En bref : L’AI Act européen impose un cadre réglementaire strict pour l’intelligence artificielle, avec des échéances clés dès 2025 et une pleine application pour les systèmes à haut risque en 2026, potentiellement décalée pour les PME. Cet article détaille le calendrier, la classification des risques et les actions immédiates pour les dirigeants, DSI, DAF et responsables innovation, afin de transformer la conformité en avantage stratégique.

L’AI Act et les PME : Un Calendrier Incontournable pour 2026-2027?

L’intelligence artificielle n’est plus une promesse lointaine, mais une réalité opérationnelle qui transforme les entreprises, y compris les PME et ETI. Des assistants rédactionnels aux chatbots de service client, en passant par les outils de tri de candidatures ou d’aide à la décision commerciale, l’IA s’est immiscée dans le quotidien. Cette adoption massive, si elle est source d’opportunités, soulève également des enjeux éthiques et de sécurité majeurs, auxquels l’Union européenne a choisi de répondre par une législation pionnière : l’AI Act.

Adopté le 13 juin 2024 et entré officiellement en vigueur le 1er août 2024, le Règlement (UE) 2024/1689, dit AI Act, est le premier cadre juridique complet au monde pour l’intelligence artificielle. Son objectif est clair : garantir que les systèmes d’IA développés et utilisés au sein de l’UE respectent les droits fondamentaux, la sécurité et les valeurs européennes, tout en favorisant l’innovation.

Contrairement à une idée reçue, l’AI Act ne concerne pas uniquement les géants de la technologie ou les développeurs de modèles d’IA générative comme OpenAI ou Google. Il impacte directement toute organisation – entreprise, association ou administration – qui fournit, importe, distribue ou déploie des systèmes ou modèles d’intelligence artificielle encadrés par le règlement. En d’autres termes, votre PME ou ETI, même si elle n’est qu’utilisatrice de solutions “clé en main”, est concernée.

L’enjeu est de taille. Selon un rapport Salesforce de septembre 2024, 49% des salariés utilisent des outils d’IA non approuvés par leur employeur, créant un décalage considérable entre les usages réels et la conscience réglementaire. L’AI Act vient combler ce vide, avec une application progressive mais inéluctable. La bonne nouvelle ? L’AI Act met un accent particulier sur les petites et moyennes entreprises, les mentionnant 38 fois dans le texte. Des mesures de soutien et de simplification sont prévues pour faciliter leur mise en conformité, notamment via des bacs à sable réglementaires et des coûts d’évaluation proportionnels.

Décrypter les Niveaux de Risque de l’AI Act : La Clé de Votre Conformité

La pierre angulaire de l’AI Act est son approche basée sur les risques. Le règlement classe les systèmes d’IA en quatre catégories, déterminant le niveau d’obligations qui s’y rattachent. C’est en comprenant cette classification que votre PME/ETI pourra identifier ses responsabilités et prioriser ses actions.

1. Risque Inacceptable : Les Interdits Absolus

Ces systèmes sont jugés incompatibles avec les valeurs européennes et les droits fondamentaux. Ils sont purement et simplement interdits. L’interdiction est entrée en vigueur le 2 février 2025. Sont notamment prohibés :

  • Les systèmes de notation sociale (social scoring) par les gouvernements, sur le modèle de ce qui est pratiqué en Chine.
  • Les systèmes de manipulation subliminale ou exploitant les vulnérabilités de personnes, pouvant causer un préjudice physique ou psychologique.
  • Certaines formes de reconnaissance biométrique à distance en temps réel dans l’espace public (sauf exceptions strictes pour les forces de l’ordre).
  • L’inférence des émotions dans le cadre professionnel ou éducatif.

Si votre PME/ETI utilise, même indirectement, de tels systèmes, leur usage doit cesser immédiatement. Les sanctions pour ces violations sont les plus élevées, pouvant atteindre 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial.

2. Haut Risque : Le Cœur des AI Act Obligations PME

C’est la catégorie qui aura le plus grand impact sur les PME et ETI. Les systèmes d’IA à haut risque ne sont pas interdits, mais sont soumis à des exigences très strictes avant et pendant leur mise sur le marché ou leur utilisation. La liste détaillée se trouve à l’Annexe III du Règlement.

Un système est considéré à haut risque s’il est destiné à être utilisé comme composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union (ex: dispositifs médicaux, machines, jouets), ou s’il relève de domaines sensibles en raison de leur impact potentiel sur la vie, la santé ou les droits fondamentaux des personnes.

Exemples concrets de systèmes d’IA à haut risque, souvent utilisés par les PME/ETI:

  • Gestion et opération d’infrastructures critiques (eau, gaz, électricité, transport) où un dysfonctionnement pourrait mettre des vies en danger.
  • Éducation et formation professionnelle (évaluation des résultats d’apprentissage, admission, suivi des étudiants, notation).
  • Emploi, gestion des travailleurs et accès à l’emploi indépendant (outils de recrutement et de tri de CV, évaluation des performances, outils de surveillance des employés).
  • Accès à des services essentiels privés et publics (évaluation de la solvabilité pour un prêt, scoring de crédit, systèmes d’aide à l’attribution de prestations sociales).
  • Application de la loi (évaluation de la fiabilité des preuves, profilage de personnes).
  • Gestion des migrations, de l’asile et du contrôle des frontières (examen automatisé des demandes de visa).
  • Administration de la justice et processus démocratiques (IA pour l’aide à la recherche juridique, l’interprétation des faits).

Si votre PME/ETI est un fournisseur (développeur) de tels systèmes, les obligations sont lourdes : mise en place d’un système de gestion des risques, gouvernance des données de haute qualité, documentation technique exhaustive, enregistrement des activités (logging), supervision humaine, robustesse, cybersécurité et précision. Une évaluation de conformité par un tiers peut être requise. Si votre PME/ETI est un déployeur (utilisateur) de systèmes à haut risque, vos obligations sont moindres mais non négligeables : s’assurer de la supervision humaine, utiliser le système conformément aux instructions du fournisseur, et mettre en place une gouvernance interne.

3. Risque Limité : La Transparence Avant Tout

Cette catégorie concerne les systèmes d’IA qui posent un risque de manipulation, mais ne menacent pas directement la sécurité ou les droits fondamentaux. Les obligations sont principalement axées sur la transparence. Exemples typiques:

  • Les systèmes d’IA destinés à interagir avec des personnes (chatbots) : l’utilisateur doit être informé qu’il interagit avec une machine.
  • Les systèmes de reconnaissance d’émotions ou de catégorisation biométrique (hors haut risque) : les personnes doivent en être informées.
  • Les systèmes générant ou manipulant des images, des sons ou des vidéos (deepfakes, contenus synthétiques) : ils doivent être clairement étiquetés comme artificiels.

Pour les PME/ETI, cela signifie qu’un chatbot sur votre site web ou l’utilisation d’outils de génération de contenu (texte, image) nécessite une information claire de l’utilisateur final.

4. Risque Minimal ou Nul : Liberté Surveillée

La grande majorité des systèmes d’IA utilisés aujourd’hui relèvent de cette catégorie (ex: filtres anti-spam, jeux vidéo basés sur l’IA). Ils ne sont soumis à aucune obligation particulière au titre de l’AI Act. Cependant, le règlement encourage l’élaboration de codes de conduite volontaires. Même pour ces systèmes, une bonne gouvernance interne reste une pratique recommandée pour prévenir les risques réputationnels et opérationnels.

Calendrier et AI Act Obligations PME Concrètes : Quand Agir et Sur Quoi ?

L’application de l’AI Act est progressive, offrant aux entreprises une période d’adaptation. Cependant, certaines échéances sont déjà passées ou imminentes, et la pleine applicabilité approche à grands pas.

Les Dates Clés à Retenir :

  • 1er août 2024 : Entrée en vigueur officielle de l’AI Act. Le règlement est publié au Journal officiel de l’Union européenne. C’est le point de départ de la période de transition.

  • 2 février 2025 : Interdiction des systèmes d’IA à risque inacceptable. Les pratiques listées précédemment sont formellement interdites. Toute PME/ETI utilisant de tels systèmes s’expose déjà aux sanctions les plus lourdes.

  • 2 août 2025 : Application des règles sur l’IA à usage général (GPAI) et mise en place de la gouvernance.

    • Les fournisseurs de modèles d’IA à usage général (comme les grands LLM, ex: ChatGPT, Gemini, Mistral) sont soumis à des obligations spécifiques, notamment en matière de transparence et de sécurité.
    • Les États membres doivent désigner leurs autorités nationales compétentes et adopter les lois nationales sur les sanctions.
    • Les obligations de confidentialité et les sanctions générales prévues par l’AI Act (hors amendes spécifiques aux GPAI) commencent à s’appliquer.
    • La gouvernance au niveau de l’UE (Conseil européen de l’IA, groupe scientifique, forum consultatif) doit être mise en place.

  • 2 août 2026 : Pleine applicabilité de l’AI Act pour la majorité des règles.

    • Application des règles relatives aux systèmes d’IA à haut risque listés à l’Annexe III. C’est l’échéance la plus critique pour de nombreuses PME/ETI.
    • Les règles de transparence (article 50) commencent à s’appliquer (ex: information sur l’interaction avec une IA, signalement des contenus synthétiques).
    • Les mesures de soutien à l’innovation, comme les bacs à sable réglementaires, doivent être opérationnelles dans chaque État membre, avec un accès prioritaire et gratuit pour les PME.
    • L’application de l’AI Act commence au niveau national et européen.

  • Attention : Un report potentiel pour les systèmes à haut risque ! Il est crucial de noter qu’un accord pourrait repousser l’application des obligations relatives aux systèmes d’IA à haut risque. Selon un accord trouvé le 7 mai 2026, les obligations pour les systèmes d’IA présentant un cas d’utilisation à haut risque (Annexe III) pourraient s’appliquer à partir du 2 décembre 2027. Pour les systèmes d’IA utilisés comme composants de sécurité et couverts par la législation sectorielle de l’UE (Annexe I), l’échéance pourrait être le 2 août 2028. Ces reports, s’ils sont confirmés dans le cadre du paquet “omnibus numérique”, visent à lier l’application des règles à la disponibilité d’outils de soutien et de normes harmonisées.

    Notre conseil : Ne pas relâcher la pression. Si ces reports offrent un sursis bienvenu, ils ne doivent pas inciter à l’inaction. La complexité de la mise en conformité et les délais nécessaires pour auditer, documenter et adapter les systèmes d’IA justifient une démarche proactive dès maintenant.

  • 2 août 2027 : Application aux systèmes d’IA à haut risque incorporés dans certains produits réglementés. Cela concerne spécifiquement les IA intégrées dans des produits soumis à une réglementation sectorielle existante, comme les jouets, les dispositifs médicaux ou les machines. (Potentiellement reporté au 2 août 2028, comme mentionné ci-dessus).

Obligations Concrètes pour les PME/ETI :

Les obligations varient selon que votre PME/ETI est un fournisseur (développeur) ou un déployeur (utilisateur) de systèmes d’IA, et bien sûr selon le niveau de risque.

Pour les Fournisseurs de Systèmes d’IA à Haut Risque :

Les exigences sont les plus lourdes et couvrent l’ensemble du cycle de vie du système :

  1. Système de gestion des risques : Établir, mettre en œuvre, documenter et maintenir un système de gestion des risques tout au long du cycle de vie de l’IA.
  2. Gouvernance des données : Utiliser des ensembles de données de formation, de validation et de test de haute qualité, pertinents, représentatifs, exempts d’erreurs et complets pour minimiser les risques de biais discriminatoires.
  3. Documentation technique : Établir une documentation technique complète et transparente, permettant de comprendre le fonctionnement du système d’IA (sous forme de notice) et de garantir la traçabilité. Des formulaires simplifiés seront disponibles pour les micro et petites entreprises.
  4. Enregistrement des activités (Logging) : Les systèmes doivent enregistrer automatiquement les événements tout au long de leur fonctionnement pour assurer la traçabilité des résultats.
  5. Supervision humaine : Concevoir le système pour permettre une supervision humaine efficace, afin d’éviter que des décisions importantes ne soient prises uniquement par des machines.
  6. Robustesse, précision et cybersécurité : Assurer un niveau élevé de robustesse technique, de résilience à la cybersécurité et de précision.
  7. Marquage CE et Base de données UE : Obtenir un marquage CE et s’inscrire sur la base de données européenne dédiée avant la mise sur le marché ou en service.

Pour les Déployeurs (Utilisateurs) de Systèmes d’IA à Haut Risque :

Bien que moins nombreuses, ces obligations sont cruciales :

  1. Supervision humaine : S’assurer que le système est utilisé sous supervision humaine appropriée.
  2. Respect des instructions : Utiliser le système conformément aux instructions d’utilisation fournies par le fournisseur.
  3. Surveillance continue : Mettre en place une surveillance continue des performances du système et signaler tout incident grave.
  4. Gouvernance interne : Définir des règles claires sur l’utilisation des outils d’IA, la gestion et la protection des données, et les limites d’usage autorisées.
  5. Littératie IA : S’assurer que les personnes utilisant des systèmes d’IA disposent d’un niveau suffisant de connaissances pour les utiliser de manière responsable.

Pour les Systèmes à Risque Limité (Transparence) :

  • Information de l’utilisateur : Informer l’utilisateur qu’il interagit avec un système d’IA.
  • Identification des contenus synthétiques : Les contenus générés par IA (texte, image, audio, vidéo) doivent être signalés comme tels.

Sanctions : Les Conséquences de l’Inaction

Les sanctions prévues par l’AI Act sont dissuasives :

  • Jusqu’à 35 millions d’euros ou 7% du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu) pour la violation des interdictions de l’AI Act.
  • Jusqu’à 15 millions d’euros ou 3% du chiffre d’affaires annuel mondial pour la non-conformité avec les autres obligations de l’AI Act.
  • Jusqu’à 7,5 millions d’euros ou 1,5% du chiffre d’affaires annuel mondial pour la fourniture d’informations incorrectes, incomplètes ou trompeuses aux autorités.

Ces amendes, comparables à celles du RGPD, soulignent l’impératif de conformité. Au-delà des amendes, le risque réputationnel et la perte de confiance des clients et partenaires peuvent être dévastateurs.

Feuille de Route Stratégique pour PME/ETI : Anticiper l’AI Act Dès Aujourd’hui

Face à ce calendrier et à la complexité des AI Act obligations PME, l’inaction n’est pas une option. Une approche proactive est indispensable pour transformer cette contrainte réglementaire en un avantage concurrentiel. Voici une feuille de route stratégique en 5 étapes pour votre PME/ETI.

Étape 1 : Cartographie et Inventaire de Vos Systèmes d’IA (Dès maintenant)

La première étape est de savoir ce que vous utilisez.

  • Listez tous les outils et services intégrant de l’IA au sein de votre entreprise, qu’ils soient développés en interne ou fournis par des tiers (SaaS, API, logiciels intégrés). Cela inclut les outils d’IA générative (ChatGPT, Copilot, Gemini), les CRM avec scoring, les plateformes RH de tri de CV, les chatbots, les outils marketing prédictifs, etc..
  • Identifiez les fournisseurs de ces systèmes.
  • Recensez les cas d’usage : Pour chaque outil, déterminez son usage réel, son impact potentiel sur les personnes (employés, clients, partenaires) et la nature des décisions qu’il influence.

Étape 2 : Classification des Risques et Évaluation d’Impact (Q4 2025 - Q2 2026)

Une fois votre inventaire établi, classez chaque système selon les niveaux de risque de l’AI Act.

  • Évaluez le niveau de risque (inacceptable, haut, limité, minimal) pour chaque système d’IA identifié. Concentrez-vous particulièrement sur l’Annexe III pour les systèmes à haut risque.
  • Pour les systèmes à haut risque, menez une évaluation d’impact approfondie. Cela inclut l’analyse des risques pour les droits fondamentaux, la sécurité, la santé, et la détection de biais potentiels.
  • Documentez votre évaluation de manière rigoureuse. Si vous estimez qu’un système listé à l’Annexe III n’est pas à haut risque, vous devez le justifier et le documenter.

Étape 3 : Mise en Conformité et Adaptation des Processus (Dès Q1 2026)

C’est l’étape de l’action concrète, en fonction de la classification des risques.

  • Pour les systèmes à risque inacceptable : Cessez immédiatement toute utilisation.
  • Pour les systèmes à haut risque :
    • Gouvernance interne : Mettez en place des politiques claires pour l’utilisation de l’IA, la gestion des données, la supervision humaine et la gestion des risques.
    • Documentation : Constituez les dossiers de documentation technique requis par l’AI Act. Pour les micro et petites entreprises, des formulaires simplifiés seront disponibles.
    • Contrôle et audit : Définissez des mécanismes de surveillance continue et prévoyez des audits réguliers pour évaluer la conformité et prendre en compte les évolutions jurisprudentielles.
    • Collaboration fournisseurs : Engagez le dialogue avec vos fournisseurs SaaS pour comprendre leurs propres démarches de conformité et obtenir les garanties nécessaires. Le DPO de votre entreprise est un interlocuteur clé pour cette démarche.
  • Pour les systèmes à risque limité : Mettez en place les mécanismes de transparence nécessaires (information des utilisateurs, étiquetage des contenus synthétiques).
  • Pour tous les systèmes :
    • Formation et littératie IA : Formez vos équipes aux enjeux de l’IA, aux règles internes d’utilisation et aux obligations de l’AI Act. La Commission et les États membres doivent organiser des activités de sensibilisation et de formation adaptées aux PME.
    • Cybersécurité : Renforcez la cybersécurité de vos systèmes d’IA pour protéger les données et prévenir les attaques.

Étape 4 : Exploiter les Mesures de Soutien aux PME (Dès Q3 2026)

L’AI Act prévoit des dispositifs pour accompagner les PME.

  • Bacs à sable réglementaires (Regulatory Sandboxes) : Ces cadres contrôlés permettent de tester des produits ou services d’IA, y compris en conditions réelles, sous la supervision d’un régulateur et avec une souplesse temporaire des règles. Les PME bénéficieront d’un accès prioritaire et gratuit, avec des procédures simplifiées. C’est une opportunité unique pour innover en toute sécurité.
  • Coûts proportionnels : Les frais d’évaluation de conformité seront proportionnels à la taille des PME.
  • Documentation simplifiée et formations ciblées : La Commission élaborera des formulaires de documentation technique simplifiés et proposera des formations adaptées.

Étape 5 : Veille Réglementaire et Amélioration Continue (Permanente)

L’AI Act est un règlement évolutif.

  • Suivez les publications de la Commission européenne et des autorités nationales (en France, la DGE, la CNIL, la DGCCRF).
  • Participez aux codes de conduite volontaires pour les systèmes à risque minimal, afin de démontrer votre engagement envers une IA responsable.
  • Intégrez la conformité IA dans votre démarche de gouvernance globale (Data Governance, RGPD). Le DPO, par exemple, est un acteur clé pour la mise en conformité AI Act.

La mise en conformité à l’AI Act n’est pas un fardeau, mais un investissement stratégique. Une étude KPMG de 2025 anticipe une augmentation modérée des coûts de conformité, mais souligne que ces efforts sont perçus comme réalistes et nécessaires. En adoptant une démarche structurée, votre PME/ETI peut non seulement éviter les sanctions, mais aussi renforcer la confiance de ses clients et partenaires, et se positionner comme un acteur responsable et innovant sur le marché de l’IA.

FAQ

Qu’est-ce qu’une PME/ETI au sens de l’AI Act ? L’AI Act se réfère à la définition européenne des PME : moins de 250 employés, chiffre d’affaires annuel inférieur à 50 millions d’euros et/ou bilan annuel n’excédant pas 43 millions d’euros. Les petites entreprises ont moins de 50 employés et un CA/bilan inférieur à 10 millions d’euros ; les micro-entreprises, moins de 10 employés et un CA/bilan inférieur à 2 millions d’euros. Les ETI (Entreprises de Taille Intermédiaire) ne bénéficient pas des mêmes allègements spécifiques que les PME, mais l’approche par risque s’applique à toutes.

Mon entreprise utilise ChatGPT ou Copilot, suis-je concerné par l’AI Act ? Oui. Si votre entreprise utilise des outils d’IA générative comme ChatGPT ou Copilot, elle est considérée comme un “déployeur” au sens de l’AI Act. Vous êtes soumis aux obligations de transparence (informer l’utilisateur qu’il interagit avec une IA) et devez évaluer si l’usage spécifique de ces outils pourrait les faire basculer dans la catégorie “haut risque” (ex: tri de CV, scoring de prospects).

Est-ce que l’AI Act remplace le RGPD ? Non, l’AI Act ne remplace pas le RGPD, mais le complète. Le RGPD protège les données personnelles, tandis que l’AI Act encadre les systèmes d’IA indépendamment de la nature des données traitées. Les deux règlements se cumulent lorsque les systèmes d’IA traitent des données personnelles, ce qui est le cas dans la majorité des usages en PME.

Quels sont les coûts de mise en conformité pour une PME ? Les coûts varieront considérablement en fonction de la taille de l’entreprise, de la complexité et du nombre de systèmes d’IA utilisés, et de leur classification de risque. L’AI Act prévoit des frais d’évaluation proportionnels à la taille des PME et des mesures de soutien pour réduire les charges. Une étude KPMG de 2025 anticipe une augmentation modérée des coûts pour les fonctions risques et les praticiens de l’IA.

Les PME bénéficient-elles d’exemptions spécifiques ? Il n’existe pas d’exemption générale pour les PME. Cependant, l’AI Act prévoit des mesures de simplification et de soutien : accès prioritaire et gratuit aux bacs à sable réglementaires, réduction des frais de conformité, documentation simplifiée, formations ciblées et canaux de communication spécialisés. L’application des règles sera proportionnée à la taille et aux ressources des PME.

Notre lecture chez GX2C

L’AI Act n’est pas une simple contrainte réglementaire de plus, mais un signal fort de la maturité de l’écosystème IA. Pour les PME et ETI, c’est une opportunité unique de renforcer la confiance, d’innover de manière éthique et de se différencier. Les reports potentiels des échéances pour les systèmes à haut risque ne doivent pas être perçus comme une invitation à l’attentisme, mais comme un temps précieux à capitaliser. La complexité de la classification et la mise en œuvre d’une gouvernance IA robuste nécessitent une expertise pointue. Chez GX2C, nous voyons dans l’AI Act un levier stratégique pour nos clients, transformant l’obligation en avantage compétitif durable.

Vous travaillez sur ce sujet ? Echangeons 30 minutes — GX2C accompagne dirigeants et fondateurs dans leurs projets IA.