Cet article s'appuie sur le texte officiel du Règlement (UE) 2024/1689 (AI Act) et sur les retours d'expérience de nos auditeurs cybersécurité (OSCP, OSEP, OSWE) accompagnant des PME françaises dans leur mise en conformité IA depuis 2024.
Selon une étude du cabinet Wavestone publiée début 2026, 68% des PME françaises utilisant de l'IA n'ont pas encore initié de démarche de conformité. Pour beaucoup, c'est la même erreur qu'avec le RGPD en 2018 : on attend le dernier moment, puis on panique. Ce guide consolide tout ce que vous devez savoir en un seul endroit.
1. La timeline AI Act : ce qui est déjà en vigueur, ce qui arrive le 2 août
L'AI Act ne s'applique pas d'un seul coup. Le règlement européen a été conçu en paliers progressifs, avec des dates d'entrée en vigueur échelonnées entre 2024 et 2027.
Calendrier d'application de l'AI Act
Ce qui est déjà obligatoire depuis février 2025 : l'interdiction des systèmes d'IA à risque inacceptable (notation sociale, manipulation comportementale subliminale, reconnaissance biométrique en temps réel dans l'espace public à des fins répressives).
Ce qui entre en vigueur le 2 août 2026 : les obligations complètes pour les systèmes d'IA à haut risque (Annexe III), les règles sur les modèles d'IA généraux (GPAI), et les obligations de transparence de l'Article 50 (labelling des contenus IA, information des utilisateurs de chatbots).
5
jours restants avant l'échéance
15M€
amende max (obligations générales)
68%
des PME FR non conformes (2026)
4
niveaux de risque à connaître
2. Les 4 niveaux de risque : où se situe votre PME ?
L'AI Act classe tous les systèmes d'IA en quatre niveaux de risque. Votre niveau détermine vos obligations.
Pyramide des niveaux de risque AI Act
La grande majorité des PME françaises se situent dans les deux catégories du bas : risque limité (chatbots, outils de contenu) et risque minimal. Le risque vient des PME qui ont intégré des outils de gestion RH automatisée, de scoring client, ou des systèmes de surveillance des salariés : ces usages tombent en haut risque.
Vous utilisez un ATS (Applicant Tracking System) avec scoring IA, ou un outil d'analyse de sentiment sur vos salariés ? Ces systèmes sont explicitement listés dans l'Annexe III de l'AI Act comme haut risque.
3. Obligations concrètes par niveau
Ces obligations s'appliquent que vous soyez fournisseur (vous avez développé le système) ou déployeur (vous utilisez un système développé par un tiers).
| Obligation | Haut risque | Risque limité | Minimal |
|---|---|---|---|
| Inventaire des systèmes IA utilisés | Obligatoire | Recommandé | Facultatif |
| Évaluation de conformité (fournisseur) | Obligatoire | Non | Non |
| Documentation technique (Art. 11) | Obligatoire | Non | Non |
| Information utilisateur (Article 50) | Obligatoire | Obligatoire | Non |
| Supervision humaine (Art. 14) | Obligatoire | Partielle | Non |
| Journal de logs et incidents | Obligatoire | Non | Non |
Pour les PME qui sont uniquement déployeurs (elles utilisent un logiciel IA acheté chez un éditeur), les obligations sont allégées. Votre responsabilité principale porte sur l'usage conforme, l'information des utilisateurs finaux, et la vérification que votre éditeur est conforme.
4. Focus Article 50 : vos obligations de transparence
L'Article 50 est le palier qui concerne le plus grand nombre de PME, car il s'applique dès qu'un chatbot ou un contenu généré par IA est visible par vos utilisateurs ou clients - indépendamment du niveau de risque de votre outil.
| Critère | Fournisseur (Provider) | Déployeur (Votre PME) |
|---|---|---|
| Qui ? | Éditeur du modèle IA (OpenAI, Mistral...) | Votre PME qui intègre le modèle |
| Obligation principale | Marquage machine-readable des contenus | Information visible aux utilisateurs finaux |
| Pour les chatbots | Fournir API de détection IA | Afficher "Vous interagissez avec une IA" |
| Pour les images/vidéos IA | Métadonnées IPTC/C2PA dans le fichier | Mention "Contenu généré par IA" visible |
La bonne nouvelle pour les PME : vous n'êtes responsables que de la partie "déployeur". Le marquage technique est à la charge des éditeurs de modèles. Un bandeau ou un message initial du type "Cet assistant est un système d'intelligence artificielle" suffit dans la plupart des cas pour un chatbot.
L'obligation de mention pour les contenus IA sur des sujets d'intérêt public (politique, élections, santé publique) est plus stricte et non-optionnelle, même via newsletter ou réseaux sociaux.
5. Checklist des obligations concrètes
Cochez ce qui est déjà en place dans votre PME. Ce qui ne l'est pas devient la base de votre plan d'action.
Besoin d'aide pour passer cette checklist en revue avec un expert ? Réservez un diagnostic gratuit de 20 minutes.
6. Plan d'action en 8 semaines
Pour les PME en haut risque qui n'ont encore rien fait, voici l'ordre de priorité recommandé par nos auditeurs.
Semaines 1-2 : Inventaire IA
Listez tout : SaaS avec fonctions IA (Salesforce Einstein, HubSpot AI, Copilot), APIs consommées (OpenAI, Anthropic, Gemini), automatisations n8n/Zapier pilotées par des modèles de langage, outils internes.
Semaine 3 : Classification par niveau de risque
Pour chaque outil : est-ce que cette IA prend ou influence des décisions affectant les droits, la sécurité ou l'emploi de personnes ? Une erreur de classification ici peut être coûteuse.
Semaine 4 : Vérification éditeurs
Contactez vos fournisseurs IA haut risque : demandez leur documentation de conformité AI Act, leurs preuves d'enregistrement dans la base de données UE.
Semaines 5-6 : Obligations légales
Mentions d'information utilisateurs, politiques d'usage IA, notices RH si l'IA intervient dans le recrutement, bandeaux de transparence chatbot.
Semaines 7-8 : Test et validation
Audit interne, documentation finale, tests de supervision humaine, préparation à l'échéance du 2 août.
7. RGPD et AI Act : les obligations qui se cumulent
L'AI Act ne remplace pas le RGPD, il s'y superpose. La bonne nouvelle : beaucoup d'obligations se chevauchent, et vos démarches RGPD déjà faites donnent une base solide pour l'AI Act.
Ce que le RGPD couvre déjà
- - Registre des traitements (base pour l'inventaire IA)
- - Droit d'information des personnes concernées
- - Encadrement des décisions automatisées (Art. 22)
- - Analyse d'impact (AIPD) pour traitements risqués
Ce que l'AI Act ajoute
- - Classification formelle par niveau de risque
- - Documentation technique spécifique aux systèmes IA
- - Supervision humaine obligatoire (haut risque)
- - Enregistrement dans la base de données UE (haut risque)
Si vous n'avez pas encore finalisé votre mise en conformité RGPD, c'est le moment de traiter les deux sujets ensemble : c'est plus efficace et moins coûteux que de les traiter séparément. Les PME des DOM-TOM (Martinique, Guadeloupe, Réunion, Guyane) sont soumises aux mêmes obligations, l'AI Act étant un règlement européen d'application directe.
8. Comment 2LKATIME vous accompagne
Nos auditeurs cybersécurité seniors (certifiés OSCP, OSEP, OSWE) réalisent l'audit de conformité AI Act complet : cartographie de vos usages IA, classification par niveau de risque, rédaction des mentions de transparence, et plan de mise en conformité priorisé.
Audit Flash
2 500€ HT
Audit de vos outils IA et automatisations, livré en 72h. Inclut la classification AI Act.
Sécurisation complète
6 000€ HT
Diagnostic complet + rapport RGPD/AI Act + plan de mise en conformité priorisé.
Voir le détail de toutes nos formules sur la page tarifs.
FAQ - Conformité AI Act pour PME
L'AI Act s'applique-t-il à toutes les PME ou seulement à certains secteurs ?
L'AI Act s'applique à toute entreprise qui développe ou utilise un système d'IA en Europe, quel que soit le secteur. Vos obligations dépendent du niveau de risque de vos outils IA, pas de votre secteur d'activité.
Quelle est la différence entre le RGPD et l'AI Act ?
Le RGPD encadre le traitement des données personnelles. L'AI Act encadre les systèmes d'IA eux-mêmes, qu'ils traitent ou non des données personnelles. Les deux règlements se cumulent.
Quelles sanctions en cas de non-conformité ?
Jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial pour les pratiques interdites (Article 5), et jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires mondial pour le non-respect des autres obligations (systèmes à haut risque, transparence Article 50), le montant le plus élevé étant retenu.
Par où commencer si je n'ai encore rien fait ?
Commencez par un inventaire complet de vos outils IA, puis classez chacun dans les 4 niveaux de risque. C'est la première étape du plan d'action en 8 semaines détaillé plus haut. Un diagnostic gratuit de 20 minutes permet aussi d'y voir clair rapidement.
Que dit précisément l'Article 50 sur la transparence ?
L'Article 50 impose deux obligations : les fournisseurs de systèmes IA génératifs doivent marquer les contenus produits avec des métadonnées lisibles par machine ; les déployeurs d'IA conversationnelle doivent informer les utilisateurs qu'ils interagissent avec une IA. Contraignant dès le 2 août 2026.
5 jours avant l'échéance : où en est votre PME ?
20 minutes suffisent pour savoir où vous en êtes et par où commencer.