Le 2 août 2026, les obligations pour les systèmes d'IA à haut risque de l'Annexe III deviennent applicables. Les PME françaises qui utilisent l'IA dans le recrutement, le scoring client ou la maintenance prédictive entrent dans le champ du Règlement (UE) 2024/1689. Un audit structuré devient la première étape de mise en conformité. Ce guide détaille une méthode en cinq étapes, testée pour des structures de 10 à 250 salariés.
L'essentiel en 30 secondes
- L'AI Act encadre les systèmes d'IA selon leur niveau de risque, avec des obligations renforcées pour les systèmes à haut risque définis à l'Article 6 du Règlement (UE) 2024/1689.
- Les PME doivent auditer leurs systèmes avant l'échéance du 2 août 2026 pour éviter des amendes pouvant atteindre 7 % du chiffre d'affaires annuel mondial (Article 99).
- Cinq étapes structurent l'audit : inventaire, évaluation des risques, documentation, mise en conformité, suivi.
- Les PME accèdent gratuitement à l'AI Act Service Desk de la Commission européenne pour un accompagnement dédié.
- La norme ISO/IEC 42001:2023 fournit un cadre de management pour piloter l'audit et la surveillance continue.
- Pour les PME, les amendes sont plafonnées au plus bas des deux seuils (pourcentage ou montant fixe), selon l'Art. 99, paragraphe 6.
L'AI Act n'exige pas un audit formel identique pour toutes les entreprises. Il impose des obligations proportionnées au risque. L'audit reste néanmoins la méthode la plus fiable pour prouver votre conformité en cas de contrôle. Pour un panorama complet des obligations, consultez notre guide AI Act pour les PME françaises.
1. Étape 1 : Inventaire des systèmes d'IA
Vous ne pouvez pas auditer ce que vous ne connaissez pas. L'inventaire recense chaque système d'IA en usage, qu'il soit développé en interne ou fourni par un tiers.
Commencez par cartographier trois familles d'usages. L'automatisation décisionnelle : tri de CV, validation de crédit, détection de fraude. L'analyse prédictive : prévision de demande, maintenance, scoring client. Les outils génératifs : rédaction assistée, chatbots, synthèse documentaire.
Pour chaque système identifié, classez-le selon le niveau de risque défini par le Règlement. La terminologie officielle distingue quatre catégories, à ne pas confondre avec les libellés informels courants.
| Catégorie légale | Exemples | Obligation principale |
|---|---|---|
| Risque inacceptable (Art. 5) | Notation sociale, manipulation | Interdiction totale depuis le 2 février 2025 |
| Haut risque (Art. 6 + Annexe III) | Recrutement, scoring crédit, biométrie | Documentation, contrôle humain, gestion des risques |
| Risque limité | Chatbots, deepfakes | Obligation de transparence (Art. 50) |
| Risque minimal | Filtres anti-spam, jeux | Aucune obligation spécifique |
Documentez pour chaque système : le fournisseur, la version, la finalité, les données traitées et les personnes concernées. Ce registre devient le socle des étapes suivantes. Les définitions techniques utilisées ici sont détaillées dans notre glossaire AI Act.
2. Étape 2 : Évaluation des risques
L'évaluation mesure l'impact réel de chaque système à haut risque sur les personnes. Elle porte sur trois dimensions imposées par le Règlement.
Premièrement, les risques pour la santé, la sécurité et les droits fondamentaux. Un système de scoring qui refuse un service sans justification porte atteinte au droit à un traitement équitable. Deuxièmement, la transparence et l'explicabilité. Vos utilisateurs doivent savoir qu'ils interagissent avec une IA (Art. 50). Troisièmement, l'impact sur les employés et les clients, notamment en cas de décision automatisée.
Cette évaluation recoupe partiellement l'analyse d'impact relative à la protection des données (AIPD) exigée par le RGPD. Mutualiser les deux démarches évite les doublons. La CNIL fournit des fiches pratiques dédiées à cette articulation.
| Critère évalué | Question clé | Preuve attendue |
|---|---|---|
| Sécurité et santé | Le système peut-il causer un dommage physique ? | Analyse de défaillance documentée |
| Droits fondamentaux | Y a-t-il discrimination possible ? | Test de biais sur les données |
| Transparence | L'utilisateur est-il informé ? | Mention affichée, notice |
| Contrôle humain | Une personne peut-elle intervenir ? | Procédure d'override |
Une évaluation rigoureuse ne se limite pas à cocher des cases. Elle identifie les écarts concrets à corriger.
Besoin d'un cadre d'audit prêt à l'emploi ?
Notre pack documentaire complet inclut les grilles d'inventaire, d'évaluation des risques et les registres conformes à l'AI Act, adaptés aux PME françaises.
Découvrir le pack complet3. Étape 3 : Documentation et traçabilité
L'AI Act repose sur un principe : la conformité doit être démontrable. Un système conforme sans documentation reste juridiquement exposé.
Constituez un registre d'IA pour chaque système à haut risque. Il consigne le fournisseur, la version, les jeux de données d'entraînement, les métriques de performance et l'historique des mises à jour. Documentez aussi les processus de développement et de déploiement, conformément à la documentation technique exigée par l'Article 11 et l'Annexe IV du Règlement.
Établissez enfin des procédures de surveillance et de maintenance. La journalisation automatique des événements (Art. 12) permet de reconstituer le fonctionnement du système en cas d'incident.
Les obligations documentaires varient selon votre rôle. Un fournisseur porte une charge plus lourde qu'un déployeur.
- Fournisseur : documentation technique complète, déclaration de conformité UE, marquage CE.
- Déployeur : registre d'usage, surveillance humaine, information des personnes concernées.
- Importateur / distributeur : vérification que le fournisseur a rempli ses obligations.
La traçabilité n'est pas une contrainte administrative isolée. Elle conditionne votre capacité à répondre à un contrôle de l'autorité nationale.
4. Étape 4 : Mise en conformité
L'audit révèle des écarts. La mise en conformité les comble. Cette étape transforme le diagnostic en actions concrètes.
Priorisez les non-conformités par gravité. Un système à haut risque sans contrôle humain constitue une urgence absolue. Un défaut de mention de transparence se corrige rapidement.
Implémentez les mécanismes exigés : contrôle humain effectif (Art. 14), robustesse et cybersécurité (Art. 15), gestion continue des risques (Art. 9). Chaque mesure doit être documentée pour prouver son existence.
Formez vos équipes. L'Article 4 impose depuis le 2 février 2025 un niveau suffisant de « littératie en matière d'IA » pour le personnel qui exploite ces systèmes. Cette obligation concerne toutes les entreprises, y compris les PME.
| Non-conformité fréquente | Mesure corrective | Article concerné |
|---|---|---|
| Absence de contrôle humain | Procédure d'intervention et d'arrêt | Art. 14 |
| Données d'entraînement biaisées | Gouvernance des données, tests | Art. 10 |
| Pas d'information des utilisateurs | Mentions de transparence | Art. 50 |
| Équipes non formées | Programme de littératie IA | Art. 4 |
Si un système ne peut être mis en conformité, son retrait reste préférable à une exposition aux sanctions. Notre article sur les sanctions et amendes AI Act pour les PME détaille les conséquences financières précises.
5. Étape 5 : Suivi et amélioration
La conformité n'est pas un état figé. Elle se maintient dans le temps, au rythme des évolutions du système et de la réglementation.
Établissez un plan de suivi régulier. Un audit annuel convient à la plupart des PME ; une revue biennale peut suffire pour des systèmes stables à risque limité. Chaque modification substantielle d'un système à haut risque déclenche une réévaluation.
Mettez à jour vos registres à chaque changement de version, de fournisseur ou de finalité. Un registre obsolète perd toute valeur probante.
Alternez audits internes et audits externes. L'audit interne assure un contrôle de routine. L'audit externe apporte un regard indépendant, utile pour crédibiliser votre démarche auprès des clients et des autorités. La surveillance post-commercialisation exigée par l'Art. 72 s'inscrit dans cette logique d'amélioration continue.
6. Outils et méthodologies
Aucun outil ne remplace une méthode. Mais les bons outils accélèrent l'audit et fiabilisent ses résultats.
La norme ISO/IEC 42001:2023 structure un système de management de l'IA (SMIA). Elle couvre la gouvernance, la gestion des risques, la documentation et la surveillance. Adopter ce cadre facilite la démonstration de conformité à l'AI Act, sans pour autant s'y substituer.
Complétez-la par des méthodes éprouvées d'analyse de risque. L'AMDEC (analyse des modes de défaillance, ou FMEA) identifie les points de rupture d'un système avant leur survenue. La norme ISO/IEC 23894:2023 apporte un cadre spécifique de gestion des risques liés à l'IA.
| Outil / norme | Fonction | Apport pour l'audit |
|---|---|---|
| ISO/IEC 42001:2023 | Système de management IA | Gouvernance et surveillance continue |
| ISO/IEC 23894:2023 | Gestion des risques IA | Cadre d'analyse structuré |
| AMDEC (FMEA) | Analyse des défaillances | Anticipation des risques techniques |
| ISO/IEC 27001:2022 | Sécurité de l'information | Protection des données du système |
Intégrez ces audits au cycle de vie de l'IA. Un contrôle à chaque phase — conception, déploiement, exploitation — coûte moins cher qu'un rattrapage tardif.
7. Risques et sanctions
Le régime de sanctions de l'AI Act figure à l'Article 99. Il fixe trois niveaux d'amendes, proportionnés à la gravité de l'infraction.
| Type d'infraction | Amende maximale | Base |
|---|---|---|
| Pratiques interdites (Art. 5) | 35 M€ ou 7 % du CA mondial | Art. 99 §3 |
| Non-respect des autres obligations | 15 M€ ou 3 % du CA mondial | Art. 99 §4 |
| Informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial | Art. 99 §5 |
Un point est décisif pour les PME. Selon l'Art. 99 §6, pour les PME et les jeunes pousses, le montant retenu est le plus bas des deux seuils applicables, et non le plus élevé. Ce plafonnement limite l'exposition financière, sans supprimer le risque.
Au-delà des amendes, les autorités peuvent ordonner le retrait ou la mise en conformité d'un système non conforme. L'interruption d'un outil central au métier représente souvent un coût supérieur à l'amende elle-même. Les questions de responsabilité des dirigeants relèvent du droit national et varient selon les États membres. [à vérifier selon la transposition française]
8. Bonnes pratiques pour les PME
Les PME disposent de leviers spécifiques pour aborder la conformité sans mobiliser des ressources disproportionnées.
Commencez par un audit interne, même sommaire, dès maintenant. Un premier état des lieux vaut mieux qu'une conformité parfaite reportée. Inscrivez-vous à l'AI Act Service Desk de la Commission européenne : ce service gratuit répond aux questions et oriente vers les ressources adaptées.
Mettez en place une gouvernance légère. Un comité restreint réunissant la direction, le DPO et le référent IT suffit à piloter les décisions. Formalisez une politique d'usage de l'IA, communiquée à l'ensemble du personnel.
- Réaliser un audit interne avant l'échéance du 2 août 2026.
- S'inscrire à l'AI Act Service Desk pour un accompagnement gratuit.
- Instaurer un comité de gouvernance IA, même informel.
- Documenter une politique d'usage de l'IA et former les équipes.
Ces pratiques réduisent le risque et facilitent la preuve de bonne foi en cas de contrôle. Pour évaluer votre situation, utilisez notre diagnostic d'audit de conformité AI Act 2026.
Où en est votre conformité AI Act ?
Faites le point avec nos modèles de registres, grilles d'audit et procédures conformes. Un pack pensé pour les PME de 10 à 250 salariés, prêt à déployer.
Obtenir le pack complet9. Ressources disponibles
Plusieurs ressources officielles et gratuites accompagnent votre démarche d'audit.
- Les fiches pratiques IA de la CNIL couvrent l'articulation entre RGPD et AI Act, avec des exemples concrets.
- L'AI Act Service Desk de la Commission européenne fournit un support direct aux entreprises.
- La norme ISO/IEC 42001:2023 structure votre système de management de l'IA.
- Le texte consolidé du Règlement, accessible sur EUR-Lex et artificialintelligenceact.eu, reste la référence juridique première.
Notre page sources officielles centralise l'ensemble de ces références, régulièrement mises à jour.
10. Conclusion et recommandations
L'audit AI Act n'est pas une formalité, mais un investissement dans la sécurité juridique de votre PME. La méthode en cinq étapes — inventaire, évaluation, documentation, mise en conformité, suivi — rend la démarche accessible sans expertise juridique lourde.
Trois priorités se dégagent. D'abord, concentrez vos efforts sur les systèmes à haut risque : ils portent l'essentiel du risque de sanction. Ensuite, engagez les actions correctives sans attendre, l'échéance du 2 août 2026 étant désormais passée pour l'Annexe III. Enfin, intégrez la conformité AI Act dans votre stratégie numérique, plutôt que de la traiter comme une contrainte isolée.
Une PME organisée transforme cette obligation en avantage : elle rassure ses clients, sécurise ses partenariats et anticipe les prochaines évolutions réglementaires.
FAQ
Quelles sont les sanctions en cas de non-conformité avec l'AI Act ?
Les sanctions peuvent atteindre 7 % du chiffre d'affaires annuel mondial pour les infractions les plus graves, comme le recours à des pratiques interdites (Art. 99 §3). Les autorités nationales peuvent aussi imposer des mesures correctives : mise en conformité ou retrait du système d'IA. Pour les PME, le montant retenu correspond au plus bas des deux seuils applicables (Art. 99 §6), ce qui limite l'exposition financière.
Quels systèmes d'IA sont concernés par l'AI Act ?
L'AI Act encadre en priorité les systèmes d'IA à haut risque définis à l'Art. 6 et à l'Annexe III : recrutement, scoring crédit, biométrie, gestion d'infrastructures critiques. Les PME doivent inventorier tous leurs systèmes et les classer selon leur niveau de risque. Les systèmes à risque limité, comme les chatbots, restent soumis à des obligations de transparence (Art. 50).
Comment les PME peuvent-elles bénéficier de l'AI Act Service Desk ?
Les PME accèdent gratuitement à l'AI Act Service Desk (ai-act-service-desk.ec.europa.eu) pour obtenir des conseils, des ressources d'orientation et des réponses à leurs questions. Ce service de la Commission européenne aide les entreprises à comprendre leurs obligations et à structurer leur mise en conformité. Il constitue un premier point de contact utile avant tout investissement.
Quelles sont les étapes clés pour réaliser un audit de conformité AI Act ?
Les cinq étapes sont : 1) inventaire des systèmes d'IA, 2) évaluation des risques, 3) documentation et traçabilité, 4) mise en conformité, 5) suivi et amélioration. Chaque étape doit être documentée et, idéalement, validée par un expert interne ou externe. Les systèmes à haut risque doivent respecter les exigences de transparence, de contrôle humain et de sécurité.
Quels sont les avantages de la norme ISO 42001:2023 pour les PME ?
La norme ISO/IEC 42001:2023 fournit un cadre managérial pour déployer et piloter l'IA de façon maîtrisée. Elle aide les PME à identifier les risques, à structurer leurs contrôles et à documenter leur démarche. Adopter ce référentiel facilite la démonstration de conformité à l'AI Act, sans s'y substituer, et couvre la formation des équipes ainsi que la surveillance continue.
Sources officielles
- AI Act Service Desk — Commission européenne
- Règlement (UE) 2024/1689 — texte officiel EUR-Lex
- artificialintelligenceact.eu — texte consolidé
- ISO/IEC 42001:2023 — norme officielle
Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.