IA
AI Act : la checklist pratique pour une PME
AI Act pour une PME qui utilise ou développe de l’IA : niveaux de risque, rôles, obligations de transparence, inventaire et gouvernance. Une checklist concrète.
- Publié le
- Mis à jour le
- Temps de lecture
- 7 min de lecture
L’AI Act ne demande pas à une PME de devenir juriste. Il lui demande de savoir quelles IA elle utilise, pour quoi faire, et avec quel niveau de risque. La plupart des entreprises découvriront que leurs usages sont peu encadrés : un assistant de rédaction, une recherche dans les documents internes, un résumé de réunion. Quelques usages, en revanche, entrent dans la catégorie « haut risque » sans que personne ne l’ait remarqué, souvent dans les ressources humaines. Cette checklist sert à faire le tri, dans l’ordre, sans y passer des mois.
Cet article donne des repères pratiques et ne constitue pas un conseil juridique : pour un cas précis, consultez un avocat spécialisé.
Ce qu’est l’AI Act, en quelques lignes
Le règlement européen sur l’intelligence artificielle est entré en vigueur en 2024. Il s’applique directement dans tous les États membres, sans transposition. Ses obligations entrent en application par étapes : depuis 2025, les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent, ainsi que les règles visant les fournisseurs de modèles d’IA à usage général. D’autres obligations suivent, notamment pour les systèmes à haut risque, et leur calendrier fait l’objet de discussions d’ajustement au niveau européen. Vérifiez donc l’état du calendrier au moment où vous lisez.
La logique est fondée sur le risque : plus un usage peut nuire aux personnes, plus les exigences sont fortes.
Les quatre niveaux de risque
- Risque inacceptable : interdit. Notation sociale, techniques de manipulation exploitant les vulnérabilités, reconnaissance des émotions sur le lieu de travail ou à l’école (hors raisons médicales ou de sécurité), constitution de bases de reconnaissance faciale par moissonnage d’images, catégorisation biométrique déduisant des données sensibles.
- Haut risque : autorisé, mais très encadré. Recrutement et gestion des salariés, éducation et notation, accès au crédit et à certaines assurances, infrastructures critiques, biométrie, et composants de sécurité de produits déjà réglementés.
- Risque limité : obligations de transparence. Chatbots, contenus générés ou modifiés par IA, hypertrucages.
- Risque minimal : pas d’obligation spécifique. Filtres anti-spam, recommandations, assistants internes de rédaction, la grande majorité des usages courants.
Votre rôle : déployeur ou fournisseur
Le règlement distingue principalement deux rôles, et les obligations en découlent.
- Déployeur : vous utilisez un système d’IA dans votre activité. Une PME qui se sert de Claude, d’un modèle OpenAI ou de Mistral, ou d’un logiciel métier qui intègre de l’IA, est déployeur.
- Fournisseur : vous développez un système d’IA et le mettez sur le marché sous votre nom, y compris intégré à votre propre produit. Un éditeur de logiciel qui ajoute un agent IA à son SaaS devient fournisseur de ce système.
Attention aux bascules : apposer votre marque sur un système, le modifier substantiellement ou l’utiliser pour une finalité à haut risque non prévue peut faire de vous un fournisseur. Les fournisseurs de modèles à usage général (Anthropic, OpenAI, Mistral) ont leurs propres obligations ; les utiliser via une API ne vous les transfère pas.
La checklist
| Étape | Question à se poser | Ce que vous produisez |
|---|---|---|
| 1. Inventaire | Quels outils et fonctions d’IA utilisons-nous, y compris ceux intégrés à nos logiciels ? | Un registre : outil, usage, équipe, données traitées |
| 2. Classement | Chaque usage est-il interdit, à haut risque, soumis à transparence ou minimal ? | Un niveau de risque par ligne du registre, justifié |
| 3. Rôle | Sommes-nous déployeur ou fournisseur pour chaque usage ? | Le rôle noté dans le registre |
| 4. Pratiques interdites | Un usage touche-t-il à la liste des interdictions ? | Arrêt immédiat de l’usage concerné |
| 5. Transparence | Nos clients savent-ils qu’ils échangent avec une IA ? Nos contenus générés sont-ils signalés ? | Mentions dans les interfaces, règles de publication |
| 6. Maîtrise de l’IA | Nos équipes savent-elles utiliser ces outils et en connaître les limites ? | Formation adaptée à chaque rôle, traces des actions menées |
| 7. Haut risque | Pour chaque usage à haut risque, avons-nous la supervision humaine, les journaux et l’information des personnes ? | Un dossier par système, un responsable nommé |
| 8. Fournisseurs | Nos prestataires d’IA nous donnent-ils la documentation et les garanties nécessaires ? | Clauses contractuelles, documentation archivée |
| 9. Revue | Qui met à jour le registre quand un nouvel outil arrive ? | Un responsable et une revue périodique |
Les points qui demandent de l’attention
L’obligation de maîtrise de l’IA
C’est l’obligation la plus large, et elle s’applique déjà. Fournisseurs et déployeurs doivent prendre des mesures pour que les personnes qui utilisent l’IA en leur nom en aient une maîtrise suffisante, adaptée à leur rôle et au contexte. Concrètement : savoir ce que l’outil fait bien, où il se trompe (hallucinations, biais), quelles données ne jamais y coller, et quand faire relire. Une formation pratique, documentée, répond à cette exigence bien mieux qu’une charte que personne ne lit.
La transparence envers vos clients
Si un client échange avec un chatbot ou un agent, il doit le savoir, sauf si c’est évident. Les contenus générés par IA doivent pouvoir être identifiés comme tels, et les hypertrucages signalés. Pour un site ou une application, cela se traduit par une mention claire dans l’interface, pas par une ligne cachée dans les conditions générales.
Les ressources humaines
C’est là que les PME basculent le plus souvent dans le haut risque sans le savoir : un outil qui trie les CV, classe des candidats, évalue la performance ou surveille l’activité des salariés. En tant que déployeur d’un tel système, vous devez notamment l’utiliser conformément à sa notice, confier la supervision à des personnes compétentes, surveiller son fonctionnement, conserver les journaux, et informer les salariés et leurs représentants avant sa mise en service.
Si vous développez de l’IA
Un éditeur qui intègre un agent ou un copilote dans son produit doit d’abord classer cet usage. Pour un usage à risque limité, l’essentiel porte sur la transparence. Pour un usage à haut risque, les exigences sont celles d’un produit réglementé : gestion des risques, qualité des données, documentation technique, journalisation, supervision humaine, robustesse et cybersécurité, évaluation de conformité. Mieux vaut le savoir avant d’écrire la première ligne de code.
La gouvernance, à taille de PME
Pas besoin d’un comité. Il faut un registre vivant, un responsable nommé, une règle simple pour l’arrivée d’un nouvel outil (on l’inscrit et on le classe avant de l’utiliser), et une revue régulière. Les bonnes pratiques de sécurité valent aussi : le Top 10 OWASP pour les applications LLM recense les risques comme l’injection de prompt ou la fuite de données, et le RGPD continue de s’appliquer à chaque traitement de données personnelles.
Le règlement prévoit aussi des mesures d’accompagnement pour les PME, notamment des bacs à sable réglementaires et des documentations simplifiées. Elles allègent la charge, elles ne dispensent pas des obligations.
En résumé
Faites l’inventaire, classez chaque usage, identifiez votre rôle. Arrêtez tout usage interdit, rendez visibles les IA exposées à vos clients et formez vos équipes. Réservez l’effort lourd aux rares usages à haut risque, surtout en ressources humaines. Une PME bien organisée traite l’essentiel en quelques semaines, et en sort avec une vision claire de ses usages de l’IA, ce qui a de la valeur bien au-delà de la conformité.
Questions fréquentes
L’AI Act concerne-t-il une PME qui utilise seulement ChatGPT, Claude ou Mistral ?
Oui, mais légèrement dans la plupart des cas. Vous êtes « déployeur » : l’obligation de maîtrise de l’IA par vos équipes s’applique déjà, et les obligations de transparence s’appliquent si vous exposez l’IA à vos clients ou publiez des contenus générés. Les obligations lourdes ne visent que les usages à haut risque.
Quels usages de l’IA sont à haut risque pour une entreprise ?
Les plus courants en PME touchent l’emploi (tri de CV, évaluation ou suivi des salariés) et l’accès à des services essentiels (évaluation de solvabilité, tarification de certaines assurances). La liste figure à l’annexe III du règlement, à laquelle s’ajoutent les composants de sécurité de produits réglementés comme les dispositifs médicaux.
Le RGPD suffit-il pour être en règle avec l’AI Act ?
Non. Les deux textes se cumulent. Le RGPD encadre le traitement des données personnelles, l’AI Act encadre les systèmes d’IA selon leur niveau de risque. Un même projet doit souvent répondre aux deux, et une analyse d’impact RGPD peut nourrir les travaux AI Act.
Un cas d’usage IA en tête ? Un produit à lancer ?
Décrivez-nous la situation en quelques lignes. Sous deux jours ouvrés, vous recevez une réponse franche : ce que nous ferions, dans quel ordre, et si nous sommes la bonne équipe pour le faire.