AI Act pour cabinets comptables : analyse automatique de pièces

L'essentiel en 30 secondes

• L'analyse automatique de factures, relevés bancaires et pièces justificatives par IA tombe dans le champ du Règlement (UE) 2024/1689 (AI Act).
• La plupart des outils OCR-IA utilisés en cabinet relèvent du risque limité (Art. 50), mais certaines fonctions de scoring client ou de détection de fraude basculent en haut risque (Art. 6).
• Les sanctions atteignent 35 M€ ou 7 % du chiffre d'affaires mondial pour les usages interdits, 15 M€ ou 3 % pour les manquements aux obligations sur systèmes à haut risque (Art. 99).
• Le cumul avec une sanction RGPD est possible : jusqu'à 20 M€ ou 4 % du CA mondial (Art. 83 RGPD).
• Les obligations de transparence vis-à-vis des clients du cabinet et de documentation interne entrent en application progressive jusqu'en août 2027.
• Le calendrier : interdictions au 2 février 2025, obligations IA à usage général au 2 août 2025, haut risque au 2 août 2027.

---

1. Contexte : l'IA dans l'analyse automatique des pièces comptables

L'automatisation comptable n'est plus marginale. Un cabinet français traite en moyenne plusieurs milliers de pièces par mois et par collaborateur lorsqu'il s'équipe d'un outil de pré-comptabilisation. Les éditeurs Pennylane, Dext, Tiime, Sage, Cegid, EBP intègrent désormais des couches d'IA pour la lecture, le classement et la pré-affectation comptable.

Trois familles de systèmes sont concernées :

• OCR augmenté par IA : lecture optique de factures, extraction de la TVA, du fournisseur, de la date et du montant.
• Classification automatique : affectation à un compte du Plan Comptable Général via apprentissage supervisé.
• Détection d'anomalies et de fraude : repérage de doublons, écarts inhabituels, signatures de fraude documentaire.

Le gain opérationnel est mesurable : selon les éditeurs, 60 à 80 % du temps de saisie est absorbé par la machine [à vérifier]. Mais cette automatisation déplace la responsabilité, pas la supprime. Le cabinet reste tenu à son devoir de conseil, de vigilance et de conformité (déontologie OEC). Si le moteur d'IA classe une facture en charge déductible alors qu'elle ne l'est pas, c'est l'expert-comptable signataire qui répond.

L'enjeu de conformité AI Act se superpose à trois cadres existants :

1. RGPD — les pièces comptables contiennent des données personnelles (identité de dirigeants, IBAN, parfois données de santé via notes de frais).
2. Secret professionnel — Article 21 de l'ordonnance n°45-2138 sur la profession d'expert-comptable.
3. Lutte anti-blanchiment — obligations TRACFIN qui imposent une vigilance humaine documentée.

L'AI Act ajoute une couche de gouvernance dédiée à l'IA elle-même : transparence sur l'usage, qualité des données d'entraînement, journalisation, supervision humaine.

2. Règles clés de l'AI Act applicables aux cabinets comptables

L'AI Act ne raisonne pas par profession mais par niveau de risque du système. Cette logique conditionne toutes les obligations.

Les quatre catégories du Règlement

Catégorie	Définition	Exemple en cabinet	Obligations principales
Risque inacceptable	Pratiques interdites (Art. 5)	Notation sociale d'un client	Interdiction totale
Haut risque	Systèmes listés Annexe III ou intégrés à un produit régulé (Art. 6)	Scoring crédit-client, évaluation salariés via IA	Documentation, supervision humaine, conformité ex ante
Risque limité	Interactions avec personnes physiques, génération de contenu (Art. 50)	OCR-IA standard, chatbot client	Transparence + information
Risque minimal	Tout le reste	Filtre anti-spam, suggestion de libellé	Aucune obligation spécifique

Articles structurants pour un cabinet

L'Article 6 du Règlement (UE) 2024/1689 classe en haut risque les systèmes utilisés pour l'évaluation de la solvabilité ou la notation de crédit des personnes physiques. Un cabinet qui externalise du conseil financier et déploie un outil d'IA pour évaluer la santé financière d'un client particulier doit vérifier cette qualification.

L'Art. 13 impose la transparence vis-à-vis du déployeur (le cabinet) : le fournisseur de l'outil doit livrer une notice expliquant les capacités, limites et taux d'erreur connus.

L'Art. 14 exige une supervision humaine effective : un comptable doit pouvoir comprendre, contrôler et corriger la sortie de l'IA. Un workflow où la machine valide seule des écritures sans relecture est exposé.

L'Art. 15 impose un niveau d'exactitude, de robustesse et de cybersécurité documenté pour les systèmes à haut risque.

L'Art. 50 régit la transparence pour les systèmes à risque limité : information des personnes lorsqu'elles interagissent avec une IA, marquage des contenus générés par IA.

Qui est responsable de quoi ?

Le Règlement distingue fournisseur (l'éditeur qui développe et met sur le marché) et déployeur (le cabinet qui utilise l'outil dans son activité). Cette distinction est centrale.

Acteur	Rôle	Obligations principales
Fournisseur (Pennylane, Dext, etc.)	Développe et commercialise l'outil	Marquage CE, documentation technique, déclaration UE, surveillance post-marché
Déployeur (cabinet comptable)	Utilise l'outil en production	Suivre la notice, journaliser, informer les clients, supervision humaine

Le cabinet peut devenir fournisseur s'il modifie substantiellement un système, le réentraîne sur ses données, ou le commercialise sous sa marque (Art. 25). Cette bascule de statut multiplie les obligations.

3. Risques spécifiques pour les cabinets comptables

L'exposition juridique d'un cabinet équipé d'IA dépasse la seule sanction AI Act. Quatre risques se cumulent.

Erreur d'analyse et responsabilité civile professionnelle. Une mauvaise affectation systématique d'écritures peut générer un redressement fiscal pour le client. L'assurance RCP couvre, mais les exclusions liées à l'usage d'outils non maîtrisés se multiplient dans les contrats récents. Il est recommandé de relire la clause "outils numériques" de votre police.

Non-conformité RGPD. Les pièces comptables contiennent des données personnelles. L'analyse par IA constitue un traitement automatisé au sens de l'Art. 22 du RGPD lorsqu'elle produit des effets juridiques (par exemple, un refus de traitement d'une note de frais). Sanctions CNIL jusqu'à 20 M€ ou 4 % du CA mondial (Art. 83 RGPD).

Sanctions AI Act. Les seuils de l'Art. 99 du Règlement (UE) 2024/1689 sont les suivants :

Manquement	Plafond	Pourcentage CA mondial
Usage interdit (Art. 5)	35 M€	7 %
Manquement haut risque (Art. 6, 16-29)	15 M€	3 %
Information inexacte aux autorités	7,5 M€	1 %

Pour les PME, le plus bas des deux montants s'applique (Art. 99 §6). Un cabinet de 30 salariés faisant 4 M€ de CA risque donc maximum 280 000 € (7 % × 4 M€) pour un usage interdit, et non 35 M€.

Atteinte au secret professionnel. Si le moteur d'IA est hébergé hors UE et traite des données couvertes par le secret professionnel comptable, le cabinet doit s'assurer qu'aucun transfert non autorisé n'a lieu. La grille de sanctions détaillée précise les cas de figure.

4. Obligations de documentation et de conformité

Documenter n'est pas une option. Pour les systèmes à haut risque, l'Art. 11 et l'Annexe IV du Règlement imposent une documentation technique précise. Pour les systèmes à risque limité, la documentation reste exigible côté déployeur dans le cadre du principe d'accountability croisé AI Act / RGPD.

Registre interne des systèmes d'IA

Le cabinet tient un registre des outils d'IA déployés. Il contient au minimum :

1. Nom de l'outil et version
2. Fournisseur et siège social
3. Finalité d'usage dans le cabinet
4. Catégorie de risque retenue (justification écrite)
5. Données traitées et base légale RGPD
6. Localisation des serveurs
7. Mesures de supervision humaine en place
8. Date d'entrée en service et dernier audit
9. Référent désigné en interne

Ce registre est exigible par la Commission, l'autorité nationale de surveillance (en France, désignation à confirmer mi-2026 [à vérifier]) et, sur des aspects données, par la CNIL.

Politique d'usage interne

Le cabinet rédige une politique signée par chaque collaborateur. Elle précise :

• les outils autorisés et interdits (notamment les IA génératives grand public type ChatGPT pour traiter des données clients) ;
• le niveau de relecture humaine requis selon le type de pièce ;
• la procédure de signalement d'une anomalie produite par l'IA ;
• les sanctions disciplinaires en cas de manquement.

Information du client

Le cabinet informe ses clients de l'usage de l'IA dans le traitement de leurs pièces. Cette information figure idéalement dans :

• la lettre de mission (clause IA dédiée) ;
• la politique de confidentialité du cabinet ;
• une mention spécifique dans le portail client le cas échéant.

L'obligation découle conjointement de l'Art. 50 AI Act (transparence interaction IA) et des Art. 13-14 du RGPD (information du traitement). La formulation doit être claire, non technique, accessible.

Formation des collaborateurs (Art. 4 AI Act)

L'Art. 4 du Règlement impose aux fournisseurs et déployeurs d'assurer un niveau suffisant de littératie en IA à leur personnel. Pour un cabinet, cela se traduit par :

Public	Volume minimal	Contenu
Associés / EC inscrits	4-6h / an	Cadre juridique, gouvernance, signalement
Collaborateurs production	2-3h / an	Limites des outils, contrôles à effectuer
Stagiaires / alternants	1-2h à l'arrivée	Politique cabinet, interdits

Ces volumes sont indicatifs et à calibrer selon l'exposition réelle [à vérifier sur recommandations OEC 2026].

5. Outils et ressources pour la conformité

Plusieurs ressources publiques sont accessibles gratuitement et constituent le socle documentaire minimal.

Ressource	Émetteur	Usage en cabinet
Service Desk AI Act	Commission européenne	Questions d'interprétation, FAQ officielle
13 fiches IA	CNIL	Articulation RGPD-IA, base légale, AIPD
Recommandations IA générative	CNIL	Cadrage usage ChatGPT, Copilot, Claude
Texte consolidé	EUR-Lex	Source juridique de référence
Guide AI Act	Cigref / Numeum	Vulgarisation entreprises
ISO/IEC 42001:2023	ISO	Système de management de l'IA (certifiable)

Côté outillage opérationnel, le cabinet a besoin de quatre briques minimum :

1. Matrice de qualification — fichier permettant de classer chaque système d'IA dans une des quatre catégories du Règlement.
2. Registre des systèmes — tenue à jour continue.
3. Modèles de clauses — pour la lettre de mission et le contrat éditeur.
4. Plan de formation — calendrier annuel et supports.

Le glossaire AI Act regroupe les définitions essentielles : déployeur, fournisseur, modèle GPAI, haut risque, supervision humaine. La page sources liste les références officielles et les versions à jour des guides sectoriels.

6. Étapes pour assurer la conformité

La mise en conformité d'un cabinet suit une trajectoire en cinq phases. Compter 3 à 6 mois pour un cabinet de moins de 50 salariés équipé d'un éditeur unique. Compter 8 à 12 mois pour un cabinet multi-sites avec plusieurs outils d'IA.

Phase 1 — Cartographie (semaines 1 à 3)

Lister tous les outils d'IA utilisés, déclarés ou non. Inclure l'IA générative grand public utilisée par les collaborateurs (« shadow IA »). Cette phase révèle souvent 2 à 3 outils non recensés.

Phase 2 — Qualification (semaines 4 à 6)

Pour chaque outil, appliquer la grille de l'Art. 6 et de l'Annexe III. Documenter la décision. Si un outil est ambigu, demander un avis écrit au fournisseur.

Phase 3 — Mise en conformité (semaines 7 à 16)

• Mettre à jour les lettres de mission avec la clause IA.
• Rédiger ou compléter la politique interne.
• Constituer le registre des systèmes d'IA.
• Renégocier les contrats éditeurs pour intégrer les obligations de documentation (Art. 13 AI Act).
• Mettre en place le journal d'incidents lié à l'IA.

Phase 4 — Formation (continue, démarrage semaines 8 à 12)

Déployer le plan de formation Art. 4. Documenter les présences, supports, évaluations.

Phase 5 — Audit et amélioration (semestrielle)

Auditer le registre, le respect de la politique interne, l'évolution des outils. Un cabinet peut s'inspirer de la trame ISO/IEC 42001:2023 sans nécessairement viser la certification.

Le suivi de ce parcours est détaillé dans le guide AI Act pour PME françaises qui couvre les obligations communes à toutes les PME, à compléter avec les spécificités cabinet ci-dessus.

7. Avantages de la conformité

La conformité AI Act ne se réduit pas à éviter une sanction. Trois bénéfices opérationnels apparaissent dans les retours terrain des cabinets en avance.

Crédibilité commerciale. Les clients ETI et grandes entreprises auditent désormais leurs prestataires sur leur posture IA. Un cabinet qui répond à un appel d'offres avec un dossier de conformité documenté gagne en sélection.

Réduction du risque opérationnel. La supervision humaine documentée et la formation des collaborateurs diminuent mécaniquement le taux d'erreurs non détectées. Plusieurs cabinets rapportent une baisse de leurs incidents qualité après la mise en place du registre [à vérifier sur étude OEC 2026].

Préparation aux futures normes. Le périmètre des systèmes d'IA à haut risque s'élargira via les actes délégués que la Commission publiera entre 2026 et 2028. Un cabinet déjà structuré absorbera ces évolutions sans rupture.

Maîtrise des coûts d'assurance. Les assureurs RCP intègrent progressivement la maturité IA dans la tarification. Un cabinet documenté obtient de meilleures conditions, ou évite l'exclusion de garantie sur les sinistres liés à l'IA.

8. Conclusion : passer à l'action

Le calendrier AI Act n'est pas négociable. Les interdictions de l'Art. 5 sont en vigueur depuis le 2 février 2025. Les obligations sur les modèles d'IA à usage général s'appliquent depuis le 2 août 2025. Les obligations sur les systèmes à haut risque entrent en vigueur le 2 août 2026 pour les systèmes existants intégrés à des produits régulés, et le 2 août 2027 pour les nouveaux systèmes Annexe III.

Pour un cabinet comptable, la fenêtre utile est la période 2026-2027. Engager la mise en conformité maintenant permet de lisser la charge, de négocier sereinement avec les éditeurs, et d'éviter le rush de dernière minute observé fin 2017 sur le RGPD.

Trois actions concrètes à lancer cette semaine :

1. Lister les outils d'IA déployés et identifier le « shadow IA ».
2. Demander à chaque éditeur sa documentation Art. 13 et son positionnement sur la qualification de risque.
3. Inscrire la formation Art. 4 à l'ordre du jour du prochain comité de direction.

Le détail des sanctions Art. 99 et le pillar AI Act PME complètent cette feuille de route.

FAQ

Quelles sont les sanctions pour non-conformité de l'AI Act pour les cabinets comptables ?

Les sanctions de l'Art. 99 du Règlement (UE) 2024/1689 atteignent 35 M€ ou 7 % du chiffre d'affaires mondial pour les usages interdits, 15 M€ ou 3 % pour les manquements aux obligations sur les systèmes à haut risque, et 7,5 M€ ou 1 % pour les informations inexactes aux autorités. Pour les PME, le plus bas des deux montants s'applique. Le cumul avec une sanction RGPD (jusqu'à 4 % du CA mondial, Art. 83 RGPD) est possible si les deux violations sont caractérisées.

Dois-je notifier la Commission européenne pour mes systèmes d'IA ?

L'enregistrement dans la base de données européenne (Art. 71) concerne principalement les fournisseurs de systèmes à haut risque, pas le déployeur. Un cabinet qui utilise un outil acheté à Pennylane ou Dext n'a en principe pas à déclarer ce système, car c'est le fournisseur qui le fait. Le déployeur doit toutefois tenir son registre interne. Si le cabinet modifie substantiellement le système ou le commercialise, il devient fournisseur et hérite alors de l'obligation de notification.

Quelles données sont concernées par l'AI Act dans mon cabinet ?

L'AI Act ne régit pas les données en tant que telles — c'est le rôle du RGPD. Il régit les systèmes qui traitent ces données. Cela dit, les exigences Art. 10 sur la qualité des jeux de données d'entraînement et de test concernent toutes les données utilisées par un système à haut risque, y compris les pièces comptables, données fiscales, données salariées. Le cabinet doit s'assurer que son éditeur respecte ces exigences et le documente.

Comment garantir l'exactitude des analyses automatiques ?

L'Art. 15 du Règlement impose des niveaux d'exactitude documentés pour les systèmes à haut risque. En pratique, le cabinet met en place : (1) un échantillon de contrôle aléatoire avec relecture humaine, (2) un journal des écarts et corrections, (3) une procédure de remontée au fournisseur en cas de dérive, (4) une clause contractuelle imposant à l'éditeur de publier ses taux d'erreur par catégorie de pièce. La supervision humaine (Art. 14) reste l'obligation centrale : un comptable doit pouvoir contrôler et corriger toute sortie de l'IA.

Quelles ressources pour comprendre l'AI Act en détail ?

Trois sources primaires suffisent au démarrage : le texte consolidé sur EUR-Lex, les 13 fiches pratiques de la CNIL, et le service desk AI Act de la Commission européenne. Pour approfondir, la norme ISO/IEC 42001:2023 fournit un cadre de management opérationnel, et les guides Cigref et Numeum (janvier-mars 2025) vulgarisent les obligations pour les entreprises françaises. Le glossaire regulia et la page sources regroupent les liens à jour.

Sources officielles

• Service Desk AI Act — Commission européenne
• Règlement (UE) 2024/1689 — EUR-Lex
• CNIL — Intelligence artificielle
• Texte consolidé AI Act — artificialintelligenceact.eu
• ISO/IEC 42001:2023 — Système de management de l'IA
• ISO/IEC 23894:2023 — Gestion des risques liés à l'IA

Pour aller plus loin : AI Act pour les PME françaises, Sanctions AI Act et calculateur, Glossaire AI Act, Sources et références.

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.