Les dirigeants de PME ont des questions très pratiques sur l'AI Act : suis-je vraiment concerné ? Combien ça va me coûter ? Par où commencer ? Voici les 25 questions les plus fréquentes avec des réponses directes.
Je suis concerné ? (Questions 1-8)
FAQ AI Act PME : la grande majorité des PME utilisant des outils SaaS standard (CRM, comptabilité, communication) sont à risque minimal et ont très peu d'obligations spécifiques. Les obligations lourdes s'appliquent aux systèmes d'IA dans des domaines sensibles (recrutement, crédit, santé) ou aux PME qui développent elles-mêmes des systèmes d'IA.
Quand et comment agir ? (Questions 9-16)
Obligations concrètes (Questions 17-25)
Conclusion
L'AI Act n'est pas aussi menaçant pour les PME que certains l'ont présenté. La grande majorité des PME françaises n'ont que des obligations légères. Celles qui développent ou utilisent des systèmes d'IA dans des domaines sensibles ont des obligations plus substantielles, mais bénéficient de délais et d'accompagnements spécifiques. L'action maintenant vaut mieux que la précipitation.
Questions fréquentes
Très légèrement. ChatGPT est soumis aux obligations GPAI (à la charge d'OpenAI). Vous, en tant qu'utilisateur pour des tâches internes, avez des obligations minimales. Si vous intégrez ChatGPT dans un service à des clients, vérifiez le niveau de risque du système résultant.
Oui, potentiellement fortement. Les systèmes d'IA utilisés pour le tri automatique des CV sont explicitement listés à l'Annexe III comme systèmes à risque élevé. Vous devez vérifier si votre fournisseur est conforme AI Act et si vos pratiques de déploiement respectent les obligations du déployeur.
Probablement aucune spécifique à l'AI Act. Les outils de prévision commerciale interne sont généralement à risque minimal. Vérifiez le RGPD si des données personnelles de clients sont impliquées.
Vous êtes fournisseur d'un système d'IA. Classifiez votre système selon les critères de l'AI Act. Si votre recommandation ne concerne pas des domaines à risque élevé (santé, crédit, emploi...), vous êtes probablement à risque limité (obligation d'information si c'est un chatbot) ou minimal.
En théorie oui, mais en pratique les obligations pour les micro-entreprises sont très allégées. Les PME bénéficient de plafonds d'amendes réduits. Les systèmes IA typiquement utilisés par les artisans (comptabilité, communication) sont à risque minimal.
Priorité absolue. Un système d'IA médicale est potentiellement à risque élevé (Annexe I ou III selon les cas). Vous devez engager un processus de conformité complet : documentation technique, évaluation de conformité, organisme notifié si requis. Commencez dès maintenant : le règlement (UE) 2026/1744 a fixé l'échéance au 2 décembre 2027 (Annexe III) ou au 2 août 2028 (Annexe I), ce qui laisse du temps mais ne dispense pas de s'y préparer.
Cela dépend de l'usage. Si vous utilisez l'IA pour analyser votre propre bilan, c'est à risque minimal. Si le logiciel prend des décisions de crédit ou d'investissement qui affectent des tiers, c'est potentiellement à risque élevé.
Oui. L'AI Act s'applique à toutes les entités — entreprises, associations, fondations — qui développent ou déploient des systèmes d'IA. Les exemptions ne portent que sur les usages personnels et certains usages militaires/sécurité nationale.
Par un inventaire. Listez tous les systèmes d'IA utilisés ou développés par votre entreprise. Puis classifiez chacun selon les 4 niveaux de risque. Vous saurez alors quelles actions prioriser.
Pour les systèmes à risque minimal : non, vous pouvez gérer en interne avec les guides publics. Pour les systèmes à risque limité : probablement pas. Pour les systèmes à risque élevé : fortement recommandé, surtout si vous êtes le fournisseur du système.
Variable selon votre situation. Pour une PME n'utilisant que des outils SaaS à risque minimal : quelques jours de travail interne pour l'inventaire et la classification. Pour une PME développant un système à risque élevé : plusieurs dizaines de milliers d'euros (documentation, conseil juridique, évaluation de conformité).
Oui. L'AI Act prévoit des sandboxes réglementaires prioritairement accessibles aux PME et startups. BPI France et la CNIL proposent des guides et accompagnements. La Commission européenne publie des ressources gratuites sur digital-strategy.ec.europa.eu.
Pas obligatoirement pour les petites PME. Mais il est utile de désigner un référent interne qui suit les évolutions réglementaires. Pour les PME avec des systèmes à risque élevé, un responsable clairement identifié est fortement recommandé.
Demandez-leur leur politique de conformité AI Act, leurs conditions de service pour le marché européen, et s'ils ont une documentation technique disponible. Les grands fournisseurs (Microsoft, Google, OpenAI) publient leurs engagements de conformité sur leurs sites.
Oui si vous utilisez des systèmes d'IA à risque élevé. Les contrats doivent clarifier les responsabilités réciproques (qui est fournisseur, qui est déployeur, quelles garanties de conformité). Pour les outils SaaS à risque minimal, les conditions standard suffisent généralement.
Pour les interdictions : c'était février 2025 (passé). Pour les systèmes à risque élevé, le règlement (UE) 2026/1744 a reporté l'échéance au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I). Si vous avez des systèmes à risque élevé, vous disposez donc encore de temps pour régulariser votre situation.
Le chatbot doit s'identifier clairement comme un système IA. Un message type 'Bonjour, je suis l'assistant IA de [Votre Entreprise]' suffit. Assurez-vous aussi que votre politique de confidentialité couvre les données de conversation (RGPD).
Seulement si c'est un système à risque élevé. Les fournisseurs de systèmes à risque élevé doivent enregistrer dans la base de données européenne (opérée par la Commission européenne). Les utilisateurs (déployeurs) de systèmes achetés n'ont généralement pas à enregistrer eux-mêmes.
La supervision humaine signifie qu'un opérateur humain doit pouvoir surveiller, comprendre et si nécessaire interrompre ou corriger un système d'IA à risque élevé. Concrètement : former les équipes, mettre en place des procédures de validation humaine pour les décisions importantes, définir les critères déclenchant une revue humaine.
Pour les systèmes à risque élevé : une évaluation de conformité est obligatoire (auto-évaluation possible pour la plupart, organisme notifié pour certains cas comme la biométrie). Pour les autres systèmes : aucun audit obligatoire, mais des pratiques de governance régulière sont recommandées.
Oui. Pour les systèmes à risque élevé, les incidents graves doivent être signalés à l'autorité nationale. Même sans obligation légale, documenter et corriger les erreurs est une bonne pratique de gouvernance.
Vous n'êtes pas en violation de l'AI Act sur ce point : le règlement (UE) 2026/1744 a reporté l'entrée en application des obligations pour les systèmes à risque élevé au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I). Ce délai supplémentaire est une occasion de finaliser votre mise en conformité avant que les autorités nationales ne puissent ouvrir des enquêtes et prononcer des sanctions.
Il les complète. L'AI Act ajoute des obligations spécifiques à l'IA au-delà du RGPD. Il autorise aussi certains traitements de données sensibles (pour corriger les biais) qui seraient normalement interdits par le RGPD.
Partiellement. Les modèles open source bénéficient d'exemptions sur certaines obligations documentaires. Mais vous, en tant que déployeur, restez responsable de l'usage que vous en faites. Si vous déployez un modèle open source dans une application à risque élevé, vous avez les obligations du déployeur.
CNIL (guides et accompagnement), digital-strategy.ec.europa.eu (Commission européenne), ai-act-service-desk.ec.europa.eu (service desk du Bureau européen de l'IA), BPI France (accompagnement financement), Syntec Numérique et TECH IN France (associations professionnelles). Ce site bien sûr.
Oui, mais avec des obligations proportionnées. La majorité des PME utilisant des outils SaaS standard ont des obligations minimales. Les PME développant des systèmes d'IA à risque élevé ou utilisant de l'IA dans des domaines sensibles (recrutement, crédit) ont des obligations plus substantielles. Pour les PME, c'est le montant le plus bas (et non le plus élevé) qui est retenu entre le plafond fixe et le pourcentage du CA.