La CNIL ne publie pas de règle propre aux PME : elle explique comment appliquer le RGPD aux systèmes d'IA, dans ses fiches pratiques (13 fiches, centrées sur le développement de systèmes d'IA) et dans son guide « IA : comment être en conformité avec le RGPD ? ». Pour une PME qui utilise ou développe de l'IA, l'essentiel est de fixer une finalité, une base légale, une durée de conservation, des mesures de sécurité et l'information des personnes, avec une AIPD si le risque est élevé. Ces règles s'ajoutent à celles de l'AI Act : maîtrise de l'IA (Art. 4, depuis le 2 février 2025), transparence (Art. 50, depuis le 2 août 2026) et haut risque (Annexe III, à partir du 2 décembre 2027).
L'essentiel en 30 secondes
- La CNIL publie 13 fiches pratiques et un guide « IA : comment être en conformité avec le RGPD ? » : ils expliquent comment appliquer le RGPD aux systèmes d'IA, du développement à l'exploitation. Ils ne remplacent pas l'AI Act.
- Principes à fixer pour chaque système d'IA : finalité, base légale, minimisation des données, durée de conservation, sécurité, information et droits des personnes, évaluation du système, prévention des biais.
- Une AIPD (Art. 35 RGPD) est requise lorsque le traitement est susceptible d'engendrer un risque élevé. La FRIA de l'AI Act (Art. 27) la complète pour certains déployeurs de systèmes à haut risque.
- Calendrier de l'AI Act : maîtrise de l'IA (Art. 4) depuis le 2 février 2025, transparence (Art. 50) depuis le 2 août 2026, haut risque de l'Annexe III à partir du 2 décembre 2027 (règlement (UE) 2026/1744).
- Sanctions AI Act (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux. Le RGPD s'y ajoute (jusqu'à 20 M€ ou 4 %).
- Pour une PME, une démarche progressive suffit pour démarrer : cartographier les systèmes d'IA, documenter chaque traitement de données personnelles, suivre les publications de la CNIL et de la Commission.
1. Contexte législatif : AI Act et RGPD en 2026
1.1 L'AI Act, un règlement à entrée en application progressive
Le règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établit des règles harmonisées concernant l'intelligence artificielle. Publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1ᵉʳ août 2024. Son application se déploie par étapes, jusqu'au 2 août 2028 pour l'essentiel. Il a été modifié par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026 : voir le calendrier de l'AI Act.
Les PME françaises sont concernées dès lors qu'elles déploient, fournissent ou importent un système d'IA sur le marché de l'Union. Le règlement repose sur une logique de classification par niveau de risque : pratiques interdites, systèmes à haut risque, systèmes à risque limité et systèmes à risque minimal.
| Étape | Date d'entrée en application | Périmètre |
|---|---|---|
| Interdictions (Art. 5) | 2 février 2025 | Pratiques d'IA prohibées |
| Modèles à usage général (Art. 53-55) | 2 août 2025 | Fournisseurs de GPAI |
| Gouvernance et sanctions (Art. 99) | 2 août 2025 | Régime de sanctions (amendes de la Commission aux fournisseurs de GPAI, Art. 101 : 2 août 2026) |
| Transparence (Art. 50) | 2 août 2026 | Chatbots, hypertrucages, textes publiés d'intérêt public |
| Nouvelles interdictions (Art. 5) et marquage des contenus (Art. 50(2)) pour les systèmes déjà sur le marché | 2 décembre 2026 | Contenus intimes non consentis ou pédocriminels ; marquage lisible par machine |
| Systèmes à haut risque (Annexe III) | 2 décembre 2027 | Recrutement, biométrie, scoring crédit |
| Systèmes à haut risque (Annexe I) | 2 août 2028 | Produits soumis à harmonisation UE |
1.2 L'articulation avec le RGPD
L'AI Act ne remplace pas le règlement (UE) 2016/679 (RGPD). Les deux textes s'appliquent en parallèle dès lors qu'un système d'IA traite des données personnelles (voir RGPD et AI Act : articuler les deux règlements). La CNIL est compétente pour les données personnelles traitées par les systèmes d'IA. L'AI Act prévoit que chaque État membre désigne ses autorités nationales compétentes (Art. 70) : voir l'article autorités compétentes en France.
Pour une PME, cette articulation signifie deux régimes documentaires : une analyse d'impact relative à la protection des données (AIPD) au titre de l'Article 35 du RGPD et, pour les systèmes à haut risque, les exigences de l'AI Act (système de gestion des risques côté fournisseur, FRIA pour certains déployeurs).
1.3 Le régime de sanctions
L'Article 99 du Règlement (UE) 2024/1689 prévoit trois paliers d'amendes administratives :
- jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour violation des pratiques interdites (Art. 5) ;
- jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial annuel pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50) ;
- jusqu'à 7,5 M€ ou 1 % du chiffre d'affaires mondial annuel pour fourniture d'informations inexactes, incomplètes ou trompeuses.
Pour les PME et les jeunes entreprises, le règlement prévoit que le montant retenu correspond au plus bas des deux plafonds (Art. 99(6)). Les petites entreprises de taille intermédiaire bénéficient de la même règle pour les deux paliers les plus bas (Art. 99(6a)). La page sanctions AI Act pour les PME propose un calculateur.
2. Recommandations clés de la CNIL pour les PME
La CNIL publie ses recommandations sous forme de fiches pratiques (13 à ce jour), centrées sur le développement de systèmes d'IA, et d'un guide qui distingue la phase de développement et la phase d'exploitation d'un système d'IA.
2.1 Évaluation des risques
Il est prudent de cartographier chaque système d'IA en service ou en projet. Pour chaque système, l'évaluation porte sur la finalité poursuivie (que la CNIL invite à définir avant la conception), la nature des données traitées, la base légale du traitement et l'impact potentiel sur les personnes concernées.
L'AIPD (Art. 35 RGPD) se conduit avant le traitement. Elle est requise lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. La CNIL publie la liste des traitements pour lesquels elle est requise et propose un logiciel PIA pour la conduire.
2.2 Documentation technique et juridique
La documentation constitue le socle de la conformité. L'Article 11 du règlement (UE) 2024/1689 impose au fournisseur d'un système à haut risque une documentation technique, dont le contenu est précisé à l'Annexe IV. Cette documentation comprend une description du système, de ses composants, de ses données d'entraînement et de ses performances.
En parallèle, le RGPD exige un registre des activités de traitement (Article 30) et, le cas échéant, une AIPD (Article 35). Il est possible de mutualiser ces exercices documentaires pour éviter les redondances : l'Art. 27(4) de l'AI Act prévoit d'ailleurs que la FRIA complète une AIPD déjà réalisée (voir FRIA et DPIA : différences). Le modèle de registre des systèmes d'IA peut servir de base.
2.3 Maîtrise de l'IA du personnel
L'Article 4 du règlement (UE) 2024/1689, applicable depuis le 2 février 2025, demande aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel et des personnes qui utilisent des systèmes d'IA pour leur compte, en tenant compte de leurs connaissances, de leur expérience et du contexte d'usage. L'obligation n'exige pas de garantir un niveau donné pour chaque personne. Cette obligation concerne toutes les organisations, indépendamment de la classification de risque de leurs systèmes.
2.4 Contrôle humain et gestion des incidents
Le RGPD (Art. 22) encadre les décisions individuelles entièrement automatisées. L'AI Act demande (Art. 14) que les systèmes à haut risque soient conçus pour permettre une supervision humaine effective, et (Art. 26(2)) que le déployeur la confie à des personnes compétentes. Une personne habilitée doit pouvoir comprendre, superviser et, le cas échéant, écarter la décision produite par le système d'IA.
L'Article 73 impose aux fournisseurs de systèmes à haut risque de signaler les incidents graves ; le déployeur informe le fournisseur puis les autorités (Art. 26(5)). Un plan de gestion des incidents, y compris des violations de données (Art. 33 RGPD), est une bonne pratique pour toute PME. La traçabilité des décisions et la conservation des journaux le facilitent.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 30 novembre, puis 99 €.
Créer mon pack — 29 €3. Étapes pratiques pour la mise en conformité
3.1 Audit des systèmes d'IA en place
La première étape consiste à recenser tous les systèmes d'IA utilisés dans l'entreprise. Cela inclut les outils internes développés par l'entreprise, les solutions SaaS intégrant des fonctions d'IA et les modèles à usage général tels que les assistants conversationnels.
Pour chaque système identifié, l'audit relève :
- La finalité métier du système.
- Les données utilisées en entrée et en sortie.
- Le fournisseur du système et son rôle au sens de l'AI Act.
- La classification de risque applicable (interdit, haut risque, risque limité, risque minimal).
- Le statut de conformité actuel et les écarts constatés.
3.2 Définition des processus de gouvernance
La gouvernance de l'IA peut s'appuyer sur un comité interne, par exemple composé de la direction, du DPO, du RSSI et d'un référent métier. La norme ISO/IEC 42001:2023 fournit un cadre de management des systèmes d'IA utilisable comme référence par les PME, même en l'absence de certification. Elle est volontaire et ne donne pas de présomption de conformité à l'AI Act.
Le comité valide les nouveaux projets d'IA, suit les indicateurs de risque et révise périodiquement la cartographie des systèmes.
3.3 Mise à jour des politiques de protection des données
Les politiques internes existantes (politique de confidentialité, charte informatique, contrats avec les sous-traitants) doivent être adaptées pour intégrer les spécificités des traitements par IA. Pour les sous-traitants fournissant des solutions d'IA, une clause précise les responsabilités respectives au titre de l'Article 28 du RGPD et, pour les systèmes à haut risque, des Articles 16 à 27 du règlement (UE) 2024/1689. Voir le modèle de charte IA pour l'encadrement des usages internes.
4. Outils et ressources disponibles
4.1 Le service desk européen de l'AI Act
La Commission européenne met à disposition un service desk dédié à l'AI Act, accessible à l'adresse ai-act-service-desk.ec.europa.eu. Il permet de poser des questions sur l'interprétation du règlement et propose un explorateur du texte, un outil de vérification (Compliance Checker) et une FAQ.
4.2 Les fiches pratiques de la CNIL
Les treize fiches pratiques de la CNIL couvrent notamment : la détermination du cadre juridique applicable, les finalités, la qualification des acteurs, la base légale (dont l'intérêt légitime), l'AIPD, la conception, la collecte et la gestion des données, l'information et les droits des personnes, l'annotation, la sécurité et le statut des modèles au regard du RGPD.
4.3 Les outils d'auto-évaluation
Plusieurs outils gratuits permettent une première évaluation. Le Compliance Checker du service desk de la Commission européenne aide à situer ses systèmes au regard de l'AI Act. La CNIL propose un logiciel PIA téléchargeable pour la conduite d'AIPD.
| Outil | Source | Usage |
|---|---|---|
| Service desk AI Act | Commission européenne | Questions d'interprétation |
| Fiches pratiques IA | CNIL | Conformité RGPD-IA |
| Outil PIA | CNIL | Conduite d'AIPD |
| Compliance Checker | Service desk, Commission européenne | Première évaluation de sa situation |
5. Exemples concrets de mise en œuvre
5.1 PME utilisant l'IA pour le recrutement
Le tri automatisé de CV par un système d'IA est classé à haut risque au titre du point 4 a) de l'Annexe III du règlement (UE) 2024/1689, avec des obligations applicables à partir du 2 décembre 2027. La PME déployeuse est alors soumise aux obligations de l'Article 26 : conservation des journaux pendant au moins six mois, supervision humaine confiée à des personnes compétentes, information des candidats et coopération avec les autorités.
Le fournisseur du logiciel reste responsable de la conformité du système (Article 16 et exigences des Articles 8 à 15) : documentation technique, système de gestion des risques, système de gestion de la qualité, marquage CE. L'enregistrement dans la base de l'UE lui incombe également.
5.2 PME utilisant l'IA pour la relation client
Un assistant conversationnel destiné à dialoguer avec les clients relève généralement du risque limité. L'Article 50(1) demande au fournisseur de concevoir le système de façon que les personnes soient informées qu'elles interagissent avec une IA, sauf si cela est évident. La PME qui déploie l'assistant vérifie que cette information est bien mise en œuvre ; si elle développe ou fait développer son propre assistant sous son nom, elle devient fournisseur.
Lorsque l'assistant traite des données personnelles, le RGPD s'applique pleinement. La PME identifie une base légale (Article 6 du RGPD), informe les personnes concernées (Article 13) et met en place les mesures de sécurité appropriées (Article 32).
5.3 PME utilisant l'IA pour l'analyse de données
L'utilisation d'outils d'analyse prédictive sur des données métier (prévisions de ventes, optimisation des stocks) relève en général du risque minimal lorsqu'aucune donnée personnelle n'est traitée. L'obligation de maîtrise de l'IA par le personnel (Article 4) reste applicable ; la documentation interne et la gouvernance sont des bonnes pratiques.
Si le système traite des données personnelles indirectes, par exemple via des données clients agrégées, la PME conduit une AIPD si le risque pour les personnes est élevé.
6. Les erreurs à éviter
6.1 Ignorer la classification de risque
Une erreur à éviter consiste à appliquer un régime unique à tous les systèmes. La classification par risque conditionne les obligations applicables. Un système classé à risque limité supporte moins d'obligations qu'un système à haut risque, mais les obligations ne sont jamais nulles.
6.2 Confondre AI Act et RGPD
L'AI Act et le RGPD relèvent de deux logiques distinctes. L'un encadre la conformité du système d'IA en tant que produit, l'autre protège les personnes dont les données sont traitées. Une conformité RGPD ne suffit pas pour respecter l'AI Act, et inversement.
6.3 Sous-estimer la documentation
L'absence de documentation rend la démonstration de conformité difficile en cas de contrôle. Une documentation vivante (registres tenus à jour, AIPD révisées à chaque modification substantielle, comptes-rendus du comité IA) permet de démontrer la démarche, conformément au principe de responsabilité du RGPD (Art. 5(2)).
6.4 Négliger la maîtrise de l'IA du personnel
L'Article 4 du règlement (UE) 2024/1689 s'applique à tous les déployeurs, indépendamment de leur taille. Il demande de prendre des mesures pour favoriser la maîtrise de l'IA : sensibilisation, règles d'usage, formation adaptée aux rôles. Il n'impose ni format ni niveau garanti pour chaque personne.
7. Les avantages de la conformité
7.1 Renforcement de la confiance
Les clients, partenaires commerciaux et autorités peuvent demander une démonstration de conformité. La documentation produite dans le cadre de la conformité AI Act et RGPD constitue un élément de preuve vérifiable.
7.2 Maîtrise des risques
Une cartographie complète des systèmes d'IA permet d'identifier les usages non maîtrisés (« shadow AI », voir l'article sur la shadow IA en entreprise) et de réduire les risques de fuite de données, de biais discriminatoires ou de décisions automatisées non conformes.
7.3 Prévention des sanctions
Au-delà du régime de sanctions de l'AI Act, le RGPD prévoit des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires mondial annuel (Article 83 § 5 du RGPD). La conformité documentaire réduit l'exposition à ces sanctions et facilite la coopération avec les autorités.
| Régime | Sanction maximale | Référence |
|---|---|---|
| AI Act — pratiques interdites | 35 M€ ou 7 % du CA mondial | Art. 99 § 3 du Règlement (UE) 2024/1689 |
| AI Act — obligations des opérateurs et transparence (Art. 50) | 15 M€ ou 3 % du CA mondial | Art. 99 § 4 |
| AI Act — informations inexactes, incomplètes ou trompeuses | 7,5 M€ ou 1 % du CA mondial | Art. 99 § 5 |
| RGPD — obligations principales | 20 M€ ou 4 % du CA mondial | Art. 83 § 5 du Règlement (UE) 2016/679 |
| RGPD — obligations procédurales | 10 M€ ou 2 % du CA mondial | Art. 83 § 4 |
Pour un panorama du régime de sanctions AI Act applicable aux PME, voir la page sanctions AI Act et amendes pour PME.
8. Suivi et maintien de la conformité
8.1 Système de surveillance interne
L'Article 72 du Règlement (UE) 2024/1689 impose aux fournisseurs de systèmes à haut risque un système de surveillance après commercialisation. Pour les déployeurs, l'Article 26 § 5 impose un suivi du fonctionnement du système et le signalement des incidents graves.
La PME désigne un responsable interne pour le suivi de chaque système d'IA déployé. Ce responsable centralise les remontées, documente les incidents et alerte le comité IA en cas d'anomalie.
8.2 Audits réguliers
Une revue annuelle au minimum, complétée par une revue après toute modification substantielle d'un système, est une pratique prudente. Elle vérifie la cohérence de la documentation, la conformité des pratiques opérationnelles et la pertinence des mesures de sécurité.
8.3 Veille réglementaire
L'AI Act est en cours de déploiement. Des actes d'exécution, des actes délégués et des lignes directrices de la Commission européenne précisent régulièrement son interprétation : la Commission a par exemple publié le 20 juillet 2026 ses lignes directrices sur les obligations de transparence (Art. 50). La CNIL publie régulièrement de nouveaux contenus sur la page Intelligence artificielle de son site.
Pour la définition des termes utilisés dans l'AI Act, voir le glossaire AI Act. La liste des sources officielles utilisées figure sur la page sources.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 30 novembre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Quelles sont les principales obligations légales pour les PME en matière d'IA en 2026 ?
Les PME doivent respecter à la fois l'AI Act et le RGPD. Cela implique de classer leurs systèmes d'IA selon le risque, de les documenter, d'assurer la transparence et la sécurité des données, et de conduire une AIPD lorsque le risque est élevé. L'obligation de maîtrise de l'IA par le personnel (Art. 4 du règlement (UE) 2024/1689) est applicable depuis le 2 février 2025. Une démarche progressive convient : cartographie initiale, plan d'action priorisé et revues régulières.
Quelles sont les sanctions en cas de non-conformité ?
L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)). Les sanctions RGPD restent applicables en parallèle, jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial annuel.
Où trouver des ressources pour se conformer ?
La CNIL publie treize fiches pratiques sur cnil.fr/fr/les-fiches-pratiques-ia. La Commission européenne met à disposition un service desk à ai-act-service-desk.ec.europa.eu. Pour une approche structurée, voir le guide AI Act pour PME françaises.
Quels sont les avantages de la conformité ?
La conformité renforce la confiance des clients et partenaires, sécurise les usages internes de l'IA et réduit le risque de sanction administrative. Elle peut aussi faciliter les réponses aux questionnaires de conformité des clients.
Comment mettre en place une évaluation des risques pour un système d'IA ?
Identifier d'abord tous les systèmes d'IA en service. Évaluer ensuite la classification de risque selon l'AI Act et l'impact sur les personnes au sens du RGPD. Utiliser le logiciel PIA de la CNIL pour conduire l'AIPD lorsque des données personnelles sont traitées. Pour les systèmes à haut risque, le fournisseur met en place le système de gestion des risques de l'Article 9 ; le déployeur s'appuie sur les informations qu'il reçoit (Article 13 et Article 26(9)).
Sources officielles
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- Service desk AI Act de la Commission européenne — ai-act-service-desk.ec.europa.eu
- Fiches pratiques IA — CNIL
- Guide « IA : comment être en conformité avec le RGPD ? » — CNIL
- Règlement (UE) 2016/679 (RGPD) — EUR-Lex
- ISO/IEC 42001:2023 — Système de management de l'intelligence artificielle
- ISO/IEC 23894:2023 — Gestion des risques liés à l'IA
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.