Imaginez la réunion du lundi matin. Le marketing utilise une IA pour préparer des fiches produits. Le formulaire de devis classe les demandes. Le service client résume les emails. Un chatbot répond le soir. Le dirigeant, lui, pense n’avoir « qu’un abonnement ChatGPT ».
Depuis le 2 août 2026, cette description approximative ne suffit plus. Certaines obligations de transparence de l’AI Act sont désormais applicables. Elles concernent notamment des systèmes qui interagissent directement avec des personnes et certains contenus générés ou manipulés par IA. Mais poser la même étiquette sur chaque écran serait une réponse aussi rassurante qu’inutile.
Pour une PME française, le premier chantier n’est pas un bandeau. C’est un inventaire des parcours : où intervient l’IA, qui la rencontre, quelles données entrent, quel résultat sort, et qui garde la main ?
Une matinée pour retrouver l’IA réellement utilisée
Réunissez pendant 45 minutes une personne du commerce, du marketing, du support et de la direction. Partez des tâches, pas des noms de logiciels. « Rédiger une réponse de devis » révèle davantage que « nous utilisons Copilot ».
Ouvrez cinq dossiers correspondant à cinq parcours fréquents.
| Parcours | Question de transparence | Risque opérationnel à vérifier | Preuve minimale |
|---|---|---|---|
| Chatbot ou agent sur le site | Le visiteur comprend-il qu’il échange avec un système automatisé ? | promesse inventée, impasse sans humain | capture du premier échange, règle d’escalade, journal de test |
| Formulaire de devis trié par IA | L’IA répond-elle ou aide-t-elle seulement l’équipe ? | demande légitime dépriorisée, donnée excessive | schéma des données, critère de tri, contrôle humain |
| Réponse commerciale assistée | Qui valide prix, délai et engagement ? | engagement faux envoyé au nom de l’entreprise | brouillon, validation nominative, version envoyée |
| Contenu publié | Quel est le rôle de l’IA et quel contrôle éditorial existe ? | erreur factuelle, droit d’auteur, allégation trompeuse | source, relecteur, date de validation |
| Résumé ou enrichissement CRM | Le client sait-il ce qui est fait de ses données quand cela est requis ? | données sensibles transférées, profil erroné | fournisseur, finalité, champs envoyés, correction possible |
Cette carte évite deux erreurs opposées : annoncer de l’IA là où un simple formulaire applique des règles fixes, ou ignorer une automatisation parce qu’elle se déroule après le bouton « Envoyer ».
Le site public : dire qui répond et jusqu’où
Le cas le plus visible est le chatbot. L’article 50 vise les systèmes conçus pour interagir directement avec des personnes, sauf lorsque le caractère artificiel est évident dans le contexte. Pour une PME, il est dangereux de faire reposer toute la qualification sur un avatar de robot ou un prénom fantaisiste.
Une information utile apparaît avant ou au début de l’échange, en langage ordinaire : « Assistant automatisé de 1Design ». Elle ne se cache pas dans les conditions générales. Elle précise aussi la limite qui compte pour le client :
- l’assistant fournit-il des informations générales ou un devis engageant ?
- peut-il consulter une commande ou seulement orienter vers une page ?
- comment demander une reprise humaine ?
- pendant combien de temps l’échange est-il conservé, et où trouver l’information données personnelles ?
Le bon test n’est pas « avons-nous écrit IA ? ». Demandez à une personne extérieure de lancer la conversation depuis un mobile, puis de dire en dix secondes avec qui elle parle, ce que l’outil peut décider et comment joindre un humain.
Le formulaire : distinguer collecte, assistance et décision
Un formulaire de contact classique n’est pas automatiquement un système d’IA interactif. En revanche, ce qui se passe après l’envoi peut modifier concrètement le traitement d’une demande.
Prenons une entreprise de rénovation lyonnaise. Son formulaire reçoit la commune, le budget, le calendrier et une description libre. Une IA résume le projet, détecte le métier concerné et propose une priorité au commercial. Trois conceptions sont possibles :
- L’outil prépare un résumé, visible et corrigeable par l’équipe avant toute action.
- L’outil choisit une file de traitement, mais un humain peut voir et modifier le classement.
- L’outil refuse ou accepte implicitement la demande, sans contrôle réel ni explication.
Ces scénarios n’ont ni le même impact ni le même besoin d’information. Avant de modifier le texte du formulaire, documentez la finalité, les champs réellement transmis, le prestataire, le lieu et la durée de traitement, les personnes qui voient le résultat et la procédure de correction. Une mention visible ne répare pas une collecte excessive.
La CNIL rappelle que l’usage de systèmes d’IA avec des données personnelles doit rester articulé avec le RGPD : finalité, base légale, minimisation, information, sécurité et exercice des droits. Faites valider le cadre exact par votre conseil ou votre DPO lorsque le traitement le justifie.
L’assistant interne : invisible au client, mais pas sans règle
Une PME peut utiliser l’IA en interne sans que chaque brouillon porte une étiquette publique. Cela ne rend pas le processus neutre.
Une réponse de devis préparée par IA peut contenir un tarif ancien, inventer une compatibilité ou promettre une date impossible. L’enjeu principal devient alors le contrôle humain avant effet externe. Écrivez une règle courte et observable :
Aucun prix, délai, diagnostic, geste commercial ou engagement contractuel proposé par l’IA ne part sans validation de la personne responsable du dossier.
Ajoutez trois garde-fous : des sources métier à jour, l’interdiction de saisir certaines données dans un outil non approuvé, et une trace légère de la validation. La trace ne doit pas devenir une archive indiscriminée de données clients ; elle doit prouver le point de contrôle utile.
Cette discipline relève aussi de la culture IA. Le règlement prévoit depuis 2025 une obligation de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA chez les personnes qui exploitent ces systèmes. Une formation efficace part des erreurs possibles dans le métier, pas d’un glossaire de modèles.
Les contenus : ne transformez pas chaque virgule assistée en avertissement
Les règles européennes distinguent le marquage technique de certains contenus par les fournisseurs et les obligations de divulgation qui peuvent incomber aux déployeurs dans des cas précis, notamment les deepfakes et certains textes d’intérêt public sans contrôle humain ou éditorial.
Une PME ne devrait donc pas adopter une règle simpliste « toute image retouchée = gros label IA ». Elle devrait d’abord classer ses contenus :
- photo produit nettoyée sans changement de sens ;
- visuel synthétique représentant un service ;
- faux témoignage vidéo ou voix imitant une personne réelle ;
- article informatif révisé et assumé par un éditeur humain ;
- texte publié automatiquement sans revue sur un sujet d’intérêt public.
Conservez la provenance du fichier, l’outil utilisé, la consigne, les droits disponibles, le nom du valideur et la version finale. Si une divulgation est requise, elle doit être claire et située là où le public rencontre le contenu. Si elle ne l’est pas, cette fiche reste précieuse pour répondre à une contestation et éviter de republier une erreur.
Le test des cinq cartes
Pour chaque usage trouvé, remplissez une carte A5. Une seule phrase par ligne suffit.
1. Rencontre. Qui est exposé au système ou à son résultat : prospect, client, salarié, public ?
2. Données. Quelles informations entrent, dont données personnelles, confidentielles ou sensibles ?
3. Effet. Le système informe, propose, classe, publie ou décide-t-il ?
4. Main humaine. Qui peut contrôler, corriger, interrompre et répondre à la personne concernée ?
5. Preuve. Quel élément daté montre que l’information, le contrôle et le test fonctionnent réellement ?
Ajoutez ensuite deux colonnes : qualification à valider et action sous 30 jours. Cette séparation empêche le technicien web de jouer au juriste et le juriste de valider une mention sans voir le parcours réel.
Trois chantiers, pas une refonte générale
À la fin de l’inventaire, répartissez les actions.
À corriger sur le site
Nom clair de l’assistant, message d’ouverture, passage vers un humain, aide près du formulaire, cohérence avec la politique de confidentialité, accessibilité de l’information et affichage mobile.
À corriger dans le flux de travail
Validation avant envoi, fournisseur approuvé, champs interdits, correction d’un classement, procédure d’incident, responsable nommé et date de révision.
À faire qualifier
Rôle exact de fournisseur ou déployeur, application de l’article 50, exceptions, besoin de divulgation, traitement de données personnelles, règles sectorielles et clauses avec les prestataires.
Cette répartition rend le chantier finançable. Elle permet de réparer un chatbot trompeur demain sans attendre l’audit complet de tous les outils, tout en évitant de déclarer la conformité sur la seule foi d’une modification graphique.
Ce que 1Design peut auditer sans vendre une fausse certification
Un audit IA et optimisation de l’entreprise peut commencer par les parcours numériques : site, formulaires, assistant, messagerie, contenus et CRM. 1Design peut cartographier les écrans et les flux, relever les données transmises, tester les messages et les reprises humaines, puis préparer une liste de décisions pour le dirigeant, le DPO ou le conseil juridique.
Le livrable utile tient en trois vues : ce que voit le public, ce que fait le système et ce que l’équipe peut prouver. Il peut ensuite alimenter un audit plus large des usages IA du site et de l’entreprise, sans confondre amélioration opérationnelle et validation juridique.
Pour démarrer, envoyez via la page contact les cinq usages IA que votre équipe cite spontanément, les outils concernés et une capture du parcours le plus exposé. 1Design vous aidera à retrouver le sixième : celui qui fonctionne déjà en silence dans un formulaire, une boîte mail ou une application métier.
Vous voulez un site plus clair, plus crédible ou mieux pensé pour convertir ?