La question revient dans presque tous les audits que nous menons : "on utilise ChatGPT tous les jours, est-ce qu'on est en infraction ?" La réponse courte est non. La réponse utile suppose de séparer quelques situations qui n'entraînent pas du tout les mêmes obligations. Si vous découvrez le sujet, le guide de conformité AI Act pour PME pose le cadre général ; cet article traite du seul cas ChatGPT.
Le règlement (UE) 2024/1689 ne vise aucune marque : il encadre des usages, des rôles et des niveaux de risque. Aucun texte ne dit "ChatGPT est interdit" ou "ChatGPT est autorisé". Ce qui compte, c'est ce que vous en faites et la place que vous occupez dans la chaîne.
Trois blocs du règlement peuvent vous concerner quand vous utilisez un outil d'IA générative comme ChatGPT :
Autrement dit, la même souscription ChatGPT peut ne rien déclencher du tout dans un service marketing et faire basculer une entreprise dans un régime lourd si elle sert à trier des candidatures.
Cette distinction commande toutes les autres. L'article 3 du règlement définit le fournisseur comme celui qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son propre nom ou sa propre marque. Le déployeur, c'est celui qui utilise un système d'IA sous son autorité, dans un cadre professionnel.
Une PME qui achète des licences ChatGPT Team pour ses salariés est déployeur. OpenAI est fournisseur. La conséquence est concrète : les obligations les plus lourdes de l'article 50, en particulier le marquage technique des contenus, pèsent sur le fournisseur, pas sur vous.
Un point que la plupart des articles oublient : le rôle n'est pas figé. Vous pouvez basculer côté fournisseur sans changer d'outil, simplement en changeant la manière dont vous l'exposez. Nous détaillons les cas de figure dans AI Act : qui est concerné.
Les salariés qui utilisent ChatGPT sous l'autorité de l'entreprise ne sont pas des déployeurs distincts. La responsabilité reste celle de la personne morale, y compris quand un prestataire ou un freelance opère l'outil pour votre compte.
L'article 50(2) impose de marquer les contenus synthétiques dans un format lisible par machine, et cette obligation pèse sur le fournisseur du système. C'est OpenAI qui doit rendre ses sorties détectables comme générées par IA, pas votre entreprise.
Deux nuances importantes, toutes deux confirmées par la FAQ de la Commission européenne sur l'article 50 :
Le piège est ailleurs. Quand vous avez, vous, une obligation de divulgation, vous ne pouvez pas vous contenter de dire que le marquage technique du fournisseur suffit. La Commission le dit explicitement : la divulgation doit être perceptible par une personne, sans outil technique particulier.
L'article 50(4) vise le texte publié pour informer le public sur des sujets d'intérêt public, et uniquement lorsqu'il n'a pas fait l'objet d'une relecture humaine. Trois critères cumulatifs, pas un de moins : le texte doit être publié, informatif pour le public, et porter sur un sujet d'intérêt public.
La liste des sujets d'intérêt public donnée par la Commission couvre la politique, l'administration publique, la justice, les droits fondamentaux, la sécurité publique, la santé publique, l'environnement, la sécurité des consommateurs et les développements économiques, financiers, scientifiques ou culturels susceptibles de nourrir le débat public.
Concrètement, la fiche produit de votre e-commerce rédigée avec ChatGPT n'entre pas dans ce périmètre. Un article de blog sur une réforme fiscale, publié sans relecture, y entre.
Et c'est là que se trouve la porte de sortie la plus simple, celle que presque personne ne met en avant : le texte relu par un humain n'a pas à être étiqueté. La Commission précise ce qu'elle entend par relecture : un examen délibéré du fond par une personne compétente sur le sujet, ou un contrôle éditorial exercé par un responsable ayant le pouvoir d'approuver, modifier ou rejeter le texte. Une correction orthographique ou une relecture de forme ne suffit pas.
Pour une PME, la conclusion pratique est nette : formaliser une relecture éditoriale documentée coûte moins cher, et vaut mieux commercialement, qu'un bandeau "contenu généré par IA" sur toutes vos publications.
Si vous branchez l'API OpenAI derrière un assistant que vous exposez sous votre marque, vous mettez un système d'IA en service sous votre nom. Vous devenez fournisseur au sens de l'article 3(3), et l'article 50(1) vous impose de concevoir le système de sorte que l'utilisateur sache qu'il parle à une IA, dès la première interaction, sauf si c'est évident.
La Commission encadre cette exception "sauf si c'est évident" de manière restrictive : le critère est celui d'une personne moyenne raisonnablement informée et attentive. En pratique, une simple mention visible en tête de conversation règle le sujet. Le sujet du chatbot IA et de sa notice est traité en détail dans notre article sur la notice d'information IA.
Même logique pour les images et vidéos. Si vous produisez un visuel réaliste représentant une personne, un lieu ou un événement existant, vous entrez dans la définition du deepfake de l'article 3(60) et devez le divulguer à la première exposition. Les usages artistiques ou satiriques bénéficient d'un régime allégé, mais pas d'une dispense.
La finalité RH fait basculer l'usage dans le régime haut risque, quel que soit l'outil. L'annexe III du règlement vise notamment les systèmes utilisés pour filtrer des candidatures et évaluer des candidats. Utiliser ChatGPT pour cela ne relève plus de la simple transparence.
Deux points à retenir. D'abord, l'échéance a changé : le Digital Omnibus, adopté sous la forme du règlement (UE) 2026/1744 et entré en vigueur le 27 juillet 2026, a reporté l'application des obligations haut risque de l'annexe III au 2 décembre 2027, et au 2 août 2028 pour les systèmes intégrés à des produits déjà réglementés. Le calendrier complet de l'AI Act reprend toutes les dates consolidées.
Ensuite, ce report n'est pas une autorisation. Le RGPD, lui, s'applique déjà pleinement au traitement de données de candidats, et l'article 22 sur les décisions automatisées ne s'est jamais arrêté. Nous détaillons cette articulation dans AI Act vs RGPD et dans la fiche RGPD. Si vous utilisez ChatGPT sur des données personnelles, c'est le RGPD qui vous rattrapera en premier, pas l'AI Act.
Dernier point souvent ignoré : en détournant un système d'usage général vers une finalité haut risque, vous pouvez, au titre de l'article 25, endosser vous-même le rôle de fournisseur du système à haut risque. Le sujet est développé dans notre article sur les systèmes IA à haut risque.
| Votre usage de ChatGPT | Votre rôle | Ce que vous devez faire | Applicable depuis |
|---|---|---|---|
| Rédaction interne, résumés, notes, code | Déployeur | Rien au titre de l'article 50 | Sans objet |
| Article publié sur un sujet d'intérêt public, sans relecture | Déployeur | Étiqueter clairement le texte | 2 août 2026 |
| Même article après relecture éditoriale documentée | Déployeur | Aucun étiquetage requis | 2 août 2026 |
| Chatbot exposé sur votre site sous votre marque | Fournisseur | Informer dès la première interaction | 2 août 2026 |
| Visuel réaliste d'une personne ou d'un lieu existant | Déployeur | Divulguer le caractère artificiel | 2 août 2026 |
| Tri de CV, évaluation de salariés | Déployeur haut risque, parfois fournisseur | Régime haut risque complet |
En cas de manquement aux obligations de transparence, les sanctions peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires mondial annuel, avec un principe de proportionnalité pour les PME. Le contrôle relève des autorités nationales de surveillance du marché. Le détail figure dans notre article sur les sanctions de l'AI Act.
L'AI Omnibus a allégé l'article 4 en juillet 2026 : l'exigence de maîtrise de l'IA pesant sur les entreprises est devenue une incitation, la Commission et les États membres prenant le relais. La quasi-totalité des contenus publiés avant l'été 2026 vendent encore une obligation ferme assortie d'une amende. C'est périmé, et nous préférons le dire.
Cela ne rend pas la formation inutile, pour deux raisons vérifiables. L'article 26 impose toujours un contrôle humain effectif aux déployeurs de systèmes à haut risque, ce qui suppose des équipes compétentes. Et les obligations de l'article 50 supposent que vos collaborateurs sachent reconnaître un cas d'étiquetage : personne ne peut appliquer une règle qu'il ignore. Notre analyse complète est dans Article 4 AI Act : la formation IA est-elle obligatoire.
En clair, formez vos équipes parce que cela évite des erreurs coûteuses, pas parce qu'un régulateur vous menace.
Nous partons toujours de la même étape : la cartographie. Tant que vous ne savez pas quels outils d'IA circulent réellement dans l'entreprise, y compris les comptes gratuits ouverts par les équipes sans passer par la DSI, aucune analyse de conformité n'a de valeur. La méthode et le template sont détaillés dans cartographier ses systèmes IA.
Vient ensuite la qualification usage par usage, puis deux livrables courts : une politique IA interne qui dit ce qui est autorisé et avec quelles données, et une procédure de relecture éditoriale qui vous dispense, dans la plupart des cas, de l'étiquetage de l'article 50(4).
Côté montée en compétences, nos programmes Acculturation IA et IA opérationnelle sont dispensés par un organisme certifié Qualiopi et finançables par votre OPCO. Ils couvrent le cadre réglementaire et les usages concrets, y compris le prompt engineering appliqué aux métiers.
Si vous voulez savoir où vous en êtes avant d'engager quoi que ce soit, l'audit d'usage IA de 30 minutes est gratuit et sans engagement. Nous en ressortons avec la liste de vos systèmes, votre rôle pour chacun et les deux ou trois actions réellement prioritaires.
Utiliser ChatGPT en entreprise est-il légal en 2026 ? Oui. Aucune disposition de l'AI Act n'interdit ChatGPT. Seuls certains usages sont interdits, par l'article 5, comme la reconnaissance des émotions sur le lieu de travail. Le reste relève de la transparence ou du régime haut risque selon la finalité.
Dois-je mentionner que mes contenus sont générés par ChatGPT ? Seulement si le texte est publié, informe le public sur un sujet d'intérêt public et n'a pas fait l'objet d'une relecture humaine sur le fond. Une fiche produit ou une newsletter commerciale n'entrent pas dans ce périmètre.
Une relecture rapide suffit-elle à me dispenser de l'étiquetage ? Non. La Commission exige un examen du fond par une personne compétente, ou un contrôle éditorial avec pouvoir d'approuver ou de rejeter le texte. Une correction orthographique ou une relecture de forme ne suffit pas.
Le délai du 2 décembre 2026 me laisse-t-il du temps ? Non, dans la plupart des cas. Ce délai ne vise que l'obligation de marquage lisible par machine de l'article 50(2), pour les systèmes déjà sur le marché avant le 2 août 2026, et il pèse sur les fournisseurs. Vos obligations de déployeur s'appliquent depuis le 2 août 2026.
ChatGPT Enterprise me met-il en conformité automatiquement ? Non. Le type d'abonnement change les garanties contractuelles et le traitement de vos données, ce qui compte beaucoup pour le RGPD, mais il ne modifie pas votre rôle ni vos obligations au titre de l'AI Act.
Que risque une PME qui ne fait rien ? Jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour un manquement aux obligations de transparence, avec une proportionnalité prévue pour les PME. En pratique, le risque immédiat le plus fréquent reste le RGPD et la fuite de données confidentielles dans un outil grand public.
Par où commencer si je pars de zéro ? Listez les outils d'IA réellement utilisés, y compris les comptes personnels, puis qualifiez chaque usage : déployeur ou fournisseur, publication ou usage interne, données personnelles ou non. Cette cartographie conditionne tout le reste, et se fait en une demi-journée dans une PME de moins de 50 salariés.
| 2 décembre 2027 |