AI Act 2026 : 3 actions conformité pour agent vocal PME

Une TPE de 3 salariés qui utilise ChatGPT pour répondre à ses clients ? Juridiquement, elle est "déployeur d'IA" au sens de l'AI Act. Aucune exception de taille. L'obligation de littératie IA est en vigueur depuis février 2025, et les sanctions tombent dès août 2026 : jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial. Les PME utilisant un agent vocal IA sont directement concernées. Trois actions concrètes permettent de se mettre en conformité cette semaine.

Pourquoi votre PME est concernée par l'AI Act dès maintenant

Beaucoup de dirigeants de PME pensent que l'AI Act vise uniquement les géants de la tech. La réalité juridique est différente.

• Aucune exception de taille. L'article 3(4) de l'AI Act définit comme "déployeur" toute entité utilisant un système d'IA dans un cadre professionnel. Une TPE de 3 personnes qui répond à ses clients via ChatGPT entre dans cette définition. Le guide destiné aux petites entreprises confirme cette interprétation : l'article 2 ne prévoit aucune exemption liée à l'effectif ou au chiffre d'affaires.

• Le calendrier est déjà en cours. L'obligation de littératie IA est entrée en vigueur le 2 février 2025. Les sanctions, elles, s'appliqueront dès le 2 août 2026 : jusqu'à 15 millions d'euros ou 3% du CA mondial.

• Un filet de sécurité pour les PME. Point rassurant : les amendes sont plafonnées au montant le plus faible entre le pourcentage et le montant fixe. Une PME avec 500 000€ de CA risque donc 15 000€ maximum, pas 15 millions. Les grandes entreprises, elles, font face au montant le plus élevé.

• Ce qui compte pour un réceptionniste vocal IA. La suite de cet article se concentre uniquement sur les obligations concrètes pour une PME utilisant un agent vocal en production, par ordre de priorité opérationnelle.

Action 1 : Ajouter l'annonce de transparence à votre agent vocal

Les agents vocaux et chatbots de service client tombent majoritairement dans la catégorie "risque limité" de l'AI Act. L'obligation centrale est simple : informer clairement l'appelant qu'il interagit avec une IA. Le transfert vers un humain sur demande fait partie des exigences de conformité pour ce niveau de risque.

Le script type en début d'appel :

« Bonjour, vous êtes en ligne avec l'assistant vocal de [Entreprise]. Je suis une intelligence artificielle. Si vous préférez parler à un conseiller, dites simplement "humain" à tout moment. »

Pour les rappels automatiques et les suivis WhatsApp, une formule plus courte fonctionne :

« [Entreprise] : Ce message est envoyé par notre assistant IA. Répondez HUMAIN pour être rappelé par notre équipe. »

Un point crucial souvent négligé : l'information doit intervenir AVANT toute interaction substantielle. Une mention enfouie dans les CGV ou glissée en fin de conversation ne suffit pas. Les entreprises conformes placent cette annonce dès les premières secondes de l'échange.

Le critère de validation est clair. L'appelant sait-il qu'il parle à une IA avant de poser sa première question ? Si oui, l'obligation de transparence est remplie. Si non, le risque existe. Les PME qui intègrent cette annonce dès maintenant évitent une mise à jour précipitée avant août 2026.

Action 2 : Mettre à jour votre registre RGPD en 20 minutes

Bonne nouvelle pour les PME pressées : aucune déclaration préalable auprès de la CNIL n'est requise pour déployer un agent vocal IA. En revanche, le registre des traitements RGPD doit refléter cette nouvelle activité. La plupart des entreprises conformes y consacrent moins de 20 minutes.

Les six informations à ajouter au registre :

• Finalité du traitement : gestion des appels entrants et qualification des demandes clients.
• Catégories de données collectées : enregistrements vocaux, transcriptions, coordonnées, historique d'appels.
• Base légale : intérêt légitime pour le traitement des appels commerciaux, ou consentement explicite selon le contexte.
• Durée de conservation : généralement 12 à 24 mois pour les enregistrements, à définir selon la politique interne.
• Destinataires des données : fournisseur de la solution IA, CRM, équipe commerciale interne.
• Mesures de sécurité : chiffrement des données, accès restreint, hébergement conforme.

Un point mérite attention : l'Analyse d'Impact sur la Protection des Données (AIPD). Elle devient obligatoire si l'agent vocal traite des données sensibles (santé, origine ethnique) ou effectue du profilage automatisé. Pour un réceptionniste virtuel standard qui gère des rendez-vous ou qualifie des prospects, l'AIPD n'est généralement pas nécessaire. Les solutions IA adaptées aux PME intègrent souvent des paramètres de conformité préconfigurés qui simplifient cette mise à jour.

Action 3 : Documenter la littératie IA de votre équipe

L'article 4 de l'AI Act pose une exigence claire : chaque personne utilisant ou supervisant un système d'IA doit disposer d'un niveau de compétence suffisant. L'entreprise doit pouvoir le prouver. La nuance est importante : cette obligation porte sur la documentation, pas sur un diplôme ou une certification externe.

Le parallèle avec le RGPD est explicite. Comme l'expliquent les experts juridiques spécialisés en conformité IA, l'absence de formation seule ne déclenchera pas de contrôle. En revanche, elle pèsera lourd si un autre manquement déclenche une inspection. L'effet aggravant fonctionne exactement comme pour les violations RGPD.

Le format minimal acceptable tient en une page. Une attestation signée par chaque collaborateur concerné mentionnant trois éléments : la date de formation, le contenu couvert, et la signature. Le contenu doit inclure le fonctionnement de l'agent, ses limites connues, et la procédure d'escalade vers un humain.

Les PME pragmatiques organisent une session de 30 minutes structurée en trois blocs. Dix minutes sur le fonctionnement de l'agent vocal : comment il traite les appels, quelles données il collecte. Dix minutes sur les cas de transfert humain : quand et comment basculer un appelant vers l'équipe. Dix minutes sur la lecture des transcriptions et le signalement d'erreurs.

Ce format suffit. Les entreprises qui documentent cette formation maintenant disposent d'une preuve de bonne foi en cas de contrôle ultérieur.

Mini-audit conformité en 15 minutes : votre checklist

Quinze minutes suffisent pour vérifier l'essentiel. Les PME qui réalisent ce mini-audit identifient immédiatement les points à corriger avant août 2026.

Bloc 1 : Transparence

• Le script d'annonce IA est-il actif dès les premières secondes de l'appel ?
• L'option de transfert vers un humain fonctionne-t-elle réellement quand l'appelant dit "humain" ?

Bloc 2 : RGPD

• La ligne "Agent vocal IA" figure-t-elle dans le registre des traitements ?
• Les durées de conservation des enregistrements sont-elles définies et documentées ?

Bloc 3 : Littératie

• Chaque collaborateur concerné a-t-il signé une attestation de formation ?
• La procédure d'escalade vers un humain est-elle documentée par écrit ?

La méthode la plus efficace reste le test de l'appelant mystère. Appeler son propre numéro, vérifier que l'annonce IA est clairement audible, puis demander un humain. Les entreprises qui passent ce test sont conformes sur l'essentiel.

Point rassurant : la majorité des agents vocaux de service client restent classés "risque limité". Pas de système de gestion de la qualité complexe, pas de documentation technique lourde à ce stade. Les obligations restent accessibles.

Les PME qui documentent leur conformité maintenant évitent la course contre la montre d'août 2026. Elles rassurent aussi les clients de plus en plus attentifs à la confidentialité de leurs données.

Vous voulez vérifier que votre agent vocal coche toutes les cases AI Act ? Demandez un audit conformité gratuit avec notre équipe.