IA pour PME : par où commencer, et comment garder la main

Trois mots circulent, souvent l'un pour l'autre.

Le chatbot est défini par la CNIL comme un logiciel permettant le dialogue d'un utilisateur avec un programme destiné à lui fournir des informations^[1]. En français, le Journal officiel a retenu en 2018 le terme « dialogueur » pour un logiciel qui dialogue en langage naturel avec une personne, répond à ses questions ou déclenche l'exécution de tâches^[2].

L'assistant IA n'a pas de définition officielle dans les textes lus pour ce guide. L'usage désigne ainsi un outil généraliste qui, à la demande d'une personne, cherche, résume, traduit ou rédige un premier jet.

L'agent IA va plus loin. La CNIL et le Conseil de l'IA et du Numérique ont consacré à l'IA dite agentique une note publiée le 20 juillet 2026. Ils y relèvent l'autonomie de décision, une mémoire persistante, l'interaction avec plusieurs services et l'action au nom de l'utilisateur^[3]. Un agent ne se contente pas de répondre. Il prend un appel et inscrit un rendez-vous dans un agenda, ou prépare une relance et la dépose dans une boîte d'envoi. Cette capacité d'agir change la nature du contrôle à exercer.

Avant d'acheter, posez la question qui tranche : que fait l'outil sans que personne ne clique, et qui le voit ?

Selon la source, la part d'entreprises qui « utilisent l'IA » va de moins d'une sur cinq à deux sur trois. Aucun de ces chiffres n'est faux. Ils ne mesurent ni les mêmes entreprises, ni la même chose.

L'Insee retient la définition la plus exigeante, celle d'une technologie installée dans les services de l'entreprise, hors initiatives individuelles des salariés. À cette aune, la part d'entreprises utilisatrices passe de 6 % en 2023 à 10 % en 2024, puis à 18 % début 2025^[4]. La taille joue fortement, avec 15 % des entreprises de 10 à 49 salariés, 31 % de celles de 50 à 249 et 58 % au-delà.

Le Baromètre France Num part de la déclaration du dirigeant. Ses 40 % de 2026 succèdent à 26 % en 2025 et à 13 % en 2024 ; parmi les seules PME de 10 à 249 salariés, la part atteint 53 %^[5]. C'est la seule de ces enquêtes qui couvre les entreprises sans salarié, l'Insee commençant à 10 personnes et la Banque de France à 20.

France Num détaille aussi les usages, rapportés à l'ensemble des TPE et PME : la génération de contenus (texte, voix ou image) pour 34 % d'entre elles, les assistants conversationnels pour 24 %, l'analyse et le classement de documents pour 13 %, l'automatisation de tâches pour 11 %^[5]. Seules 19 % paient pour une solution. L'usage dominant reste celui d'un outil de rédaction, loin devant l'automatisation de tâches.

Une partie de l'écart entre ces enquêtes tient aux salariés eux-mêmes. En 2025, 48 % des personnes de 12 ans et plus ont recours à l'IA générative, 30 % des actifs en font un usage professionnel, et 64 % des usagers disent avoir décidé eux-mêmes de s'en servir^[8]. Ces usages individuels, l'enquête de l'Insee ne les compte pas. Un dirigeant gagne donc à savoir d'abord qui s'en sert déjà chez lui, et avec quelles données.

Parmi les entreprises de 10 salariés ou plus qui n'utilisent pas l'IA, 71 % disent ne pas en voir l'utilité et 54 % manquer d'expertise ; le coût n'est cité que par 32 %^[4]. Bpifrance Le Lab observe la même chose chez les TPE et PME qui n'emploient pas l'IA générative et ne prévoient pas de le faire, dont 65 % n'y voient pas d'usage pour leur entreprise^[6]. Le premier frein est l'absence de cas d'usage, loin devant le prix.

L'usage varie enfin selon le métier. France Num relève 60 % d'entreprises utilisatrices dans les services spécialisés et techniques, contre 30 % dans le bâtiment et la construction^[5]. Deux pages en donnent une idée concrète, pour un cabinet d'expertise comptable et pour une entreprise de plomberie et de chauffage.

Deux textes européens s'appliquent, et l'un ne remplace pas l'autre, rappelle la CNIL^[9]. Le RGPD encadre tout traitement de données personnelles, avec ou sans IA. Le règlement (UE) 2024/1689 encadre les systèmes d'IA eux-mêmes.

Quatre niveaux de risque

Le règlement classe les systèmes d'IA en quatre niveaux : risque inacceptable, donc interdit ; haut risque, soumis à des exigences renforcées ; risque spécifique en matière de transparence ; risque minimal. Pour ce dernier niveau, qui regroupe selon la Commission européenne la très grande majorité des systèmes, il ne prévoit aucune obligation spécifique^[9]. Le haut risque couvre notamment la biométrie, l'éducation, l'emploi et l'accès aux services publics essentiels. La CNIL cite en exemple le tri automatique de CV.

Le calendrier révisé à l'été 2026

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié le 24 juillet et entré en vigueur le 27 juillet, a reporté plusieurs échéances^[10]. Les calendriers publiés avant cette date sont périmés. Voici les principales échéances que donne la CNIL dans sa mise à jour du 17 août 2026^[9].

• 2 février 2025. Premières interdictions des pratiques à risque inacceptable.
• 2 août 2025. Règles applicables aux modèles d'IA à usage général.
• 2 août 2026. Obligations de transparence pour certains systèmes d'IA.
• 2 décembre 2026. Marquage des contenus générés par IA, pour les systèmes mis sur le marché avant le 2 août 2026.
• 2 décembre 2027. Règles applicables aux systèmes à haut risque de l'annexe III.
• 2 août 2028. Mêmes règles pour les systèmes de l'annexe I, intégrés à des produits déjà réglementés.

Deux obligations à connaître

La première tient à la transparence. Un système destiné à dialoguer avec des personnes doit être conçu pour qu'elles sachent qu'elles ont affaire à une IA, sauf si le contexte le rend évident (article 50, paragraphe 1)^[11]. L'obligation pèse sur le fournisseur du système, et elle s'applique depuis le 2 août 2026. Demandez à votre fournisseur comment son agent téléphonique ou sa fenêtre de discussion s'annonce.

La seconde est la maîtrise de l'IA. L'article 4, dans sa rédaction de 2026, demande aux fournisseurs et aux déployeurs, c'est-à-dire aussi aux entreprises qui utilisent un système d'IA, de prendre des mesures pour favoriser cette maîtrise chez leur personnel. Le texte précise que l'obligation n'impose pas de garantir un niveau donné pour chaque individu^[10]. Une séance de formation sur ce que l'outil fait, ne fait pas, et sur les données à ne pas y copier va dans ce sens ; ce guide ne dit pas si elle suffit.

Les sanctions vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour le règlement sur l'IA, et jusqu'à 20 millions d'euros ou 4 % pour le RGPD^[9]. Ce sont des plafonds.

Le RGPD, là où une PME est le plus exposée

Dès qu'un outil d'IA traite des données personnelles (noms de clients, enregistrements d'appels, candidatures), l'entreprise qui l'utilise en est le plus souvent responsable de traitement^[9]. Trois points se vérifient avant de signer.

• Le contrat de sous-traitance. Le recours à un prestataire qui traite des données pour votre compte doit être encadré par un contrat. Ce prestataire ne peut réutiliser les données pour lui-même qu'avec une autorisation écrite, et pour un usage compatible^[12].
• Les transferts hors de l'Union européenne. Ils supposent un niveau de protection suffisant, assuré par une décision d'adéquation ou, à défaut, par des garanties appropriées comme les clauses contractuelles types^[13]. Demandez à votre fournisseur où les données sont traitées, et sur quelle base.
• Les décisions automatisées. La CNIL rappelle qu'une conversation avec un agent conversationnel, sans intervention humaine, ne peut pas conduire à elle seule à une décision importante pour la personne, sauf exceptions prévues par le RGPD^[1]. Gardez à un humain le refus d'un client ou le rejet d'une candidature.

L'erreur classique est de partir de l'outil. Partez d'une tâche. La bonne candidate réunit cinq caractères.

• Elle revient souvent. Une tâche hebdomadaire s'observe en un mois. Une tâche annuelle ne s'évalue pas.
• Elle se compte. Sans volume connu d'appels reçus, de devis envoyés ou de factures classées, aucune comparaison n'est possible.
• L'erreur se rattrape. Un brouillon de relance relu avant envoi se corrige. Un virement, non.
• Les données sont peu sensibles. Commencez loin des données de santé, des dossiers du personnel et des secrets de vos clients.
• Un humain valide. Au début, rien ne part chez un client sans qu'une personne l'ait lu.

Quatre familles de tâches remplissent souvent ces critères dans une petite entreprise. Chacune a son guide dans la rubrique Ressources.

• Le téléphone. Prendre les appels quand personne ne peut décrocher, noter la demande, proposer un rendez-vous. Voir le guide du standard téléphonique IA.
• Les devis. Repérer ceux qui dorment et préparer les relances, selon la méthode décrite dans comment relancer un devis.
• Les factures. Suivre les échéances, et savoir relancer une facture impayée dans les règles.
• La communication. Préparer textes et visuels, tenir un calendrier. Voir comment gérer les réseaux sociaux d'une entreprise.

Une PME n'a pas à développer quoi que ce soit. Selon l'Insee, 80 % des entreprises de 10 salariés ou plus qui utilisent l'IA achètent des logiciels ou des systèmes du commerce prêts à l'emploi^[4]. Il s'agit donc de choisir un outil qui existe.

Pour le téléphone, le calculateur d'appels manqués donne un ordre de grandeur à partir de vos propres chiffres, et le comparatif des standards téléphoniques IA décrit les solutions du marché avec leurs prix publics.

Les quatre premières étapes se font avant d'avoir payé quoi que ce soit.

1. 1

   Mesurez l'avant

   Pendant quatre semaines, comptez ce que la tâche représente aujourd'hui (volume, temps passé, délai, erreurs). Sans ce point zéro, vous ne saurez jamais si l'outil a changé quelque chose.

2. 2

   Recensez les usages existants

   Demandez à chaque salarié quels outils d'IA il utilise déjà, et ce qu'il y copie. Vous y trouverez parfois des données de clients collées dans un outil grand public.

3. 3

   Listez les données en jeu

   Notez quelles données la tâche manipule, à qui elles appartiennent et où elles iront. S'il s'agit de données personnelles, le RGPD s'applique, et les trois vérifications de la section précédente sont à reprendre.

4. 4

   Interrogez le fournisseur

   Demandez-lui par écrit où les données sont hébergées et traitées, quels prestataires interviennent derrière lui, ce qui se passe quand le forfait est dépassé et comment on récupère ses données en partant. Joignez le contrat de sous-traitance au dossier.

5. 5

   Écrivez qui valide quoi

   Pour chaque action de l'outil, décidez si elle part seule ou si elle attend une validation, et de qui. Commencez par tout valider. Vous relâcherez ensuite ce qui s'est montré fiable.

6. 6

   Formez les personnes concernées

   Prenez une heure pour montrer ce que l'outil fait, comment il s'utilise, comment corriger une erreur et quelles données ne jamais y saisir. Gardez une trace de cette séance.

7. 7

   Lancez sur un périmètre réduit

   Une seule tâche, une seule équipe, six à huit semaines. Notez chaque erreur dans un tableau partagé, avec sa cause.

8. 8

   Comparez, puis décidez

   Reprenez vos mesures de départ. Si l'écart est net et que les erreurs sont rares et rattrapées, étendez. Sinon, corrigez le réglage ou arrêtez. Un abonnement résilié au bout de deux mois est une décision de gestion comme une autre.

Le pilotage repose sur quelques indicateurs, un endroit où les lire et une règle de validation connue de tous.

Peu d'indicateurs, bien choisis

Pour chaque usage, un indicateur d'activité, un de qualité et un de résultat suffisent, avec le nom de la personne qui valide.

Un tableau de bord qu'on ouvre vraiment

Un tableau de bord utile tient sur un écran et répond à une question : qu'est-ce qui attend une décision aujourd'hui ? Une liste d'actions en attente, triée par urgence, sert davantage qu'une page de courbes. Fixez un moment pour l'ouvrir, le lundi matin par exemple, et un rendez-vous mensuel pour relire les indicateurs en équipe.

Qui valide quoi

La règle se décide par type d'action, pas par outil. Ce qui est interne et réversible, classer un document ou préparer un brouillon, peut se faire seul. Ce qui part chez un client, un message ou une publication, attend une validation tant que les erreurs comptées ne sont pas devenues rares. Ce qui engage l'entreprise, un prix, un délai, un refus, reste une décision humaine. Écrivez ces règles, et affichez-les.

• Acheter l'outil avant d'avoir choisi la tâche. Trois mois plus tard, personne ne sait dire à quoi il sert.
• Laisser chacun choisir son outil. Les données de l'entreprise se dispersent dans des comptes personnels.
• Confondre démonstration et production. Un outil brillant sur dix exemples choisis peut échouer sur vos cas réels. Demandez à le voir sur vos propres dossiers.
• Supprimer la relecture trop tôt. La confiance se construit sur des erreurs comptées, pas sur une bonne semaine.
• Oublier la sortie. Vérifiez avant de signer comment récupérer vos données et arrêter l'abonnement.
• Imposer sans expliquer. Un outil expliqué est corrigé par ceux qui s'en servent.

Les entreprises qui utilisent déjà l'IA nomment elles-mêmes leurs difficultés. Parmi celles de 10 salariés ou plus, 53 % se disent freinées par un manque d'expertise, 43 % par des inquiétudes sur la protection des données et de la vie privée, 42 % par un manque de clarté juridique et 33 % par des coûts trop élevés^[4]. Quatre risques dominent.

L'erreur énoncée avec assurance

Un modèle de langage peut produire une information fausse dans une phrase parfaitement tournée, qu'il s'agisse d'un montant, d'une date ou d'une référence de texte. La parade est d'organisation. Elle tient à une relecture humaine de tout ce qui sort, et à un outil qui montre la pièce d'où vient chaque donnée.

La fuite de données par commodité

Le salarié qui colle un contrat ou un fichier de clients dans un outil grand public ne pense pas à mal. Les données quittent pourtant l'entreprise, sans contrat ni garantie. Fournir un outil encadré, et dire ce qui ne se copie pas, vaut mieux qu'une interdiction.

L'agent qui a trop d'accès

Un agent dispose d'accès à votre agenda, à votre messagerie, parfois à vos fichiers. La CNIL et le Conseil de l'IA et du Numérique soulignent que cette capacité d'agir à travers plusieurs services complique le partage des responsabilités et étend les risques de sécurité à tous les services reliés^[3]. Donnez à chaque agent les seuls accès dont il a besoin. Retirez-les quand vous arrêtez l'outil.

Le coût qui varie avec l'usage

Certaines offres facturent à l'usage, à la minute ou à la conversation par exemple. Demandez si, une fois le forfait atteint, l'outil s'arrête ou la facture grimpe. Gardez la possibilité de reprendre la tâche à la main.

Un outil d'IA exécute bien une tâche décrite. Votre client de vingt ans et l'accord passé au téléphone la semaine dernière, c'est vous qui les connaissez, et le jugement de celui qui connaît l'entreprise reste le vôtre.