Cas pratique : optimisation de flotte logistique chez transporteur PME

Une IA qui optimise les itinéraires d'une flotte à partir de critères objectifs (position, capacité, créneaux de livraison, temps de conduite réglementaires) n'est pas à haut risque au sens de l'AI Act. Elle le devient si elle répartit les tournées ou évalue les conducteurs d'après leur comportement individuel (Annexe III, point 4(b)). Dans tous les cas, le RGPD et les règles de la CNIL sur la géolocalisation des véhicules s'appliquent.

L'essentiel en 30 secondes

• Annexe III, point 4(b) : une IA qui attribue des tâches d'après le comportement ou les traits individuels des salariés, ou qui surveille et évalue leur performance ou leur comportement, est à haut risque. Selon le projet de lignes directrices de la Commission (19 mai 2026), l'attribution du travail sur des critères objectifs, comme la proximité géographique, ne l'est généralement pas.
• L'Art. 50(1) ne vise pas un outil de planification d'itinéraires : les lignes directrices de la Commission sur la transparence citent ces outils, en une seule requête, parmi les systèmes qui n'interagissent pas directement avec des personnes.
• Si le système est à haut risque, le déployeur applique l'Art. 26, dont l'information des représentants des travailleurs et des travailleurs concernés (Art. 26(7)). La FRIA de l'Art. 27 ne concerne pas un transporteur privé de marchandises.
• Géolocalisation (CNIL) : pas de contrôle de la vitesse ni de collecte hors temps de travail ; conservation de deux mois en principe, d'un an pour optimiser les tournées ; information ou consultation du CSE avant l'installation.
• Une caméra de détection de fatigue n'est pas de la reconnaissance des émotions au sens de l'AI Act (considérant 18). Elle relève du RGPD (AIPD à prévoir) et du haut risque si elle sert à évaluer la performance.
• Obligations de l'Annexe III : 2 décembre 2027 (règlement (UE) 2026/1744). Sanctions : jusqu'à 15 M€ ou 3 % du CA mondial pour un manquement du déployeur (Art. 99(4)), le montant le plus bas pour une PME.

L'optimisation de flotte par intelligence artificielle vise des trajets plus courts, moins de carburant et des tournées mieux planifiées. Pour un transporteur, la question réglementaire est de savoir si l'outil se limite à la logistique ou s'il touche aussi au travail des conducteurs : c'est ce qui change sa qualification au regard de l'AI Act.

Ce cas pratique fictif suit une PME française de transport routier qui déploie une solution d'optimisation d'itinéraires. Il détaille la qualification AI Act, les obligations RGPD liées à la géolocalisation et à la caméra de fatigue, et l'apport éventuel d'ISO/IEC 42001:2023, pour les dirigeants, DPO et responsables conformité du secteur. Pour une vue d'ensemble, voir l'article AI Act, transport et logistique : véhicules autonomes et optimisation de flotte.

1. Contexte du cas pratique : une PME de transport

La société étudiée est fictive. Elle opère dans le transport de marchandises générales. Voici son profil, donné à titre d'hypothèse.

Caractéristique	Valeur
Effectif	50 salariés (dont 32 conducteurs)
Flotte	20 poids lourds (PTAC > 7,5 t)
Zone d'activité	France métropolitaine + Benelux
Chiffre d'affaires annuel	8,4 M€
Coût carburant (avant projet)	1,2 M€/an (~14 % du CA)
Logiciel de gestion existant	TMS (Transport Management System) standard, sans module IA

Problématique opérationnelle. Les itinéraires sont planifiés manuellement par deux exploitants, avec de nombreux retours à vide.

Objectif fixé par la direction. Réduire les coûts opérationnels en 12 mois, tout en respectant la réglementation européenne sur l'intelligence artificielle, entrée en vigueur le 1er août 2024.

Cadre réglementaire applicable identifié.

• AI Act (règlement (UE) 2024/1689) : le système d'IA entre dans son champ ; son niveau de risque reste à qualifier (section 3).
• RGPD (Règlement (UE) 2016/679) : applicable dès qu'une donnée personnelle de conducteur est traitée.
• ISO/IEC 42001:2023 : norme volontaire, choisie comme cadre de gouvernance interne.
• Règlement (UE) n° 165/2014 relatif aux tachygraphes dans le transport routier : concerné si le projet exploite les données du chronotachygraphe numérique.
• Règles de la CNIL sur la géolocalisation des véhicules des salariés : finalités admises, usages exclus, durées de conservation, information du CSE.

Le guide AI Act pour les PME françaises donne un panorama plus large des obligations.

2. Les enjeux de l'optimisation de flotte avec l'IA

L'optimisation de flotte par IA repose sur trois flux de données combinés en temps réel.

1. Données véhicule : position GPS, vitesse, consommation instantanée, état moteur, données du chronotachygraphe.
2. Données externes : trafic routier, météo, restrictions de circulation, points de chargement clients.
3. Données conducteur : temps de conduite, pauses, style de conduite (freinage, accélération), parfois images d'une caméra embarquée (alerte fatigue).

Les bénéfices attendus sont concrets : réduction du carburant, baisse des émissions de CO₂, planification dynamique des tournées, anticipation des retards. Mais chaque flux soulève une question réglementaire distincte.

Type de donnée	Réglementation déclenchée	Mesure clé
Position GPS véhicule	RGPD et règles de la CNIL sur la géolocalisation (donnée indirecte de localisation du conducteur)	Information des conducteurs, information ou consultation du CSE, pas de collecte hors temps de travail
Style de conduite	AI Act (point 4(b) si le système évalue ou répartit le travail) + RGPD	Qualification AI Act, AIPD, information des conducteurs
Alerte fatigue (caméra)	RGPD (qualification des données à établir) ; pas de reconnaissance des émotions au sens de l'AI Act (considérant 18)	AIPD, finalité limitée à la sécurité, base légale documentée
Données tachygraphe	Règlement (UE) 165/2014 + RGPD	Conservation limitée, accès restreint

La PME choisit, dès le cadrage, d'exclure les caméras de détection de fatigue de la première phase. Ce choix de périmètre limite la collecte aux données nécessaires (minimisation) et réduit les contraintes de protection des données ; la caméra pourra être étudiée plus tard, après une AIPD.

3. Conformité avec l'AI Act : classification et évaluation d'impact

La première étape consiste à qualifier le système d'IA au regard du règlement (UE) 2024/1689.

3.1 Classification du système

Le point 4 de l'Annexe III (emploi, gestion des travailleurs et accès à l'emploi indépendant) vise, à son point (b), les systèmes d'IA destinés à prendre des décisions affectant les conditions des relations de travail, la promotion ou la cessation de ces relations, à attribuer des tâches d'après le comportement individuel ou des traits ou caractéristiques personnels, ou à surveiller et évaluer la performance et le comportement des personnes dans ces relations. Un système d'optimisation d'itinéraires entre dans ce point s'il répartit les tournées d'après le comportement des conducteurs (style de conduite, taux d'acceptation, ponctualité) ou s'il évalue leur performance.

Selon le projet de lignes directrices de la Commission sur la classification des systèmes à haut risque (19 mai 2026, soumis à consultation), un système qui attribue le travail sur des critères objectifs, neutres et externes liés aux exigences du poste (disponibilité, qualification requise, proximité géographique d'un lieu de livraison) n'est généralement pas à haut risque. Un système qui note les travailleurs sur le nombre de livraisons par heure, ou qui dégrade ceux qui refusent des offres, l'est. Un système utilisé exclusivement pour la sécurité ou pour protéger les biens n'entre pas dans le point 4(b) au titre de la surveillance.

Dans le scénario, la PME et son fournisseur documentent cette analyse dans un registre interne. Résultat retenu : le système n'est pas à haut risque, car il répartit les tournées sur des critères objectifs, ne note pas individuellement les conducteurs et ne sert pas de support à des décisions RH. Il n'entre pas non plus dans l'Art. 50(1) : un outil de planification d'itinéraires en une seule requête n'interagit pas directement avec des personnes selon les lignes directrices de la Commission sur la transparence. Un assistant conversationnel ajouté à l'outil serait, lui, soumis à l'Art. 50(1). Restent applicables la maîtrise de l'IA (Art. 4), les interdictions de l'Art. 5 et le RGPD.

Critère d'analyse	Réponse de la PME	Conséquence
Le système répartit-il les tournées d'après le comportement ou les traits individuels des conducteurs ?	Non : critères objectifs (position, capacité, créneaux, temps de conduite)	Hors point 4(b), attribution de tâches
Le système surveille-t-il ou évalue-t-il la performance ou le comportement des conducteurs, ou prépare-t-il une décision RH (sanction, prime) ?	Non : pas de score individuel	Hors point 4(b), surveillance et évaluation
Le système interagit-il directement avec une personne, comme un agent conversationnel ?	Non : l'exploitant et le conducteur consultent les itinéraires proposés	Art. 50(1) non applicable
Le système est-il un modèle d'IA à usage général ?	Non	Hors Chapitre V

3.2 Évaluation d'impact sur les droits fondamentaux

L'Art. 27 du règlement (UE) 2024/1689 prévoit une analyse d'impact sur les droits fondamentaux (FRIA) pour certains déployeurs de systèmes à haut risque : organismes de droit public, entités privées fournissant des services publics et déployeurs des points 5(b) et 5(c) de l'Annexe III. Un transporteur privé de marchandises n'en fait pas partie, et son système n'est pas à haut risque. La PME peut néanmoins mener une analyse volontaire de ses risques pour les conducteurs, en complément de l'AIPD du RGPD. La liste de la CNIL des traitements pour lesquels une AIPD est requise cite d'ailleurs le chronotachygraphe des véhicules de transport routier parmi les exemples de surveillance constante de l'activité des salariés.

Cette analyse couvre :

• les finalités précises du traitement et la proportionnalité des données ;
• les catégories de personnes affectées (conducteurs, exploitants, clients) ;
• les risques identifiés (biais d'attribution des tournées, surveillance excessive, perte d'autonomie) ;
• les mesures de mitigation (alternance des tournées, supervision humaine, droit de contestation).

3.3 Documentation technique et registre interne

Même pour un système hors haut risque, la PME structure une documentation interne comprenant :

• la description fonctionnelle du système ;
• les données d'entrée et de sortie ;
• les modalités de supervision humaine ;
• les indicateurs de performance et de dérive.

Cette documentation n'est pas exigée par l'AI Act pour un système hors haut risque. Elle facilite tout contrôle ultérieur et la requalification éventuelle du système si son usage évolue.

4. RGPD : protection des données des conducteurs

Le RGPD s'applique en parallèle de l'AI Act. Le système traite plusieurs catégories de données personnelles : localisation, temps de travail, comportement de conduite.

4.1 Base légale du traitement

La PME documente une base légale par finalité :

Finalité	Base légale RGPD retenue	Justification
Optimisation des tournées (efficacité)	Intérêt légitime (Art. 6(1)(f))	Mise en balance documentée ; l'optimisation des tournées figure parmi les usages de la géolocalisation pris en compte par la CNIL
Suivi du temps de conduite réglementaire	Obligation légale (Art. 6(1)(c))	Règlement (UE) n° 165/2014 sur le tachygraphe
Détection de fatigue par caméra (phase 2)	À établir avec le DPO, après AIPD	Qualification des données à déterminer ; le consentement d'un salarié est rarement libre

Les règles de la CNIL sur la géolocalisation des véhicules des salariés excluent l'usage du dispositif pour contrôler le respect des limitations de vitesse, pour contrôler un employé en permanence ou pour collecter la localisation en dehors du temps de travail. Selon les lignes directrices du CEPD sur le consentement, il est par ailleurs peu probable qu'un salarié consente librement à un système de surveillance. La caméra de fatigue n'est donc pas déployée en phase 1.

4.2 Information des conducteurs

Une note d'information spécifique est remise à chaque conducteur, et le CSE est informé ou consulté avant l'installation du dispositif. Voir l'article sur la consultation du CSE sur un système d'IA. Les informations à fournir (articles 13 et 14 du RGPD, reprises par la CNIL pour la géolocalisation) couvrent :

• identité du responsable de traitement et coordonnées du DPO ;
• finalités et bases légales pour chaque traitement ;
• catégories de données collectées et destinataires ;
• durée de conservation (la CNIL retient en principe deux mois pour les données de géolocalisation, un an pour l'optimisation des tournées et cinq ans pour le suivi du temps de travail) ;
• droits d'accès, de rectification, d'opposition pour motif légitime, et modalités de réclamation auprès de la CNIL ;
• possibilité de désactiver la collecte de la localisation en dehors du temps de travail.

4.3 Sécurité des données

Les mesures techniques et organisationnelles déployées :

• chiffrement des flux entre véhicules et serveurs ;
• chiffrement au repos sur les bases du fournisseur ;
• pseudonymisation des identifiants conducteurs dans les rapports analytiques ;
• contrôle d'accès basé sur les rôles (exploitants, direction, DPO) ;
• journalisation des accès et des opérations effectuées.

5. Mise en conformité avec ISO/IEC 42001:2023

La norme ISO/IEC 42001:2023, publiée fin 2023, est la première norme internationale dédiée aux systèmes de management de l'intelligence artificielle (« AI Management System » ou AIMS). Elle n'est pas obligatoire et ce n'est pas une norme harmonisée de l'AI Act : elle ne confère aucune présomption de conformité. Elle fournit un cadre structurant pour démontrer une gouvernance IA crédible. Voir l'article ISO 42001 et AI Act : différences et correspondances.

5.1 Identification des risques (clause 6.1.2)

La clause 6.1.2 de la norme exige une appréciation des risques liés à l'IA, documentée. Dans le scénario, la PME inventorie les risques suivants :

Risque identifié	Probabilité	Impact	Mesure de mitigation
Biais algorithmique défavorisant certains conducteurs	Moyenne	Élevé	Audit semestriel de la distribution des tournées
Dépendance excessive à un fournisseur unique	Élevée	Moyen	Clauses de réversibilité contractuelles
Fuite de données de géolocalisation	Faible	Élevé	Chiffrement, contrôle d'accès, audit annuel
Erreur d'itinéraire causant un retard client majeur	Moyenne	Moyen	Supervision humaine systématique sur tournées sensibles
Dérive du modèle sur cas particuliers (montagne, urbain dense)	Moyenne	Faible	Suivi mensuel d'indicateurs de performance par zone

5.2 Plan d'actions et traitement des risques (clause 6.1.3)

Pour chaque risque jugé non acceptable, un plan d'action assorti d'un responsable et d'une échéance est défini. La direction valide ce plan en revue de direction, conformément à la clause 9.3 de la norme.

5.3 Suivi et amélioration continue

ISO/IEC 42001 repose sur une logique d'amélioration continue. Dans le scénario, la PME met en place :

• un comité IA mensuel (direction, DPO, exploitation, IT) ;
• un tableau de bord d'indicateurs (performance, incidents, plaintes conducteurs) ;
• un audit interne annuel ;
• une revue de direction périodique (clause 9.3).

Les sanctions encourues sont détaillées sur la page Sanctions AI Act pour une PME : amendes et calcul.

6. Étapes de mise en œuvre : analyse, déploiement, suivi

Le calendrier ci-dessous est illustratif : il suit un projet de neuf mois en quatre phases.

Phase 1 — Audit initial (mois 1-2)

• Cartographie des données existantes (sources, formats, qualité).
• Analyse des processus métier (planification, suivi, facturation).
• Évaluation de la maturité IA et data des équipes.
• Identification des écarts réglementaires (AI Act, RGPD).

Phase 2 — Sélection du fournisseur (mois 3-4)

Critères de sélection retenus, par ordre de priorité :

1. Conformité documentée à l'AI Act (analyse de classification fournie).
2. Conformité RGPD (registre des traitements, hébergement UE).
3. Certification ou alignement ISO/IEC 42001:2023, comme élément de confiance et non comme preuve de conformité à l'AI Act.
4. Réversibilité contractuelle (export des données en formats ouverts).
5. Performance technique mesurable sur un essai (POC) limité dans le temps.

Étape de sélection	Livrable attendu du fournisseur
Appel d'offres	Réponse technique + clauses contractuelles AI Act
Due diligence	Documentation technique, politique de sécurité, registre RGPD
POC	Rapport de performance sur un sous-ensemble de camions
Contractualisation	DPA, clauses AI Act, SLA, plan de réversibilité

Phase 3 — Déploiement progressif (mois 5-7)

• Déploiement pilote sur quelques camions, avec des conducteurs volontaires.
• Sensibilisation des conducteurs à l'outil et à ses limites.
• Sensibilisation des exploitants à la lecture des propositions et à leur supervision (Art. 4).
• Information ou consultation du CSE avant le début du pilote, puis information collective des conducteurs.
• Extension progressive à l'ensemble de la flotte.

Phase 4 — Suivi et amélioration (mois 8-9 et au-delà)

• Suivi hebdomadaire des indicateurs opérationnels.
• Revue mensuelle des incidents et alertes conducteurs.
• Audit interne annuel ISO 42001.
• Mise à jour annuelle de la documentation interne.

7. Indicateurs de suivi et points d'attention

Indicateurs de suivi

Indicateur	Ce qu'il mesure
Coût carburant annuel	Effet de l'optimisation des itinéraires
Taux de retours à vide	Qualité de la planification et du chargement
Kilomètres parcourus par tournée	Longueur des trajets
Émissions de CO₂ (estimation)	Effet environnemental
Retours des conducteurs (enquête interne)	Acceptation de l'outil

La PME mesure ces indicateurs avant le projet, puis à intervalles réguliers. Aucun résultat chiffré n'est présenté ici : le cas est fictif.

Points d'attention et solutions

1. Complexité de l'audit initial. L'inventaire des données prend plus de temps que prévu. Solution : planifier une cartographie dédiée et, au besoin, s'appuyer sur un prestataire externe.

2. Réticences initiales des conducteurs. Crainte d'une surveillance accrue et d'une perte d'autonomie. Solution : consultation précoce du CSE, transparence sur les données collectées, engagement écrit de la direction sur l'absence d'utilisation à des fins disciplinaires en phase 1.

3. Documentation réglementaire dense. L'équipe n'a pas de profil juridique en interne. Solution : s'appuyer sur des modèles documentaires et sur un DPO, interne ou externe, associé dès le cadrage.

4. Intégration au TMS existant. L'API du TMS n'est pas conçue pour des échanges en temps réel. Solution : un middleware développé par le fournisseur, encadré par une clause d'interopérabilité.

8. Leçons apprises et bonnes pratiques

Huit recommandations issues de ce cas pratique, transposables à d'autres PME du transport.

1. Commencer par une analyse des risques avant de choisir l'outil. Le choix du fournisseur découle des risques identifiés, pas l'inverse.
2. Limiter le périmètre initial. Exclure la caméra de fatigue en phase 1 permet de tenir les délais et de bâtir la confiance.
3. Impliquer les conducteurs et le CSE dès le cadrage. La concertation précoce évite les blocages tardifs et nourrit l'adoption.
4. Documenter chaque décision de classification. Une analyse écrite, datée, signée vaut mieux qu'une justification orale en cas de contrôle.
5. Exiger des clauses AI Act dans le contrat fournisseur. Réversibilité, transmission des documentations, notification d'incidents, audits.
6. Associer un DPO dès le cadrage. Il peut être interne ou externe ; il participe à l'AIPD et au registre des traitements.
7. Aligner sa gouvernance sur ISO/IEC 42001 sans nécessairement viser la certification. La norme structure la démarche, sans valoir présomption de conformité à l'AI Act.
8. Utiliser les ressources du service desk européen. L'AI Act Service Desk de la Commission propose un outil de vérification (Compliance Checker), une foire aux questions et un formulaire de questions.

Le glossaire définit le vocabulaire technique mobilisé dans ce dossier (haut risque, déployeur, fournisseur, AIPD).

FAQ

Une IA d'optimisation de flotte est-elle à haut risque ?

En principe, non, si elle optimise les itinéraires à partir de critères objectifs (position, capacité, créneaux de livraison, temps de conduite réglementaires). Elle relève du point 4(b) de l'Annexe III, donc du haut risque, si elle répartit les tournées d'après le comportement ou les traits individuels des conducteurs, ou si elle surveille et évalue leur performance ou leur comportement. L'Art. 50(1) ne s'applique pas à un outil de planification d'itinéraires qui n'interagit pas directement avec des personnes. La qualification doit être documentée. Le guide AI Act pour les PME françaises détaille les critères.

Une caméra de détection de fatigue exige-t-elle le consentement des conducteurs ?

Le consentement est rarement une base adaptée : selon les lignes directrices du CEPD sur le consentement, il est peu probable qu'un salarié consente librement à un système de surveillance sur le lieu de travail. Une caméra de détection de fatigue n'est pas de la reconnaissance des émotions au sens de l'AI Act (considérant 18). Au regard du RGPD, la qualification des données (biométriques ou non), la base légale et l'AIPD se déterminent avec le DPO. Si le système sert à évaluer la performance des conducteurs, il relève du haut risque (point 4(b)). Limiter ou différer ces dispositifs reste la voie la plus sûre.

Quelles sont les sanctions pour non-conformité avec l'AI Act ?

L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Un système d'optimisation d'itinéraires hors haut risque n'est pas soumis aux obligations du déployeur de l'Art. 26. Voir la page Sanctions AI Act pour une PME : amendes et calcul.

Comment ISO/IEC 42001:2023 aide-t-elle à la conformité avec l'AI Act ?

ISO/IEC 42001:2023 fournit un système de management de l'IA structuré : politique IA, appréciation des risques (clause 6.1.2), traitement des risques (clause 6.1.3), évaluation d'impact des systèmes d'IA (clauses 6.1.4 et 8.4), amélioration continue. Elle aide à organiser la gouvernance et à constituer des preuves, même sans certification. Ce n'est pas une norme harmonisée de l'AI Act : elle ne donne aucune présomption de conformité et, selon la FAQ de la Commission sur la normalisation, ses objectifs et ses définitions ne sont pas alignés sur le système de gestion de la qualité exigé par l'AI Act. Elle ne remplace pas les obligations légales.

Où trouver de l'aide pour la mise en conformité ?

L'AI Act Service Desk de la Commission européenne propose un outil de vérification (Compliance Checker), une foire aux questions et un formulaire de questions. La CNIL publie des fiches pratiques sur l'IA et une fiche sur la géolocalisation des véhicules des salariés. La page sources recense les ressources officielles utiles, et le glossaire lève les ambiguïtés terminologiques.

Sources officielles

• Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
• Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
• Règlement (UE) 2016/679 (RGPD) — EUR-Lex
• AI Act Service Desk — Commission européenne
• CNIL — La géolocalisation des véhicules des salariés
• CNIL — Liste des types d'opérations de traitement pour lesquelles une AIPD est requise
• CNIL — Lignes directrices 5/2020 du CEPD sur le consentement
• CNIL — Fiches pratiques IA
• Commission européenne — Projet de lignes directrices sur la classification des systèmes à haut risque (19 mai 2026)
• Commission européenne — Lignes directrices sur les obligations de transparence (Article 50), 20 juillet 2026
• Commission européenne — FAQ sur la normalisation de l'AI Act
• ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle

Ressources internes complémentaires : le guide AI Act pour les PME françaises, la page sanctions et amendes AI Act, le glossaire et la page sources.

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.