Le règlement AI Act prévoit des mesures dédiées aux PME, telles que des frais réduits et un accès prioritaire aux bacs à sable. Cette checklist détaille les 10 actions majeures à réaliser en 2026, de l’inventaire des IA à la FRIA, avec responsables, délais et articles de référence.
**Découvrez les 10 actions incontournables pour la conformité AI Act des PME en 2026, avec priorités, échéances et obligations spécifiques pour chaque étape.**
Étape 1 : Recenser l’ensemble des systèmes d’IA utilisés
Avant toute démarche, il est indispensable d’identifier tous les outils d’intelligence artificielle présents dans l’entreprise, y compris ceux employés de manière informelle.
Le shadow AI constitue un enjeu critique pour les PME : près de 40 % des systèmes d’IA en entreprise ne sont pas officiellement déclarés. Dresser cet inventaire permet de cibler les systèmes soumis à l’AI Act et d’éviter les omissions.
Incluez aussi les fonctionnalités IA intégrées dans des logiciels métiers (CRM, recrutement, chatbots, etc.).
Responsable : DSI, responsable conformité ou direction
Durée estimée : 2 à 4 heures
Références : Art. 3(1) (définition système d’IA), Art. 50 (transparence)
Créez un tableau listant nom de l’outil, fournisseur, usage, données traitées et utilisateurs internes. Ce document servira de fondement pour les prochaines étapes.
Étape 2 : Évaluer le niveau de risque de chaque système
Tous les systèmes d’IA ne sont pas soumis aux mêmes exigences. Cette analyse permet de hiérarchiser les démarches à mener.
Pour chaque outil, déterminez s’il relève d’une catégorie : interdit, haut risque, risque limité ou faible. L’outil interactif de l’AI Office peut vous assister dans ce diagnostic.
Responsable : Responsable conformité ou direction
Durée estimée : 30 minutes par outil
Références : Art. 6 (systèmes à haut risque), Annexe III
Les systèmes à risque limité ou faible sont peu contraignants, tandis que les systèmes à haut risque devront répondre à des exigences spécifiques dès décembre 2027.
Étape 3 : Déterminer votre rôle réglementaire
L’AI Act distingue deux statuts principaux : fournisseur (qui développe ou commercialise un système) et déployeur (qui utilise un système dans son activité).
Identifiez si votre PME agit en tant que fournisseur ou déployeur, car les obligations diffèrent selon le rôle.
Responsable : Direction ou service juridique
Durée estimée : 1 heure
Références : Art. 3(2) (définition fournisseur), Art. 3(4) (définition déployeur)
Les déployeurs bénéficient d’obligations allégées par rapport aux fournisseurs, notamment sur la conception des systèmes.
Étape 4 : S’assurer de l’absence de pratiques interdites
Certaines pratiques sont proscrites par l’AI Act dès février 2025. Cette vérification prévient tout risque de sanction.
Passez en revue vos outils d’IA afin de confirmer qu’aucun ne relève des pratiques interdites listées à l’Article 5 : manipulation subliminale, scoring social, reconnaissance des émotions au travail, etc.
Responsable : Responsable conformité ou direction
Durée estimée : 1 à 2 heures
Références : Art. 5 (pratiques interdites)
Tout système concerné doit être immédiatement retiré. Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d’affaires mondial.
Étape 5 : Déployer une formation à l’IA pour les équipes
Le règlement impose une sensibilisation minimale à l’IA pour les collaborateurs amenés à utiliser ces outils.
Proposez une formation sur les fondamentaux de l’IA, les risques associés et les bonnes pratiques. Les ressources officielles de l’AI Office sont adaptées aux PME.
Responsable : RH ou responsable formation
Durée estimée : 2 à 4 heures de préparation, puis 1 heure de formation
Références : Art. 4 (maîtrise de l’IA)
Cette formation peut compléter les modules existants sur le RGPD ou la cybersécurité, et doit être adaptée selon le niveau de risque des outils utilisés.
Étape 6 : Obtenir la documentation de conformité auprès des fournisseurs
Les déployeurs doivent vérifier que leurs fournisseurs respectent l’AI Act. Cette démarche sécurise la chaîne de valeur.
Demandez à chaque fournisseur une attestation de conformité et la documentation technique (Annexe IV) pour tout système à haut risque.
Responsable : Achats ou conformité
Durée estimée : 1 à 2 heures par fournisseur
Références : Art. 13 (documentation technique), Art. 28 (obligations des déployeurs)
Conservez ces éléments dans un registre dédié, ils pourront être exigés lors d’un contrôle.
Étape 7 : Tenir un registre interne des systèmes d’IA
Les entreprises utilisant des systèmes à haut risque doivent tenir à jour un registre des IA déployées.
Créez un registre récapitulant pour chaque système : nom, fournisseur, niveau de risque, date de mise en service, responsable interne, documentation associée.
Responsable : Conformité ou DPO
Durée estimée : 2 à 3 heures
Références : Art. 29 (registre des systèmes à haut risque pour les déployeurs)
Ce registre peut être intégré à vos outils de suivi RGPD. Il doit être actualisé régulièrement.
Étape 8 : Formaliser la supervision humaine des IA
L’AI Act exige une supervision humaine, en particulier pour les systèmes à haut risque.
Pour chaque IA, désignez le responsable de la supervision et documentez les processus de contrôle (ex : revue périodique, recours contre une décision automatisée).
Responsable : Opérations ou conformité
Durée estimée : 1 à 2 heures par système
Références : Art. 14 (supervision humaine)
La documentation doit être accessible à tous les collaborateurs concernés.
Étape 9 : Préparer la FRIA si nécessaire
Certains domaines imposent une évaluation des risques fondamentaux (FRIA) avant la mise en service d’une IA.
Vérifiez si vos outils sont soumis à la FRIA, en particulier ceux listés à l’Annexe III. Si oui, commencez à préparer l’évaluation via les modèles de la CNIL ou des guides sectoriels.
Responsable : DPO ou conformité
Durée estimée : 4 à 8 heures
Références : Art. 27 (évaluation des risques fondamentaux)
La FRIA doit impérativement être réalisée avant le déploiement du système concerné.
Étape 10 : Mettre en place un suivi post-déploiement
Un dispositif de monitoring continu est requis pour détecter incidents et dérives des systèmes d’IA.
Élaborez un processus de suivi des performances et risques en production, incluant audits périodiques et signalement des incidents.
Responsable : Opérations ou conformité
Durée estimée : 2 à 3 heures
Références : Art. 61 (monitoring post-déploiement)
Ce plan peut s’intégrer à vos procédures existantes de gestion des risques.
---
Mesures spécifiques de soutien aux PME dans l’AI Act
- **Frais réduits** : L’Article 43(4) prévoit des tarifs préférentiels pour les évaluations de conformité des systèmes à haut risque.
- **Accès prioritaire aux bacs à sable réglementaires** : L’Article 55 accorde aux PME une priorité d’accès à ces dispositifs permettant de tester des IA dans un environnement sécurisé.
- **Obligations allégées pour les GPAI** : L’Article 53(3) allège les obligations pour les PME fournisseurs de modèles d’IA à usage général.
En France, l’ARCOM et la CNIL préparent conjointement un bac à sable réglementaire, dont l’ouverture est prévue pour août 2026.