L'IA générative en TPE, en cinq points
Si vous ne deviez retenir qu'une chose : l'IA générative est un excellent premier jet, jamais une source de vérité, et elle ne doit jamais recevoir ce que vous ne publieriez pas sur un panneau d'affichage.
01Vos équipes l'utilisent déjà
Souvent sur leur compte personnel, sans que vous le sachiez. La première étape n'est pas d'interdire, c'est de recenser les usages réels, sans blâme.
02Le vrai risque est la donnée, pas l'amende
Un fichier client collé dans un outil grand public quitte l'entreprise. C'est un sujet RGPD, de secret professionnel et de confiance commerciale, bien avant d'être un sujet AI Act.
03Une obligation s'applique déjà à vous
Depuis le 2 février 2025, l'article 4 de l'AI Act demande aux entreprises dont les salariés utilisent l'IA de prendre des mesures pour favoriser leur maîtrise de l'IA. Aucun seuil d'effectif, aucune amende directe, mais une démarche à pouvoir montrer.
04Le report de 2027 ne vous concerne pas
Le règlement (UE) 2026/1744 reporte au 2 décembre 2027 les obligations des systèmes « à haut risque » (recrutement automatisé, crédit, biométrie). L'article 4 et la transparence de l'article 50 (depuis le 2 août 2026) ne sont pas reportés.
05Une après-midi suffit pour poser le cadre
Une liste d'outils autorisés, quelques règles écrites, une sensibilisation d'une heure et une trace de cette sensibilisation : c'est l'essentiel de ce qu'on attend d'une TPE.
Ce que l'IA générative fait bien, et ce qu'elle fait mal
Elle excelle sur les tâches de rédaction et de reformulation : premiers jets de courriers et de devis, résumés de documents longs, traductions, idées de publications, mise en forme d'un compte rendu. Sur ces usages, une TPE gagne facilement plusieurs heures par semaine.
Elle échoue sur tout ce qui demande d'être exact sans vérification : chiffres, références juridiques, citations, informations récentes. Un modèle produit du texte plausible, pas du texte vrai. Il invente un article de loi ou une jurisprudence avec le même aplomb qu'il cite un fait réel.
Elle n'a pas sa place, seule, dans une décision qui concerne une personne : tri de candidatures, évaluation d'un salarié, refus d'un client. Ces usages relèvent d'ailleurs des systèmes « à haut risque » de l'AI Act quand ils sont automatisés.
Les risques et les dangers, en résumé
Les risques concrets pour une TPE sont, dans l'ordre : la fuite de données confidentielles ou personnelles, la violation du secret professionnel pour les métiers qui y sont tenus, les erreurs publiées sous votre nom, les questions de droits sur les contenus générés, les fraudes qui utilisent l'IA contre vous (faux messages, fausses voix), et les agents qui agissent dans vos outils sans contrôle.
Le risque commercial s'ajoute à la liste : de plus en plus de clients grands comptes, d'acheteurs publics et d'assureurs demandent comment vous encadrez l'IA. Ne pas savoir répondre coûte un marché bien avant de coûter une amende.
Les bonnes pratiques qui suffisent dans 90 % des cas
Quatre règles couvrent l'essentiel : utiliser un outil autorisé par l'entreprise, avec un compte professionnel ou un réglage d'entraînement vérifié ; anonymiser avant de coller quoi que ce soit ; relire et vérifier toute production avant de la transmettre ; garder l'humain aux commandes de toute décision qui touche une personne.
Le reste — la liste des outils, la conduite à tenir en cas d'erreur, la transparence sur les contenus réalistes générés — s'écrit en une page dans une charte d'usage. Aucune loi n'impose cette charte, mais c'est la manière la plus simple de rendre les règles connues et de prouver votre démarche.
Sensibiliser vos salariés, et le prouver
L'article 4 de l'AI Act ne fixe ni durée, ni programme, ni organisme agréé. Une session interne d'une heure, centrée sur les outils que vos équipes utilisent vraiment, répond à l'esprit du texte. Ce qui compte est d'en garder une trace datée et nominative.
La formation gratuite de Chartia suit ce format : six courts chapitres, un quiz de dix questions et une attestation nominative à télécharger.
Ce que dit la loi en 2026
Trois textes se superposent. L'AI Act, d'abord : pour une entreprise qui utilise l'IA sans la développer, il demande la sensibilisation des utilisateurs (article 4, depuis le 2 février 2025) et la transparence sur certains contenus (article 50, depuis le 2 août 2026) : signaler les images, sons et vidéos réalistes générés par IA que vous publiez, et informer les personnes exposées à un système de reconnaissance des émotions.
Le RGPD, ensuite, s'applique dès qu'une donnée personnelle entre dans un outil d'IA : base légale, information des personnes, sécurité, inscription au registre des traitements. Enfin, les secrets — professionnel, médical, des affaires — limitent ce que certains métiers peuvent confier à un outil externe.
Côté sanctions, gardez la mesure : l'article 4 ne figure pas dans la liste des amendes de l'AI Act, et pour une PME c'est toujours le plafond le plus bas qui s'applique. En France, la loi qui désigne les autorités chargées de contrôler l'AI Act (CNIL, DGCCRF, Arcom) a été adoptée par le Sénat le 18 février 2026 mais était toujours en commission à l'Assemblée nationale au 21 octobre 2026 : aucune amende AI Act n'y est prononçable pour l'instant. Le RGPD, lui, est contrôlé et sanctionné par la CNIL depuis 2018.
Outil par outil : ChatGPT, Gemini, Claude, Copilot…
Chaque assistant a ses offres, ses réglages et ses pièges : entraînement activé par défaut sur les comptes personnels, mémoire entre les conversations, liens de partage publics, connecteurs vers vos fichiers. Nos fiches par outil détaillent ce que deviennent vos données, les réglages à faire et les clauses de charte à reprendre.
Le plan d'action en cinq étapes
Dans l'ordre, et sans dépenser un euro pour les quatre premières étapes :
01Recenser
Demandez à chacun quels outils d'IA il utilise et pour quoi faire. Notez aussi les fonctions d'IA intégrées à vos logiciels (messagerie, CRM, comptabilité, visioconférence).
02Choisir
Décidez quels outils sont autorisés, avec quel type de compte. Pour les données clients, une offre professionnelle sans entraînement sur vos données.
03Écrire
Mettez les règles sur une page : outils autorisés, données interdites, relecture obligatoire, conduite à tenir en cas d'erreur.
04Sensibiliser
Une heure avec l'équipe, puis une attestation par personne. C'est la preuve de votre démarche au titre de l'article 4.
05Tenir à jour
Un nouvel outil, une nouvelle fonction ou une évolution de la réglementation : relisez vos règles au moins une fois par an.
Test et cours d'IA générative gratuits
Pour tester vos connaissances ou celles de vos équipes, le quiz de la formation Chartia pose dix questions concrètes : que faire d'un fichier client, comment relancer un impayé avec l'IA sans donner de nom, que vérifier avant d'envoyer un texte généré. Il faut sept bonnes réponses pour valider.
Pour apprendre, le cours gratuit tient en six chapitres d'environ quatre minutes chacun, sans inscription. Pour tester votre entreprise plutôt que vos connaissances, le diagnostic gratuit vous dit en dix questions quelles obligations s'appliquent à vous.