Toute entreprise qui fournit ou utilise un système d'IA dans l'Union européenne est concernée par l'AI Act, quelle que soit sa taille : le règlement ne prévoit aucune exemption pour les PME. Ce qui change, c'est le rôle de l'entreprise (fournisseur, déployeur, importateur, distributeur) et le niveau de risque du système. Une PME française est le plus souvent déployeur d'outils d'IA qu'elle a achetés.
L'essentiel en 30 secondes
- Le règlement (UE) 2024/1689 s'applique aux entreprises établies en France qui fournissent, déploient, importent ou distribuent des systèmes d'IA, sans seuil de taille.
- Le rôle (fournisseur, déployeur, importateur, distributeur) et le niveau de risque du système déterminent les obligations. Une PME est le plus souvent déployeur d'outils achetés.
- Les pratiques interdites (Art. 5) et la maîtrise de l'IA (Art. 4) s'appliquent à toutes les organisations depuis le 2 février 2025, la transparence (Art. 50) depuis le 2 août 2026, le haut risque de l'Annexe III à partir du 2 décembre 2027 (règlement (UE) 2026/1744).
- L'enregistrement dans la base de données de l'UE (Art. 49) concerne les fournisseurs de systèmes de l'Annexe III et les déployeurs qui sont des autorités publiques.
- Sanctions (Art. 99) : jusqu'à 35 M€ ou 7 % du CA pour les pratiques interdites, 15 M€ ou 3 % pour les obligations des opérateurs et la transparence. Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes. Une PME se voit appliquer le montant le plus bas des deux.
- Sont exclus notamment les usages militaires, la recherche scientifique, les essais avant mise sur le marché et l'usage personnel non professionnel (Art. 2) : aucune exclusion ne vise spécifiquement les PME.
1. L'AI Act en bref : qu'est-ce que c'est ?
Le règlement (UE) 2024/1689, dit « AI Act », est, selon la Commission européenne, le premier cadre juridique complet sur l'IA au monde. Adopté le 13 juin 2024 et publié au Journal officiel de l'Union européenne le 12 juillet 2024, il est entré en vigueur le 1er août 2024.
Son application s'échelonne jusqu'en 2028 pour la plupart des systèmes. Les pratiques interdites (Art. 5) et la maîtrise de l'IA (Art. 4) s'appliquent depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à usage général (GPAI) s'appliquent depuis le 2 août 2025, et la transparence (Art. 50) depuis le 2 août 2026. Les systèmes à haut risque de l'Annexe III devront respecter leurs obligations à partir du 2 décembre 2027, échéance reportée par le règlement (UE) 2026/1744 (« Omnibus IA »), en vigueur depuis le 27 juillet 2026. Voir le calendrier de l'AI Act.
L'objectif du texte est double : garantir un niveau élevé de protection de la santé, de la sécurité et des droits fondamentaux, tout en soutenant l'innovation dans le marché intérieur (Art. 1). Le règlement adopte une approche par les risques et distingue quatre niveaux : inacceptable, haut risque, risque de transparence (dit « limité ») et risque minimal.
Pour une PME française, cette logique se traduit par une question opérationnelle : quel est le niveau de risque de chaque système d'IA déployé ou développé en interne ? La réponse conditionne l'ensemble des obligations applicables.
| Catégorie de risque | Exemples | Régime applicable |
|---|---|---|
| Inacceptable | Notation sociale, manipulation nuisible, reconnaissance des émotions au travail ou à l'école | Interdiction (Art. 5) |
| Haut risque | Tri de CV, scoring crédit, dispositifs médicaux IA | Obligations renforcées (Chap. III) |
| Risque de transparence (dit « limité ») | Chatbots, deepfakes | Transparence (Art. 50) |
| Risque minimal | Filtres anti-spam, IA de jeux vidéo | Pas de règle spécifique ; la maîtrise de l'IA (Art. 4) s'applique à tous |
Pour une vue d'ensemble du dispositif, voir le guide AI Act pour les PME françaises et l'explication simple de l'AI Act.
2. Les PME concernées : qui doit se conformer ?
L'AI Act ne prévoit aucun seuil d'exemption lié à la taille de l'entreprise. Le critère déterminant est le rôle joué dans la chaîne de valeur de l'IA et le niveau de risque du système concerné.
Le texte définit plusieurs acteurs à l'Art. 3, points 3 à 8, et fixe son champ d'application à l'Art. 2 :
- Fournisseur (provider) : entité qui développe un système d'IA, ou le fait développer, et le met sur le marché ou en service sous son nom, à titre onéreux ou gratuit (Art. 3(3)).
- Déployeur (deployer) : entité qui utilise un système d'IA sous son autorité, sauf usage personnel non professionnel (Art. 3(4)).
- Importateur : entité établie dans l'UE qui met sur le marché un système d'IA portant le nom d'une personne établie hors de l'UE. Distributeur : entité de la chaîne d'approvisionnement qui met un système d'IA à disposition sur le marché de l'Union sans être fournisseur ni importateur (Art. 3(6) et 3(7)).
- Mandataire (authorised representative) : représentant établi dans l'UE, désigné par un fournisseur établi hors de l'UE (Art. 3(5)).
- Fabricant de produits : il met sur le marché un système d'IA avec son produit et sous son nom (Art. 2(1)(e)).
Une PME française est le plus souvent déployeur. Si elle achète un logiciel RH intégrant un module de tri de CV, elle est déployeur de ce système et le fournisseur reste l'éditeur. Si elle développe ses propres modèles et les met en service, y compris pour son propre usage, ou si elle commercialise un système sous son nom, elle devient fournisseur. Un déployeur peut aussi devenir fournisseur s'il modifie substantiellement un système à haut risque ou y appose son nom (Art. 25). Voir l'article sur la différence entre déployeur et fournisseur et celui sur la chaîne de valeur (Art. 25).
La portée est large (Art. 2) : le règlement s'applique aux fournisseurs, établis dans l'UE ou hors UE, qui mettent un système sur le marché de l'Union, aux déployeurs établis ou situés dans l'UE, et aux fournisseurs et déployeurs établis hors UE lorsque la sortie du système est utilisée dans l'Union. Une PME française qui s'appuie sur un fournisseur américain n'est donc pas exonérée : elle reste déployeur au sens du texte.
| Rôle | Exemple PME | Obligations clés |
|---|---|---|
| Fournisseur | Éditeur français d'un logiciel de scoring crédit | Exigences des Art. 8 à 15, système de gestion de la qualité (Art. 17), évaluation de conformité, marquage CE, enregistrement dans la base de l'UE (Art. 49) |
| Déployeur | Cabinet RH utilisant un outil de tri de CV | Obligations de l'Art. 26 : usage conforme à la notice, supervision humaine, surveillance, conservation des journaux |
| Importateur | Entreprise française qui importe un dispositif médical IA d'un fabricant américain | Vérification de la conformité du système avant sa mise sur le marché (Art. 23) |
| Distributeur | Revendeur intégrateur | Vérification du marquage CE et de la documentation (Art. 24) |
Les obligations des déployeurs qui sont des personnes physiques et utilisent un système d'IA dans un cadre strictement personnel et non professionnel sortent du champ (Art. 2(10)). L'usage d'un outil d'IA au travail est un usage professionnel : l'employeur est déployeur. Voir l'article sur les obligations des importateurs et distributeurs.
3. Les obligations selon le rôle
Les obligations principales se concentrent sur les systèmes à haut risque. Pour une PME, l'enjeu est d'identifier le statut de chaque système avant de bâtir un plan de conformité.
Les huit domaines à haut risque de l'Annexe III sont :
- Identification biométrique à distance et catégorisation
- Infrastructures critiques (énergie, transports)
- Éducation et formation professionnelle
- Emploi, gestion des travailleurs et accès au travail indépendant
- Accès aux services essentiels (prestations publiques, crédit, assurance vie et santé, secours)
- Application de la loi
- Migration, asile et contrôle aux frontières
- Administration de la justice et processus démocratiques
Une PME dont l'IA touche au recrutement, à l'évaluation des salariés ou à la notation de crédit est concernée par le régime haut risque. Voir la page systèmes à haut risque et l'article sur la classification (Art. 6).
Les fournisseurs de systèmes à haut risque doivent respecter les exigences des Art. 8 à 15 (gestion des risques, gouvernance des données, documentation technique, journalisation, transparence envers les déployeurs, supervision humaine, exactitude, robustesse et cybersécurité) et disposer d'un système de gestion de la qualité (Art. 17). Voir l'article sur les obligations du fournisseur d'un système à haut risque.
Les déployeurs ont des obligations plus circonscrites (Art. 26) : utiliser le système conformément à la notice, confier la supervision humaine à des personnes compétentes, surveiller le fonctionnement, signaler les incidents graves, conserver les journaux sous leur contrôle au moins six mois, informer les travailleurs avant un déploiement sur le lieu de travail. Voir l'article sur les obligations du déployeur (Art. 26).
L'analyse d'impact sur les droits fondamentaux (FRIA, Art. 27) ne concerne que certains déployeurs : les organismes de droit public, les entités privées qui fournissent des services publics, et les déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé. L'Art. 26(9) prévoit en outre que les déployeurs utilisent les informations du fournisseur (Art. 13) pour réaliser leur analyse d'impact relative à la protection des données (Art. 35 du RGPD), lorsqu'elle est requise.
L'enregistrement dans la base de données de l'UE (Art. 49 ; la base est prévue à l'Art. 71) concerne les fournisseurs de systèmes de l'Annexe III, les systèmes que leur fournisseur estime non à haut risque au titre de l'Art. 6(3), et les déployeurs qui sont des autorités publiques. Un déployeur privé n'a pas à s'enregistrer lui-même.
Vos documents IA, personnalisés et prêts aujourd'hui
Charte d'usage de l'IA, politique IA, registre des outils, analyses de risques et d'impact, procédures : le pack regulia les réunit, personnalisés selon votre entreprise et vos outils, à jour du règlement (UE) 2026/1744. 29 € jusqu'au 31 octobre, puis 99 €.
Créer mon pack — 29 €4. Les sanctions : risques pour les PME
L'Art. 99 du règlement (UE) 2024/1689 fixe trois niveaux d'amende selon la nature du manquement. Ces montants sont des maximums : l'autorité tient compte de la gravité, de la durée et des conséquences du manquement, de la taille de l'opérateur, de son chiffre d'affaires et de sa part de marché, de sa coopération et des mesures qu'il a mises en œuvre (Art. 99(7)).
| Manquement | Plafond grande entreprise | Plafond PME et start-ups |
|---|---|---|
| Pratiques interdites (Art. 5) | 35 M€ ou 7 % CA mondial (le plus élevé) | 35 M€ ou 7 % CA mondial (le plus faible) |
| Manquement aux obligations des opérateurs (fournisseurs, déployeurs, importateurs, distributeurs) et à la transparence (Art. 50) | 15 M€ ou 3 % CA mondial (le plus élevé) | 15 M€ ou 3 % CA mondial (le plus faible) |
| Informations inexactes, incomplètes ou trompeuses | 7,5 M€ ou 1 % CA mondial (le plus élevé) | 7,5 M€ ou 1 % CA mondial (le plus faible) |
L'Art. 99(6) introduit un mécanisme de proportionnalité : pour les PME et les start-up, l'amende correspond au plus faible des deux montants, la somme forfaitaire ou le pourcentage du chiffre d'affaires. Les petites entreprises de taille intermédiaire (moins de 750 salariés, hors PME) bénéficient du même principe pour les deux paliers les plus bas (Art. 99(6a)). Les fournisseurs de modèles d'IA à usage général relèvent de l'Art. 101 (15 M€ ou 3 %).
Au-delà des amendes, les autorités de surveillance du marché peuvent exiger des mesures correctives, le retrait ou le rappel d'un système qui présente un risque (Art. 79). Les États membres fixent les règles de sanction applicables, qui doivent être effectives, proportionnées et dissuasives et tenir compte des intérêts des PME (Art. 99(1)).
Pour le calcul précis, voir la page Sanctions AI Act pour une PME : amendes et calcul et l'article sur l'Article 99.
5. Comment savoir si votre entreprise est concernée ?
Trois questions suffisent pour un premier tri.
- Quels outils d'IA l'entreprise utilise-t-elle ou développe-t-elle ? Recenser les outils achetés, intégrés par API ou embarqués dans des logiciels existants (CRM, recrutement, comptabilité), y compris ceux utilisés sans validation.
- Quel est le rôle de l'entreprise pour chaque outil ? Fournisseur, déployeur, importateur ou distributeur. Une même PME peut cumuler plusieurs rôles.
- Quel est le niveau de risque ? Pratique interdite (Art. 5), haut risque (Annexe III ou Annexe I), transparence (Art. 50) ou risque minimal. Voir l'article sur la définition d'un système d'IA pour vérifier qu'un outil entre dans le champ.
Pour aller plus loin, la checklist de conformité en 50 contrôles détaille la démarche.
6. Les exclusions et les aménagements pour les PME
L'AI Act prévoit plusieurs exclusions et exemptions, mais aucune n'écarte automatiquement une PME française du périmètre.
L'Art. 2 liste les exclusions de champ d'application :
- Systèmes utilisés exclusivement à des fins militaires, de défense ou de sécurité nationale (Art. 2(3)).
- Systèmes développés et mis en service dans le seul but de la recherche et du développement scientifiques (Art. 2(6)).
- Recherche, essais et développement avant mise sur le marché ou mise en service, hors essais en conditions réelles (Art. 2(8)).
- Obligations des déployeurs personnes physiques dans un cadre strictement personnel et non professionnel (Art. 2(10)).
- Systèmes d'IA publiés sous licence libre et ouverte, sauf s'ils sont mis sur le marché comme systèmes à haut risque ou relèvent des Art. 5 ou 50 (Art. 2(12)). Voir la page IA open source et AI Act.
L'Art. 6(3) prévoit une dérogation au régime haut risque : un système de l'Annexe III n'est pas considéré comme à haut risque s'il ne présente pas de risque important pour la santé, la sécurité ou les droits fondamentaux, par exemple parce qu'il accomplit une tâche procédurale étroite ou une tâche préparatoire. Le fournisseur apprécie cette dérogation et la documente avant la mise sur le marché (Art. 6(4)) ; elle n'écarte pas l'enregistrement dans la base de l'UE (Art. 49(2)). Elle ne s'applique jamais lorsque le système réalise un profilage de personnes.
Les pratiques interdites de l'Art. 5 — manipulation, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail et dans l'éducation, catégorisation biométrique de caractéristiques sensibles, etc. — s'appliquent à toutes les organisations, sans seuil de taille. Voir l'article sur les pratiques interdites.
Les obligations de transparence de l'Art. 50 (chatbots, hypertrucages, contenus générés) s'appliquent depuis le 2 août 2026, indépendamment de la taille.
| Situation | Statut AI Act | Action PME |
|---|---|---|
| IA pour tri CV (Annexe III) | Haut risque (Annexe III, point 4 a) | Obligations du déployeur (Art. 26) ; la dérogation de l'Art. 6(3) ne joue pas en cas de profilage |
| Chatbot client externe | Risque de transparence (Art. 50) | Information explicite de l'utilisateur |
| Filtre anti-spam interne | Risque minimal | Pas de règle spécifique (hors maîtrise de l'IA, Art. 4) |
| Reconnaissance émotionnelle salariés | Pratique interdite (Art. 5) | Interdit, sauf raisons médicales ou de sécurité |
| Modèle interne en R&D | Hors champ (Art. 2(6) et 2(8)) | Conformité exigée à la mise sur le marché ou en service |
Le règlement prévoit également des mesures de soutien aux PME (Art. 62), à mettre en œuvre par les États membres : accès prioritaire aux bacs à sable réglementaires, activités de sensibilisation et de formation adaptées, canaux de communication dédiés, et frais d'évaluation de conformité réduits proportionnellement à la taille (Art. 62(2)). L'Art. 11(1) prévoit aussi un formulaire simplifié de documentation technique pour les PME fournisseurs.
Passez des obligations aux documents
Un manquement à la transparence peut coûter jusqu'à 3 % du chiffre d'affaires (Art. 99). Documentez vos mesures en une dizaine de minutes : charte, politique IA, registre, analyses de risques et procédures, livrés par e-mail en Word, Excel et PDF. 29 € jusqu'au 31 octobre, puis 99 €, satisfait ou remboursé 30 jours.
Créer mon pack — 29 €FAQ
Les PME de moins de 10 salariés sont-elles concernées par l'AI Act ?
Oui. L'AI Act ne fixe pas de seuil de taille. Une microentreprise qui développe ou déploie un système d'IA à haut risque relève des mêmes obligations qu'une PME plus grande, avec les aménagements prévus pour les petites structures (Art. 62 et 63). Les pratiques interdites de l'Art. 5 s'appliquent sans exception de taille.
Quelles sont les sanctions pour une PME en non-conformité avec l'AI Act ?
L'Article 99 du règlement (UE) 2024/1689 prévoit trois paliers : 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour les manquements aux obligations des opérateurs (fournisseurs, déployeurs…) et à la transparence (Art. 50). Le palier le plus bas, 7,5 M€ ou 1 %, vise les informations inexactes, incomplètes ou trompeuses fournies aux organismes notifiés ou aux autorités. Pour une PME, c'est le montant le plus bas des deux qui s'applique (Art. 99(6)).
Où puis-je trouver de l'aide pour me conformer à l'AI Act ?
Le service d'aide de la Commission européenne (ai-act-service-desk.ec.europa.eu) répond aux questions d'application. La CNIL publie 13 fiches pratiques sur l'IA et le RGPD pour le volet données personnelles. Le guide AI Act pour les PME françaises et le glossaire complètent ces sources officielles.
Dois-je m'inscrire au registre européen si je suis une PME française ?
L'enregistrement dans la base de données de l'UE (Art. 49 ; base prévue à l'Art. 71) concerne les fournisseurs de systèmes à haut risque de l'Annexe III et les déployeurs qui sont des autorités publiques. Une PME française déployeuse privée d'un système à haut risque acheté à un fournisseur tiers n'a pas à s'enregistrer elle-même.
Qu'est-ce qu'un système d'IA à haut risque ?
Deux voies de qualification existent. Voie 1 (Art. 6(1)) : le système est un produit, ou le composant de sécurité d'un produit, couvert par la législation d'harmonisation de l'Annexe I (dispositifs médicaux, jouets, machines, etc.) et soumis à une évaluation de conformité par un tiers. Voie 2 (Art. 6(2)) : le système relève d'un des huit domaines de l'Annexe III. La dérogation de l'Art. 6(3) permet, sous conditions documentées, d'écarter cette qualification pour l'Annexe III, jamais en cas de profilage de personnes.
Sources officielles
- Règlement (UE) 2024/1689 — version consolidée au 27 juillet 2026 — EUR-Lex
- Règlement (UE) 2026/1744 (« Omnibus IA ») — EUR-Lex
- AI Act Service Desk — Commission européenne
- Texte consolidé et navigable — artificialintelligenceact.eu
- Fiches pratiques IA de la CNIL
- Glossaire regulia — définitions des termes AI Act
- Index sources regulia — liens vérifiés et datés
Disclaimer. Cet article fournit des informations générales sur l'EU AI Act applicables aux PME françaises. Il ne constitue pas un conseil juridique. Pour toute décision opérationnelle, faites valider votre démarche par votre DPO ou conseil juridique. regulia décline toute responsabilité quant à l'usage qui peut être fait de ces informations.