L'essentiel en 30 secondes
- Les outils d'IA qui lisent, classent ou pré-comptabilisent des pièces relèvent de l'AI Act dès qu'ils constituent des systèmes d'IA ; la plupart sont à risque minimal.
- Un chatbot client ou la production de contenus relève de l'Art. 50 (transparence, en vigueur depuis le 2 août 2026). L'évaluation de la solvabilité de personnes physiques est à haut risque (Annexe III, point 5 b).
- Les obligations de l'Annexe III s'appliquent à partir du 2 décembre 2027, selon le règlement (UE) 2026/1744 (« Omnibus IA »).
- Le cabinet est en général déployeur : le fournisseur de l'outil porte l'essentiel des obligations. Le cabinet qui met son nom sur un système ou le modifie substantiellement devient fournisseur (Art. 25).
- Le RGPD, le secret professionnel et les obligations de vigilance anti-blanchiment continuent de s'appliquer.
- Amendes (Art. 99) : 35 M€ ou 7 % du CA mondial pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs. Pour une PME, c'est le plus bas des deux montants.
Un cabinet comptable qui utilise une IA pour lire, classer ou pré-comptabiliser des pièces est le plus souvent déployeur d'un système à risque minimal : l'AI Act n'impose alors pas d'obligation spécifique, hors les mesures pour favoriser la maîtrise de l'IA (Art. 4). Le haut risque concerne notamment l'évaluation de la solvabilité de personnes physiques (Annexe III, point 5 b), avec des obligations à partir du 2 décembre 2027. Le RGPD, le secret professionnel et la responsabilité du cabinet continuent de s'appliquer.
1. Contexte : l'IA dans l'analyse automatique des pièces comptables
Les éditeurs de logiciels comptables intègrent des couches d'IA pour la lecture, le classement et la pré-affectation comptable des pièces.
Trois familles de systèmes sont concernées :
- OCR augmenté par IA : lecture optique de factures, extraction de la TVA, du fournisseur, de la date et du montant.
- Classification automatique : affectation à un compte du Plan Comptable Général via apprentissage supervisé.
- Détection d'anomalies et de fraude : repérage de doublons, écarts inhabituels, signatures de fraude documentaire.
Cette automatisation déplace la responsabilité, elle ne la supprime pas. Le cabinet reste tenu à son devoir de conseil, de vigilance et de conformité (déontologie de l'expert-comptable). Si le moteur d'IA classe une facture en charge déductible alors qu'elle ne l'est pas, la responsabilité du cabinet peut être engagée.
L'enjeu de conformité AI Act se superpose à trois cadres existants :
- RGPD — les pièces comptables contiennent des données personnelles (identité de dirigeants, IBAN, parfois données de santé via notes de frais).
- Secret professionnel : ordonnance n° 45-2138 du 19 septembre 1945 portant institution de l'ordre des experts-comptables.
- Lutte anti-blanchiment : obligations de vigilance et de déclaration à Tracfin.
L'AI Act ajoute une couche de gouvernance dédiée à l'IA elle-même : transparence sur l'usage, qualité des données d'entraînement, journalisation, supervision humaine.
2. Règles clés de l'AI Act applicables aux cabinets comptables
L'AI Act ne raisonne pas par profession mais par niveau de risque du système. Cette logique conditionne toutes les obligations.
Les quatre catégories du Règlement
| Catégorie | Définition | Exemple en cabinet | Obligations principales |
|---|---|---|---|
| Risque inacceptable | Pratiques interdites (Art. 5) | Notation sociale d'un client | Interdiction totale |
| Haut risque | Systèmes listés à l'Annexe III ou intégrés à un produit réglementé (Art. 6) | Évaluation de la solvabilité de personnes physiques (point 5 b), évaluation de salariés par IA (point 4) | Documentation, supervision humaine, évaluation de conformité |
| Transparence | Interactions avec des personnes physiques, génération de contenu (Art. 50) | Chatbot client, contenus générés | Transparence et information |
| Risque minimal | Tout le reste | OCR, classification de pièces, filtre anti-spam, suggestion de libellé | Pas d'obligation spécifique (hors Art. 4) |
Articles structurants pour un cabinet
L'Annexe III, point 5 b, du Règlement (UE) 2024/1689 classe à haut risque (Art. 6(2)) les systèmes destinés à évaluer la solvabilité de personnes physiques ou à établir leur score de crédit. Un cabinet qui déploie un outil d'IA évaluant la solvabilité d'un client particulier doit vérifier cette qualification. La page sur les systèmes à haut risque de l'Annexe III détaille la classification.
Pour un système à haut risque, l'Art. 13 impose la transparence vis-à-vis du déployeur (le cabinet) : le fournisseur de l'outil doit livrer des instructions d'utilisation expliquant les capacités, les limites et le niveau d'exactitude.
Pour un système à haut risque, l'Art. 14 exige une supervision humaine effective : un comptable doit pouvoir comprendre, contrôler et corriger la sortie de l'IA. Pour les autres outils, la relecture humaine relève du devoir de conseil du cabinet : un workflow où la machine valide seule des écritures sans relecture est exposé.
L'Art. 15 impose un niveau d'exactitude, de robustesse et de cybersécurité documenté pour les systèmes à haut risque.
L'Art. 50 régit la transparence : information des personnes lorsqu'elles échangent avec une IA, signalement des contenus générés par IA. Ces obligations s'appliquent depuis le 2 août 2026 ; la checklist de l'Article 50 les détaille.
Qui est responsable de quoi ?
Le Règlement distingue fournisseur (l'éditeur qui développe et met sur le marché) et déployeur (le cabinet qui utilise l'outil dans son activité). Cette distinction est centrale.
| Acteur | Rôle | Obligations principales |
|---|---|---|
| Fournisseur (l'éditeur du logiciel) | Développe et commercialise l'outil | Pour un système à haut risque : marquage CE, documentation technique, déclaration UE, surveillance post-commercialisation |
| Déployeur (cabinet comptable) | Utilise l'outil en production | Suivre la notice, journaliser, informer les clients, supervision humaine |
Le cabinet peut devenir fournisseur s'il met son nom sur un système ou le modifie substantiellement (Art. 25). Cette bascule de statut multiplie les obligations.
3. Risques spécifiques pour les cabinets comptables
L'exposition juridique d'un cabinet équipé d'IA dépasse la seule sanction AI Act. Quatre risques se cumulent.
Erreur d'analyse et responsabilité civile professionnelle. Une mauvaise affectation systématique d'écritures peut générer un redressement fiscal pour le client. Il est utile de relire les clauses de la police RCP relatives aux outils numériques.
Non-conformité RGPD. Les pièces comptables contiennent des données personnelles. L'analyse par IA peut relever de l'Art. 22 du RGPD lorsque la décision est fondée exclusivement sur un traitement automatisé et produit des effets juridiques ou affecte la personne de manière significative. Les sanctions du RGPD peuvent atteindre 20 M€ ou 4 % du CA mondial (Art. 83 RGPD).
Sanctions AI Act. Les seuils de l'Art. 99 du Règlement (UE) 2024/1689 sont les suivants :
| Manquement | Plafond | Pourcentage CA mondial |
|---|---|---|
| Usage interdit (Art. 5) | 35 M€ | 7 % |
| Manquement aux obligations des opérateurs (Art. 16, 22, 23, 24, 25, 26) et à la transparence (Art. 50) | 15 M€ | 3 % |
| Informations inexactes, incomplètes ou trompeuses aux autorités | 7,5 M€ | 1 % |
Pour les PME, le plus bas des deux montants s'applique (Art. 99(6)). Un cabinet de 30 salariés faisant 4 M€ de CA risque donc au maximum 280 000 € (7 % × 4 M€) pour un usage interdit, et non 35 M€. Pour calculer le plafond d'amende de votre entreprise, le calculateur applique ces règles.
Atteinte au secret professionnel. Si le moteur d'IA est hébergé hors UE et traite des données couvertes par le secret professionnel comptable, le cabinet doit s'assurer qu'aucun transfert non autorisé n'a lieu.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Obligations de documentation et de conformité
Documenter l'usage des outils d'IA reste indispensable. Le fournisseur d'un système à haut risque établit la documentation technique de l'Art. 11 et de l'Annexe IV. Côté cabinet, la documentation relève de la responsabilité (accountability) du RGPD et de la bonne gouvernance.
Registre interne des systèmes d'IA
Le cabinet peut tenir un registre des outils d'IA déployés, à partir d'un modèle de registre des systèmes d'IA. Il contient par exemple :
- Nom de l'outil et version
- Fournisseur et siège social
- Finalité d'usage dans le cabinet
- Catégorie de risque retenue (justification écrite)
- Données traitées et base légale RGPD
- Localisation des serveurs
- Mesures de supervision humaine en place
- Date d'entrée en service et dernier audit
- Référent désigné en interne
Ce registre n'est pas exigé en tant que tel d'un déployeur par l'AI Act, mais il soutient les mesures de l'Art. 4, les obligations de l'Art. 26 pour les systèmes à haut risque et le registre des traitements du RGPD.
Politique d'usage interne
Le cabinet rédige une politique signée par chaque collaborateur, par exemple à partir d'un modèle de charte d'utilisation de l'IA. Elle précise :
- les outils autorisés et interdits (notamment les IA génératives grand public pour traiter des données clients : voir la gestion de la shadow IA) ;
- le niveau de relecture humaine requis selon le type de pièce ;
- la procédure de signalement d'une anomalie produite par l'IA ;
- les sanctions disciplinaires en cas de manquement.
Information du client
Le cabinet informe ses clients de l'usage de l'IA dans le traitement de leurs pièces. Cette information figure idéalement dans :
- la lettre de mission (clause IA dédiée) ;
- la politique de confidentialité du cabinet ;
- une mention spécifique dans le portail client le cas échéant.
L'obligation d'information découle du RGPD (Art. 13 et 14). L'Art. 50 de l'AI Act s'y ajoute si le cabinet déploie un chatbot ou diffuse des contenus générés. La formulation doit être claire, non technique, accessible.
Formation des collaborateurs (Art. 4 AI Act)
L'Art. 4 du Règlement demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel : sensibilisation, règles d'usage, formation adaptée aux rôles. L'obligation n'exige pas de garantir un niveau donné pour chaque personne. Le guide sur la formation des équipes détaille la démarche. Pour un cabinet, cela peut se traduire par :
| Public | Contenu indicatif |
|---|---|
| Associés et experts-comptables inscrits | Cadre juridique, gouvernance, signalement |
| Collaborateurs de production | Limites des outils, contrôles à effectuer |
| Stagiaires et alternants | Politique du cabinet, interdits |
Ce contenu est indicatif et à calibrer selon l'exposition réelle.
5. Outils et ressources pour la conformité
Plusieurs ressources publiques sont accessibles gratuitement.
| Ressource | Émetteur | Usage en cabinet |
|---|---|---|
| AI Act Service Desk | Commission européenne | Point d'entrée pour les questions d'interprétation |
| Fiches pratiques IA | CNIL | Application du RGPD au développement des systèmes d'IA |
| Texte officiel | EUR-Lex | Source juridique de référence |
| Règlement (UE) 2026/1744 | EUR-Lex | Modifications du calendrier (Omnibus IA) |
| ISO/IEC 42001:2023 | ISO | Système de management de l'IA (certifiable, sans présomption de conformité) |
Côté outillage opérationnel, le cabinet a besoin de quatre briques minimum :
- Matrice de qualification — fichier permettant de classer chaque système d'IA dans une des quatre catégories du Règlement.
- Registre des systèmes — tenue à jour continue.
- Modèles de clauses — pour la lettre de mission et le contrat éditeur.
- Plan de formation — calendrier annuel et supports.
La page Sources liste les références officielles.
6. Étapes pour assurer la conformité
La mise en conformité d'un cabinet peut suivre une trajectoire en cinq phases. Les durées ci-dessous sont indicatives et dépendent de la taille du cabinet et du nombre d'outils.
Phase 1 — Cartographie (semaines 1 à 3)
Lister tous les outils d'IA utilisés, déclarés ou non. Inclure l'IA générative grand public utilisée par les collaborateurs (« shadow IA »).
Phase 2 — Qualification (semaines 4 à 6)
Pour chaque outil, appliquer la grille de l'Art. 6 et de l'Annexe III. Documenter la décision. Si un outil est ambigu, demander un avis écrit au fournisseur.
Phase 3 — Mise en conformité (semaines 7 à 16)
- Mettre à jour les lettres de mission avec la clause IA.
- Rédiger ou compléter la politique interne.
- Constituer le registre des systèmes d'IA.
- Renégocier les contrats éditeurs pour intégrer les obligations de documentation (Art. 13 AI Act), avec des clauses contractuelles adaptées au fournisseur d'IA.
- Mettre en place le journal d'incidents lié à l'IA.
Phase 4 — Formation (continue, démarrage semaines 8 à 12)
Déployer le plan de formation Art. 4. Documenter les présences, supports, évaluations.
Phase 5 — Audit et amélioration (semestrielle)
Auditer le registre, le respect de la politique interne, l'évolution des outils. Un cabinet peut s'inspirer de la trame ISO/IEC 42001:2023 sans nécessairement viser la certification.
Le guide AI Act pour PME françaises couvre les obligations communes à toutes les PME, à compléter avec les spécificités du cabinet ci-dessus.
7. Avantages de la conformité
La conformité AI Act ne se réduit pas à éviter une sanction. Trois bénéfices sont concrets.
Répartition claire des rôles. Qualifier chaque outil et formaliser le rôle de l'éditeur et du cabinet clarifie qui doit fournir quoi (notice d'utilisation, documentation, correctifs).
Réduction du risque opérationnel. La supervision humaine documentée et la formation des collaborateurs réduisent le risque d'erreurs non détectées.
Prise en compte dans l'amende. L'Art. 99(7), point g, tient compte des mesures techniques et organisationnelles mises en œuvre par l'opérateur pour apprécier son degré de responsabilité.
8. Conclusion : passer à l'action
Le calendrier AI Act est fixé par le règlement. Les interdictions de l'Art. 5 sont en vigueur depuis le 2 février 2025. Les obligations sur les modèles d'IA à usage général s'appliquent depuis le 2 août 2025 et celles de transparence de l'Art. 50 depuis le 2 août 2026. Les obligations sur les systèmes à haut risque de l'Annexe III s'appliquent à partir du 2 décembre 2027 (échéance reportée par le règlement (UE) 2026/1744 (« Omnibus IA »)), et à partir du 2 août 2028 pour les systèmes intégrés à des produits réglementés relevant de l'Annexe I.
Pour un cabinet comptable, la période 2026-2027 permet de lisser la charge et de négocier sereinement avec les éditeurs.
Trois actions concrètes à lancer cette semaine :
- Lister les outils d'IA déployés et identifier le « shadow IA ».
- Demander à chaque éditeur ses instructions d'utilisation (Art. 13) pour tout système à haut risque, et sa position sur la qualification de risque.
- Inscrire la formation Art. 4 à l'ordre du jour du prochain comité de direction.
Le calculateur d'amende AI Act complète cette feuille de route.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Quelles sont les sanctions pour non-conformité de l'AI Act pour les cabinets comptables ?
Les sanctions de l'Art. 99 du Règlement (UE) 2024/1689 atteignent 35 M€ ou 7 % du chiffre d'affaires mondial pour les usages interdits, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs, et 7,5 M€ ou 1 % pour les informations inexactes aux autorités. Pour les PME, le plus bas des deux montants s'applique. Le cumul avec une sanction RGPD (jusqu'à 4 % du CA mondial, Art. 83 RGPD) est possible si les deux violations sont caractérisées.
Dois-je notifier la Commission européenne pour mes systèmes d'IA ?
L'enregistrement dans la base de données de l'UE (Art. 49 et 71) concerne principalement les fournisseurs de systèmes à haut risque, pas le déployeur. Un cabinet qui utilise un outil acheté auprès d'un éditeur n'a en principe pas à déclarer ce système, car c'est le fournisseur qui le fait. Il est conseillé de tenir un registre interne. Si le cabinet met son nom sur le système ou le modifie substantiellement, il devient fournisseur et hérite des obligations correspondantes.
Quelles données sont concernées par l'AI Act dans mon cabinet ?
L'AI Act ne régit pas les données en tant que telles : c'est le rôle du RGPD. Il régit les systèmes qui traitent ces données. L'Art. 10 sur la qualité des jeux de données d'entraînement, de validation et de test s'adresse au fournisseur d'un système à haut risque. Le cabinet peut demander à son éditeur de documenter le respect de ces exigences.
Comment garantir l'exactitude des analyses automatiques ?
L'Art. 15 du Règlement impose des niveaux d'exactitude documentés pour les systèmes à haut risque. En pratique, le cabinet met en place : (1) un échantillon de contrôle aléatoire avec relecture humaine, (2) un journal des écarts et corrections, (3) une procédure de remontée au fournisseur en cas de dérive, (4) une clause contractuelle imposant à l'éditeur de publier ses taux d'erreur par catégorie de pièce. La supervision humaine (Art. 14) reste l'obligation centrale : un comptable doit pouvoir contrôler et corriger toute sortie de l'IA.
Quelles ressources pour comprendre l'AI Act en détail ?
Trois sources suffisent au démarrage : le texte officiel sur EUR-Lex, les fiches pratiques de la CNIL sur l'IA et le RGPD, et le service desk AI Act de la Commission européenne. Pour approfondir, la norme ISO/IEC 42001:2023 fournit un cadre de management opérationnel, sans présomption de conformité. La page Sources regroupe les liens utiles.
Sources officielles
- Service Desk AI Act — Commission européenne
- Règlement (UE) 2024/1689 — EUR-Lex
- CNIL — Fiches pratiques IA
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Texte annoté de l'AI Act — artificialintelligenceact.eu
- ISO/IEC 42001:2023 — Système de management de l'IA
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
Pour aller plus loin : AI Act pour les PME françaises, Sanctions AI Act et calculateur, Sources et références.
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.