L’AI Act s’applique à votre boutique en ligne. Oui, la vôtre.

Faites le test : ouvrez la liste des modules de votre boutique. Un chatbot qui répond aux clients. Des recommandations de produits. Un outil qui rédige des fiches ou des posts. Un tri anti-fraude. Si vous cochez une seule de ces cases, votre boutique utilise des systèmes d’intelligence artificielle. Et depuis le 2 août 2026, une partie du règlement européen sur l’IA, l’AI Act, s’applique très concrètement à ce que vous faites.

La bonne nouvelle : pour un e-commerçant, ce n’est ni la panique ni la paperasse infinie qu’on vous a peut-être vendue. C’est surtout une affaire de méthode. En tant que consultants, voici comment nous cadrons le sujet avec nos clients, dans le cadre de notre expertise intelligence artificielle, et par quoi commencer cette semaine.

L’AI Act en deux minutes, version e-commerçant

L’AI Act (règlement UE 2024/1689) est la première loi au monde qui encadre l’usage de l’intelligence artificielle. Elle classe les systèmes IA par niveau de risque et attache des obligations à chaque niveau. Le calendrier s’étale sur plusieurs années, mais une échéance vous concerne directement : depuis le 2 août 2026, les obligations de transparence de l’article 50 sont applicables.

Concrètement, pour une boutique en ligne, trois idées suffisent pour comprendre l’essentiel :

1. Vous êtes concerné même si vous n’avez rien développé. Le règlement distingue le fournisseur (celui qui crée le système IA) et le déployeur (celui qui l’utilise). Un e-commerçant qui installe un chatbot IA ou un module de recommandations est un déployeur. Moins d’obligations que le fournisseur, mais pas zéro.
2. La transparence est le cœur du sujet. Un client qui discute avec une IA doit pouvoir le savoir. Un contenu généré par IA doit pouvoir être identifié comme tel. C’est l’article 50, et c’est exactement le genre de choses qu’un auditeur, un partenaire ou un client averti peut vérifier en deux clics sur votre site.
3. Ce qu’on vous demandera d’abord, ce sont des preuves. Savoir quels systèmes IA tournent chez vous, ce qu’ils font, sur quelle base, et ce que vous avez mis en place. Le jour où la question arrive (d’une autorité, d’un client B2B, d’un assureur), « je ne sais pas trop ce que mes modules font » est la pire réponse possible.

Le vrai problème : vous ne savez probablement pas ce qui tourne chez vous

C’est le parallèle exact avec ce que nous écrivions sur le tracking qui ment en silence : ce qu’on ne regarde pas se dégrade sans bruit. Une boutique moyenne accumule les modules au fil des années. Certains embarquent de l’IA sans le dire clairement. D’autres l’ont ajoutée dans une mise à jour. Personne ne tient la liste.

Or toute la conformité AI Act commence par une question d’une banalité désarmante : quels systèmes IA utilisez-vous ? Pas de réponse fiable à cette question, pas de conformité possible. C’est aussi simple que ça.

La méthode : 4 étapes, dans l’ordre

Voici la démarche que nous appliquons, et qui tient sur une page :

1. Inventorier. Listez tout ce qui, sur votre boutique, décide, prédit, classe, recommande ou génère : modules installés, services SaaS connectés, outils utilisés par votre équipe (y compris ChatGPT pour rédiger vos fiches). C’est l’étape que tout le monde saute, et c’est la seule vraiment indispensable.
2. Qualifier. Pour chaque système : quel est votre rôle (déployeur, le plus souvent), quel niveau de risque au sens du règlement, et au passage quelle base légale RGPD. Les deux réglementations se répondent, autant traiter les deux d’un coup : si vos chantiers RGPD du quotidien sont tenus, la moitié du travail est déjà faite.
3. Dérouler les obligations. Chaque système, selon son niveau et votre rôle, porte des obligations précises, avec un article du règlement et une date d’entrée en vigueur. Pour la plupart des boutiques, ça se résume à de la transparence (informer, marquer) et de la documentation. C’est faisable.
4. Constituer les preuves. Un registre à jour, les mesures en place, un journal de ce qui a été fait et quand. Le but n’est pas le classeur pour le classeur : c’est de pouvoir répondre en 24 heures si on vous pose la question.

Auto-diagnostic immédiat, sans aucun outil : exportez la liste de vos modules, et surlignez ceux dont vous ne savez pas dire s’ils utilisent de l’IA. Chaque surlignage est une ligne de votre futur inventaire. Si vous surlignez la moitié de la liste, vous savez pourquoi ce chantier mérite une heure cette semaine.

Quelle approche choisir ? Le comparatif honnête

Il existe plusieurs façons de traiter le sujet, et elles ne s’adressent pas aux mêmes boutiques. Voici comment nous les présentons à nos clients :

Approche	Ce que ça donne	Pour qui
Le tableur maison	Gratuit et suffisant pour démarrer l’inventaire. Mais personne ne le maintient à jour au fil des installations de modules, et il ne connaît ni les articles du règlement ni les échéances.	Très petite boutique, peu de modules, budget zéro.
L’avocat ou le cabinet spécialisé	Indispensable pour les questions pointues et les cas à risque. Mais facturé au temps passé, et il ne vivra pas dans votre back-office au quotidien : il vous demandera justement l’inventaire que vous n’avez pas.	Situations complexes, systèmes à haut risque, litiges.
La plateforme de gouvernance IA	Complète et multi-réglementations, mais pensée pour les grands comptes : tarification entreprise, déploiement long, et aucune connaissance de votre boutique ni de vos modules.	Groupes, ETI avec équipe conformité dédiée.
Le module intégré à la boutique	Détecte les systèmes IA directement dans vos modules installés, relie chaque système à ses obligations et génère les preuves depuis le back-office. Prix fixe, mais limité au périmètre de la boutique.	E-commerçant PME : le sujet, c’est la boutique.

Ces approches se combinent d’ailleurs très bien : le module tient l’inventaire et les preuves au quotidien, l’avocat intervient sur les cas qui le méritent, avec un dossier propre au lieu d’une page blanche.

L’outillage : structurer ça sans y passer des semaines

Faire cet inventaire à la main dans un tableur, c’est possible. Le maintenir à jour à chaque installation de module, à chaque mise à jour, dans la durée : soyons honnêtes, personne ne le fait.

Pour nos clients sur PrestaShop, nous utilisons AI Act Ready. Transparence complète, comme toujours ici : le module est édité par Datafirefly Limited, la société sœur de notre agence. Il fait exactement les 4 étapes ci-dessus, dans le back-office : un scanner compare vos modules installés à une base de signatures qui couvre environ 90 % des modules IA PrestaShop populaires et 100 % des modules Datafirefly ; les systèmes non détectables automatiquement (IA développée en interne, appel d’API serverless) s’ajoutent à la main au registre, le scan étant une aide au démarrage et non une condition de conformité. Un registre guidé vous fait ensuite qualifier chaque système (rôle, niveau de risque, base légale RGPD), les obligations s’affichent par système avec l’article du règlement et sa date d’entrée en vigueur, et les documents se génèrent en PDF dans 6 langues, avec un export consolidé prêt à donner à un auditeur. Les données restent à 100 % sur votre serveur.

Et le point qui nous a fait le choisir, au-delà du lien de famille : sa fiche produit dit noir sur blanc qu’il « ne remplace pas un avocat et ne garantit pas votre conformité ». Un outil de conformité qui promet la conformité clé en main vous ment. Celui-ci structure le travail et vous fait gagner des semaines ; le jugement final reste humain, et pour les cas pointus, juridique. C’est la bonne répartition des rôles.

Ce que ça dit de plus grand

L’AI Act, comme le RGPD avant lui, va progressivement devenir un critère commercial. Les acheteurs B2B commencent à demander des garanties IA à leurs fournisseurs, les assureurs s’y intéressent, et les places de marché finiront par exiger des attestations. Les boutiques qui auront leur registre propre répondront en une heure. Les autres improviseront.

Notre conseil tient en une phrase : traitez l’AI Act comme un inventaire à tenir, pas comme une menace à ignorer. L’effort initial est modeste, et il est très largement récupérable en crédibilité.

Et une fois l’inventaire posé, le sujet redevient intéressant : savoir ce qui marche vraiment avec l’IA dans une PME, plutôt que de subir le règlement sans jamais tirer parti de l’outil.

FAQ

J’utilise seulement un chatbot fourni par un prestataire. Suis-je concerné ?

Oui, comme déployeur. Vos obligations sont limitées mais réelles : vos clients doivent savoir qu’ils parlent à une IA, et vous devez savoir ce que fait le système. Le fournisseur du chatbot a ses propres obligations, qui ne vous exonèrent pas des vôtres.

Je génère mes fiches produits avec de l’IA. C’est un problème ?

Non, c’est légal. Le sujet est la transparence : les contenus générés doivent pouvoir être identifiés comme tels dans les cas prévus par le règlement, et l’usage mérite une ligne dans votre inventaire. Générer n’est pas le risque ; ne pas savoir que vous générez, si.

Que risque une petite boutique concrètement ?

Le règlement prévoit des sanctions proportionnées à la taille de l’entreprise. Mais pour une PME, le risque le plus concret est ailleurs : un partenaire, un client B2B ou un assureur qui demande des preuves et ne les obtient pas. La conformité se joue plus souvent dans les relations commerciales que devant une autorité.

Dotsland peut-il m’accompagner ?

Oui. Inventaire de vos systèmes IA, qualification, mise en place de l’outillage et des mentions de transparence, en cohérence avec votre RGPD existant. C’est le cœur de notre expertise IA. Contactez-nous, ou commencez par l’auto-diagnostic ci-dessus : surligner sa liste de modules est un excellent réveil.