L'AI Act européen (Règlement UE 2024/1689) s'applique progressivement depuis août 2024. Les pratiques IA interdites sont pleinement en vigueur depuis février 2025 ; les obligations concernant les systèmes IA à haut risque, elles, ont été reportées par le règlement (UE) 2026/1744 au 2 décembre 2027 (Annexe III) et au 2 août 2028 (Annexe I). Pour une PME qui développe ou déploie des systèmes IA, la mise en conformité reste structurable, avec ce délai supplémentaire pour les systèmes à haut risque. Voici le cadre pratique pour une DSI ou un responsable conformité.
Calendrier AI Act : ce qui s'applique maintenant
L'AI Act s'applique en plusieurs vagues : les pratiques IA interdites depuis le 2 février 2025, les règles sur les modèles d'IA à usage général (GPAI) depuis le 2 août 2025, et — depuis le report décidé par le règlement (UE) 2026/1744 — les obligations pour les systèmes IA à haut risque à partir du 2 décembre 2027 (Annexe III) et du 2 août 2028 (Annexe I). Aujourd'hui, les PME doivent donc déjà être conformes sur les pratiques interdites et les obligations GPAI ; elles disposent d'un délai supplémentaire pour les obligations relatives aux systèmes à haut risque.
Pratiques IA interdites depuis février 2025
Six catégories de pratiques sont totalement interdites : notation sociale généralisée par les pouvoirs publics, manipulation comportementale subliminale, exploitation de vulnérabilités (âge, handicap), biométrie à distance en temps réel dans les espaces publics (sauf exceptions sécuritaires strictes), reconnaissance des émotions en milieu professionnel ou éducatif, catégorisation biométrique inférant origine raciale, opinions politiques ou croyances. Toute PME utilisant un système IA doit vérifier qu'il ne relève pas de ces catégories.
Classification des risques : quelle catégorie pour votre IA ?
L'AI Act classe les systèmes IA en 4 niveaux de risque, chacun avec des obligations différentes.
Risque inacceptable → Interdit
Voir ci-dessus. Aucune conformité possible : ces usages sont interdits inconditionnellement.
Risque élevé → Obligations strictes
Les systèmes IA à haut risque couvrent : recrutement et gestion RH (scoring de CV, évaluation de performance), crédit et assurance (scoring de solvabilité), justice et forces de l'ordre, éducation et formation professionnelle (notation d'examens), services essentiels (eau, énergie, transport). Ces systèmes doivent répondre à des exigences strictes : données d'entraînement documentées, logs traçables, supervision humaine, documentation technique complète, inscription dans une base de données EU.
Risque limité → Obligations de transparence
Les chatbots, systèmes de génération de contenu ou deepfakes doivent indiquer clairement à l'utilisateur qu'il interagit avec un système IA. Cette obligation s'applique dès maintenant à tous les chatbots B2C ou B2B.
Risque minimal → Pas d'obligation spécifique
Filtres anti-spam, IA de recommandation de contenu standard, jeux vidéo — aucune obligation réglementaire spécifique au titre de l'AI Act, mais les règles RGPD restent applicables.
Plan de gouvernance IA pour une PME : 6 étapes
Une gouvernance IA efficace pour une PME se structure en 6 étapes concrètes.
Étape 1 — Inventaire des systèmes IA en production
Listez tous les systèmes IA utilisés ou déployés : outils RH, CRM avec scoring, chatbots, outils de détection de fraude, modèles de prévision. Incluez les solutions SaaS tierces — si vous déployez un système IA fourni par un tiers, vous êtes considéré comme 'déployeur' et avez des obligations.
Étape 2 — Classification par niveau de risque
Pour chaque système listé, déterminez la catégorie de risque AI Act. Le bureau européen de l'IA met à disposition un outil de classification sur digital-strategy.ec.europa.eu.
Étape 3 — Documentation technique
Pour les systèmes à haut risque : préparez le dossier technique obligatoire (description du système, données d'entraînement, métriques de performance, mesures de cybersécurité, résultats des tests). Ce dossier doit être disponible sur demande des autorités nationales de contrôle.
Étape 4 — Supervision humaine
Les systèmes à haut risque doivent permettre une supervision humaine effective. Documentez les procédures : qui peut intervenir sur les décisions de l'IA ? Comment sont signalés et traités les dysfonctionnements ?
Étape 5 — Formation des équipes
Les opérateurs de systèmes IA à haut risque doivent être formés aux risques spécifiques du système. Cette obligation inclut les équipes RH qui utilisent des outils de scoring de CV, les équipes crédit qui utilisent des modèles de solvabilité, etc.
Étape 6 — Désignation d'un responsable IA
Bien que l'AI Act n'impose pas de DPO IA formellement, la désignation d'un référent IA (DSI ou compliance officer) est fortement recommandée pour coordonner la mise en conformité et interagir avec les autorités de contrôle (DGCCRF, point de contact unique en France, et CNIL pour la biométrie, l'emploi ou l'éducation).
Sanctions AI Act : ce que risque une PME non conforme
Les sanctions de l'AI Act sont graduées selon la gravité : 35 millions d'euros ou 7 % du CA mondial pour les violations les plus graves (pratiques interdites), 15 millions ou 3 % pour les violations de la plupart des obligations (haut risque, GPAI), 7,5 millions ou 1 % pour la fourniture d'informations incorrectes. Pour les PME et les start-ups, l'AI Act prévoit explicitement la proportionnalité des sanctions et un accompagnement prioritaire via les 'regulatory sandboxes' (bacs à sable réglementaires).
Conclusion
La gouvernance IA n'est plus une option pour les PME qui développent ou déploient des systèmes IA en Europe. La bonne nouvelle : les obligations s'appliquent progressivement, et les PME bénéficient d'un accompagnement spécifique prévu par l'AI Act lui-même. L'essentiel est de commencer par l'inventaire et la classification.
Questions fréquentes
Oui. Les PME qui déploient des systèmes IA tiers sont considérées comme 'déployeurs' et ont des obligations : vérifier que le fournisseur respecte ses obligations, assurer la supervision humaine, former les opérateurs. Pour les systèmes à haut risque, le déployeur partage la responsabilité avec le fournisseur.
À partir du 2 décembre 2027 pour les systèmes IA à haut risque de l'Annexe III de l'AI Act, et du 2 août 2028 pour ceux de l'Annexe I — dates fixées par le règlement (UE) 2026/1744, qui a reporté ces échéances. Les systèmes à haut risque des autorités publiques déjà déployés bénéficient d'un délai supplémentaire jusqu'au 2 août 2030 (art. 111§2). Vérifiez la catégorie précise de votre système sur le site du bureau européen de l'IA.
Oui. L'AI Act impose aux États membres de créer des 'regulatory sandboxes' (bacs à sable réglementaires) pour accompagner les PME et start-ups. En France, la CNIL et l'ANSSI proposent des guides pratiques. L'AI Office européen met également à disposition des outils de classification et de documentation.