Le règlement sur l'IA pour une équipe de huit.

La plupart des guides sur le règlement européen sur l'IA sont écrits pour des organisations dotées d'une fonction conformité. Si vous êtes huit et que l'un de vous s'en occupe entre deux sprints, la question utile n'est pas « qu'exige le règlement » - c'est quelle est la plus petite position défendable que je puisse tenir, et en combien de temps puis-je y arriver. En général : à peu près une journée.

La réponse courte, pour la plupart des jeunes pousses : vous êtes déployeur, ou fournisseur d'un système à risque limité ou minimal, vous devez trois obligations en vigueur qui prennent un après-midi, et l'effrayant matériel du chapitre III ne vous concerne pas. Le travail consiste à établir cela par écrit - parce que « nous avons regardé, voici notre position, datée » est ce que les investisseurs et les acheteurs grands comptes réclament réellement.

Le règlement vous concerne-t-il seulement ?

Si vos utilisateurs sont dans l'UE, oui - où que vous soyez immatriculés. L'article 2 atteint les fournisseurs établis n'importe où dès lors que la sortie est utilisée dans l'Union. Une C-corp du Delaware qui vend à Berlin est dans le champ. Une société britannique avec des clients européens aussi.

Ce que cela ne veut pas dire, c'est que toutes les obligations s'appliquent. Le champ d'application et le niveau de risque sont deux questions différentes, et les confondre est l'erreur la plus répandue chez les jeunes pousses.

Les trois qui sont en vigueur en ce moment

C'est toute la charge en vigueur pour une jeune pousse ordinaire. Sanctionnable depuis le 2 août 2026 - non reportée par l'omnibus, quoi qu'aient dit les titres.

Les deux questions qui décident de tout le reste

1. Êtes-vous fournisseur ou déployeur ? Vous l'avez construit et livré sous votre nom → fournisseur de ce système. Vous avez pris la licence de celui d'un autre et vous l'utilisez → déployeur. La plupart des équipes répondent « fournisseur » parce qu'elles ont écrit du code, alors que le système d'IA lui-même est sous licence. Se tromper ici revient à endosser les obligations d'un tiers. Le test complet.

2. Est-ce que quoi que ce soit dans ce que vous livrez évalue une personne ? C'est l'embranchement. Noter, classer, présélectionner ou prédire des choses sur des personnes physiques - pour l'emploi, le crédit, l'éducation, les services essentiels - vous place dans l'annexe III, et le profilage referme la sortie de l'article 6(3). Tout le reste est presque certainement à risque limité ou minimal.

Construire sur GPT ou Claude ne fait pas de vous un fournisseur de GPAI. L'usage de l'API, les prompts et un affinage léger laissent l'article 53 chez le fournisseur du modèle. ChatGPT / API d'OpenAI · Où passe la ligne.

Les chiffres des amendes, corrigés

Vous verrez partout la citation 35 M€ / 7 %. Ce palier vise les pratiques interdites de l'article 5, et pour les PME et les jeunes pousses l'article 99(6) retient le montant le plus faible - le montant fixe ou le pourcentage - et non le plus élevé. Sur 2 M€ de chiffre d'affaires, le plafond d'un manquement à l'article 50 tourne autour de 60 000 €, pas de 15 millions d'euros. La plupart des résumés publiés énoncent la règle à l'envers. Les trois paliers.

Pourquoi les fondateurs finissent quand même par s'y mettre

Rarement parce qu'un régulateur a appelé. En général parce que :

• Un service achats grand compte l'a demandé. « Position AI Act disponible sur demande » devient discrètement un filtre, et une revue sécurité bloquée coûte plus cher que le travail.
• Une due diligence l'a demandé. Une question réglementaire sans réponse dans une data room, c'est une décote.
• Le DPO d'un client l'a demandé, et votre réponse doit être un document, pas un message Slack.

Dans les trois cas, le livrable est le même : une position écrite, datée et motivée, qui nomme votre produit. C'est exactement ce qu'est un rapport d'écarts (in English) (en anglais), et c'est pourquoi l'offre gratuite s'arrête au niveau de risque - le niveau répond à votre question, le document répond à la leur.

Une journée, en gros

• Listez vos fonctionnalités d'IA et qui chacune affecte
• Lancez le scan gratuit pour chaque fonctionnalité qui touche des personnes
• Ajoutez la ligne d'information sur l'IA partout où cela converse - cette semaine, c'est du droit en vigueur
• Tenez une session de maîtrise de l'IA et faites-en le compte rendu
• Notez votre rôle et votre niveau de risque par système, avec le raisonnement et une date
• Seulement si quelque chose relève réellement de l'annexe III : lancez le programme du chapitre III maintenant, parce qu'une évaluation de la conformité prend 12 à 18 mois et que décembre 2027 est plus proche qu'il n'y paraît