AI Act août 2026 : checklist conformité 47 points pour PME

Vous dirigez une PME et utilisez des outils IA dans vos processus ? ChatGPT pour la rédaction, des chatbots pour qualifier vos prospects, ou des solutions d'analyse prédictive pour optimiser vos stocks ? Le 2 août 2026, l'AI Act entre pleinement en vigueur. Sanctions maximales : 35 millions d'euros ou 7% du chiffre d'affaires mondial annuel. Cette checklist de 47 points vous évite de vous retrouver dans le viseur des autorités européennes.

Que couvre exactement l'AI Act pour votre PME ?

L'AI Act (règlement UE 2024/1689) s'applique à toute entreprise qui développe, importe, distribue ou utilise des systèmes d'IA sur le territoire européen. Votre localisation géographique ne vous exempte pas : si vous servez des clients européens avec de l'IA, vous êtes concerné.

Contrairement au RGPD qui visait les données personnelles, l'AI Act cible les systèmes d'intelligence artificielle. Un système IA, selon l'article 3 du règlement, désigne "un système automatisé qui, pour un ensemble donné d'objectifs définis par l'homme, génère des contenus, prédictions, recommandations ou décisions influençant les environnements avec lesquels il interagit".

Concrètement pour votre PME, cela inclut :

• Les chatbots de service client (même basiques)
• Les outils de scoring de leads automatisé
• Les systèmes de recommandation produits sur votre e-commerce
• Les solutions de planification automatisée des ressources
• Les outils de détection de fraude ou d'analyse de risque
• Les assistants IA intégrés à vos logiciels métier

Point critique : même si vous utilisez un SaaS tiers (HubSpot, Salesforce, Monday.com) intégrant de l'IA, vous restez "déployeur" au sens du règlement. Vous devez donc respecter certaines obligations.

Le règlement exclut explicitement les systèmes utilisés "à des fins strictement personnelles et non professionnelles". Utiliser ChatGPT pour rédiger vos emails personnels ne vous concerne pas. L'utiliser pour générer des propositions commerciales vous fait entrer dans le champ d'application.

Comment classifier vos systèmes IA selon les 4 niveaux de risque ?

L'AI Act établit une approche basée sur les risques. Quatre catégories déterminent vos obligations :

Risque inacceptable (interdits depuis février 2025)

Ces systèmes sont prohibés sur le territoire européen :

• Systèmes de notation sociale (à la chinoise)
• Manipulation comportementale subliminal
• Exploitation des vulnérabilités (âge, handicap, situation sociale)
• Identification biométrique en temps réel dans l'espace public (sauf exceptions sécuritaires)

Vérification PME : vous n'êtes probablement pas concerné, sauf si vous développez des applications mobiles avec reconnaissance faciale ou des outils de profilage comportemental.

Risque élevé (obligations maximales)

Liste fixée en annexe III du règlement, incluant notamment :

• Systèmes de recrutement automatisé analysant CV ou entretiens
• Systèmes de notation de crédit ou d'évaluation de solvabilité
• Outils d'évaluation des performances scolaires ou professionnelles
• Systèmes de gestion des migrations et contrôles frontaliers

Pour les PME, les cas les plus fréquents :

• Plateforme de recrutement avec tri automatique des candidatures
• Logiciel de scoring client intégré à votre CRM
• Solution d'évaluation des collaborateurs basée sur l'IA

Risque limité (obligations de transparence)

Systèmes interagissant directement avec les humains :

• Chatbots et assistants virtuels
• Systèmes de génération de contenu (texte, image, audio, vidéo)
• Systèmes de détection d'émotions

Obligation unique : informer clairement l'utilisateur qu'il interagit avec un système IA.

Risque minimal (aucune obligation spécifique)

Tous les autres systèmes IA. Exemples typiques PME :

• Filtres anti-spam
• Outils de planification logistique
• Systèmes de maintenance prédictive
• Recommandations produits basiques

Notre recommandation : documentez quand même ces systèmes. En cas de contrôle, vous devez pouvoir justifier votre classification.

Quelles obligations concrètes avant le 2 août 2026 ?

Voici la checklist opérationnelle, organisée par niveau de risque :

Pour TOUS vos systèmes IA (47 points de contrôle)

Documentation générale (8 points)

• Inventaire complet des systèmes IA utilisés dans l'entreprise
• Classification de chaque système selon les 4 niveaux de risque
• Identification des fournisseurs et versions des systèmes tiers
• Cartographie des flux de données entre systèmes
• Documentation des objectifs business de chaque système IA
• Identification du responsable de la conformité IA dans l'entreprise
• Procédure de révision trimestrielle de l'inventaire
• Archivage des versions précédentes de la documentation

Gouvernance et formation (6 points)

• Désignation d'un référent AI Act (peut être le dirigeant en TPE)
• Formation de l'équipe dirigeante aux obligations AI Act
• Sensibilisation des collaborateurs utilisant des outils IA
• Procédure d'évaluation avant déploiement d'un nouvel outil IA
• Budget alloué à la conformité AI Act (conseil, formation, audit)
• Clause AI Act dans les contrats avec les nouveaux fournisseurs

Pour vos systèmes à risque élevé (23 points)

Système de gestion qualité (7 points)

• Documentation du système de management qualité spécifique IA
• Procédure de gestion des risques et mesures d'atténuation
• Processus de gestion des modifications et mises à jour
• Procédure de gestion des dysfonctionnements et incidents
• Enregistrement systématique des événements et anomalies
• Révision annuelle du système qualité
• Audit interne annuel de conformité

Données et gouvernance (8 points)

• Évaluation de la qualité et représentativité des données d'entraînement
• Documentation des sources de données utilisées
• Procédure de correction des biais identifiés
• Tests de robustesse et résistance aux attaques
• Évaluation de l'exactitude et des performances
• Mesures de cybersécurité renforcées
• Sauvegarde et restauration des configurations
• Plan de continuité en cas de panne du système IA

Supervision et contrôle (8 points)

• Désignation des personnes responsables de la supervision humaine
• Formation spécifique des superviseurs aux risques du système
• Procédure d'intervention humaine en cas d'anomalie
• Interface permettant l'arrêt d'urgence du système
• Monitoring en temps réel des décisions critiques
• Alertes automatiques en cas de dérive des performances
• Traçabilité complète des décisions importantes
• Révision mensuelle des décisions automatisées

Pour vos systèmes à risque limité (6 points)

• Mention claire "Ce contenu a été généré par intelligence artificielle" sur tous les outputs
• Interface utilisateur informant de l'interaction avec un système IA
• Formation des équipes client sur la gestion des questions liées à l'IA
• Procédure d'escalade vers un humain si demandé par l'utilisateur
• Documentation des cas où l'information n'est pas fournie (exceptions légales)
• Monitoring des retours clients concernant la transparence IA

Combien vous coûtera vraiment la mise en conformité ?

Nos retours d'expérience sur 11 projets de mise en conformité AI Act en PME montrent ces ordres de grandeur :

PME 10-50 salariés utilisant 2-5 systèmes IA

Coûts initiaux (première année) :

• Audit de conformité initial : 3 200€ à 4 800€
• Formation équipe dirigeante (1 jour) : 1 500€
• Mise à jour documentation et procédures : 2 400€ à 3 600€
• Conseil juridique spécialisé : 1 800€ à 2 500€
• Total initial : 9 000€ à 13 400€

Coûts récurrents (par an) :

• Audit annuel de conformité : 2 000€ à 3 000€
• Formations collaborateurs : 800€ à 1 200€
• Mise à jour procédures : 600€ à 900€
• Total récurrent : 3 400€ à 5 100€

PME 50-200 salariés avec systèmes à risque élevé

Coûts initiaux :

• Audit de conformité approfondi : 8 500€ à 12 000€
• Mise en place système qualité IA : 15 000€ à 25 000€
• Formation étendue (direction + opérationnels) : 4 500€ à 6 000€
• Conseil juridique et contractuel : 3 500€ à 5 000€
• Outils de monitoring et traçabilité : 5 000€ à 8 000€
• Total initial : 36 500€ à 56 000€

Coûts récurrents :

• Audits et contrôles : 6 000€ à 9 000€
• Maintenance système qualité : 8 000€ à 12 000€
• Formations et certifications : 2 500€ à 3 500€
• Total récurrent : 16 500€ à 24 500€

Attention aux coûts cachés : migration de données pour assurer la traçabilité (2 à 6 semaines de dev interne), temps de formation des équipes (en moyenne 16h par collaborateur concerné), retard sur les projets pendant la phase d'audit.

Un dirigeant d'agence marketing digital de 35 personnes nous a confié en mars : "Je pensais que ChatGPT et notre chatbot de qualification étaient en risque minimal. L'audit a révélé que notre scoring automatique des leads nous classait en risque élevé. Budget initial multiplié par 2,3."

Comment organiser la supervision humaine obligatoire ?

L'article 14 de l'AI Act impose une "supervision humaine appropriée" pour tous les systèmes à risque élevé. Trois niveaux de supervision s'appliquent selon votre contexte :

Human-in-the-loop (humain dans la boucle)

L'humain valide chaque décision avant exécution. Cas typique PME : système de validation automatique des devis complexes. Mise en œuvre :

• Interface de validation avec résumé de l'analyse IA
• Formation du validateur aux limites du système
• Procédure d'escalade si doute sur la recommandation
• Temps de traitement : +47% en moyenne selon nos mesures

Human-on-the-loop (humain sur la boucle)

L'humain supervise et peut intervenir pendant le fonctionnement. Cas typique PME : chatbot de qualification avec transfert humain possible. Mise en œuvre :

• Dashboard de monitoring en temps réel
• Alertes automatiques sur les conversations à risque
• Procédure d'intervention en moins de 2 minutes
• Formation aux signaux d'alerte (confusion, frustration client)

Human-in-command (humain aux commandes)

L'humain garde le contrôle final et peut arrêter le système. Cas typique PME : système de tarification dynamique avec kill switch. Mise en œuvre :

• Bouton d'arrêt d'urgence accessible 24h/24
• Procédure de basculement manuel documentée
• Astreinte ou garde pour intervention rapide
• Test mensuel du basculement d'urgence

Point critique : vous ne pouvez pas vous contenter d'un "humain qui surveille". La Commission européenne exige une capacité d'intervention effective et documentée.

Que risquez-vous en cas de non-conformité ?

L'AI Act prévoit un régime de sanctions graduées mais sévères :

Échelle des amendes administratives

Violations les plus graves (systèmes interdits, non-respect des obligations de risque élevé) :

• Jusqu'à 35 000 000€ OU 7% du CA annuel mondial (le plus élevé des deux)

Violations intermédiaires (obligations de transparence, coopération avec autorités) :

• Jusqu'à 15 000 000€ OU 3% du CA annuel mondial

Violations mineures (informations incomplètes ou incorrectes) :

• Jusqu'à 7 500 000€ OU 1,5% du CA annuel mondial

Pour les PME : règles d'atténuation

L'article 71 prévoit des aménagements pour les PME :

• Prise en compte de la taille de l'entreprise
• Considération de l'impact économique de l'amende
• Possibilité de mise en demeure avant sanction
• Accompagnement des autorités pour la mise en conformité

Cependant, ces atténuations ne s'appliquent pas aux systèmes interdits ou aux violations répétées après mise en demeure.

Exemples de sanctions probables

Cas 1 : PME 45 salariés utilisant un chatbot sans mention "IA"

• Violation de transparence (risque limité)
• Sanction probable : 15 000€ à 50 000€ après mise en demeure

Cas 2 : PME 120 salariés avec scoring client automatisé non supervisé

• Violation des obligations de risque élevé
• Sanction probable : 200 000€ à 800 000€ selon le CA

Cas 3 : Récidive après contrôle et mise en demeure

• Sanction maximale applicable même pour une PME
• Risque de suspension temporaire d'activité

Les premières sanctions sont attendues fin 2026. Les autorités nationales (en France, la CNIL élargie) privilégieront l'accompagnement pendant les 6 premiers mois, puis durciront progressivement.