# AI Act PME : 10 étapes clés pour réussir sa conformité en 2026 > Le règlement AI Act prévoit des mesures dédiées aux PME, telles que des frais réduits et un accès prioritaire aux bacs à sable. Cette checklist détaille les 10 actions majeures à réaliser en 2026, de l’inventaire des IA à la FRIA, avec responsables, délais et articles de référence. - Tags: AI Act PME, checklist conformité IA, obligations AI Act 2026, conformité IA petite entreprise, actions prioritaires AI Act, bac à sable réglementaire PME, frais réduits AI Act PME - Mot-cle principal: AI Act PME ## Introduction **Découvrez les 10 actions incontournables pour la conformité AI Act des PME en 2026, avec priorités, échéances et obligations spécifiques pour chaque étape.** ## Contenu ## Étape 1 : Recenser l’ensemble des systèmes d’IA utilisés Avant toute démarche, il est indispensable d’identifier tous les outils d’intelligence artificielle présents dans l’entreprise, y compris ceux employés de manière informelle. Le shadow AI constitue un enjeu critique pour les PME : près de 40 % des systèmes d’IA en entreprise ne sont pas officiellement déclarés. Dresser cet inventaire permet de cibler les systèmes soumis à l’AI Act et d’éviter les omissions. Incluez aussi les fonctionnalités IA intégrées dans des logiciels métiers (CRM, recrutement, chatbots, etc.). Responsable : DSI, responsable conformité ou direction Durée estimée : 2 à 4 heures Références : Art. 3(1) (définition système d’IA), Art. 50 (transparence) Créez un tableau listant nom de l’outil, fournisseur, usage, données traitées et utilisateurs internes. Ce document servira de fondement pour les prochaines étapes. ## Étape 2 : Évaluer le niveau de risque de chaque système Tous les systèmes d’IA ne sont pas soumis aux mêmes exigences. Cette analyse permet de hiérarchiser les démarches à mener. Pour chaque outil, déterminez s’il relève d’une catégorie : interdit, haut risque, risque limité ou faible. L’outil interactif de l’AI Office peut vous assister dans ce diagnostic. Responsable : Responsable conformité ou direction Durée estimée : 30 minutes par outil Références : Art. 6 (systèmes à haut risque), Annexe III Les systèmes à risque limité ou faible sont peu contraignants, tandis que les systèmes à haut risque devront répondre à des exigences spécifiques dès décembre 2027. ## Étape 3 : Déterminer votre rôle réglementaire L’AI Act distingue deux statuts principaux : fournisseur (qui développe ou commercialise un système) et déployeur (qui utilise un système dans son activité). Identifiez si votre PME agit en tant que fournisseur ou déployeur, car les obligations diffèrent selon le rôle. Responsable : Direction ou service juridique Durée estimée : 1 heure Références : Art. 3(2) (définition fournisseur), Art. 3(4) (définition déployeur) Les déployeurs bénéficient d’obligations allégées par rapport aux fournisseurs, notamment sur la conception des systèmes. ## Étape 4 : S’assurer de l’absence de pratiques interdites Certaines pratiques sont proscrites par l’AI Act dès février 2025. Cette vérification prévient tout risque de sanction. Passez en revue vos outils d’IA afin de confirmer qu’aucun ne relève des pratiques interdites listées à l’Article 5 : manipulation subliminale, scoring social, reconnaissance des émotions au travail, etc. Responsable : Responsable conformité ou direction Durée estimée : 1 à 2 heures Références : Art. 5 (pratiques interdites) Tout système concerné doit être immédiatement retiré. Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d’affaires mondial. ## Étape 5 : Déployer une formation à l’IA pour les équipes Le règlement impose une sensibilisation minimale à l’IA pour les collaborateurs amenés à utiliser ces outils. Proposez une formation sur les fondamentaux de l’IA, les risques associés et les bonnes pratiques. Les ressources officielles de l’AI Office sont adaptées aux PME. Responsable : RH ou responsable formation Durée estimée : 2 à 4 heures de préparation, puis 1 heure de formation Références : Art. 4 (maîtrise de l’IA) Cette formation peut compléter les modules existants sur le RGPD ou la cybersécurité, et doit être adaptée selon le niveau de risque des outils utilisés. ## Étape 6 : Obtenir la documentation de conformité auprès des fournisseurs Les déployeurs doivent vérifier que leurs fournisseurs respectent l’AI Act. Cette démarche sécurise la chaîne de valeur. Demandez à chaque fournisseur une attestation de conformité et la documentation technique (Annexe IV) pour tout système à haut risque. Responsable : Achats ou conformité Durée estimée : 1 à 2 heures par fournisseur Références : Art. 13 (documentation technique), Art. 28 (obligations des déployeurs) Conservez ces éléments dans un registre dédié, ils pourront être exigés lors d’un contrôle. ## Étape 7 : Tenir un registre interne des systèmes d’IA Les entreprises utilisant des systèmes à haut risque doivent tenir à jour un registre des IA déployées. Créez un registre récapitulant pour chaque système : nom, fournisseur, niveau de risque, date de mise en service, responsable interne, documentation associée. Responsable : Conformité ou DPO Durée estimée : 2 à 3 heures Références : Art. 29 (registre des systèmes à haut risque pour les déployeurs) Ce registre peut être intégré à vos outils de suivi RGPD. Il doit être actualisé régulièrement. ## Étape 8 : Formaliser la supervision humaine des IA L’AI Act exige une supervision humaine, en particulier pour les systèmes à haut risque. Pour chaque IA, désignez le responsable de la supervision et documentez les processus de contrôle (ex : revue périodique, recours contre une décision automatisée). Responsable : Opérations ou conformité Durée estimée : 1 à 2 heures par système Références : Art. 14 (supervision humaine) La documentation doit être accessible à tous les collaborateurs concernés. ## Étape 9 : Préparer la FRIA si nécessaire Certains domaines imposent une évaluation des risques fondamentaux (FRIA) avant la mise en service d’une IA. Vérifiez si vos outils sont soumis à la FRIA, en particulier ceux listés à l’Annexe III. Si oui, commencez à préparer l’évaluation via les modèles de la CNIL ou des guides sectoriels. Responsable : DPO ou conformité Durée estimée : 4 à 8 heures Références : Art. 27 (évaluation des risques fondamentaux) La FRIA doit impérativement être réalisée avant le déploiement du système concerné. ## Étape 10 : Mettre en place un suivi post-déploiement Un dispositif de monitoring continu est requis pour détecter incidents et dérives des systèmes d’IA. Élaborez un processus de suivi des performances et risques en production, incluant audits périodiques et signalement des incidents. Responsable : Opérations ou conformité Durée estimée : 2 à 3 heures Références : Art. 61 (monitoring post-déploiement) Ce plan peut s’intégrer à vos procédures existantes de gestion des risques. --- ### Mesures spécifiques de soutien aux PME dans l’AI Act - **Frais réduits** : L’[Article 43(4)](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689#d1e1925-1-1) prévoit des tarifs préférentiels pour les évaluations de conformité des systèmes à haut risque. - **Accès prioritaire aux bacs à sable réglementaires** : L’[Article 55](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689#d1e2305-1-1) accorde aux PME une priorité d’accès à ces dispositifs permettant de tester des IA dans un environnement sécurisé. - **Obligations allégées pour les GPAI** : L’[Article 53(3)](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689#d1e2255-1-1) allège les obligations pour les PME fournisseurs de modèles d’IA à usage général. En France, l’ARCOM et la CNIL préparent conjointement un bac à sable réglementaire, dont l’ouverture est prévue pour août 2026. ## Source officielle - [Source](https://www.aiacto.eu/fr/blog/checklist-ai-act-pme-10-actions-prioritaires-2026)