Plan de remédiation AI Act pour les ETI : prioriser ses chantiers avec des ressources limitées
Pourquoi les ETI ne peuvent plus reporter leur plan de remédiation AI Act
L'AI Act européen n'est plus une perspective lointaine. Depuis son entrée en vigueur en août 2024, le règlement déploie ses obligations par vagues successives : interdictions des pratiques inacceptables applicables depuis février 2025, exigences sur les systèmes à haut risque attendues pour août 2026. Pour une ETI, la tentation est forte de regarder passer le train en attendant que les grandes entreprises essuient les plâtres. C'est une erreur stratégique.
Les ETI utilisent massivement des outils IA — souvent sans le savoir — dans leurs processus RH, commerciaux, logistiques ou de crédit. Un outil de scoring fournisseur intégré dans votre ERP, un chatbot de présélection de candidatures, un moteur de recommandation B2B : chacun de ces systèmes peut relever de catégories réglementées. Construire un plan de remédiation AI Act adapté aux contraintes d'une ETI, c'est donc urgent et réaliste à la fois.
Étape 1 : cartographier avant de remédier
Impossible de prioriser sans visibilité. La première brique de tout plan de remédiation est un inventaire des systèmes IA utilisés, développés ou achetés par l'organisation. Cet exercice révèle souvent deux catégories surprenantes :
- Le shadow AI : des salariés utilisent ChatGPT, Copilot ou d'autres outils génératifs sans cadre formel, parfois en transmettant des données clients ou des contrats.
- Les IA embarquées : des fonctionnalités IA intégrées dans des logiciels métier achetés sur étagère, dont l'ETI est considérée comme opérateur au sens de l'AI Act.
La cartographie doit préciser, pour chaque système : la finalité, les données traitées, les populations concernées (employés, clients, fournisseurs), et la personne responsable en interne. Trois à six semaines suffisent pour une ETI de taille intermédiaire si l'exercice est mené avec une méthodologie structurée.
Outil pratique : la matrice d'inventaire IA
Un tableau simple avec cinq colonnes — Système, Fournisseur, Finalité, Données traitées, Responsable interne — suffit pour lancer la démarche. Yvoria AI propose un modèle de registre IA directement exploitable pour cette étape.
Étape 2 : classifier par niveau de risque pour identifier les priorités
L'AI Act distingue quatre niveaux de risque : inacceptable, haut risque, risque limité et risque minimal. Pour une ETI aux ressources contraintes, le principe est simple : concentrer l'énergie là où les obligations sont les plus fortes et les sanctions les plus lourdes.
Les systèmes à haut risque listés à l'Annexe III du règlement concernent directement de nombreuses ETI :
- Systèmes d'évaluation de solvabilité ou de scoring crédit
- Outils de recrutement automatisé ou de notation de CV
- Systèmes de gestion et d'évaluation des travailleurs
- Outils de catégorisation de personnes physiques
Si votre ETI utilise un logiciel RH avec notation automatique des candidats, ou un outil bancaire d'analyse de risque client, vous êtes opérateur d'un système à haut risque. Les obligations associées — documentation technique, mesures de supervision humaine, gestion des risques, journalisation — deviennent vos premiers chantiers de remédiation.
La règle du triage : trois catégories de chantiers
Face à une liste d'actions potentiellement longue, structurez votre backlog en trois niveaux :
- Urgences réglementaires : éliminer toute pratique IA interdite (manipulation comportementale, notation sociale généralisée) et documenter les systèmes à haut risque déjà déployés.
- Chantiers structurants : mettre en place la gouvernance IA (politique d'usage, registre, rôles), déployer des mesures de supervision humaine, former les équipes concernées.
- Optimisations différables : certifications optionnelles, audits approfondis de fournisseurs à risque faible, documentation exhaustive des systèmes à risque minimal.
Étape 3 : allouer les ressources sans se disperser
Une ETI ne dispose pas d'une équipe conformité de dix personnes. Le DPO, le RSSI et le responsable juridique sont souvent les mêmes deux ou trois personnes. La clé est de mutualiser les efforts avec les chantiers RGPD existants.
Concrètement, le registre des traitements RGPD devient la base de l'inventaire IA. Les analyses d'impact (AIPD) déjà réalisées pour des traitements automatisés servent de point de départ aux évaluations de risque requises par l'AI Act. La politique d'usage acceptable des outils numériques s'étend naturellement aux outils IA génératifs. Cette convergence divise par deux le temps de mise en œuvre pour une équipe déjà formée à la conformité des données.
Autre levier sous-estimé : contractualiser avec les fournisseurs. L'AI Act impose aux fournisseurs de systèmes à haut risque des obligations de documentation et de transparence. En tant qu'opérateur, votre ETI doit obtenir ces garanties contractuellement. Un avenant ou une clause spécifique dans les contrats SaaS peut déplacer une part significative de la charge vers vos prestataires.
Étape 4 : piloter dans la durée avec des jalons réalistes
Un plan de remédiation AI Act n'est pas un projet à date fixe mais un programme continu. Définissez des jalons trimestriels mesurables :
- T+1 (3 mois) : inventaire finalisé, classification des systèmes réalisée, pratiques interdites supprimées ou documentées.
- T+2 (6 mois) : gouvernance IA formalisée, politique d'usage publiée, premières mesures de supervision humaine déployées sur les systèmes à haut risque.
- T+4 (12 mois) : documentation technique complète pour les systèmes à haut risque, fournisseurs clés engagés contractuellement, première revue annuelle programmée.
Reportez ces jalons dans votre tableau de bord conformité existant. La direction générale comprend mieux les enjeux quand le plan de remédiation AI Act s'inscrit dans une logique de risque business — amendes pouvant atteindre 3 % du chiffre d'affaires mondial pour les opérateurs — plutôt que dans un jargon réglementaire.
Ce que font déjà les ETI en avance de phase
Les ETI les plus avancées ont nommé un référent IA interne (pas nécessairement à temps plein), rattaché au DPO ou au RSSI. Elles ont instauré un processus simple de validation avant tout nouvel achat ou déploiement d'outil IA : une fiche de qualification en cinq questions suffit pour détecter les cas à risque élevé avant qu'ils n'entrent en production.
Elles ont également commencé à former leurs managers métier — pas seulement les équipes IT — à reconnaître ce qu'est un système IA et quelles questions poser à leurs fournisseurs. C'est ce changement culturel progressif qui rend le plan de remédiation soutenable sur le long terme.
FAQ
Une ETI est-elle directement concernée par l'AI Act ou seulement les grandes entreprises ?
Toutes les organisations qui utilisent, déploient ou développent des systèmes IA dans l'UE sont concernées par l'AI Act, quelle que soit leur taille. Les ETI sont souvent opérateurs de systèmes IA achetés auprès de fournisseurs, ce qui leur confère des obligations spécifiques, notamment en matière de supervision humaine et de vérification de la conformité des outils acquis.
Par où commencer concrètement quand on n'a pas d'équipe dédiée ?
La première action est l'inventaire des outils IA utilisés, y compris le shadow AI. Cet exercice peut être mené en quelques semaines par le DPO ou le RSSI avec un modèle de registre adapté. Il permet ensuite de classifier les systèmes par niveau de risque et d'identifier les deux ou trois chantiers prioritaires sur lesquels concentrer les ressources disponibles.
Quelles sanctions risque une ETI qui ne se met pas en conformité avec l'AI Act ?
Les sanctions varient selon la nature de l'infraction. L'utilisation de pratiques IA interdites peut entraîner des amendes jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le non-respect des obligations applicables aux systèmes à haut risque expose à des amendes jusqu'à 15 millions d'euros ou 3 % du CA mondial. Les autorités nationales de surveillance auront un pouvoir de contrôle direct.
Comment articuler le plan de remédiation AI Act avec la conformité RGPD existante ?
Les deux référentiels sont complémentaires et partagent des outils communs : registre des traitements, analyses d'impact, documentation des processus automatisés. L'approche la plus efficace pour une ETI est de faire évoluer son programme RGPD existant pour y intégrer les exigences AI Act, plutôt que de créer un programme parallèle. Cela réduit significativement la charge de travail et capitalise sur les compétences déjà développées.