Le Règlement (UE) 2024/1689, dit AI Act, impose des obligations concrètes aux PME françaises. Un diagnostic de conformité structuré vous permet d'identifier vos systèmes à haut risque, de préparer votre documentation et d'éviter des sanctions lourdes. Ce guide détaille la méthode, les normes applicables et les ressources disponibles.
L'essentiel en 30 secondes
- L'AI Act s'applique par étapes : les interdictions depuis février 2025, les systèmes à haut risque à partir du 2 août 2026.
- Les systèmes d'IA à haut risque doivent respecter l'AI Act et peuvent s'appuyer sur l'ISO/IEC 42001:2023 comme cadre managérial.
- Un diagnostic complet couvre l'audit des systèmes, l'évaluation des risques, la documentation technique et les mesures de sécurité.
- Les PME bénéficient du service desk européen et de plafonds de sanction adaptés à leur taille (Art. 99(6)).
- Les sanctions maximales atteignent 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites.
1. Contexte réglementaire : l'AI Act en 2026
Le Règlement (UE) 2024/1689 est entré en vigueur le 1er août 2024. Son application est échelonnée, ce qui laisse aux PME un calendrier précis pour se préparer.
L'application ne se fait pas d'un bloc. Chaque catégorie d'obligation a sa propre date. Le tableau ci-dessous synthétise le calendrier officiel.
| Échéance | Obligations applicables | Base légale |
|---|---|---|
| 2 février 2025 | Interdiction des pratiques d'IA prohibées | Art. 5 |
| 2 août 2025 | Modèles d'IA à usage général (GPAI) | Chapitre V |
| 2 août 2026 | Systèmes à haut risque (Annexe III) | Art. 6(2) |
| 2 août 2027 | Systèmes à haut risque liés à des produits réglementés (Annexe I) | Art. 6(1) |
Un système d'IA est classé à haut risque dans deux cas. Soit il relève d'un produit déjà réglementé (machines, dispositifs médicaux). Soit il figure dans l'Annexe III du Règlement (UE) 2024/1689.
L'Annexe III cible des usages sensibles pour les PME. Elle vise notamment les systèmes de recrutement, d'évaluation des salariés, d'accès au crédit ou de surveillance biométrique. Une PME de 10 à 250 salariés qui utilise un logiciel de tri de CV est directement concernée.
Les PME ne sont pas exemptées. Elles doivent identifier leur rôle : fournisseur (elles développent l'IA) ou déployeur (elles l'utilisent). Les obligations diffèrent selon ce statut. Pour une vue d'ensemble, consultez notre pillar AI Act pour les PME françaises.
2. Étapes clés d'un diagnostic de conformité
Un diagnostic efficace suit une séquence logique. Chaque étape produit un livrable réutilisable pour votre dossier de conformité.
- Inventaire des systèmes d'IA. Recensez chaque outil utilisant de l'IA, y compris les fonctionnalités intégrées à vos logiciels SaaS.
- Classification du risque. Confrontez chaque système à l'Annexe III et à l'Art. 6 pour déterminer sa catégorie.
- Analyse des écarts. Comparez vos pratiques actuelles aux exigences des Art. 9 à 15 (gestion des risques, données, documentation, transparence).
- Évaluation des impacts. Mesurez les effets sur les droits fondamentaux, conformément à l'Art. 27.
- Plan de remédiation. Priorisez les actions selon le niveau de risque et l'échéance du 2 août 2026.
L'audit ne se limite pas à la technique. Il vérifie aussi la gouvernance : qui est responsable, qui documente, qui surveille. Un système sans propriétaire identifié est un système non conforme.
L'évaluation des impacts sur les droits fondamentaux (Art. 27) devient obligatoire pour certains déployeurs. Elle documente les risques de discrimination, d'atteinte à la vie privée ou d'erreur préjudiciable.
Besoin d'un diagnostic structuré ?
Notre pack documentaire complet fournit les grilles d'audit, les modèles de classification et les checklists conformes à l'AI Act.
Découvrir le pack complet3. Les risques d'IA à identifier
Le diagnostic classe les risques en trois familles. Cette typologie aide à prioriser les actions et à budgéter la mise en conformité.
| Type de risque | Manifestation concrète | Impact pour la PME |
|---|---|---|
| Juridique | Sanction administrative, poursuite | Amende jusqu'à 7 % du CA mondial |
| Opérationnel | Erreur algorithmique, biais de décision | Décision RH ou crédit erronée |
| Réputationnel | Discrimination révélée, perte de confiance | Perte de clients, couverture presse |
Le risque juridique est le plus mesurable. Il découle directement de l'Art. 99 et des pouvoirs des autorités de surveillance.
Le risque opérationnel touche la qualité des décisions. Un algorithme de tri de CV mal calibré peut écarter des candidats sur des critères illégaux. L'Art. 10 impose une gouvernance stricte des données d'entraînement pour limiter ce risque.
Le risque réputationnel est diffus mais durable. Une discrimination algorithmique rendue publique nuit à la marque employeur d'une PME plus qu'à celle d'un grand groupe.
4. Documentation requise par l'AI Act
Pour les systèmes à haut risque, la documentation est une obligation légale, pas une bonne pratique. L'Art. 11 et l'Annexe IV définissent précisément le dossier technique attendu.
Trois documents structurent la conformité documentaire :
- Dossier technique (Art. 11, Annexe IV) : description du système, finalité, données, architecture, mesures de gestion des risques.
- Analyse d'impact sur les droits fondamentaux (Art. 27) : évaluation des effets sur les personnes concernées.
- Surveillance après commercialisation (Art. 72) : procédure de suivi des performances et des incidents en conditions réelles.
Le tableau suivant relie chaque document à sa base légale et à son responsable habituel.
| Document | Base légale | Responsable typique |
|---|---|---|
| Dossier technique | Art. 11 + Annexe IV | Fournisseur / IA Lead |
| Analyse d'impact (AIDF) | Art. 27 | DPO / Déployeur |
| Journalisation | Art. 12 | RSSI / IA Lead |
| Surveillance post-commercialisation | Art. 72 | Fournisseur |
Cette documentation doit rester tenue à jour. Une autorité de surveillance peut la demander à tout moment. L'absence de dossier technique constitue à elle seule un manquement sanctionnable au titre de l'Art. 99.
5. Outils et normes pour la conformité
Aucune norme ne dispense de l'AI Act. Mais l'ISO/IEC 42001:2023 offre un cadre managérial reconnu pour structurer votre démarche.
L'ISO/IEC 42001:2023 définit un système de management de l'IA (SMIA). Elle organise la gouvernance, l'évaluation des risques et l'amélioration continue. Elle complète l'ISO/IEC 23894:2023 pour la gestion des risques et l'ISO/IEC 27001:2022 pour la sécurité de l'information.
| Norme | Objet | Apport au diagnostic |
|---|---|---|
| ISO/IEC 42001:2023 | Management de l'IA | Cadre de gouvernance et de conformité |
| ISO/IEC 23894:2023 | Gestion des risques IA | Méthode d'évaluation des risques |
| ISO/IEC 27001:2022 | Sécurité de l'information | Mesures de sécurité des données |
Le service desk européen (ai-act-service-desk.ec.europa.eu) répond aux questions d'interprétation. Il est piloté par le Bureau européen de l'IA (AI Office).
La mise en place d'un registre d'IA interne complète ces outils. Ce registre recense chaque système, son statut de risque, son responsable et l'état de sa documentation. Il devient la colonne vertébrale de votre pilotage. Pour le vocabulaire technique, appuyez-vous sur notre glossaire.
6. Sanctions et coûts de non-conformité
Les sanctions de l'Art. 99 varient selon la gravité du manquement. Le régime distingue trois plafonds, appliqués selon le type d'infraction.
| Type de manquement | Plafond | Base légale |
|---|---|---|
| Pratiques d'IA interdites (Art. 5) | 35 M€ ou 7 % du CA mondial | Art. 99(3) |
| Non-respect des obligations (haut risque, transparence) | 15 M€ ou 3 % du CA mondial | Art. 99(4) |
| Informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial | Art. 99(5) |
Le montant retenu est le plus élevé des deux plafonds pour les grandes entreprises. Pour les PME et les startups, l'Art. 99(6) prévoit un régime plus favorable : c'est le montant le plus bas entre le pourcentage et le plafond fixe qui s'applique.
Le coût de mise en conformité reste inférieur au risque de sanction. Il se compose de temps d'audit, de rédaction documentaire et éventuellement de conseil externe. Les estimations varient fortement selon la complexité des systèmes [à vérifier].
Pour un panorama détaillé du régime des amendes, consultez notre article dédié aux sanctions AI Act pour les PME, avec calculateur.
7. Préparation anticipée pour 2026
Anticiper coûte moins cher que corriger dans l'urgence. Le calendrier réglementaire donne une feuille de route claire.
- Audit préliminaire dès maintenant : identifiez vos systèmes et leur classification.
- Formation des équipes : sensibilisez les fonctions RH, juridique et IT aux obligations de l'AI Act.
- Choix d'IA conformes : intégrez des critères de conformité dans vos appels d'offres logiciels.
- Documentation progressive : constituez le dossier technique avant l'échéance du 2 août 2026.
La formation du personnel n'est pas optionnelle. L'Art. 4 impose une exigence de maîtrise de l'IA (AI literacy) pour les fournisseurs et déployeurs. Vos équipes doivent comprendre les systèmes qu'elles utilisent.
Le choix des fournisseurs est déterminant. Un logiciel dont l'éditeur ne fournit pas de documentation conforme reporte la charge sur votre PME. Exigez les livrables de l'Art. 11 dès la contractualisation.
Préparez votre échéance 2026 sereinement
Recevez la trame complète : audit préliminaire, plan de formation et modèles de documentation technique alignés sur l'AI Act.
Demander le pack complet8. Ressources pour les PME
Les PME disposent de ressources publiques et privées pour mener leur diagnostic. Les combiner accélère la mise en conformité.
- Glossaire régulia : définitions des termes techniques et juridiques de l'AI Act, via notre glossaire.
- Guide pratique : notre pillar AI Act PME synthétise les obligations par profil.
- Service desk européen : consultations sur l'interprétation du Règlement via l'AI Office.
- CNIL : 13 fiches pratiques IA articulant AI Act et RGPD, sur cnil.fr.
- Sources officielles : notre page sources centralise les liens vérifiés.
La CNIL reste l'autorité de référence pour l'articulation entre l'AI Act et le RGPD. Ses fiches pratiques traitent des bases légales, de la minimisation des données et des droits des personnes.
FAQ
Quelles sont les étapes pour réaliser un diagnostic de conformité AI Act ?
Le diagnostic suit quatre étapes : 1) audit et inventaire des systèmes d'IA, 2) classification et évaluation des risques juridiques et opérationnels, 3) vérification de la documentation technique (Art. 11), 4) analyse des impacts sur les droits fondamentaux (Art. 27). Le service desk européen fournit des conseils d'interprétation aux PME.
Quelles sont les sanctions pour une PME non conforme ?
Les sanctions atteignent 35 M€ ou 7 % du CA mondial pour les pratiques interdites (Art. 99(3)), et 15 M€ ou 3 % pour les autres manquements (Art. 99(4)). Pour les PME, l'Art. 99(6) applique le montant le plus bas des deux plafonds. Un diagnostic préventif limite ce risque.
Comment l'ISO 42001 aide-t-elle à la conformité ?
L'ISO/IEC 42001:2023 fournit un cadre managérial pour déployer un système de management de l'IA. Elle structure la gouvernance, la documentation et la gestion des risques. Elle ne remplace pas l'AI Act, mais aide les PME à organiser leur diagnostic de façon méthodique.
Où puis-je trouver de l'aide pour le diagnostic ?
Régulia propose un glossaire technique, un guide pratique et des packs documentaires. La CNIL (cnil.fr) publie des fiches sur le RGPD-IA. Le service desk européen (ai-act-service-desk.ec.europa.eu) répond aux questions d'interprétation du Règlement.
Quels systèmes d'IA sont à haut risque pour les PME ?
L'Annexe III vise notamment les algorithmes de recrutement et d'évaluation RH, certains systèmes biométriques et les outils d'accès au crédit. Une PME doit les identifier dès maintenant pour respecter l'échéance du 2 août 2026.
Sources officielles
- artificialintelligenceact.eu — texte consolidé du Règlement (UE) 2024/1689
- eur-lex.europa.eu — version officielle de l'AI Act
- cnil.fr — fiches pratiques IA et articulation avec le RGPD
- ai-act-service-desk.ec.europa.eu — service desk du Bureau européen de l'IA
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.