Par ARMINGAUD Claude Etienne, avocat Tech / Data Latournerie Wolfrom & Associés,
L’intelligence artificielle n’est plus une promesse lointaine : elle s’invite dans les processus métiers, les contrats, les ressources humaines et les relations clients des PME et ETI françaises. Mais cette transformation s’accompagne d’un cadre réglementaire inédit, dont la méconnaissance peut coûter cher. Tour d’horizon des enjeux clés.
- L’IA s’installe… avec ou sans vous
L’adoption de l’intelligence artificielle par les entreprises françaises a franchi un cap décisif. Selon les derniers baromètres sectoriels, plus du tiers des PME utilise aujourd’hui au moins un outil intégrant de l’IA générative – assistant rédactionnel, analyse de données, support client automatisé, génération de code… La tendance s’accélère, portée par la démocratisation des outils grands publics, les nouveaux usages (notamment portés par agentique) et par la pression concurrentielle.
Pour les dirigeants de PME et ETI, la question n’est donc plus « faut-il adopter l’IA ? » mais « comment le faire sans s’exposer inutilement ? » Car si les gains de productivité sont réels, les risques juridiques, contractuels et réglementaires sont tout aussi tangibles – et souvent mal identifiés.
- Le Règlement Européen sur l’IA : ce que vous devez savoir
Entré partiellement en vigueur en août 2024, le Règlement européen n°2024/1689 sur l’IA (« RIA ») est le premier cadre législatif au monde à réguler spécifiquement les systèmes d’intelligence artificielle. S’il vise en premier lieu les fournisseurs de systèmes d’IA, il impose également des obligations aux « déployeurs » – c’est-à-dire aux entreprises organiser l’utilisation des outils d’IA à leur personnel dans un contexte professionnel.
Le texte adopte une logique de proportionnalité fondée sur le niveau de risque. Les systèmes d’IA présentant un risque inacceptable (manipulation, notation sociale, reconnaissance faciale non autorisée, …) sont d’ores et déjà purement interdits. Les systèmes à « haut risque » – notamment dans les domaines RH, crédit, ou accès à des services essentiels – sont autorisés, certes, mais soumis à des obligations lourdes : évaluation de conformité, supervision humaine, documentation technique. Les autres sont soumis à des règles, plus légère, de transparence.
Bonne nouvelle pour les PME : le texte prévoit des allègements spécifiques pour elle, et le paquet « Omnibus numérique » en cours de négociation au niveau européen (accord attendu fin avril 2026) propose d’étendre ces allègements aux entreprises jusqu’à 750 salariés et 150 M€ de chiffre d’affaires, tout en repoussant certaines échéances à 2027-2028.
Point de vigilance : si vous utilisez un outil d’IA pour recruter, évaluer des candidats, attribuer des crédits internes ou décider de l’accès à un service, vous êtes potentiellement déployeur d’un système à haut risque. Une analyse de qualification s’impose. En tout état de cause, quelle que soit l’IA considérée, il convient dès à présent d’identifier et cartographier les outils utilisés.
- Contrats, données et propriété intellectuelle : les angles morts
L’intégration de l’IA dans les processus de l’entreprise soulève des questions contractuelles souvent négligées. Premier sujet : à qui appartiennent les contenus générés par l’IA ? En droit français, la protection par le droit d’auteur suppose une création de l’esprit humain. Un texte, une image ou un code entièrement généré par un modèle sans intervention humaine significative ne bénéficie d’aucune protection automatique, ce qui peut fragiliser vos actifs numériques.
Deuxième sujet : que disent vos contrats avec vos prestataires IA ? Les conditions générales des grands opérateurs peuvent contenir des clauses d’utilisation des données qui méritent un examen attentif, notamment si vous alimentez ces outils avec des données confidentielles, des secrets d’affaires ou des données personnelles de clients. Certains prestataires se réservent le droit d’utiliser vos données pour améliorer leurs modèles. Des options existent pour limiter la réutilisation ainsi que la conservation des données (les prompts comme les résultats)
Troisième sujet : si vous développez ou faites développer un outil IA sur mesure, la question de la propriété du modèle entraîné, des droits sur le code source et de la réversibilité des données doit être tranchée contractuellement dès le départ.
| À RETENIR : 4 réflexes pour sécuriser votre usage de l’IA
1. Cartographier vos usages IA actuels et identifier ceux qui impliquent des données personnelles ou confidentielles. |
- Données personnelles : le RGPD, encore et toujours
L’enthousiasme pour l’IA ne doit pas faire oublier que le RGPD s’applique pleinement aux traitements de données à caractère personnel réalisés via des outils d’IA. La CNIL, comme ses homologues européennes, a commencé à sanctionner les manquements liés aux systèmes d’IA – notamment en matière de défaut d’information, d’absence de base légale ou de transferts internationaux non encadrés.
Cas concret : vous utilisez un assistant IA pour analyser les CV de candidats. Ce traitement implique des données personnelles. Il requiert une base légale, une mention d’information aux candidats, et, si l’outil prend ou influence des décisions d’embauche, potentiellement une analyse d’impact (AIPD). L’utilisation d’un modèle hébergé hors EEA (ou par des acteurs soumis à des obligations de communication de données, comme le Cloud Act) imposera en outre de vérifier les garanties applicables aux transferts internationaux.
Les entreprises qui ont investi dans leur conformité RGPD depuis 2018 disposent d’une longueur d’avance : elles ont déjà les réflexes et la documentation nécessaires. Pour les autres, l’adoption de l’IA est l’occasion (ou la nécessité…) de se mettre à jour.
- L’IA dans l’entreprise : aussi un sujet RH
Déployer un outil d’IA qui modifie les conditions de travail, les méthodes d’évaluation ou les processus de production n’est pas sans conséquences sur le plan du droit du travail. En France, deux décisions du Tribunal judiciaire de Nanterre (2025–2026) ont rappelé avec force que le Comité Social et Économique (CSE) doit être informé et consulté préalablement au déploiement de tout outil d’IA susceptible d’impacter les conditions de travail des salariés.
Cette obligation, souvent méconnue des directions, expose les entreprises à des risques sérieux : suspension du déploiement en référé, négociation sous pression, voire contentieux. La bonne pratique est d’intégrer la consultation du CSE dès la phase-projet, et non en aval d’une décision déjà prise.
Enfin, l’utilisation de l’IA dans l’entreprise par le personnel doit également être encadrée, idéalement par une charte des bons usages, opposable au personnel en cas de violation.
En conclusion
L’IA génère une opportunité de transformation sans précédent pour les PME et ETI : productivité accrue, nouveaux services, meilleure analyse des données. Mais elle s’accompagne d’un environnement réglementaire dense et évolutif, qui exige une approche structurée.
La bonne nouvelle : les entreprises qui prennent ce sujet au sérieux dès maintenant construisent un véritable avantage compétitif. La conformité n’est pas un frein à l’innovation – c’est la condition pour en faire un levier durable.
Les questions à se poser sans attendre : Quels outils IA utilisons-nous aujourd’hui ? Quelles données y transitent ? Nos contrats avec ces fournisseurs nous protègent-ils ? Nos équipes sont-elles formées aux risques de base ? Avons-nous consulté notre CSE ?
