Audit AI Act PME : checklist gratuite 2026

L'essentiel en 30 secondes - L'AI Act (Règlement (UE) 2024/1689) s'applique par étapes. L'essentiel des obligations « haut risque » entre en application le 2 août 2026 [à vérifier selon l'annexe applicable]. - Le règlement définit quatre niveaux de risque : inacceptable (interdit), haut risque, risque limité, risque minimal. Aucune répartition chiffrée officielle n'existe. - Sanctions : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites (Article 99 du Règlement (UE) 2024/1689). - Checklist d'audit gratuite disponible sur /audit-conformite-ai-act-pme-checklist/. - La norme ISO/IEC 42001:2023 aide à structurer la gouvernance de vos systèmes d'IA (voir /glossaire.html).

Votre PME utilise un chatbot, un outil de scoring RH ou un moteur de recommandation. Vous entrez donc dans le champ de l'EU AI Act. Cet article détaille un audit de conformité en huit étapes, avec les articles précis à respecter. Il complète le pilier AI Act pour les PME françaises.

L'audit ne remplace pas une revue juridique. Il vous donne une cartographie claire de vos obligations et une base documentaire opposable aux autorités.

1. Étape 1 : Inventaire des modèles d'IA

Vous ne pouvez pas auditer ce que vous n'avez pas recensé. Commencez par lister chaque système d'IA en production ou en test.

• Identifiez tous les modèles d'IA utilisés, développés en interne ou fournis par des tiers.
• Classez chaque système selon son niveau de risque (voir tableau ci-dessous).
• Vérifiez vos fournisseurs tiers : contrats, marquage CE, documentation technique, certifications.

L'AI Act définit quatre catégories. La classification « haut risque » repose sur l'Article 6 et les Annexes I et III du règlement.

Niveau de risque	Exemples typiques	Base juridique	Obligation principale
Inacceptable (interdit)	Notation sociale, manipulation subliminale	Art. 5	Interdiction depuis le 2 février 2025
Haut risque	Scoring RH, biométrie, crédit	Art. 6 + Annexe III	Conformité complète (Art. 8 à 17)
Risque limité	Chatbots, contenus générés	Art. 50	Transparence envers l'utilisateur
Risque minimal	Filtres anti-spam, jeux	—	Aucune obligation spécifique

Un même outil peut relever de plusieurs régimes. Documentez votre raisonnement de classification pour chaque système.

2. Étape 2 : Évaluer les risques

Une fois l'inventaire établi, évaluez les risques de chaque système « haut risque ». L'Article 9 impose un système de gestion des risques documenté et continu.

• Analysez les impacts sur les droits fondamentaux : santé, sécurité, non-discrimination, dignité.
• Identifiez les vulnérabilités techniques : biais des données d'entraînement, robustesse, surface d'attaque.
• Évaluez les conséquences pour les personnes concernées (candidats, clients, salariés).

Pour certains systèmes à haut risque, l'Article 27 exige une analyse d'impact sur les droits fondamentaux (AIPD-DF). Elle se distingue de l'analyse d'impact RGPD (Art. 35 RGPD), sans la remplacer.

Documentez chaque risque identifié, sa probabilité, sa gravité et les mesures d'atténuation retenues.

3. Étape 3 : Documenter les processus

La documentation est le cœur de la conformité AI Act. Sans elle, vous ne pouvez pas démontrer votre diligence en cas de contrôle.

• Constituez la documentation technique du système, prévue par l'Article 11 et détaillée à l'Annexe IV.
• Définissez les procédures de mise en œuvre et de surveillance après commercialisation (Art. 72).
• Établissez des protocoles de réponse et de notification en cas d'incident grave (Art. 73).

Les systèmes à haut risque doivent également être enregistrés dans la base de données de l'UE prévue par l'Article 71. Vérifiez qui, du fournisseur ou du déployeur, porte cette obligation dans votre chaîne de valeur.

Tenez aussi des journaux d'événements (logs), imposés par l'Article 12, pour assurer la traçabilité du fonctionnement de vos modèles.

4. Étape 4 : Vérifier les mesures techniques

L'Article 15 impose un niveau approprié d'exactitude, de robustesse et de cybersécurité pour les systèmes à haut risque. Ne confondez pas cette obligation avec l'Article 32 du RGPD, qui concerne la sécurité des traitements de données.

• Implémentez des mesures de cybersécurité proportionnées aux menaces (Art. 15).
• Assurez l'interopérabilité et la supervision humaine effective (Art. 14).
• Testez vos modèles contre les biais, les erreurs et les cas limites avant et après déploiement.

La supervision humaine (Art. 14) est souvent négligée. Une personne compétente doit pouvoir comprendre, superviser et, si nécessaire, interrompre le système.

Exigence technique	Article AI Act	Ce que la PME doit prouver
Exactitude et robustesse	Art. 15	Métriques de performance documentées
Cybersécurité	Art. 15	Mesures contre l'empoisonnement, l'évasion
Supervision humaine	Art. 14	Procédure d'intervention humaine
Journalisation	Art. 12	Logs traçables et conservés

5. Étape 5 : Gérer les données personnelles

L'AI Act ne remplace pas le RGPD : les deux régimes s'appliquent simultanément. La CNIL a publié 13 fiches pratiques sur l'IA pour vous guider.

• Vérifiez la conformité RGPD, notamment la protection des données dès la conception (Art. 25 RGPD).
• Documentez les traitements de données sensibles et vos bases légales.
• Mettez en place des mesures de sécurité adéquates (Art. 32 RGPD) et une AIPD si nécessaire (Art. 35 RGPD).

Pour les systèmes à haut risque, l'Article 10 de l'AI Act ajoute des exigences de gouvernance des données d'entraînement : représentativité, pertinence, détection des biais.

Croisez systématiquement les obligations AI Act et RGPD. Une seule non-conformité peut déclencher deux régimes de sanctions distincts.

6. Étape 6 : Préparer la documentation

Vos dossiers doivent être présentables aux autorités à tout moment. En France, plusieurs autorités interviendront selon le secteur (CNIL, DGCCRF, ACPR, ARCOM…).

• Compilez la documentation technique complète (Art. 11 + Annexe IV).
• Rédigez une notice d'utilisation claire pour les déployeurs (Art. 13, transparence).
• Préparez la déclaration UE de conformité et le marquage CE lorsque requis (Art. 47 et 48).

L'Article 13 impose une transparence suffisante pour que le déployeur comprenne et utilise correctement le système. Ce n'est pas un « rapport de risques » : c'est la notice d'information.

Conservez cette documentation pendant la durée exigée après la mise sur le marché (Art. 18).

7. Étape 7 : Former les équipes

Depuis le 2 février 2025, l'Article 4 impose aux fournisseurs et déployeurs d'assurer un niveau suffisant de maîtrise de l'IA (« AI literacy ») à leur personnel.

• Organisez des formations sur l'AI Act, les risques et les usages autorisés.
• Définissez les rôles et responsabilités : DPO, RSSI, IA Lead, référents métiers.
• Mettez en place une veille réglementaire continue (actes délégués, normes harmonisées).

La formation n'est pas optionnelle. Elle constitue une obligation autonome, dont vous devez pouvoir prouver l'existence.

Consultez le glossaire regulia pour aligner le vocabulaire de vos équipes.

8. Étape 8 : Auditer et améliorer

La conformité n'est pas un état figé. L'Article 17 impose un système de gestion de la qualité, révisé en continu.

• Conduisez un audit interne régulier de tous vos systèmes à haut risque.
• Mettez en place un dispositif de retour d'information et de surveillance après commercialisation (Art. 72).
• Adaptez vos processus aux évolutions législatives et aux normes harmonisées.

La norme ISO/IEC 42001:2023 (système de management de l'IA) offre un cadre reconnu pour structurer cette amélioration continue. Elle se combine avec ISO/IEC 27001:2022 pour la sécurité.

FAQ

Quels modèles d'IA doivent être audités ?

Tous les systèmes d'IA utilisés par la PME, qu'ils soient développés en interne ou achetés auprès de tiers : chatbots, moteurs de recommandation, outils de prédiction ou de scoring. L'audit se concentre sur les systèmes classés « haut risque » (Art. 6 et Annexe III), soumis aux obligations les plus lourdes, et vérifie les obligations de transparence pour les systèmes à « risque limité » (Art. 50). Les pratiques interdites (Art. 5) doivent, elles, être supprimées.

Quelles sont les sanctions pour non-conformité ?

Les sanctions relèvent de l'Article 99 du Règlement (UE) 2024/1689. Elles atteignent jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour d'autres manquements, et jusqu'à 7,5 M€ ou 1 % pour des informations incorrectes. Pour les PME, l'Article 99, paragraphe 6, prévoit que l'amende retenue est le montant le plus faible entre le pourcentage et la somme fixe. Détails et calculateur : /ai-act-sanctions-pme-amendes/.

Dois-je avoir un DPO pour l'AI Act ?

L'AI Act ne crée pas d'obligation autonome de DPO. Cette obligation découle du RGPD (Art. 37) : elle s'applique selon la nature du traitement (suivi systématique à grande échelle, données sensibles à grande échelle, organisme public), et non selon un seuil d'effectif. Un DPO reste fortement recommandé dès que vos systèmes d'IA traitent des données personnelles à risque élevé. Voir /ai-act-pme-france/.

Quelle est la différence entre AI Act et RGPD ?

Le RGPD encadre tout traitement de données personnelles. L'AI Act encadre spécifiquement les systèmes d'IA, avec des obligations supplémentaires : gestion des risques, documentation technique, transparence, supervision humaine. Les deux régimes coexistent et s'appliquent simultanément à votre PME.

Critère	AI Act	RGPD
Champ	Systèmes d'IA	Données personnelles
Référence	Règlement (UE) 2024/1689	Règlement (UE) 2016/679
Sanction max	35 M€ / 7 % (Art. 99)	20 M€ / 4 % (Art. 83 RGPD)
Autorité FR	CNIL, DGCCRF, sectorielles	CNIL

Où trouver de l'aide pour l'audit ?

Utilisez notre checklist gratuite sur /audit-conformite-ai-act-pme-checklist/. Le service desk européen (ai-act-service-desk.ec.europa.eu) répond aux questions techniques. Pour un accompagnement, des consultants certifiés ISO/IEC 42001:2023 peuvent structurer votre démarche. Termes clés : /glossaire.html.

Sources officielles

• Texte consolidé de l'AI Act : artificialintelligenceact.eu
• Version officielle UE, Règlement (UE) 2024/1689 : eur-lex.europa.eu
• Service desk de la Commission européenne : ai-act-service-desk.ec.europa.eu
• Fiches pratiques IA de la CNIL et documentation ISO/IEC 42001:2023 : voir /sources.html

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.