À partir du 2 août 2026, toutes les PME utilisant ou développant des systèmes d’IA devront se conformer à l’AI Act. Cela implique d’identifier leurs outils IA, d’évaluer les risques, de respecter les obligations de transparence et de superviser l’usage de l’IA, sous peine de sanctions financières.
En bref
- Dès le 2 août 2026, les PME devront appliquer les obligations du règlement AI Act pour tous leurs systèmes d’IA à haut risque et respecter les règles de transparence, qu’elles soient utilisatrices ou développeuses.
Le 2 août 2026 marque l’entrée en vigueur complète du règlement européen AI Act pour les systèmes d’intelligence artificielle à haut risque, ainsi que pour les exigences de transparence. Contrairement à une idée répandue, les PME ne sont pas exclues : qu’elles développent ou exploitent des solutions d’IA, elles doivent impérativement s’y conformer. Ce guide détaille les étapes concrètes à suivre pour anticiper cette obligation réglementaire.
Pourquoi l’AI Act concerne-t-il aussi les PME ?
L’AI Act (Règlement UE 2024/1689) est souvent associé aux géants de la tech, mais il s’applique à l’ensemble des acteurs économiques, y compris les petites et moyennes entreprises. Beaucoup de PME sous-estiment l’impact de ce texte, pensant à tort qu’elles ne sont pas visées ou qu’elles ont encore le temps. Pourtant, ignorer ces obligations pourrait entraîner des conséquences financières majeures.
Le texte entre en application pour les systèmes d’IA à haut risque et les exigences de transparence dès le 2 août 2026. Une PME qui utilise, par exemple, un logiciel RH intégrant de l’IA, un outil de scoring de crédit, un chatbot pour le service client ou un système automatisé de recrutement est considérée comme un « déployeur » au sens du règlement. Les obligations s’appliquent donc pleinement.
Comprendre les rôles : fournisseur ou déployeur ?
L’AI Act distingue deux fonctions principales :
- **Fournisseur (provider)** : entreprise qui conçoit et met sur le marché un système d’IA.
- **Déployeur (deployer)** : organisation qui utilise un système d’IA dans le cadre de son activité professionnelle.
La plupart des PME sont des déployeurs : elles n’ont pas développé elles-mêmes le modèle d’IA, mais ont souscrit à un SaaS, intégré une API ou ajouté un module IA à leur CRM. Cela ne les dispense pas de respecter le règlement. L’Article 26 précise les obligations de ce rôle.
Certaines PME sont aussi fournisseurs, notamment si elles développent et commercialisent des logiciels intégrant de l’IA. Dans ce cas, les exigences sont plus lourdes : documentation technique conforme à l’Annexe IV, marquage CE, enregistrement dans la base de données européenne. Cet article cible avant tout les PME déployeuses.
1. Cartographier tous vos systèmes d’IA
La première étape vers la conformité consiste à établir un inventaire précis de tous les systèmes d’IA utilisés dans l’entreprise. Impossible d’être conforme à ce que l’on ne connaît pas !
Voici les principaux types d’outils à identifier :
- Logiciels de gestion RH utilisant des algorithmes de tri ou d’évaluation (recrutement, performance)
- Solutions de relation client intégrant des chatbots ou de l’IA générative
- Systèmes d’analyse financière ou de scoring de crédit
- Outils de surveillance ou d’analyse de l’activité des employés
- Toute solution SaaS qui mentionne « IA », « machine learning » ou « prédictif » dans sa documentation
Pour chaque outil, notez les éléments suivants : nom du fournisseur, finalité de l’IA, types de données traitées, catégories de personnes concernées.
2. Évaluer le niveau de risque de chaque système
Après avoir recensé vos outils, il est essentiel de les classer selon les catégories de risque définies par l’AI Act :
- **Risque inacceptable** (interdit) : notation sociale généralisée, manipulation subliminale, certains usages biométriques
- **Haut risque** (Annexe III) : IA utilisée pour le recrutement, la gestion RH, l’accès à des services essentiels ou l’éducation
- **Risque limité** : chatbots, IA générative, deepfakes — obligations de transparence (Article 50)
- **Risque minimal** : filtres anti-spam, recommandations de contenu — pas d’obligation spécifique
Ce classement détermine l’intensité des mesures à mettre en œuvre. Par exemple, un outil de tri de CV automatisé relève du « haut risque » (Annexe III, section 4) et implique des exigences renforcées.
3. Respecter les obligations du déployeur pour les IA à haut risque
Si certains de vos systèmes sont classés à haut risque, l’Article 26 vous impose plusieurs obligations :
- **Supervision humaine effective** : toute décision importante prise par l’IA doit pouvoir être revue, contestée ou corrigée par une personne compétente, avec un contrôle réel et non symbolique.
- **Archivage des logs** : conservez les journaux générés par le système d’IA pour garantir la traçabilité, conformément à la loi, en cas d’audit ou de litige.
- **Respect des instructions du fournisseur** : n’utilisez le système que dans le cadre prévu par le fournisseur. Si des restrictions figurent dans la documentation, elles doivent être suivies à la lettre.
- **Information des personnes concernées** : toute personne affectée par une décision issue d’un système d’IA à haut risque doit en être informée (voir Article 50 et Article 26(6)).
- **Évaluation d’impact sur les droits fondamentaux** (Article 27) : cette analyse est obligatoire pour les acteurs publics et certains opérateurs de services essentiels. Vérifiez si votre secteur est concerné.
4. Assurer la transparence pour les autres systèmes d’IA
Même si aucun de vos outils n’est à haut risque, l’Article 50 impose des obligations de transparence à tous les systèmes d’IA qui interagissent avec des humains ou produisent du contenu :
- Un **chatbot** doit clairement signaler à l’utilisateur qu’il s’agit d’une IA.
- Un **générateur de contenu** (texte, image, vidéo) doit indiquer que la production est issue d’une IA.
- Toute **synthèse vocale** imitant une voix humaine doit être explicitement signalée.
Ces règles s’appliquent à partir du 2 août 2026, indépendamment du niveau de risque du système. De nombreuses PME sous-estiment encore cette exigence, pourtant incontournable.
5. Collaborer avec vos fournisseurs SaaS
En tant que déployeur, il est de votre responsabilité de vérifier la conformité des outils que vous utilisez. Voici les questions essentielles à poser à vos fournisseurs :
- Le système est-il considéré comme à haut risque selon l’AI Act ?
- Disposez-vous d’une documentation technique conforme à l’Annexe IV ?
- Quelles données d’entraînement ont été utilisées et comment sont-elles documentées ?
- Quels dispositifs de supervision humaine sont prévus pour les clients ?
- Êtes-vous enregistré dans la base de données européenne pour les systèmes à haut risque ?
Si un fournisseur ne peut répondre à ces questions, il représente un risque de non-conformité pour votre entreprise. Il est crucial de formaliser ces points dans vos contrats.
Sanctions prévues en cas de non-conformité
Le régime de sanctions de l’AI Act est progressif et s’applique à tous les acteurs, PME comprises :
- Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites (Article 99(1))
- Jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial pour la non-conformité des systèmes à haut risque
- Jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires mondial pour la transmission d’informations inexactes aux autorités
Les autorités de surveillance doivent tenir compte de la taille et des ressources des PME dans l’application des sanctions, mais aucune exemption n’est prévue. La proportionnalité s’applique, mais l’obligation demeure.
Comment amorcer la démarche de conformité ?
Bonne nouvelle, il n’est pas nécessaire de disposer d’un service juridique interne pour débuter. Voici trois actions clés pour lancer votre mise en conformité :
1. **Inventaire** : recensez tous vos outils SaaS et vérifiez la présence de fonctionnalités IA.
2. **Classification** : évaluez le niveau de risque de chaque outil en vous référant à l’Annexe III.
3. **Documentation** : commencez à consigner vos décisions, les processus de supervision et les échanges avec vos fournisseurs.
Ces étapes peuvent être réalisées en quelques jours et constituent la base d’un dossier de conformité solide. Elles démontrent, en cas de contrôle, votre démarche proactive avant l’échéance du 2 août 2026.
Pour simplifier la démarche, le diagnostic AI Act de compaia propose un accompagnement étape par étape pour classifier vos systèmes et générer automatiquement les premiers éléments de votre dossier de conformité, adaptés à votre profil de déployeur ou de fournisseur.