On associe souvent l'AI Act aux grands groupes technologiques et aux éditeurs d'IA. Pourtant, le règlement européen sur l'IA (règlement (UE) 2024/1689) s'applique à toute organisation, PME et start-up comprises, qui utilise, déploie ou met sur le marché des systèmes d'IA concernant des personnes dans l'Union. Si vous utilisez l'IA pour recruter, répondre à vos clients, accorder un crédit ou produire du contenu, vous êtes très probablement concerné.
La bonne nouvelle : l'AI Act est proportionné. Les obligations dépendent du niveau de risque de chaque système. Un chatbot qui affiche une mention d'information n'a rien à voir avec un outil de diagnostic médical soumis à une évaluation de conformité. Cette checklist aide les PME à savoir où elles en sont et par quoi commencer.
Vos deux dates clés : les obligations de transparence de l'article 50 (chatbots, contenus générés par l'IA, reconnaissance des émotions) s'appliquent depuis le 2 août 2026. Les obligations complètes des systèmes d'IA à haut risque (annexe III) s'appliqueront à partir du 2 décembre 2027. Les deux concernent aussi les déployeurs, pas seulement les développeurs.
La checklist AI Act en 7 étapes pour les PME
1. Dresser l'inventaire de vos systèmes d'IA
On ne maîtrise pas ce que l'on n'a pas recensé. Commencez par lister tous les outils qui utilisent l'IA dans votre organisation, y compris les logiciels SaaS et les services tiers où l'IA n'est qu'une fonctionnalité parmi d'autres :
- un CRM avec notation automatique des prospects ;
- une plateforme de recrutement qui trie les CV ou analyse les entretiens ;
- un chatbot de service client ;
- un assistant de rédaction utilisé pour des contenus publiés ;
- un outil d'analyse qui formule des recommandations automatiques ;
- tout outil qui traite des données biométriques (photos, voix, vidéo).
Pour chaque outil, notez : le fournisseur, ce que fait l'IA, les personnes concernées, et si l'IA prend ou éclaire des décisions sur des personnes.
2. Qualifier chaque système selon son niveau de risque
L'AI Act distingue quatre niveaux de risque. Appliquez-les à chaque système de votre inventaire :
- Risque inacceptable : pratiques interdites (notation sociale, techniques de manipulation, reconnaissance des émotions au travail ou à l'école, identification biométrique à distance en temps réel dans l'espace public à des fins répressives, sauf exceptions étroites). Si vous utilisez l'une d'elles, arrêtez immédiatement.
- Haut risque : systèmes de l'annexe III (recrutement, crédit, éducation, forces de l'ordre, infrastructures critiques, biométrie, contrôle aux frontières, justice). Un programme de conformité complet est exigé d'ici décembre 2027.
- Risque limité : chatbots, deepfakes, reconnaissance des émotions. Une information des personnes est obligatoire depuis le 2 août 2026.
- Risque minimal : tout le reste (filtres anti-spam, recommandations, la plupart des outils de productivité). Pas d'obligation spécifique, mais une documentation de bonne pratique reste conseillée.
Pour aller plus vite, passez chaque système dans notre outil gratuit de diagnostic AI Act : il indique le niveau de risque, les obligations et les échéances en une dizaine de minutes.
3. Mettre en place les mentions de transparence de l'article 50
Si certains de vos systèmes relèvent du « risque limité », les mentions d'information sont obligatoires depuis le 2 août 2026. Si elles ne sont pas encore en place, c'est le chantier le plus rapide, et votre exposition juridique la plus immédiate :
- indiquer « Vous échangez avec une IA » dès le début d'une conversation avec un chatbot ;
- signaler les images, vidéos et contenus audio générés par l'IA ;
- informer les personnes quand un système de reconnaissance des émotions ou de catégorisation biométrique est utilisé ;
- vérifier vos contrats SaaS : qui est responsable de ces mentions quand vous utilisez l'outil d'IA d'un tiers ?
Notre diagnostic article 50 passe en revue ces points à prix fixe.
4. Revoir vos contrats fournisseurs
La plupart des PME ne développent pas d'IA : elles l'achètent. Cela ne les dispense pas de leurs obligations. En tant que déployeur, vous devez vous assurer que les systèmes que vous utilisez respectent l'AI Act.
- Demandez à vos fournisseurs leur feuille de route de conformité à l'AI Act.
- Vérifiez que les outils à haut risque disposent d'une documentation technique et d'une évaluation de conformité.
- Assurez-vous que les contrats répartissent clairement la responsabilité des mentions de transparence et du signalement des incidents.
- Méfiez-vous des fournisseurs incapables de répondre aux questions de base sur leur conformité.
5. Mettre en place une documentation simple
Même pour les systèmes à faible risque, documenter est une bonne pratique et montre votre bonne foi aux autorités. Pour les systèmes à haut risque, c'est obligatoire. Commencez simplement :
- un registre des systèmes d'IA (votre inventaire de l'étape 1, formalisé) ;
- la finalité, les données d'entrée et les résultats de chaque système ;
- le responsable interne de chaque système ;
- la date et la méthode de chaque revue ;
- les incidents, erreurs ou résultats inattendus.
6. Désigner un responsable de la conformité IA
L'AI Act n'impose pas de « responsable IA » dédié à la plupart des PME, mais quelqu'un doit porter le sujet. En pratique, c'est souvent le DPO (si vous en avez un), la fonction juridique ou conformité, ou un dirigeant qui supervise les choix technologiques.
Son rôle : tenir l'inventaire à jour, suivre l'évolution de la réglementation (l'AI Act continue d'être précisé par des actes délégués et des lignes directrices) et faire le lien avec les fournisseurs et les conseils externes.
7. Préparer la conformité haut risque (le cas échéant)
Si l'un de vos systèmes est à haut risque, il vous faut un programme de conformité structuré. N'attendez pas 2027. Les principaux chantiers sont :
- Système de gestion des risques : identifier et documenter les risques sur tout le cycle de vie de l'IA.
- Gouvernance des données : vérifier les biais, les lacunes et la pertinence des données d'entraînement.
- Documentation technique : décrire le fonctionnement du système et sa validation.
- Contrôle humain : permettre à des personnes de surveiller le système et de reprendre la main.
- Évaluation de conformité : auto-évaluation interne ou audit par un tiers selon le type de système.
- Enregistrement dans la base de données de l'UE : enregistrer le système avant sa mise en service.
Chaque chantier prend généralement de 2 à 4 mois. Commencez par une analyse d'écarts pour mesurer la distance entre votre situation et les exigences.
Votre calendrier de conformité
| Date | Ce qu'il faut | Qui est concerné |
|---|---|---|
| Dès maintenant | Inventaire de l'IA et qualification des risques | Toute organisation qui utilise l'IA |
| 2 août 2026 | Mentions de transparence en place | Chatbots, contenus générés par l'IA, reconnaissance des émotions |
| 2 déc. 2026 | Marquage des contenus pour les systèmes mis sur le marché avant août 2026, et interdiction des « nudifiers » | Médias, marketing, plateformes de contenus IA |
| 2 déc. 2027 | Conformité complète des IA à haut risque | Recrutement, crédit, éducation, forces de l'ordre… |
| 2 août 2028 | IA à haut risque dans les produits réglementés | Dispositifs médicaux, machines, véhicules… |
Les dispositions propres aux PME
L'AI Act prévoit plusieurs mesures pour alléger la charge des petites structures :
- Bacs à sable réglementaires : les autorités nationales doivent en mettre en place pour permettre de développer et de tester une IA sous leur supervision avant son déploiement.
- Accès prioritaire : les PME ont un accès prioritaire à ces bacs à sable et à l'accompagnement des autorités compétentes.
- Frais proportionnés : les frais d'évaluation de conformité doivent tenir compte de la taille de la PME et de sa part de marché.
- Documentation simplifiée : pour certains systèmes, les PME peuvent utiliser un modèle simplifié de documentation technique.
- Plafonds d'amende plus bas : pour les PME et les start-up, chaque amende est plafonnée au plus bas des deux montants (montant fixe ou pourcentage du chiffre d'affaires).
Ces mesures réduisent le coût et les frictions, pas les exigences : si votre système est à haut risque, toutes les obligations s'appliquent, quelle que soit la taille de l'entreprise.
Le lien avec le RGPD : de nombreuses obligations de l'AI Act, notamment en matière de gouvernance des données, de documentation et de droits des personnes, recoupent le RGPD. Si votre conformité RGPD fonctionne, vous partez avec une longueur d'avance : votre DPO et votre registre des traitements sont une base précieuse pour l'AI Act.
Vous voulez aller plus vite ? Notre service d'inventaire et de qualification des IA recense et qualifie chaque fonctionnalité d'IA de votre entreprise, avec la justification, dans votre propre registre IA.
Vous ne savez pas où vous en êtes ?
Notre outil gratuit qualifie vos systèmes d'IA et indique les obligations et les échéances qui s'appliquent, en une dizaine de minutes.
Essayer l'outil gratuit