Depuis le 2 août 2026, les obligations de l'EU AI Act applicables aux systèmes d'IA haut risque de l'Annexe III sont pleinement exigibles (Art. 113 du Règlement (UE) 2024/1689). Les PME françaises qui exploitent ces systèmes doivent désormais prouver leur conformité. Cette checklist opérationnelle en 8 étapes vous guide, du recensement de vos IA jusqu'à l'audit final.
L'essentiel en 30 secondes
- L'Annexe III du Règlement (UE) 2024/1689 définit 8 domaines de systèmes d'IA haut risque, dont l'emploi, la santé et l'accès aux services essentiels.
- Les sanctions atteignent 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites (Art. 99).
- Une documentation technique structurée (Annexe IV) et une journalisation sont obligatoires (Art. 11 et 12).
- L'analyse d'impact sur les droits fondamentaux est requise avant déploiement pour certains déployeurs (Art. 27).
- Les obligations haut risque Annexe III s'appliquent depuis le 2 août 2026 ; celles de l'Annexe I, à partir du 2 août 2027.
- Pour les PME, l'amende retenue est le plafond le plus bas entre le montant fixe et le pourcentage (Art. 99, §6).
1. Identification des systèmes d'IA haut risque
La première étape consiste à savoir ce que vous exploitez. Beaucoup de PME ignorent qu'un outil de tri de CV ou un score de solvabilité relève du haut risque.
- Cataloguez tous les systèmes d'IA en usage, y compris ceux fournis par un tiers.
- Confrontez chaque système aux domaines de l'Annexe III du Règlement (UE) 2024/1689.
- Vérifiez les cas d'exclusion prévus à l'Art. 6, §3 (tâche procédurale étroite, pas d'influence sur la décision).
L'Annexe III liste huit domaines. La qualification « haut risque » dépend de la finalité, pas de la technologie.
| # | Domaine (Annexe III) | Exemple PME |
|---|---|---|
| 1 | Biométrie | Contrôle d'accès par reconnaissance faciale |
| 2 | Infrastructures critiques | Gestion de réseau énergétique |
| 3 | Éducation et formation | Notation automatisée d'examens |
| 4 | Emploi et gestion RH | Tri de candidatures, évaluation de salariés |
| 5 | Services essentiels (privés et publics) | Scoring de crédit, tarification assurance |
| 6 | Répression pénale | Évaluation de preuves |
| 7 | Migration et contrôle aux frontières | Vérification de documents |
| 8 | Justice et processus démocratiques | Aide à la décision judiciaire |
La CNIL propose des fiches pratiques pour qualifier vos usages. Consultez aussi notre pilier AI Act pour les PME et le glossaire pour lever toute ambiguïté de vocabulaire.
2. Documentation obligatoire
Sans documentation, aucune conformité n'est démontrable. L'Art. 11 impose une documentation technique conforme à l'Annexe IV, tenue à jour.
- Créez un registre interne de tous les systèmes d'IA haut risque.
- Documentez les jeux de données d'entraînement, de validation et de test (Art. 10).
- Assurez la journalisation automatique des événements sur le cycle de vie (Art. 12).
- Consignez les décisions d'acceptation des risques résiduels (Art. 9).
Le plan documentaire de référence couvre au minimum les éléments suivants.
| Document | Base légale | Objet |
|---|---|---|
| Documentation technique | Art. 11 + Annexe IV | Description, conception, performances |
| Système de gestion des risques | Art. 9 | Identification, mesure, réduction |
| Gouvernance des données | Art. 10 | Qualité, pertinence, biais |
| Journaux (logs) | Art. 12 | Traçabilité des événements |
| Système de gestion de la qualité | Art. 17 | Processus et responsabilités |
| Déclaration UE de conformité | Art. 47 | Attestation du fournisseur |
Le nombre exact d'éléments varie selon la nature du système. Le décompte parfois cité de « 17 éléments clés » [à vérifier] dépend du périmètre retenu par la CNIL.
3. Évaluation de l'impact de l'IA
L'Art. 27 impose à certains déployeurs — notamment les organismes publics et les acteurs de services essentiels — une analyse d'impact sur les droits fondamentaux (AIDF) avant la première utilisation.
- Mettez en place un processus d'audit interne reproductible.
- Évaluez les risques pour les droits fondamentaux des personnes concernées.
- Documentez les mesures de mitigation et leur suivi.
Cette analyse se distingue de l'AIPD du RGPD, mais les deux peuvent être articulées. En cas de traitement de données personnelles, combinez-les pour éviter les doublons.
4. Mesures techniques et organisationnelles
Les articles 14 et 15 exigent robustesse, exactitude, cybersécurité et surveillance humaine effective.
- Implémentez des contrôles d'intégrité et de qualité des données (Art. 10).
- Développez un mécanisme permettant à une personne de contester une décision automatisée.
- Établissez des procédures d'urgence et un « bouton d'arrêt » en cas de défaillance (Art. 14).
- Documentez les seuils d'exactitude et les tests de robustesse (Art. 15).
La surveillance humaine n'est pas symbolique. L'opérateur doit pouvoir comprendre, superviser et interrompre le système.
Vous ne savez pas par où commencer ?
Le pack documentaire complet regulia rassemble registre, modèles de documentation technique et grilles d'audit prêts à personnaliser pour votre PME.
Obtenir le pack complet5. Conformité avec le RGPD
L'EU AI Act ne remplace pas le RGPD : il s'y ajoute. Un système d'IA haut risque qui traite des données personnelles doit respecter les deux cadres.
- Vérifiez la base légale de chaque traitement (Art. 6 RGPD).
- Mettez à jour vos politiques de confidentialité et mentions d'information.
- Documentez les transferts de données hors UE et leurs garanties (chapitre V RGPD).
- Encadrez les données sensibles au sens de l'article 9 du RGPD.
Notre article dédié aux sanctions et amendes pour les PME détaille l'articulation des régimes de sanction AI Act et RGPD.
| Cadre | Autorité | Sanction maximale |
|---|---|---|
| EU AI Act (pratiques interdites) | Autorité de surveillance du marché | 35 M€ ou 7 % du CA mondial |
| EU AI Act (obligations haut risque) | Autorité de surveillance du marché | 15 M€ ou 3 % du CA mondial |
| RGPD | CNIL | 20 M€ ou 4 % du CA mondial |
6. Formation et sensibilisation
L'Art. 4 impose depuis le 2 février 2025 une obligation de littératie en IA : les équipes doivent disposer d'un niveau de compétence suffisant.
- Formez les équipes techniques et juridiques aux exigences du Règlement.
- Sensibilisez les utilisateurs finaux aux limites du système.
- Établissez un plan de formation annuel et tracez les sessions suivies.
Cette obligation concerne fournisseurs comme déployeurs, y compris les PME.
7. Suivi et mise à jour
La conformité n'est pas un événement, c'est un processus. L'Art. 72 impose une surveillance après commercialisation.
- Établissez un plan de surveillance continue des performances.
- Mettez à jour la documentation technique à chaque évolution substantielle.
- Signalez les incidents graves à l'autorité compétente (Art. 73), sous les délais prévus.
Les tests de robustesse doivent être réguliers ; la fréquence dépend de la criticité du système, et non d'un intervalle fixe universel.
8. Audit et vérification
Dernière étape : prouver la conformité face à un contrôle. L'Art. 43 encadre l'évaluation de la conformité, par auto-évaluation ou organisme notifié selon le cas.
- Organisez un audit interne annuel documenté.
- Préparez un dossier accessible pour l'autorité de surveillance du marché.
- Conservez les résultats d'audit et les plans d'action correctifs.
| Étape | Fréquence recommandée | Responsable type |
|---|---|---|
| Recensement des systèmes | Continue | IA Lead |
| Audit interne | Annuelle | DPO / RSSI |
| Mise à jour documentation | À chaque évolution | Équipe technique |
| Revue de direction | Annuelle | Dirigeant |
Pour approfondir les fondements juridiques cités ici, consultez notre page sources et le pilier AI Act PME.
FAQ
Quelles sont les sanctions pour non-conformité ?
Les sanctions atteignent 35 M€ ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites de l'Art. 5, et 15 M€ ou 3 % pour le manquement aux obligations haut risque (Art. 99). Pour les PME, c'est le plafond le plus bas qui s'applique (Art. 99, §6).
Combien de temps ai-je pour me conformer ?
Les obligations haut risque de l'Annexe III s'appliquent depuis le 2 août 2026 (Art. 113). Celles de l'Annexe I entrent en vigueur le 2 août 2027. Priorisez vos systèmes selon leur impact réel.
Dois-je utiliser un prestataire externe ?
Ce n'est pas obligatoire, mais souvent utile pour une PME. Le service desk de la Commission (ai-act-service-desk.ec.europa.eu) offre des ressources gratuites. Voir aussi notre pilier AI Act PME.
Quels documents sont obligatoires ?
Au minimum : registre des systèmes, documentation technique (Annexe IV), système de gestion des risques (Art. 9), journaux (Art. 12) et système de gestion de la qualité (Art. 17). Le décompte précis dépend de votre périmètre.
Comment gérer les données sensibles ?
Les traitements de données sensibles relèvent de l'article 9 du RGPD, qui pose un principe d'interdiction assorti d'exceptions. La CNIL publie des fiches pratiques dédiées à l'IA pour cadrer ces usages.
Sources officielles
- Texte consolidé du Règlement : artificialintelligenceact.eu
- Version officielle UE, Règlement (UE) 2024/1689 : eur-lex.europa.eu
- Fiches pratiques IA et RGPD : cnil.fr
- Service desk de la Commission européenne : ai-act-service-desk.ec.europa.eu
Passez à l'action dès aujourd'hui
Faites le point sur votre exposition au haut risque avec un diagnostic guidé, puis accédez aux modèles documentaires conformes aux articles 9 à 17 du Règlement (UE) 2024/1689.
Démarrer mon diagnosticCet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.