FAQ

Oui, sur certains points. L'obligation de maîtrise de l'IA (article 4) s'applique depuis février 2025 à toute entreprise qui utilise des outils comme ChatGPT ou Claude, quelle que soit sa taille. Les obligations les plus lourdes (systèmes à haut risque) ne concernent qu'un nombre restreint d'usages spécifiques et ont été reportées à décembre 2027 pour la plupart des cas.

Non, c'est une simplification trompeuse qui circule beaucoup. Ce qui s'applique réellement à cette date : les obligations de transparence de l'article 50 et le régime de sanctions. Les obligations les plus lourdes pour les systèmes à haut risque ont été reportées à décembre 2027, voire août 2028 pour certains cas, via un texte adopté en 2026 appelé le Digital Omnibus.

Oui. L'obligation de maîtrise de l'IA ne dépend pas de la fréquence d'utilisation ni de la taille de l'entreprise — elle s'applique dès qu'un outil d'IA générative est utilisé dans un cadre professionnel. Le niveau de formation attendu reste proportionné : ce n'est pas la même exigence pour une utilisation ponctuelle que pour un usage intensif ou automatisé.

Non — il n'existe pas de montant fixe universel. Les plafonds légaux (jusqu'à 4% du chiffre d'affaires mondial ou 20 millions d'euros selon les cas) sont des maximums, pas des montants systématiques. En pratique, l'autorité de contrôle tient compte de la taille de l'entreprise et de la gravité du manquement.

Non, et c'est un raccourci commercial fréquent. Un outil peut être conforme dans sa conception sans que son usage par votre entreprise le soit — la conformité dépend aussi de ce que vous en faites, des données que vous y mettez, et des bases légales que vous invoquez.

Pas systématiquement — un DPO n'est obligatoire que dans des cas précis (traitement à grande échelle de données sensibles, suivi systématique à grande échelle, autorité publique). La plupart des PME n'y sont pas soumises, mais restent tenues aux mêmes obligations de fond sans nécessairement devoir désigner un DPO formel.