Le règlement sur l'IA pour une équipe de huit.

La plupart des guides sur le règlement européen sur l'IA sont écrits pour des organisations dotées d'une fonction conformité. Si vous êtes huit et que l'un de vous s'en occupe entre deux sprints, la question utile n'est pas « qu'exige le règlement » - c'est quelle est la plus petite position défendable que je puisse tenir, et en combien de temps puis-je y arriver. En général : à peu près une journée.

La réponse courte, pour la plupart des jeunes pousses : vous êtes déployeur, ou fournisseur d'un système à risque limité ou minimal, vous devez trois obligations en vigueur qui prennent un après-midi, et l'effrayant matériel du chapitre III ne vous concerne pas. Le travail consiste à établir cela par écrit - parce que « nous avons regardé, voici notre position, datée » est ce que les investisseurs et les acheteurs grands comptes réclament réellement.

Le règlement vous concerne-t-il seulement ?

Si vos utilisateurs sont dans l'UE, oui - où que vous soyez immatriculés. L'article 2 atteint les fournisseurs établis n'importe où dès lors que la sortie est utilisée dans l'Union. Une C-corp du Delaware qui vend à Berlin est dans le champ. Une société britannique avec des clients européens aussi.

Ce que cela ne veut pas dire, c'est que toutes les obligations s'appliquent. Le champ d'application et le niveau de risque sont deux questions différentes, et les confondre est l'erreur la plus répandue chez les jeunes pousses.

Les trois qui sont en vigueur en ce moment

C'est toute la charge en vigueur pour une jeune pousse ordinaire. Sanctionnable depuis le 2 août 2026 - non reportée par l'omnibus, quoi qu'aient dit les titres.

Les deux questions qui décident de tout le reste

1. Êtes-vous fournisseur ou déployeur ? Vous l'avez construit et livré sous votre nom → fournisseur de ce système. Vous avez pris la licence de celui d'un autre et vous l'utilisez → déployeur. La plupart des équipes répondent « fournisseur » parce qu'elles ont écrit du code, alors que le système d'IA lui-même est sous licence. Se tromper ici revient à endosser les obligations d'un tiers. Le test complet.

2. Est-ce que quoi que ce soit dans ce que vous livrez évalue une personne ? C'est l'embranchement. Noter, classer, présélectionner ou prédire des choses sur des personnes physiques - pour l'emploi, le crédit, l'éducation, les services essentiels - vous place dans l'annexe III, et le profilage referme la sortie de l'article 6(3). Tout le reste est presque certainement à risque limité ou minimal.

Construire sur GPT ou Claude ne fait pas de vous un fournisseur de GPAI. L'usage de l'API, les prompts et un affinage léger laissent l'article 53 chez le fournisseur du modèle. ChatGPT / API d'OpenAI · Où passe la ligne.

Les chiffres des amendes, corrigés

Vous verrez partout la citation 35 M€ / 7 %. Ce palier vise les pratiques interdites de l'article 5, et pour les PME et les jeunes pousses l'article 99(6) retient le montant le plus faible - le montant fixe ou le pourcentage - et non le plus élevé. Sur 2 M€ de chiffre d'affaires, le plafond d'un manquement à l'article 50 tourne autour de 60 000 €, pas de 15 millions d'euros. La plupart des résumés publiés énoncent la règle à l'envers. Les trois paliers.

Pourquoi les fondateurs finissent quand même par s'y mettre

Rarement parce qu'un régulateur a appelé. En général parce que :

• Un service achats grand compte l'a demandé. « Position AI Act disponible sur demande » devient discrètement un filtre, et une revue sécurité bloquée coûte plus cher que le travail.
• Une due diligence l'a demandé. Une question réglementaire sans réponse dans une data room, c'est une décote.
• Le DPO d'un client l'a demandé, et votre réponse doit être un document, pas un message Slack.

Dans les trois cas, le livrable est le même : une position écrite, datée et motivée, qui nomme votre produit. C'est exactement ce qu'est un rapport d'écarts (in English) (en anglais), et c'est pourquoi l'offre gratuite s'arrête au niveau de risque - le niveau répond à votre question, le document répond à la leur.

Une journée, en gros

• Listez vos fonctionnalités d'IA et qui chacune affecte
• Lancez le scan gratuit pour chaque fonctionnalité qui touche des personnes
• Ajoutez la ligne d'information sur l'IA partout où cela converse - cette semaine, c'est du droit en vigueur
• Tenez une session de maîtrise de l'IA et faites-en le compte rendu
• Notez votre rôle et votre niveau de risque par système, avec le raisonnement et une date
• Seulement si quelque chose relève réellement de l'annexe III : lancez le programme du chapitre III maintenant, parce qu'une évaluation de la conformité prend 12 à 18 mois et que décembre 2027 est plus proche qu'il n'y paraît

Questions fréquentes

Le règlement européen sur l'IA s'applique-t-il aux jeunes pousses hors UE ?

Oui, si vos utilisateurs sont dans l'UE. L'article 2 atteint les fournisseurs établis n'importe où dès lors que la sortie du système est utilisée dans l'Union. Une société du Delaware qui vend à Berlin est dans le champ, tout comme une société britannique avec des clients européens. Être dans le champ ne revient pas à ce que toutes les obligations s'appliquent.

Que doit faire concrètement une jeune pousse dès maintenant ?

Trois choses, toutes sanctionnables depuis le 2 août 2026 : l'information de l'article 50 sur tout ce qui converse face aux utilisateurs, une session de maîtrise de l'IA au titre de l'article 4 dont on garde le compte rendu, et une vérification au titre de l'article 5 que rien de ce que vous exploitez n'est purement interdit. Pour une jeune pousse ordinaire, c'est toute la charge en vigueur.

Les jeunes pousses sont-elles exemptées du règlement européen sur l'IA ?

Non. Il n'existe pas d'exemption pour les jeunes pousses. Ce qui existe, c'est la proportionnalité : l'article 99(6) retient, pour les PME et les jeunes pousses, le plus faible du montant fixe et du pourcentage de chiffre d'affaires, et la plupart des obligations ne mordent que si votre système est réellement à haut risque.

À combien s'élèvent les amendes du règlement sur l'IA pour une jeune pousse ?

Pour les PME et les jeunes pousses, l'amende applicable est le plus faible des deux montants, le montant fixe ou le pourcentage du chiffre d'affaires mondial - l'inverse de la règle qui vaut pour les grandes entreprises. Sur 2 M€ de chiffre d'affaires, le plafond d'un manquement à l'article 50 tourne autour de 60 000 €, pas de 15 millions d'euros.

Pourquoi une jeune pousse a-t-elle besoin d'une évaluation au titre du règlement sur l'IA ?

En général, pas parce qu'un régulateur a appelé. C'est un service achats grand compte qui la demande, une due diligence qui la demande, ou le DPO d'un client qui la demande - et dans chaque cas le livrable est une position écrite, datée et motivée, qui nomme votre produit, pas un message Slack.

Le règlement européen sur l'IA s'applique-t-il aux entreprises hors UE ?

Souvent, oui. L'article 2 atteint les fournisseurs quel que soit leur lieu d'établissement, et atteint les fournisseurs et déployeurs de pays tiers lorsque la sortie produite par le système d'IA est utilisée dans l'Union. Une société américaine ou britannique avec des utilisateurs européens est normalement dans le champ - même si être dans le champ ne revient pas à être à haut risque.