Une startup qui utilise ou revend de l'IA est concernée par l'AI Act, mais rarement au niveau qu'elle imagine. Dans la plupart des cas, trois obligations comptent avant les autres : former vos équipes, informer vos utilisateurs, et savoir prouver que votre produit n'est pas classé à haut risque.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Une startup qui utilise ou revend de l'IA est concernée par l'AI Act, mais rarement au niveau qu'elle imagine. Dans la plupart des cas, trois obligations comptent avant les autres : former vos équipes, informer vos utilisateurs, et savoir prouver que votre produit n'est pas classé à haut risque. Le reste dépend d'une question de rôle, pas de taille d'entreprise.
C'est la principale source de confusion chez les fondateurs que nous accompagnons. Le règlement européen sur l'intelligence artificielle (règlement UE 2024/1689) ne prévoit aucune exemption automatique pour les jeunes entreprises. Il prévoit en revanche des allègements ciblés, des plafonds de sanction inversés et des dispositifs d'accompagnement que très peu de startups utilisent. Si vous découvrez le sujet, commencez par le guide de conformité AI Act pour PME et associations, puis revenez ici pour la lecture startup.
Votre charge de conformité dépend de votre rôle dans la chaîne de valeur, pas de votre effectif. Le règlement distingue le fournisseur, qui développe un système d'IA et le met sur le marché sous son nom ou sa marque, et le déployeur, qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel.
La plupart des startups cumulent les deux rôles sans s'en rendre compte. Un éditeur SaaS qui branche l'API d'un LLM dans son produit et le vend sous sa marque est fournisseur du système d'IA qu'il commercialise, tout en étant déployeur des outils qu'il utilise en interne pour son support ou son marketing.
| Rôle | Exemple typique en startup | Ce que cela implique en priorité |
|---|---|---|
| Fournisseur | Vous vendez un produit qui embarque de l'IA générative sous votre marque | Classification du système, transparence produit, documentation technique si haut risque |
| Déployeur | Vos équipes utilisent un assistant IA, un CRM avec scoring, un outil de tri de CV | Usage documenté, supervision humaine, information des personnes concernées |
| Fournisseur de modèle | Vous entraînez et publiez votre propre modèle à usage général | Obligations spécifiques aux modèles à usage général, rarement applicables à une jeune startup |
Cette distinction n'est pas théorique : elle détermine qui doit produire la documentation technique, qui répond en cas de contrôle, et ce que vos clients peuvent légitimement exiger de vous par contrat. Pour le détail du périmètre, voir qui est concerné par l'AI Act.
Le calendrier a été modifié en 2026 par le Digital Omnibus sur l'IA, et les obligations haut risque de l'annexe III s'appliquent désormais au 2 décembre 2027. Beaucoup d'articles publiés en 2025 annoncent encore le 2 août 2026 pour ces systèmes. C'est faux depuis l'entrée en vigueur de l'omnibus.
| Date | Ce qui s'applique |
|---|---|
| 2 février 2025 | Pratiques interdites et obligation de maîtrise de l'IA |
| 2 août 2025 | Règles pour les modèles à usage général, gouvernance nationale et européenne |
| 2 août 2026 | Règles de transparence de l'article 50, démarrage de l'application effective et des mesures de soutien à l'innovation |
| 2 décembre 2026 | Nouvelles interdictions et échéance de transition pour certains contenus synthétiques déjà sur le marché |
| 2 août 2027 | Au moins un bac à sable réglementaire opérationnel par État membre |
| 2 décembre 2027 | Règles pour les systèmes à haut risque de l'annexe III |
| 2 août 2028 | Règles pour l'IA à haut risque intégrée aux produits réglementés de l'annexe I |
Ce report vous donne du temps sur la partie lourde, pas sur la partie visible. La transparence et la maîtrise de l'IA restent aux dates initiales. Le calendrier complet de l'AI Act détaille chaque échéance.
Trois situations transforment un déployeur en fournisseur, avec toutes les obligations qui vont avec. C'est le point que les startups en marque blanche ou en intégration découvrent trop tard.
L'article 25 du règlement prévoit qu'un distributeur, un importateur, un déployeur ou un tiers devient fournisseur d'un système à haut risque dans trois cas :
Traduit en pratique : si vous revendez sous votre marque un moteur de scoring RH conçu par un tiers, vous prenez à votre charge les obligations du fournisseur. Si vous prenez un modèle généraliste et que vous le fine-tunez pour trier des candidatures, vous avez changé la destination du système et vous en êtes devenu le fournisseur.
Le fournisseur initial est alors déchargé de ses obligations pour ce système précis, mais il doit coopérer et transmettre les informations et l'accès technique nécessaires. Deux réflexes contractuels s'imposent : faire écrire noir sur blanc dans vos contrats fournisseurs qui porte quoi, et vérifier que le fournisseur initial n'a pas exclu explicitement tout usage à haut risque, ce qui le dispenserait de vous remettre la documentation.
La maîtrise de l'IA et la transparence ne dépendent ni de votre taille ni du niveau de risque de votre produit.
La première est l'obligation de maîtrise de l'IA, applicable depuis février 2025. Elle impose de garantir un niveau suffisant de compétence IA chez les personnes qui utilisent ou exploitent vos systèmes, en tenant compte de leurs connaissances, du contexte d'usage et des personnes concernées. Aucun format n'est imposé, aucune certification n'est exigée, mais vous devez pouvoir montrer ce que vous avez fait. Le détail est traité dans l'article 4 de l'AI Act et la formation IA.
La seconde est l'article 50, applicable au 2 août 2026 : informer les personnes qu'elles interagissent avec une IA quand ce n'est pas évident, marquer les contenus générés ou manipulés dans un format lisible par machine, signaler les hypertrucages. Un point souvent mal compris : les conditions d'utilisation de votre fournisseur d'API ne vous couvrent pas. Si votre interface n'affiche pas l'information, c'est vous qui êtes en défaut. Voir comment rédiger une notice d'information IA.
À cela s'ajoutent les pratiques interdites, applicables depuis février 2025 et qui concernent peu de startups, mais dont la violation coûte le plus cher. Le détail figure dans les pratiques IA interdites de l'article 5.
L'AI Act contient des mesures de soutien spécifiques aux PME et aux startups, et un mécanisme de sanction qui joue en votre faveur.
L'article 62 impose aux États membres quatre actions concrètes : un accès prioritaire aux bacs à sable réglementaires pour les PME et jeunes pousses ayant un siège ou une succursale dans l'Union, des actions de sensibilisation et de formation adaptées à leurs besoins, des canaux de communication dédiés pour répondre à leurs questions, et la facilitation de leur participation aux travaux de normalisation. Le même article prévoit que les frais d'évaluation de la conformité soient réduits proportionnellement à la taille de l'entreprise et à celle de son marché.
Sur les sanctions, le mécanisme s'inverse pour les petites structures. Pour une entreprise classique, le plafond retenu est le plus élevé entre un montant fixe et un pourcentage du chiffre d'affaires mondial. Pour une PME ou une jeune pousse, c'est le plus faible des deux qui s'applique. Concrètement, une startup à 400 000 euros de chiffre d'affaires ne risque pas une amende calculée sur un plafond de plusieurs millions d'euros. Le détail des tranches est présenté dans les sanctions AI Act en 2026.
Enfin, chaque État membre doit disposer d'au moins un bac à sable réglementaire opérationnel au 2 août 2027. Si votre produit touche un cas d'usage sensible, c'est le dispositif à surveiller : il permet de développer et tester sous supervision de l'autorité, ce qui vaut aussi comme argument commercial et comme preuve de sérieux en levée de fonds.
Dans les faits, la première pression de conformité vient des due diligences et des appels d'offres, pas des autorités de surveillance.
Un fonds qui investit dans une startup IA en 2026 pose des questions sur la classification de votre système, sur vos contrats fournisseurs de modèles et sur le traitement des données d'entraînement. Un grand compte qui vous référence vous envoie un questionnaire sécurité et conformité avant la signature. Aucun des deux n'attendra une décision d'autorité pour vous demander des preuves.
Six documents suffisent à passer la plupart de ces filtres :
Le premier de ces documents conditionne tous les autres. Notre méthode est détaillée dans cartographier ses systèmes IA, et un modèle prêt à adapter se trouve dans politique IA en entreprise.
Comptez deux à trois jours de travail réel, pas un projet de six mois.
Si vous traitez des données personnelles, articulez ce travail avec votre documentation RGPD plutôt que de créer un registre parallèle. La comparaison entre les deux régimes est traitée dans AI Act vs RGPD.
Une startup de trois personnes est-elle vraiment concernée par l'AI Act ? Oui. Le règlement ne prévoit pas de seuil d'effectif ni de chiffre d'affaires en dessous duquel il ne s'applique pas. Ce qui change avec la taille, ce sont les mesures d'accompagnement de l'article 62 et le plafond des sanctions, qui devient le plus faible des deux montants pour les PME et jeunes pousses.
Utiliser l'API d'un modèle comme ChatGPT ou Claude fait-il de moi un fournisseur de modèle ? Non. Les obligations qui pèsent sur les fournisseurs de modèles à usage général restent chez l'éditeur du modèle. En revanche, si vous mettez sur le marché sous votre marque un système d'IA construit sur cette API, vous êtes fournisseur de ce système, ce qui est différent et bien plus fréquent.
Comment savoir si mon produit est à haut risque ? Deux voies mènent au haut risque : être un composant de sécurité d'un produit déjà réglementé, ou relever d'un des domaines listés à l'annexe III, notamment l'emploi, l'éducation, le crédit, la biométrie, les services essentiels et l'accès aux services publics. Une startup RH, edtech ou fintech doit examiner ce point en priorité.
Les échéances ont-elles été repoussées ? Seulement pour une partie du règlement. Le Digital Omnibus sur l'IA a reporté les règles applicables aux systèmes à haut risque de l'annexe III au 2 décembre 2027 et celles de l'annexe I au 2 août 2028. La maîtrise de l'IA, les pratiques interdites et les règles de transparence conservent leur calendrier initial.
Quelles sanctions une startup risque-t-elle réellement ? Le règlement organise trois niveaux d'amende selon la gravité, du manquement le plus grave lié aux pratiques interdites jusqu'à la fourniture d'informations inexactes aux autorités. Pour une PME ou une jeune pousse, le plafond applicable est le plus faible entre le montant fixe et le pourcentage du chiffre d'affaires mondial. Les autorités doivent aussi tenir compte de la viabilité économique de l'entreprise.
Faut-il recruter un responsable conformité IA ? Rarement avant une trentaine de salariés. Dans la pratique, la fonction est portée par le CTO ou le fondateur produit, avec un point trimestriel et un document de référence tenu à jour. Ce qui compte, c'est que quelqu'un soit identifiable et que les décisions de classification soient écrites.
Nous intervenons sur deux volets. Le premier est l'audit de conformité : cartographie des systèmes, qualification du rôle au sens de l'article 25, classification du niveau de risque et liste des actions à mener, avec les documents rédigés. Le second est la formation des équipes, condition de l'obligation de maîtrise de l'IA, dans un cadre certifié Qualiopi qui ouvre le financement OPCO.
Le format le plus demandé par les startups est court : une demi-journée d'audit, puis une journée de formation orientée usage produit et cadre réglementaire. Le programme est détaillé sur la page formation IA en entreprise.
Pour situer votre niveau de risque et vos priorités réelles, réservez un audit gratuit de 30 minutes. Vous repartez avec la classification de vos systèmes et les trois actions à mener en premier. Pour la vision d'ensemble du sujet, le guide de conformité AI Act pour PME reste le point de départ, et l'évaluation de conformité pas à pas décrit la suite du parcours.