AI Act et PME : obligations réelles et plan d'action sans juriste dédié
L'AI Act ne s'applique pas de la même façon à une PME et à une multinationale
Depuis son entrée en vigueur progressive en 2024-2025, le Règlement européen sur l'intelligence artificielle (AI Act) génère une inquiétude légitime dans les petites et moyennes entreprises. La réalité est plus nuancée que les titres alarmistes : le texte prévoit des dispositions spécifiques pour les PME et les start-ups, et une grande partie des obligations lourdes ne concerne que les fournisseurs de systèmes d'IA à haut risque. Voici ce que vous devez vraiment savoir si vous pilotez la conformité d'une structure sans direction juridique dédiée.
Ce que l'AI Act entend par « PME » et pourquoi cela change tout
L'AI Act adopte la définition européenne standard : moins de 250 salariés, chiffre d'affaires annuel inférieur à 50 M€ ou bilan total inférieur à 43 M€. Pour ces structures, le règlement prévoit :
- Des frais de conformité réduits pour l'accès aux bacs à sable réglementaires (sandbox).
- Une priorité d'accès aux sandboxes nationaux organisés par les autorités de supervision.
- Des orientations simplifiées que la Commission européenne s'engage à publier.
- Des délais de mise en conformité identiques mais une tolérance attendue sur la maturité des processus.
Ces dispositions ne dispensent pas les PME de toute obligation, mais elles signalent clairement que le législateur a voulu éviter un effet « écrasant » sur le tissu économique européen.
Êtes-vous fournisseur, déployeur ou simple utilisateur ?
La première question à résoudre est celle de votre rôle dans la chaîne de valeur IA, car c'est elle qui détermine l'étendue de vos obligations.
Vous utilisez un outil IA « sur étagère » (ChatGPT, Copilot, Mistral…)
Vous êtes déployeur. Vos obligations portent principalement sur la transparence envers vos utilisateurs finaux et salariés, le contrôle humain des décisions à impact, et la vérification que le fournisseur respecte lui-même l'AI Act. En pratique : lire attentivement la documentation technique fournie par l'éditeur et adapter vos politiques internes.
Vous développez ou faites développer un système IA sur mesure
Vous basculez en position de fournisseur, même partielle. Les obligations de documentation, de gestion des risques et, le cas échéant, d'évaluation de conformité s'appliquent alors à vous directement. C'est le scénario le plus exigeant pour une PME.
Vous intégrez de l'IA dans un produit que vous commercialisez
Vous êtes fournisseur du système intégré. Un cabinet d'expertise comptable qui revend un logiciel de détection de fraude fiscale boosté à l'IA entre dans cette catégorie.
Les obligations réelles selon le niveau de risque
L'AI Act classe les systèmes en quatre niveaux. Pour la grande majorité des PME, seuls deux niveaux sont pertinents.
Risque inacceptable : interdit tout simplement
Manipulation subliminale, scoring social, certaines utilisations biométriques en temps réel. Si vous n'opérez pas dans ces domaines (et c'est probable), vous pouvez passer à la suite.
Haut risque : les obligations substantielles
Concernent les systèmes d'IA utilisés dans le recrutement (tri de CV automatisé), le crédit, la santé, l'éducation ou la gestion des infrastructures critiques. Si votre PME déploie un outil de scoring RH ou un système de notation de crédit, les obligations deviennent sérieuses : registre des systèmes, évaluation de conformité, supervision humaine formalisée, logs d'audit.
Exemple concret : une PME RH de 80 salariés utilise un ATS avec scoring automatique des candidatures. Elle est déployeur d'un système haut risque et doit s'assurer que l'éditeur lui fournit la documentation technique requise, mettre en place une supervision humaine traçable et informer les candidats de l'usage de l'IA.
Risque limité et minimal : transparence et bonnes pratiques
Chatbots, générateurs de texte, outils de recommandation interne : obligation principale de transparence (indiquer à l'utilisateur qu'il interagit avec une IA) et de ne pas induire en erreur. C'est le périmètre de la majorité des PME.
Le shadow AI : le vrai risque oublié des PME
Au-delà des obligations réglementaires formelles, le danger immédiat pour une PME sans équipe conformité dédiée est le shadow AI : des salariés qui utilisent des outils IA non validés (versions gratuites de LLM, extensions Chrome, outils no-code) pour traiter des données clients ou des informations confidentielles. Ce phénomène crée simultanément un risque AI Act (absence de contrôle humain, pas de documentation) et un risque RGPD (transfert de données hors périmètre).
Plan d'action en 5 étapes pour une PME sans juriste dédié
Étape 1 – Cartographier les usages IA existants (J+0 à J+30)
Recensez tous les outils intégrant de l'IA utilisés dans l'entreprise, y compris les solutions SaaS grand public. Un simple tableur suffit pour commencer : nom de l'outil, usage, données traitées, fournisseur, niveau de risque estimé.
Étape 2 – Qualifier le niveau de risque de chaque système (J+30 à J+60)
Pour chaque outil recensé, posez la question : affecte-t-il des décisions à impact sur des personnes (emploi, crédit, santé) ? Si oui, consultez l'annexe III de l'AI Act pour vérifier si vous êtes dans le périmètre haut risque.
Étape 3 – Sécuriser la chaîne fournisseurs (J+60 à J+90)
Contactez vos éditeurs IA et demandez-leur leur feuille de route de conformité AI Act. Intégrez une clause de conformité dans vos contrats ou avenants. Si un fournisseur ne peut pas répondre, c'est un signal d'alerte.
Étape 4 – Former les équipes et créer une politique d'usage IA (J+90 à J+120)
Une politique d'une à deux pages suffit pour démarrer : quels outils sont autorisés, quelles données peuvent y être traitées, qui valide les nouveaux usages. Formez les managers en priorité pour endiguer le shadow AI.
Étape 5 – Documenter et maintenir à jour (continu)
Tenez un registre des systèmes IA à jour, documentez les décisions de conformité et programmez une revue annuelle. Un outil de gouvernance IA dédié (comme Yvoria AI) permet d'automatiser cette documentation et d'alerter en cas d'évolution réglementaire.
Ce que vous pouvez reporter sans risque
Les obligations les plus lourdes (certification tierce, marquage CE pour les systèmes haut risque embarqués dans des produits) ne s'appliquent pleinement qu'à compter d'août 2026. Les systèmes à usage général (GPAI) suivent leur propre calendrier. Concentrez-vous d'abord sur l'inventaire, la politique interne et la sécurisation fournisseurs : ce sont les actions à ROI immédiat et les plus vérifiées en cas de contrôle.
FAQ
Une PME qui utilise uniquement ChatGPT pour rédiger des emails est-elle concernée par l'AI Act ?
Oui, mais de façon très limitée. Elle doit s'assurer de ne pas traiter de données personnelles sensibles via l'outil et informer ses interlocuteurs si un contenu généré par IA leur est présenté comme humain. Il n'y a pas d'obligation documentaire lourde dans ce cas.
Quelles sanctions risque une PME qui ne se met pas en conformité ?
Les sanctions maximales sont de 15 M€ ou 3 % du CA mondial pour les manquements aux obligations des déployeurs. En pratique, les autorités nationales devraient prioriser les acteurs à fort impact. Cela ne dispense pas d'agir, mais permet de prioriser les risques réels.
Existe-t-il des aides ou accompagnements publics pour les PME ?
Oui. L'AI Act prévoit des sandboxes réglementaires avec accès prioritaire pour les PME. En France, la CNIL et l'Autorité de régulation de l'IA (à venir) devraient publier des guides simplifiés. Des dispositifs BPI France et régionaux accompagnent également la transformation numérique incluant la conformité IA.
Le RGPD et l'AI Act se cumulent-ils pour les PME ?
Oui, et ils se renforcent mutuellement. Un système d'IA qui traite des données personnelles doit respecter les deux textes simultanément. La bonne nouvelle : une DPIA RGPD bien menée couvre une grande partie de l'évaluation des risques requise par l'AI Act.
À partir de quelle taille faut-il envisager un outil de gouvernance IA dédié ?
Dès lors qu'une PME utilise plus de cinq outils IA distincts ou déploie au moins un système en contexte haut risque, un outil dédié devient rentable : il réduit le temps de documentation, centralise les alertes réglementaires et facilite les audits fournisseurs.