La législation de l’UE sur l’IA s’applique-t-elle à votre entreprise si vous vendez en Europe?

Beaucoup de petites entreprises hors d’Europe croient que la législation de l’UE sur l’intelligence artificielle, officiellement le règlement (UE) 2024/1689, ne concerne que les entreprises européennes. Le texte dit autre chose. L’article 2 énumère qui il vise, et deux lignes comptent pour les exportateurs : les fournisseurs qui mettent des systèmes d’IA sur le marché de l’UE, où qu’ils soient établis, et les fournisseurs ou déployeurs situés dans un pays tiers lorsque les résultats de leur système d’IA sont utilisés dans l’Union. Les questions et réponses de la Commission européenne sur la littératie en IA, mises à jour le 20 octobre 2026, le répètent clairement : les règles s’appliquent aux acteurs hors de l’UE lorsqu’un système est vendu dans l’UE, y est utilisé ou touche des personnes qui s’y trouvent.

La question utile n’est donc pas « suis-je en Europe? », mais « quel rôle est-ce que je joue, et où aboutissent les résultats de mon IA? ». Cet article examine cette question pour une petite entreprise, en date d’octobre 2026. Il s’agit d’information générale; si un contrat européen ou un usage à haut risque est en jeu, une heure avec un avocat qui connaît la législation en vaut la peine.

Fournisseur ou déployeur : le rôle détermine les obligations

Un fournisseur construit un système d’IA ou en fait construire un, et l’offre sous son propre nom. Un déployeur utilise un système d’IA dans un cadre professionnel. Une personne qui utilise un robot conversationnel à des fins purement personnelles et non professionnelles échappe complètement aux obligations des déployeurs.

Voici comment cela se répartit pour quelques entreprises canadiennes qui ont des clients européens :

La plupart des petites entreprises se retrouvent dans la colonne des déployeurs. C’est une bonne nouvelle, car les obligations les plus lourdes de la législation pèsent sur les fournisseurs de systèmes à haut risque et de modèles à usage général.

Ce qu’un déployeur qui vend en Europe doit faire dès maintenant

Quatre ensembles de règles s’appliquent déjà en octobre 2026.

1. Pratiques interdites. Depuis le 2 février 2025, une courte liste d’usages est interdite, comme les techniques de manipulation qui causent un préjudice et la reconnaissance des émotions au travail ou à l’école. Vérifiez tout outil qui note ou profile des personnes.
2. Littératie en IA. L’article 4 demande aux fournisseurs et aux déployeurs de prendre des mesures pour soutenir les compétences en IA de leur personnel et des autres personnes qui utilisent l’IA en leur nom. La Commission précise qu’aucun certificat n’est nécessaire; un registre interne des formations et des consignes suffit. Les autorités nationales de surveillance du marché encadrent cette obligation depuis le 2 août 2026.
3. Transparence. Depuis le 2 août 2026, l’article 50 exige que les gens sachent qu’ils ont affaire à un système d’IA, sauf si c’est évident. Les déployeurs doivent aussi signaler les hypertrucages et indiquer les textes rédigés par IA publiés pour informer le public sur des questions d’intérêt public, sauf si une personne les a révisés et que quelqu’un en assume la responsabilité éditoriale.
4. Protection des données. L’article 2 précise que le droit de l’UE sur les données personnelles et la vie privée continue de s’appliquer aux données traitées en parallèle de la législation.

Un exemple concret : la boutique de Montréal décrite plus haut peut remplir son obligation de transparence avec un premier message comme « Vous clavardez avec un assistant d’IA. Tapez “agent” pour joindre une personne. » Elle peut remplir son obligation de littératie avec une séance d’une heure pour les trois employés qui gèrent le robot conversationnel, une page de consignes écrites et une note datée qui consigne les deux.

J’exploite une petite entreprise au Canada qui a des clients dans l’Union européenne.
Voici les outils d’IA que nous utilisons et ce que fait chacun : [liste].
Pour chaque outil, dis-moi :
1. Si nous sommes probablement fournisseur ou déployeur au sens de la législation de l’UE sur l’IA.
2. Si ses résultats atteignent des personnes dans l’UE.
3. Quelle obligation de transparence de l’article 50 pourrait s’appliquer, le cas échéant.
Signale tout ce qui ressemble à de l’embauche, du crédit ou un autre usage à haut risque.
Ne donne pas de conclusions juridiques; dresse plutôt la liste des questions à poser à un avocat.

Qu’est-ce qui a changé avec les reports de l’Omnibus sur l’IA de 2026?

L’Omnibus numérique sur l’IA (Digital Omnibus on AI), le règlement (UE) 2026/1744, a été signé le 8 juillet 2026, publié au Journal officiel le 24 juillet et est entré en vigueur trois jours plus tard. Il modifie la législation sans changer sa date d’application générale du 2 août 2026. Voici les principaux changements, selon le texte publié au Journal officiel :

La prolongation pour le marquage vise les fournisseurs d’outils génératifs, pas les entreprises qui les utilisent. Si vous publiez des images d’IA ou des réponses de robot conversationnel, vos propres obligations de divulgation comme déployeur s’appliquent depuis le 2 août 2026; le report donne seulement aux fabricants d’outils jusqu’au 2 décembre pour intégrer des marqueurs invisibles dans leurs anciens systèmes.

L’Omnibus étend aussi aux entreprises de « petite capitalisation moyenne » (small mid-caps), un cran plus grandes, plusieurs allègements dont les PME bénéficiaient déjà, comme une documentation technique simplifiée et des plafonds d’amendes plus bas. Pour une petite entreprise exportatrice, l’effet pratique est du temps : si vous utilisez l’IA pour trier des candidats européens ou évaluer la solvabilité de clients, vous avez maintenant jusqu’en décembre 2027 avant que les règles sur le haut risque s’appliquent, et ce délai sert le mieux à demander à vos fournisseurs quelle documentation ils vous remettront.