L'essentiel en 30 secondes - La CNIL publiera sa décision sur l'application de l'AI Act en juin 2026, avec des effets directs sur près de 50 % des PME françaises [à vérifier]. - Les sanctions pour non-conformité peuvent atteindre 4 % du chiffre d'affaires annuel mondial selon l'Article 99 du Règlement (UE) 2024/1689. - La décision précisera les modalités d'application pour les systèmes d'IA à risque limité et à risque minimal. - Les fournisseurs et déployeurs concernés doivent anticiper l'enregistrement des systèmes à haut risque dans la base de données européenne (Art. 71 du Règlement (UE) 2024/1689). - Un service d'accompagnement dédié aux PME sera renforcé par la CNIL en 2026 [à vérifier].
L'EU AI Act est entré en vigueur le 1er août 2024. Son application est progressive : interdictions et obligations en matière de littératie applicables depuis le 2 février 2025, obligations relatives aux modèles d'IA à usage général depuis le 2 août 2025, et obligations relatives aux systèmes à haut risque applicables à partir du 2 août 2026 pour la majorité des cas.
La CNIL, désignée comme autorité française compétente pour les questions de protection des données dans le cadre de l'AI Act, prépare une décision attendue pour juin 2026. Cette décision clarifiera le partage des compétences, les modalités pratiques de mise en conformité, et les attentes vis-à-vis des PME françaises. Cet article décrypte les enjeux pour les dirigeants, DPO, RSSI et IA Lead.
1. Contexte : l'AI Act et son application en France
Le Règlement (UE) 2024/1689, dit AI Act, est le premier cadre juridique européen contraignant sur l'intelligence artificielle. Il classe les systèmes selon une approche par niveau de risque.
La CNIL joue un rôle pivot dans l'écosystème français de régulation de l'IA. Depuis 2023, elle a créé un service dédié à l'intelligence artificielle. En 2024 et 2025, elle a publié treize fiches pratiques sur le développement de systèmes d'IA. En 2026, elle précisera ses positions sur l'articulation entre l'AI Act et le RGPD.
Les PME françaises sont concernées dès lors qu'elles développent, mettent sur le marché, déploient ou utilisent un système d'IA. Cela inclut les chatbots, les outils de recrutement automatisés, les algorithmes de scoring client, ou les solutions de maintenance prédictive.
| Acteur | Rôle dans l'AI Act | Référence |
|---|---|---|
| Commission européenne — AI Office | Supervision des modèles GPAI, coordination | Art. 64 |
| Autorités de surveillance du marché nationales | Contrôle des systèmes à haut risque | Art. 70 |
| CNIL (France) | Autorité compétente pour la protection des données et certains systèmes à haut risque | Art. 74 |
| Fournisseurs de systèmes IA | Conformité, marquage CE, documentation technique | Art. 16 |
| Déployeurs (utilisateurs professionnels) | Usage conforme, surveillance humaine, journalisation | Art. 26 |
Pour une vue d'ensemble du régulateur et de ses missions, consultez notre pillar AI Act pour les PME françaises.
2. La décision de la CNIL en juin 2026 : enjeux clés
La décision attendue de la CNIL en juin 2026 devrait porter sur trois axes structurants pour les PME.
Premier axe — clarification des catégories de risque. L'AI Act distingue quatre niveaux : risque inacceptable (pratiques interdites, Art. 5), haut risque (Annexe III), risque limité (obligations de transparence, Art. 50), et risque minimal. La frontière entre risque limité et haut risque reste floue pour de nombreuses applications PME. La décision devrait fournir des exemples concrets et une grille d'auto-qualification.
Deuxième axe — modalités de conformité pour les systèmes à risque limité. Ces systèmes représentent la majorité des usages PME (chatbots, générateurs de contenu, outils d'analyse). Les obligations de transparence prévues par l'Art. 50 imposent d'informer l'utilisateur qu'il interagit avec une IA. La CNIL devrait préciser les formats acceptables et les exceptions.
Troisième axe — documentation et registres. La décision détaillera les attendus de documentation pour les déployeurs PME, notamment l'évaluation d'impact sur les droits fondamentaux (FRIA) prévue à l'Art. 27 pour certains déployeurs de systèmes à haut risque.
| Catégorie | Exemples PME | Obligation principale | Échéance d'application |
|---|---|---|---|
| Risque inacceptable | Notation sociale, manipulation cognitive | Interdiction totale | 2 février 2025 |
| Haut risque | Tri de CV, scoring crédit, sécurité produits | Conformité complète, marquage CE | 2 août 2026 (Annexe III) |
| Risque limité | Chatbots, deepfakes, IA générative | Transparence (Art. 50) | 2 août 2026 |
| Risque minimal | Filtres antispam, jeux vidéo IA | Volontaire (codes de conduite) | — |
3. Échéances et obligations pour les PME
Le calendrier d'application de l'AI Act est fixé par l'Art. 113 du Règlement. Les PME doivent l'intégrer dans leur planification de conformité 2026-2027.
Échéances déjà passées : - 2 février 2025 — entrée en vigueur des interdictions (Art. 5) et de l'obligation de littératie IA (Art. 4). - 2 août 2025 — obligations applicables aux modèles d'IA à usage général (Art. 51 à 56).
Échéances à venir : 1. 2 août 2026 — applicabilité de la majorité des obligations, notamment pour les systèmes à haut risque de l'Annexe III. 2. 2 août 2027 — applicabilité pour les systèmes à haut risque listés à l'Annexe I (produits réglementés). 3. Enregistrement dans la base de données européenne EU AI Database pour les systèmes à haut risque mis sur le marché (Art. 71).
Les PME déployeuses de systèmes à haut risque doivent : - Désigner une personne chargée de la surveillance humaine (Art. 14). - Tenir des journaux automatiquement générés par le système (Art. 12). - Informer les personnes concernées par une décision automatisée. - Conserver la documentation technique pendant 10 ans (Art. 18).
Pour vérifier si vos systèmes relèvent du haut risque, consultez notre guide des sanctions AI Act et calculateur.
Auditez votre exposition AI Act avant juin 2026
Notre pack documentaire regulia couvre le registre des systèmes IA, la FRIA, la politique de surveillance humaine et les modèles d'information utilisateurs. Conforme aux articles 26, 27 et 50 du Règlement (UE) 2024/1689.
Demander le pack documentaire AI Act4. Sanctions et responsabilités
L'Art. 99 du Règlement (UE) 2024/1689 fixe trois paliers de sanctions administratives. Ces montants représentent un risque existentiel pour une PME non préparée.
| Manquement | Sanction maximale | Plafond alternatif PME |
|---|---|---|
| Violation des pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial | Le montant le plus élevé |
| Non-respect des obligations applicables aux opérateurs (Art. 16, 22, 23, 24, 26, 31, 33...) | 15 M€ ou 3 % du CA mondial | Le montant le plus élevé |
| Fourniture d'informations incorrectes aux autorités | 7,5 M€ ou 1 % du CA mondial | Le montant le plus élevé |
L'Art. 99(6) prévoit une atténuation spécifique pour les PME et startups : la sanction retenue est le montant le plus faible des deux options (forfait ou pourcentage), à la différence des grandes entreprises pour lesquelles c'est le montant le plus élevé qui s'applique.
Les sanctions peuvent être cumulées avec celles du RGPD lorsque le manquement concerne aussi les données personnelles. La CNIL peut, en parallèle d'une amende AI Act, prononcer une amende RGPD pouvant atteindre 4 % du chiffre d'affaires annuel mondial (Art. 83 RGPD).
Les dirigeants peuvent voir leur responsabilité personnelle engagée si la non-conformité résulte d'une décision documentée d'ignorer les obligations. Le risque réputationnel s'ajoute au risque financier : les décisions de la CNIL sont publiées sur cnil.fr.
5. Outils de préparation pour les PME
La conformité AI Act ne s'improvise pas. Quatre ressources permettent à une PME d'avancer méthodiquement entre 2026 et 2027.
Ressources officielles : - Le service d'assistance AI Act de la Commission européenne : ai-act-service-desk.ec.europa.eu, qui répond aux questions opérationnelles des entreprises. - Les fiches pratiques de la CNIL sur l'IA, couvrant le développement, la base légale, l'analyse d'impact et la sécurité. - Le texte consolidé du Règlement sur eur-lex.europa.eu pour les références juridiques précises.
Ressources regulia : - Le pillar AI Act pour les PME françaises pour une vue d'ensemble structurée. - Le calculateur de sanctions AI Act pour estimer l'exposition financière. - Le guide ISO/IEC 42001:2023 pour PME pour aligner gouvernance IA et norme internationale. - Notre glossaire AI Act pour les définitions juridiques précises. - La page sources officielles qui regroupe l'ensemble des références utilisées.
Méthodologie recommandée : 1. Inventorier tous les systèmes d'IA utilisés (développés en interne, achetés, intégrés via SaaS). 2. Classifier chaque système selon la grille de risque AI Act. 3. Identifier les rôles : fournisseur, déployeur, importateur, distributeur. 4. Documenter les obligations applicables et les écarts existants. 5. Planifier les actions correctives avant les échéances 2026 et 2027.
6. Cas d'usage concrets pour les PME
Pour illustrer les obligations, voici trois scénarios fréquents en PME française.
Cas 1 — IA pour la gestion des ressources humaines. Une PME industrielle de 80 salariés utilise un logiciel de tri de CV automatisé pour ses recrutements. Ce système relève de l'Annexe III, point 4(a) du Règlement et est donc classé à haut risque. Obligations : analyse d'impact sur les droits fondamentaux (Art. 27), information des candidats (Art. 26§11), surveillance humaine effective (Art. 14), documentation technique fournie par l'éditeur (Art. 11). Risque principal : biais discriminatoires sur l'âge, le genre ou l'origine.
Cas 2 — Système de recommandation client. Une PME e-commerce déploie un moteur de recommandation produit basé sur l'historique d'achat. Si le système ne prend pas de décision juridiquement significative ni n'évalue de personnes, il relève généralement du risque minimal au titre de l'AI Act. En revanche, le RGPD s'applique pleinement (profilage, base légale, droit d'opposition). Obligation AI Act résiduelle : transparence Art. 50 si interaction conversationnelle.
Cas 3 — Automatisation de processus financiers. Une PME de services utilise un outil d'IA pour automatiser le scoring de risque crédit de ses clients professionnels. Ce système relève de l'Annexe III, point 5(b) — accès aux services financiers essentiels — donc à haut risque. Obligations complètes : documentation, journalisation, qualité des données d'entraînement (Art. 10), gestion des risques (Art. 9), tests de robustesse.
| Cas d'usage | Niveau de risque | Obligations principales | Articles |
|---|---|---|---|
| Tri de CV | Haut risque | FRIA, surveillance humaine, information | 9, 10, 14, 26, 27 |
| Recommandation produit | Minimal (AI Act) | Transparence si chatbot | 50 |
| Scoring crédit | Haut risque | Conformité complète, marquage CE | 9 à 27 |
| Chatbot service client | Limité | Information de l'utilisateur | 50 |
| Génération de contenu IA | Limité | Marquage du contenu généré | 50§2 |
7. Impact sur les PME opérant à l'international
L'AI Act a une portée extraterritoriale (Art. 2). Une PME française exportant des services IA à l'étranger, ou utilisant des systèmes développés hors UE, doit examiner deux dimensions.
Dimension export — UE et hors UE. Un système IA mis sur le marché ou mis en service dans l'Union européenne est soumis à l'AI Act, quel que soit le pays d'origine du fournisseur. Une PME française qui exporte ses systèmes vers d'autres États membres conserve donc les mêmes obligations. Hors UE, les exigences varient : Royaume-Uni (approche sectorielle), États-Unis (Executive Orders et State laws), Canada (AIDA en cours).
Dimension import — usage de systèmes étrangers. Une PME française déployant un outil SaaS américain ou asiatique devient déployeur au sens de l'AI Act et hérite des obligations correspondantes. Si le fournisseur n'a pas de représentant dans l'UE pour un système à haut risque, l'importateur ou le distributeur européen assume des responsabilités renforcées (Art. 22 à 24).
L'alignement avec la norme ISO/IEC 42001:2023 facilite la conformité internationale. Cette norme volontaire fournit un cadre de management de l'IA reconnu mondialement et couvre la plupart des exigences AI Act en matière de gouvernance et de gestion des risques.
Sécurisez votre conformité avant l'échéance d'août 2026
regulia accompagne les PME françaises avec des packs documentaires alignés sur l'AI Act, le RGPD et l'ISO/IEC 42001:2023. Demandez un devis adapté à la taille de votre structure et au nombre de systèmes IA déployés.
Recevoir une proposition personnalisée8. Résumé des actions prioritaires
Avant la décision de la CNIL en juin 2026, chaque PME devrait engager une démarche structurée en six étapes.
- Auditer les systèmes d'IA en place — inventaire complet, qualification par risque, identification des rôles (fournisseur/déployeur).
- Désigner un responsable AI Act — souvent le DPO ou le RSSI, formé à l'AI Act et à ses interactions avec le RGPD.
- Former le personnel — l'Art. 4 impose un niveau suffisant de littératie IA à toute personne intervenant sur des systèmes IA.
- Mettre à jour les politiques de protection des données — intégrer les analyses d'impact, les bases légales, la gestion des consentements.
- Préparer la documentation technique — registres, journaux, fiches techniques, modèles d'information utilisateurs.
- Surveiller les publications CNIL et AI Office — adapter le dispositif au fil des clarifications publiées en 2026.
FAQ
Quelles PME sont concernées par l'AI Act ?
Toutes les PME françaises utilisant, développant, important ou distribuant un système d'IA, quel que soit leur secteur d'activité. L'intensité des obligations dépend du niveau de risque du système et du rôle de la PME (fournisseur ou déployeur). Une PME qui utilise un chatbot de service client (risque limité) a des obligations moins lourdes qu'une PME qui déploie un algorithme de tri de CV (haut risque).
Quelles sont les sanctions pour non-conformité ?
L'Art. 99 du Règlement (UE) 2024/1689 prévoit des amendes allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, 15 M€ ou 3 % pour les autres obligations, et 7,5 M€ ou 1 % pour la fourniture d'informations incorrectes. Les PME bénéficient d'une atténuation : le montant le plus faible entre forfait et pourcentage est retenu (Art. 99§6). Des amendes RGPD peuvent s'y ajouter si des données personnelles sont concernées.
Comment se préparer à la décision de la CNIL ?
Commencez par inventorier tous vos systèmes d'IA et les classifier selon la grille de risque AI Act. Utilisez notre calculateur de sanctions pour estimer votre exposition. Mettez en place un registre interne de conformité et documentez chaque système. Suivez les publications de la CNIL et du service d'assistance AI Act de la Commission européenne (ai-act-service-desk.ec.europa.eu) pour anticiper les clarifications.
Quand faut-il enregistrer ses systèmes IA ?
L'obligation d'enregistrement dans la base de données européenne concerne les systèmes à haut risque listés à l'Annexe III et s'applique à partir du 2 août 2026 (Art. 71). Les déployeurs publics et certains déployeurs privés sont également concernés. Pour les systèmes à risque limité, il n'existe pas d'obligation d'enregistrement européen mais les obligations de transparence (Art. 50) s'appliquent.
Quelle est la différence entre l'AI Act et le RGPD ?
Le RGPD protège les personnes physiques en encadrant le traitement de leurs données personnelles. L'AI Act encadre les systèmes d'IA eux-mêmes : leur conception, leur mise sur le marché, leur usage, indépendamment du caractère personnel ou non des données traitées. Les deux textes sont complémentaires : un système IA traitant des données personnelles relève des deux régimes simultanément. La CNIL est compétente sur les deux volets en France.
Sources officielles
- Règlement (UE) 2024/1689 du 13 juin 2024 — texte officiel : eur-lex.europa.eu
- Texte consolidé de l'AI Act : artificialintelligenceact.eu
- Service d'assistance AI Act — Commission européenne : ai-act-service-desk.ec.europa.eu
- Fiches pratiques IA de la CNIL : cnil.fr/fr/les-fiches-pratiques-ia
- Norme ISO/IEC 42001:2023 — Systèmes de management de l'IA
- Norme ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
- Guide AI Act Cigref — janvier 2025
- Guide AI Act Numeum — mars 2025
Ressources regulia complémentaires : pillar AI Act PME, sanctions et calculateur, guide ISO/IEC 42001:2023, glossaire, sources.
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.