AI Act européen : obligations des PME françaises avant août 2026

Pourquoi l'AI Act concerne directement les PME françaises

Contrairement à une idée reçue, l'AI Act européen ne cible pas uniquement les géants de la tech. Toute entreprise qui développe, déploie ou utilise un système d'IA dans l'Union européenne est concernée, y compris les PME françaises qui intègrent des outils d'automatisation, de machine learning ou de traitement de données clients.

Le règlement distingue quatre catégories de risques :

• Risque inacceptable (Article 5) : pratiques interdites (ex. : notation sociale, manipulation comportementale)
• Risque élevé : systèmes critiques (recrutement, crédit, santé, sécurité) nécessitant conformité stricte
• Risque limité : obligations de transparence (ex. : chatbots, deepfakes)
• Risque minimal : aucune obligation spécifique (ex. : filtres anti-spam)

Selon Service Public, les PME françaises doivent identifier dans quelle catégorie se situent leurs systèmes d'IA pour déterminer leurs obligations. « Les PME qui ignorent cette classification s'exposent à des risques juridiques majeurs, même si leurs systèmes semblent bénins », prévient un rapport de Baker McKenzie.

Le contexte français : retard des autorités nationales

En France, plusieurs autorités sectorielles (CNIL, HAS, ARCOM, DGCCRF) sont pressenties pour superviser l'AI Act, mais leur désignation officielle tarde. Ce retard administratif ne dispense pas les entreprises de leurs obligations : il est recommandé de documenter vos démarches de conformité dès maintenant pour vous protéger en cas d'audit futur.

Pour les PME des Hauts-de-France, notamment à Lille, cette incertitude réglementaire s'ajoute aux défis de la transformation digitale. Notre expertise en implémentation d'IA aide les entreprises locales à anticiper ces exigences tout en optimisant leurs processus métiers.

Checklist de conformité AI Act pour PME : que faire avant août 2026

Voici un plan d'action structuré pour préparer votre PME à l'échéance d'août 2026, date à laquelle Artificial Intelligence Act.eu précise que chaque État membre doit avoir établi au moins un bac à sable réglementaire (regulatory sandbox) pour tester la conformité des systèmes d'IA.

1. Inventorier et classifier vos systèmes d'IA

Action immédiate : Listez tous les outils d'IA utilisés dans votre entreprise, qu'ils soient développés en interne ou achetés (SaaS, API, modèles de langage, automatisations).

Exemples concrets pour PME :

• Chatbots de service client (risque limité : transparence requise)
• Systèmes de tri de CV automatisés (risque élevé : obligations strictes)
• Outils de scoring client pour crédit ou assurance (risque élevé)
• Assistants de génération de contenu marketing (risque minimal ou limité selon l'usage)

Livrables à produire :

1. Tableau Excel ou Airtable recensant chaque système d'IA
2. Classification de risque pour chaque système (inacceptable, élevé, limité, minimal)
3. Identification du fournisseur, de l'usage métier et des données traitées

« Un inventaire IA complet est la première ligne de défense en cas de contrôle : sans lui, impossible de prouver votre conformité », rappellent les experts de SGS.

2. Documenter la gouvernance et les processus de décision

Pour les systèmes à risque élevé, l'AI Act exige une documentation technique détaillée (Article 11) et une surveillance humaine (Article 14). Les PME doivent prouver que leurs systèmes d'IA ne prennent pas de décisions critiques sans supervision humaine.

Actions concrètes :

• Désigner un responsable IA interne ou externe (peut être externalisé)
• Rédiger une politique de gouvernance IA (qui décide quoi, comment, avec quels garde-fous)
• Documenter les critères de décision automatisée (ex. : algorithme de tri de CV, scoring crédit)
• Mettre en place des procédures de révision humaine pour les décisions sensibles

Chez Keerok, nous accompagnons les PME dans la mise en place de ces processus de gouvernance, en intégrant des workflows d'approbation humaine dans les systèmes d'automatisation existants (Make, Airtable, n8n).

3. Évaluer et mitiger les biais et risques

L'Article 10 de l'AI Act impose des exigences strictes sur la qualité des données d'entraînement pour les systèmes à risque élevé. Les PME doivent démontrer que leurs systèmes d'IA ne reproduisent pas de biais discriminatoires (genre, origine, âge).

Plan d'action :

1. Auditer les jeux de données utilisés pour entraîner ou alimenter vos systèmes d'IA
2. Tester les résultats sur des échantillons diversifiés (ex. : CV de profils variés)
3. Documenter les mesures correctives (anonymisation, rééquilibrage des données)
4. Mettre en place un registre des incidents IA (Article 62)

Selon SGS, l'EU Digital Omnibus, adopté en 2025, prévoit des mesures de simplification pour les PME, notamment des délais prolongés (jusqu'en 2027-2028 pour certains systèmes à risque élevé) et un accès facilité aux bacs à sable réglementaires.

4. Préparer la transparence et l'information des utilisateurs

Pour les systèmes à risque limité (chatbots, deepfakes, contenu généré par IA), l'AI Act impose des obligations de transparence (Article 52) :

• Informer clairement les utilisateurs qu'ils interagissent avec une IA
• Étiqueter les contenus générés ou manipulés par IA (images, vidéos, textes)
• Fournir des informations sur le fonctionnement du système (dans un langage accessible)

Exemple pratique : Si votre PME utilise un chatbot sur son site web, vous devez afficher dès le premier message : « Vous échangez avec un assistant automatisé. Pour parler à un humain, tapez 'conseiller' ».

5. Anticiper les audits et certifications

Les systèmes à risque élevé devront passer par une évaluation de conformité (Article 43) avant leur mise sur le marché. Pour les PME, cela signifie :

• Auto-évaluation documentée (pour certains systèmes)
• Audit par un organisme notifié (pour d'autres, ex. : biométrie, infrastructures critiques)
• Marquage CE et déclaration de conformité

Conseil stratégique : Profitez des bacs à sable réglementaires (regulatory sandboxes) que chaque État membre doit mettre en place d'ici août 2026. Ces environnements contrôlés permettent de tester la conformité de vos systèmes avec l'accompagnement des autorités.

« Les bacs à sable réglementaires sont une opportunité unique pour les PME de sécuriser leur conformité avant le déploiement à grande échelle », selon Artificial Intelligence Act.eu.

Risques et sanctions : ce que vous risquez en cas de non-conformité

L'AI Act prévoit un régime de sanctions dissuasif, proportionnel à la gravité de l'infraction :

Pour une PME de 5 millions d'euros de chiffre d'affaires, une amende de 3 % représente 150 000 euros — un montant potentiellement dévastateur. Au-delà des amendes, les risques incluent :

• Interdiction de commercialiser le système d'IA
• Retrait des produits du marché
• Atteinte à la réputation et perte de confiance client
• Responsabilité civile en cas de préjudice causé par l'IA

« Pour les PME, la non-conformité à l'AI Act n'est pas qu'un risque financier : c'est un risque existentiel », alerte Baker McKenzie dans son analyse de 2025.

Mesures de simplification pour les PME : ce que change l'EU Digital Omnibus

Consciente des charges administratives pesant sur les PME, l'Union européenne a adopté l'EU Digital Omnibus en janvier 2025, un paquet de mesures de simplification :

Délais prolongés (« stop-the-clock »)

Pour les systèmes à risque élevé, les délais de conformité sont suspendus jusqu'à ce que les normes harmonisées soient publiées — potentiellement jusqu'en 2027-2028. Cela offre un répit aux PME, mais ne dispense pas de documenter dès maintenant vos démarches de conformité.

Allègements pour les PME et start-ups

• Accès prioritaire aux bacs à sable réglementaires
• Support technique et juridique des autorités nationales
• Réduction des frais de certification pour les petites structures

Promotion de la littératie IA

Au lieu d'imposer des obligations de formation IA aux entreprises, les États membres doivent promouvoir la littératie IA (compréhension des enjeux de l'IA) via des programmes publics. Les PME peuvent bénéficier de formations gratuites ou subventionnées.

Selon SGS, ces mesures visent à réduire les coûts de conformité de 25 % pour les PME tout en maintenant un niveau élevé de protection des citoyens.

Comment Keerok accompagne les PME françaises dans leur conformité AI Act

Chez Keerok, cabinet d'automatisation et d'IA basé à Lille, nous aidons les PME des Hauts-de-France et au-delà à naviguer dans la complexité de l'AI Act. Notre expertise en implémentation d'IA couvre :

• Audit IA et classification des risques : inventaire complet de vos systèmes, identification des obligations légales
• Documentation de conformité : rédaction des politiques de gouvernance, registres de traitement, évaluations de risques
• Intégration de workflows de supervision humaine : automatisation avec Make, Airtable, n8n incluant des étapes de validation humaine
• Formation et sensibilisation : ateliers sur les enjeux de l'AI Act pour vos équipes
• Accompagnement vers les bacs à sable réglementaires : préparation de dossiers, tests de conformité

Nous travaillons avec des PME de secteurs variés (services, industrie, santé, retail) pour transformer la contrainte réglementaire en opportunité d'amélioration des processus. En documentant et sécurisant vos systèmes d'IA, vous gagnez non seulement en conformité, mais aussi en fiabilité et en confiance client.

Contactez nos experts pour un audit IA gratuit et un plan de conformité personnalisé.

Plan d'action immédiat : les 5 prochaines étapes

Pour résumer, voici ce que votre PME doit faire dès maintenant pour se préparer à l'échéance d'août 2026 :

1. Inventorier tous vos systèmes d'IA (internes, SaaS, API) et les classifier par niveau de risque
2. Désigner un responsable IA (interne ou externe) chargé de piloter la conformité
3. Documenter vos processus de décision et mettre en place une supervision humaine pour les systèmes critiques
4. Auditer vos données d'entraînement pour détecter et corriger les biais
5. Préparer un dossier de conformité (politiques, registres, évaluations de risques) en vue d'un audit futur

N'attendez pas la désignation officielle des autorités françaises : la documentation anticipée est votre meilleure protection. Les entreprises qui auront constitué un dossier de conformité solide seront mieux armées pour répondre aux contrôles et éviter les sanctions.

« Les PME qui agissent dès 2025 transforment une contrainte réglementaire en avantage concurrentiel : elles rassurent leurs clients, sécurisent leurs partenariats et anticipent les standards de demain », observe un rapport de AI Acto.

Conclusion : anticiper pour transformer la contrainte en opportunité

L'AI Act européen représente un défi majeur pour les PME françaises, mais aussi une opportunité de structurer et sécuriser leurs pratiques d'IA. En auditant vos systèmes, en documentant vos processus et en intégrant une supervision humaine, vous ne vous contentez pas de cocher des cases réglementaires : vous améliorez la qualité, la fiabilité et l'éthique de vos outils d'IA.

Les mesures de simplification de l'EU Digital Omnibus, les bacs à sable réglementaires et les délais prolongés offrent aux PME un cadre plus accessible. Mais le temps presse : août 2026 arrivera vite, et les entreprises non préparées s'exposeront à des risques financiers et réputationnels majeurs.

Chez Keerok, nous croyons que la conformité AI Act ne doit pas freiner l'innovation, mais au contraire la guider vers des pratiques responsables et durables. Contactez-nous pour un accompagnement sur mesure et transformez l'AI Act en levier de croissance pour votre PME.