Bonne nouvelle : l’AI Act n’est pas qu’une usine à gaz réservée aux grands groupes.
Mauvaise nouvelle : votre PME a quand même des obligations, et les ignorer peut coûter plus cher qu’un an de salaires.
Voici les 5 obligations minimales à mettre en place — sans y passer 6 mois.
À retenir
- 73% des entreprises européennes utilisent au moins un système IA soumis à l’AI Act
- 89% des PME françaises ignorent leurs obligations de formation IA
- 15 heures minimum de formation IA requises pour les décideurs
- Sanctions maximales : 35 millions d’euros ou 7% du CA mondial
- Budget réaliste : 15-30 jours de travail étalés sur 3 mois
Votre PME utilise ChatGPT ? Vous êtes concernés
Si un seul de vos salariés utilise ChatGPT, Copilot ou Gemini pour rédiger un email client, analyser des données ou créer une présentation, votre entreprise devient un « déployeur » au sens de l’AI Act.
Peu importe que vous n’ayez pas développé l’IA. Peu importe que ce soit « juste ChatGPT ». Dès qu’un outil IA traite des données professionnelles, vous entrez dans le périmètre du règlement européen.
La réalité terrain : 73% des entreprises européennes utilisent au moins un système IA soumis à l’AI Act. Mais seulement 11% des PME françaises ont entamé leur mise en conformité.
Résultat : une bombe à retardement. Les contrôles démarrent en septembre 2026, et l’excuse « on ne savait pas » ne passe plus.
Les 5 obligations minimales (par ordre de priorité)
1. Inventaire complet des outils IA
Premier réflexe : lister tous les outils IA utilisés dans l’entreprise. Pas seulement ceux achetés officiellement — ceux utilisés par les salariés, même officieusement.
Méthode pratique :
- Audit des navigateurs (historiques ChatGPT, Claude, etc.)
- Recensement des logiciels métiers intégrant de l’IA (CRM, comptabilité, marketing automation)
- Questionnaire anonyme aux équipes sur leurs usages réels
Objectif : une feuille Excel avec nom de l’outil, usage, fréquence, données traitées, niveau de risque estimé.
2. Formation obligatoire du personnel
L’article 4 de l’AI Act impose une formation à toute personne utilisant des systèmes IA. Minimum 15 heures pour les décideurs utilisant des systèmes à haut risque.
Mais 89% des PME françaises ignorent cette obligation. C’est pourtant la plus surveillée par l’ANSSI.
Programme minimum à couvrir :
- Littératie IA de base (comprendre ce qu’est un modèle, ses limites)
- Classification des risques selon l’AI Act
- Bonnes pratiques d’usage professionnel
- Signalement d’incidents
Budget réaliste : 2-3 jours de formation par personne concernée. Nos formations AI Act intègrent ces obligations avec financement OPCO possible.
3. Classification des risques
L’AI Act classe les systèmes IA en 4 catégories. Votre job : identifier où se situent vos outils.
| Niveau de risque | Exemples typiques PME | Obligations |
|---|---|---|
| Risque minimal | ChatGPT pour rédaction, traduction automatique | Aucune obligation spécifique |
| Risque limité | Chatbots client, reconnaissance d’images | Information des utilisateurs |
| Haut risque | IA pour RH (tri CV), scoring client, surveillance | Conformité complète obligatoire |
| Interdit | Manipulation cognitive, notation sociale | Arrêt immédiat |
Attention : beaucoup de PME sous-estiment le niveau « haut risque ». Un outil de tri automatique des CV entre dans cette catégorie, même si c’est « juste » une fonctionnalité du logiciel RH.
4. Documentation des usages
Obligation de tenir un registre des systèmes IA utilisés. Pour chaque outil :
- Finalité d’usage
- Données traitées
- Mesures de surveillance mises en place
- Incidents survenus et mesures correctives
Pas besoin d’un système complexe. Un tableau Excel bien tenu suffit pour une PME de moins de 50 salariés. L’important : la traçabilité et la mise à jour régulière.
5. Processus de signalement d’incident
Dernière obligation : définir qui fait quoi si un système IA dysfonctionne ou produit un résultat problématique.
Process minimum :
- Personne référente identifiée (dirigeant, DSI, DPO)
- Procédure d’arrêt d’urgence si nécessaire
- Délais de signalement aux autorités (72h pour les systèmes à haut risque)
- Communication interne et externe
Ce qu’on peut faire soi-même vs ce qu’il faut externaliser
Bonne nouvelle pour les budgets serrés : tout ne nécessite pas un consultant externe à 1500€/jour.
Internaliser (faisable par le dirigeant + 1 collaborateur formé) :
- Inventaire des outils
- Classification basique des risques
- Documentation des usages courants
- Formation de base des équipes
Externaliser (ROI justifié) :
- Audit complet si systèmes complexes ou haut risque
- Formation spécialisée des décideurs
- Rédaction de procédures si secteur régulé
- Accompagnement en cas de contrôle
Budget global réaliste pour une PME de 10-50 salariés : 8 000 à 15 000€ la première année, puis 2 000 à 5 000€/an pour le maintien en conformité.
L’allègement PME existe (mais reste limité)
L’AI Act prévoit des simplifications pour les PME, notamment :
Allègements documentaires : pas besoin d’un système de management qualité complet comme les grands groupes. Un registre Excel et des procédures simples suffisent.
Délais adaptés : 18 mois supplémentaires pour certaines obligations vs grandes entreprises.
Sanctions proportionnelles : les 35 millions d’euros maximum, c’est pour les GAFAM. Pour une PME, on table plutôt sur 2-7% du CA en cas d’infraction grave.
Mais attention : « allègement » ne signifie pas « exemption ». Les obligations de fond restent les mêmes.
L’opportunité cachée : l’avantage concurrentiel
Au-delà de l’obligation réglementaire, il y a un angle business peu vu.
Les grands comptes vont progressivement exiger la conformité AI Act de leurs fournisseurs. Exactement comme ils exigent déjà la conformité RGPD ou ISO 27001 dans certains secteurs.
Une PME en conformité AI Act dès 2026 prend 12-18 mois d’avance sur ses concurrents. Elle peut répondre aux appels d’offres qui l’exigeront, négocier des contrats avec des clauses de conformité, rassurer des clients sensibles à ces sujets.
Perspective : transformer une contrainte réglementaire en avantage commercial. Nos formations incluent cet angle business souvent oublié par les juristes.
Planning réaliste : 3 mois, pas 6
Erreur classique : croire qu’il faut 6 mois à temps plein pour se mettre en conformité AI Act.
Planning optimisé pour PME :
Mois 1 : Inventaire + classification des risques (10 jours)
Mois 2 : Formation des équipes + documentation (12 jours)
Mois 3 : Processus + contrôles + ajustements (8 jours)
Total : 30 jours répartis sur 3 mois. Faisable par le dirigeant + 1 collaborateur dédié, sans paralyser l’activité.
La clé : commencer par les usages les plus fréquents et les risques les plus élevés. Perfectionnisme interdit — l’objectif est d’être conforme, pas parfait.
Comment passer à l’action
Cette semaine :
- Audit flash des outils IA utilisés (2h, tout seul)
- Identifier qui sera le référent AI Act dans l’entreprise
- Évaluer les compétences internes vs besoins d’accompagnement
Ce mois-ci :
- Formation du référent AI Act (15h minimum)
- Inventaire complet avec classification préliminaire
- Budget et planning de mise en conformité
D’ici 3 mois :
- Formation de toutes les personnes utilisant de l’IA
- Documentation des usages principaux
- Processus de signalement opérationnel
Les contrôles AI Act démarrent dans 8 mois. Les PME qui anticipent éviteront la course contre la montre de mai-juin 2026. Et transformeront une obligation en avantage concurrentiel.
