Cas pratique : optimisation de flotte logistique chez transporteur PME

L'essentiel en 30 secondes - Une PME de transport (50 salariés, 20 camions) a réduit ses coûts opérationnels de 15 % grâce à un système d'IA d'optimisation d'itinéraire, tout en sécurisant sa conformité réglementaire. - L'AI Act impose une évaluation d'impact pour les systèmes traitant des données personnelles de conducteurs (Article 27 du Règlement (UE) 2024/1689). - Le RGPD exige un consentement explicite ou une base légale alternative robuste pour le traitement des données biométriques des conducteurs (article 9 du RGPD). - ISO/IEC 42001:2023 structure la gestion des risques liés à l'IA via un système de management dédié (clause 6.1.2). - Les sanctions pour non-conformité à l'AI Act peuvent atteindre 7 % du chiffre d'affaires annuel mondial (Article 99 du Règlement (UE) 2024/1689). - L'AI Act Service Desk de la Commission européenne (ai-act-service-desk.ec.europa.eu) fournit un accompagnement gratuit aux PME.

L'optimisation de flotte par intelligence artificielle promet des gains rapides : moins de carburant, des trajets plus courts, une meilleure satisfaction client. Pour une PME de transport, ces gains se chiffrent souvent en dizaines de milliers d'euros par an. Mais déployer un tel système sans cadre réglementaire expose l'entreprise à des sanctions lourdes et à une perte de confiance des conducteurs.

Ce cas pratique retrace, étape par étape, comment une PME française de transport routier a déployé une solution d'optimisation d'itinéraire conforme à l'EU AI Act, au RGPD et à ISO/IEC 42001:2023. L'objectif : fournir un schéma reproductible pour les dirigeants, DPO et responsables conformité qui s'apprêtent à franchir ce pas.

1. Contexte du cas pratique : une PME de transport

La société étudiée — anonymisée pour les besoins de cet article — opère dans le transport de marchandises générales. Voici son profil opérationnel.

Caractéristique	Valeur
Effectif	50 salariés (dont 32 conducteurs)
Flotte	20 poids lourds (PTAC > 7,5 t)
Zone d'activité	France métropolitaine + Benelux
Chiffre d'affaires annuel	8,4 M€
Coût carburant (avant projet)	1,2 M€/an (~14 % du CA)
Logiciel de gestion existant	TMS (Transport Management System) standard, sans module IA

Problématique opérationnelle. Les itinéraires étaient planifiés manuellement par deux exploitants, avec un taux de retours à vide proche de 22 % et une consommation moyenne supérieure de 8 % à la moyenne sectorielle française.

Objectif fixé par la direction. Réduire les coûts opérationnels de 10 % en 12 mois, tout en respectant strictement la réglementation européenne sur l'intelligence artificielle entrée en vigueur le 1ᵉʳ août 2024.

Cadre réglementaire applicable identifié.

• EU AI Act (Règlement (UE) 2024/1689) : applicable car le système prend des décisions automatisées affectant des travailleurs.
• RGPD (Règlement (UE) 2016/679) : applicable dès qu'une donnée personnelle de conducteur est traitée.
• ISO/IEC 42001:2023 : norme volontaire, choisie comme cadre de gouvernance interne.
• Règlement européen (UE) 165/2014 sur les tachygraphes : applicable car le projet exploite les données issues du chronotachygraphe numérique.

Pour un panorama plus large des obligations qui pèsent sur les PME, consultez notre guide AI Act pour les PME françaises.

2. Les enjeux de l'optimisation de flotte avec l'IA

L'optimisation de flotte par IA repose sur trois flux de données combinés en temps réel.

1. Données véhicule : position GPS, vitesse, consommation instantanée, état moteur, données du chronotachygraphe.
2. Données externes : trafic routier, météo, restrictions de circulation, points de chargement clients.
3. Données conducteur : temps de conduite, pauses, style de conduite (freinage, accélération), parfois données biométriques (alerte fatigue par caméra embarquée).

Les bénéfices attendus sont concrets : réduction du carburant, baisse des émissions de CO₂, planification dynamique des tournées, anticipation des retards. Mais chaque flux soulève une question réglementaire distincte.

Type de donnée	Réglementation déclenchée	Mesure clé
Position GPS véhicule	RGPD (donnée indirecte de localisation conducteur)	Information préalable + base légale
Style de conduite	AI Act + RGPD	Évaluation d'impact + transparence
Alerte fatigue (caméra)	RGPD article 9 (biométrie) + AI Act	Consentement explicite ou exception légale strictement encadrée
Données tachygraphe	Règlement (UE) 165/2014 + RGPD	Conservation limitée, accès restreint

La PME a fait le choix, dès le cadrage, d'exclure les caméras de détection de fatigue de la première phase pour limiter les contraintes liées à la biométrie. Ce choix de périmètre est une décision de gouvernance courante et recommandée par la CNIL dans ses fiches pratiques IA.

3. Conformité avec l'AI Act : classification et évaluation d'impact

La première étape de mise en conformité consiste à classifier le système d'IA selon les catégories définies par le Règlement (UE) 2024/1689.

3.1 Classification du système

Un système d'optimisation d'itinéraire qui prend en compte les temps de conduite des salariés et oriente leur travail entre dans le champ de l'Annexe III, point 4 de l'AI Act : « systèmes d'IA destinés à être utilisés pour la gestion des travailleurs ». Il est donc classé haut risque s'il est utilisé pour évaluer la performance des conducteurs ou affecter leur travail.

Si le système se limite à proposer des itinéraires sans évaluation individuelle des conducteurs et sans incidence directe sur leurs conditions de travail, il peut relever de la catégorie risque limité (Art. 50 du Règlement (UE) 2024/1689), avec obligations de transparence uniquement.

La PME et son fournisseur ont documenté formellement cette analyse de classification dans un registre interne. Le résultat retenu : risque limité, car le système ne note pas individuellement les conducteurs et ne sert pas de support à des décisions RH.

Critère d'analyse	Réponse de la PME	Conséquence
Le système évalue-t-il individuellement les conducteurs ?	Non	Sort de l'Annexe III §4
Le système prend-il une décision RH (sanction, prime) ?	Non	Pas de classification haut risque
Le système interagit-il directement avec une personne ?	Oui (exploitant + conducteur via tablette)	Obligation de transparence (Art. 50)
Le système est-il un modèle d'IA à usage général ?	Non	Hors Chapitre V

3.2 Évaluation d'impact sur les droits fondamentaux

L'Article 27 du Règlement (UE) 2024/1689 prévoit une obligation d'évaluation d'impact sur les droits fondamentaux (« fundamental rights impact assessment ») pour certains déployeurs de systèmes à haut risque, notamment les organismes publics. Bien que la PME ne soit pas formellement soumise à cette obligation au titre de l'Art. 27, elle a choisi de réaliser une analyse volontaire alignée sur cette logique, en combinaison avec son analyse d'impact RGPD.

Cette analyse couvre : - les finalités précises du traitement et la proportionnalité des données ; - les catégories de personnes affectées (conducteurs, exploitants, clients) ; - les risques identifiés (biais d'attribution des tournées, surveillance excessive, perte d'autonomie) ; - les mesures de mitigation (alternance des tournées, supervision humaine, droit de contestation).

3.3 Documentation technique et registre interne

Même pour un système à risque limité, la PME a structuré une documentation comprenant : - la description fonctionnelle du système ; - les données d'entrée et de sortie ; - les modalités de supervision humaine ; - les indicateurs de performance et de dérive.

Cette documentation est exigée à des degrés divers selon la classification, mais sa tenue facilite tout contrôle ultérieur par une autorité nationale.

4. RGPD : protection des données des conducteurs

Le RGPD s'applique en parallèle de l'AI Act. Le système traite plusieurs catégories de données personnelles : localisation, temps de travail, comportement de conduite.

4.1 Base légale du traitement

La PME a documenté deux bases légales distinctes selon la finalité :

Finalité	Base légale RGPD retenue	Justification
Optimisation des tournées (efficacité)	Intérêt légitime (art. 6.1.f)	Balance des intérêts documentée, opt-out possible sur certaines fonctions
Suivi du temps de conduite réglementaire	Obligation légale (art. 6.1.c)	Règlement (UE) 165/2014 sur le tachygraphe
Détection de fatigue par caméra (phase 2)	Consentement explicite (art. 9.2.a)	Donnée biométrique au sens de l'article 9 RGPD

La CNIL recommande, pour la surveillance des salariés, de privilégier les solutions les moins intrusives et de documenter rigoureusement la balance des intérêts. La caméra de fatigue n'a donc pas été déployée en phase 1.

4.2 Information des conducteurs

Une note d'information spécifique a été remise à chaque conducteur, et un avenant au règlement intérieur a été préparé après consultation du CSE. Les éléments obligatoires (article 13 du RGPD) couverts :

• identité du responsable de traitement et coordonnées du DPO ;
• finalités et bases légales pour chaque traitement ;
• catégories de données collectées et destinataires ;
• durée de conservation (24 mois pour les données de tournées, 1 an pour les données comportementales) ;
• droits d'accès, de rectification, d'opposition, et modalités de réclamation auprès de la CNIL.

4.3 Sécurité des données

Les mesures techniques et organisationnelles déployées :

• chiffrement TLS 1.3 pour les flux entre véhicules et serveurs ;
• chiffrement AES-256 au repos sur les bases du fournisseur ;
• pseudonymisation des identifiants conducteurs dans les rapports analytiques ;
• contrôle d'accès basé sur les rôles (exploitants, direction, DPO) ;
• journalisation des accès conservée 6 mois.

5. Mise en conformité avec ISO/IEC 42001:2023

La norme ISO/IEC 42001:2023, publiée fin 2023, est la première norme internationale dédiée aux systèmes de management de l'intelligence artificielle (« AI Management System » ou AIMS). Elle n'est pas obligatoire, mais constitue un cadre structurant pour démontrer une gouvernance IA crédible.

5.1 Identification des risques (clause 6.1.2)

La clause 6.1.2 de la norme exige une évaluation des risques IA documentée. La PME a inventorié les risques suivants :

Risque identifié	Probabilité	Impact	Mesure de mitigation
Biais algorithmique défavorisant certains conducteurs	Moyenne	Élevé	Audit semestriel de la distribution des tournées
Dépendance excessive à un fournisseur unique	Élevée	Moyen	Clauses de réversibilité contractuelles
Fuite de données de géolocalisation	Faible	Élevé	Chiffrement, contrôle d'accès, audit annuel
Erreur d'itinéraire causant un retard client majeur	Moyenne	Moyen	Supervision humaine systématique sur tournées sensibles
Dérive du modèle sur cas particuliers (montagne, urbain dense)	Moyenne	Faible	Suivi mensuel d'indicateurs de performance par zone

5.2 Plan d'actions et traitement des risques (clause 6.2)

Pour chaque risque jugé non acceptable, un plan d'action assorti d'un responsable et d'une échéance a été défini. La direction valide ce plan en revue de direction trimestrielle, conformément à la clause 9.3 de la norme.

5.3 Suivi et amélioration continue

ISO/IEC 42001 impose une logique d'amélioration continue. Concrètement, la PME a mis en place :

• un comité IA mensuel (direction, DPO, exploitation, IT) ;
• un tableau de bord d'indicateurs (performance, incidents, plaintes conducteurs) ;
• un audit interne annuel ;
• une revue de direction semestrielle.

Pour aller plus loin sur les sanctions encourues en cas de non-conformité, lisez notre analyse détaillée sur les sanctions AI Act pour les PME et amendes.

6. Étapes de mise en œuvre : analyse, déploiement, suivi

La PME a structuré son projet sur 9 mois en quatre phases.

Phase 1 — Audit initial (mois 1-2)

• Cartographie des données existantes (sources, formats, qualité).
• Analyse des processus métier (planification, suivi, facturation).
• Évaluation de la maturité IA et data des équipes.
• Identification des écarts réglementaires (AI Act, RGPD).

Phase 2 — Sélection du fournisseur (mois 3-4)

Critères de sélection retenus, par ordre de priorité :

1. Conformité documentée à l'AI Act (analyse de classification fournie).
2. Conformité RGPD (registre des traitements, hébergement UE).
3. Certification ou alignement ISO/IEC 42001:2023.
4. Réversibilité contractuelle (export des données en formats ouverts).
5. Performance technique mesurable sur un POC de 30 jours.

Étape de sélection	Livrable attendu du fournisseur
Appel d'offres	Réponse technique + clauses contractuelles AI Act
Due diligence	Documentation technique, politique de sécurité, registre RGPD
POC	Rapport de performance sur 30 jours, sur un sous-ensemble de 5 camions
Contractualisation	DPA, clauses AI Act, SLA, plan de réversibilité

Phase 3 — Déploiement progressif (mois 5-7)

• Déploiement sur 5 camions volontaires (pilote).
• Formation des conducteurs (2 sessions de 2 heures par groupe).
• Formation des exploitants (4 sessions de 4 heures).
• Sensibilisation du CSE et information collective.
• Extension progressive aux 20 camions sur 8 semaines.

Phase 4 — Suivi et amélioration (mois 8-9 et au-delà)

• Suivi hebdomadaire des indicateurs opérationnels.
• Revue mensuelle des incidents et alertes conducteurs.
• Audit interne annuel ISO 42001.
• Mise à jour annuelle de la documentation AI Act.

7. Bénéfices et défis rencontrés

Bénéfices quantifiés sur 12 mois

Indicateur	Avant projet	Après 12 mois	Variation
Coût carburant annuel	1 200 000 €	1 020 000 €	-15 %
Taux de retours à vide	22 %	14 %	-8 points
Kilomètres parcourus par tournée (moyenne)	412 km	374 km	-9 %
Émissions CO₂ (estimation)	~3 200 t	~2 720 t	-15 %
Satisfaction conducteurs (enquête interne)	6,2/10	7,4/10	+1,2 point

Ces gains sont issus d'une étude interne menée par la PME, non auditée par un tiers indépendant [à vérifier pour publication externe].

Défis rencontrés et solutions

1. Complexité de l'audit initial. L'inventaire des données s'est révélé plus long que prévu (6 semaines au lieu de 3). Solution adoptée : mobilisation d'un consultant externe pour accélérer la cartographie.

2. Réticences initiales des conducteurs. Crainte d'une surveillance accrue et d'une perte d'autonomie. Solution : consultation précoce du CSE, transparence totale sur les données collectées, engagement écrit de la direction sur l'absence d'utilisation à des fins disciplinaires en phase 1.

3. Documentation réglementaire dense. L'équipe n'avait pas de profil juridique en interne. Solution : recours à des modèles documentaires éprouvés et accompagnement par un DPO externe mutualisé.

4. Intégration au TMS existant. L'API du TMS n'était pas conçue pour des échanges temps réel. Solution : développement d'un middleware par le fournisseur, à coût maîtrisé grâce à la clause d'interopérabilité.

8. Leçons apprises et bonnes pratiques

Huit recommandations issues de ce cas pratique, transposables à d'autres PME du transport.

1. Commencer par une analyse des risques avant de choisir l'outil. Le choix du fournisseur découle des risques identifiés, pas l'inverse.
2. Limiter le périmètre initial. Exclure la biométrie en phase 1 a permis de tenir les délais et de bâtir la confiance.
3. Impliquer les conducteurs et le CSE dès le cadrage. La concertation précoce évite les blocages tardifs et nourrit l'adoption.
4. Documenter chaque décision de classification. Une analyse écrite, datée, signée vaut mieux qu'une justification orale en cas de contrôle.
5. Exiger des clauses AI Act dans le contrat fournisseur. Réversibilité, transmission des documentations, notification d'incidents, audits.
6. Mutualiser le DPO si la PME n'en a pas en interne. L'externalisation reste possible et économique pour les structures de moins de 250 salariés.
7. Aligner sa gouvernance sur ISO/IEC 42001 sans nécessairement viser la certification. Le cadre normatif structure la démarche sans le coût d'une certification formelle.
8. Utiliser les ressources gratuites du service desk européen. L'AI Act Service Desk de la Commission accompagne spécifiquement les PME (ai-act-service-desk.ec.europa.eu).

Pour mieux maîtriser le vocabulaire technique mobilisé dans ce dossier (haut risque, GPAI, déployeur, fournisseur), consultez notre glossaire.

FAQ

Q : Quelle est la classification de mon système d'IA pour optimisation de flotte ?

Pour une PME utilisant un système d'IA d'optimisation d'itinéraire sans évaluer individuellement la performance des conducteurs, le système relève généralement de la catégorie risque limité (Art. 50 du Règlement (UE) 2024/1689). Cela impose des obligations de transparence vis-à-vis des utilisateurs, mais pas les exigences lourdes des systèmes à haut risque. Si le système sert à noter ou orienter les conducteurs (gestion RH), il bascule en haut risque au titre de l'Annexe III §4. La classification doit être documentée formellement. Notre guide AI Act pour PME détaille les critères.

Q : Dois-je obtenir le consentement des conducteurs pour utiliser leurs données biométriques ?

Oui. Le traitement des données biométriques (reconnaissance faciale, empreintes, détection de fatigue par caméra) relève de l'article 9 du RGPD, qui interdit par principe leur traitement sauf exceptions strictement encadrées. Le consentement explicite (art. 9.2.a) est l'une de ces exceptions, mais en contexte salarial, la CNIL considère que ce consentement est rarement libre. D'autres bases peuvent s'appliquer (sécurité, obligation légale), mais elles exigent une justification renforcée. Limiter, voire éviter ces dispositifs reste la voie la plus sûre.

Q : Quelles sont les sanctions pour non-conformité avec l'AI Act ?

Les sanctions maximales prévues par l'Article 99 du Règlement (UE) 2024/1689 atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial (le plus élevé des deux) pour les pratiques interdites de l'Article 5. Pour les manquements aux obligations applicables aux systèmes à haut risque ou aux modèles d'IA à usage général, les plafonds sont de 15 millions d'euros ou 3 % du CA. Les PME peuvent voir ces plafonds adaptés (Art. 99.6), mais le risque financier reste majeur. Consultez notre article complet sur les sanctions AI Act pour PME.

Q : Comment ISO/IEC 42001:2023 aide-t-elle à la conformité avec l'AI Act ?

ISO/IEC 42001:2023 fournit un système de management de l'IA structuré : politique IA, analyse des risques (clause 6.1.2), plan de traitement (clause 6.2), supervision humaine, amélioration continue. Ce cadre opérationnel s'aligne avec les exigences de l'AI Act en matière de gouvernance, documentation et gestion des risques. Adopter ISO 42001, même sans certification formelle, facilite la démonstration de conformité lors d'un contrôle. La norme ne remplace toutefois pas les obligations légales spécifiques de l'AI Act.

Q : Où puis-je trouver de l'aide pour la mise en conformité ?

L'AI Act Service Desk de la Commission européenne (ai-act-service-desk.ec.europa.eu) propose un accompagnement gratuit, particulièrement adapté aux PME. La CNIL publie 13 fiches pratiques IA très opérationnelles sur cnil.fr. Les fédérations professionnelles du transport (FNTR, OTRE, Union TLF) diffusent des guides sectoriels. Notre page sources recense les ressources officielles utiles, et notre glossaire lève les ambiguïtés terminologiques.

Sources officielles

• Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 (EU AI Act) — EUR-Lex
• AI Act Service Desk — Commission européenne
• CNIL — Traitement des données biométriques
• ISO/IEC 42001:2023 — Systèmes de management de l'intelligence artificielle

Ressources internes complémentaires : notre pillar AI Act pour les PME françaises, notre dossier sanctions et amendes AI Act, notre glossaire et la liste exhaustive de nos sources.

---

Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.