Guide de conformité à l’AI Act pour les PME

L’AI Act de l’Union européenne ne concerne pas uniquement les entreprises technologiques ou les organisations qui développent des modèles d’intelligence artificielle complexes. Il peut également s’appliquer aux PME qui achètent des logiciels d’IA auprès de fournisseurs tiers, utilisent l’intelligence artificielle dans le recrutement ou la gestion des salariés, déploient des chatbots, produisent des contenus assistés par IA ou intègrent des outils automatisés dans leurs processus métiers courants.

Pour une PME, la conformité à l’AI Act commence par l’identification des systèmes d’IA utilisés, du rôle réglementaire exercé par l’entreprise et de la classification de chaque système dans le cadre européen fondé sur les niveaux de risque. Une PME peut être considérée comme fournisseur, déployeur, importateur, distributeur ou fabricant d’un produit intégrant un système d’IA. Elle peut également se voir imposer des responsabilités supplémentaires lorsqu’elle modifie un système, le commercialise sous sa propre marque ou met sur le marché, sous son nom, une solution développée par un autre fournisseur.

La taille de l’entreprise ne crée pas d’exemption générale. Les obligations applicables dépendent principalement du rôle réglementaire de l’organisation, de la finalité prévue du système et des risques associés à son utilisation.

Ce guide explique comment les PME peuvent déterminer leur rôle, établir un inventaire de leurs systèmes d’IA, les classer, mettre fin aux pratiques interdites, évaluer les systèmes d’IA à haut risque, instaurer des mesures de transparence, renforcer la maîtrise de l’IA au sein des équipes, contrôler les fournisseurs et conserver les preuves nécessaires pour démontrer leur conformité.

Qu’est-ce que l’AI Act de l’Union européenne ?

Le règlement (UE) 2024/1689, couramment appelé AI Act européen, établit des règles harmonisées pour le développement, la mise sur le marché, le déploiement et l’utilisation des systèmes d’intelligence artificielle dans l’Union européenne. Il instaure un cadre juridique commun pour les organisations qui développent, fournissent, importent, distribuent ou utilisent des systèmes d’IA entrant dans son champ d’application.

L’objectif du règlement

Le règlement vise à favoriser une intelligence artificielle sûre et digne de confiance, tout en protégeant la santé, la sécurité et les droits fondamentaux. Il cherche également à harmoniser les règles entre les États membres de l’Union européenne, à soutenir l’innovation responsable et à renforcer la responsabilité des acteurs tout au long de la chaîne de valeur de l’IA.

Pour les PME, cela signifie que des obligations de conformité peuvent apparaître à différentes étapes, depuis le développement d’un produit et l’achat d’une solution d’IA jusqu’à son déploiement, son suivi et l’information des clients.

L’AI Act repose sur une approche fondée sur les risques

L’AI Act n’impose pas les mêmes exigences à tous les outils d’intelligence artificielle. Les obligations applicables dépendent des caractéristiques du système, de sa finalité prévue et de ses effets potentiels.

Les principales catégories sont les suivantes :

1. Les pratiques d’IA interdites, car elles présentent un niveau de risque inacceptable

2. Les systèmes d’IA à haut risque, soumis à des contrôles renforcés

3. Les systèmes d’IA soumis à des obligations spécifiques de transparence

4. Les systèmes d’IA présentant un risque limité ou minimal, généralement soumis à moins d’obligations contraignantes

Une PME doit donc classer correctement chaque usage de l’IA avant de déterminer les mesures de conformité à mettre en place.

L’AI Act s’applique-t-il aux PME ?

Oui. L’AI Act peut s’appliquer aux microentreprises ainsi qu’aux petites et moyennes entreprises. Le statut de PME peut influencer la manière dont certaines exigences sont mises en œuvre, mais il ne crée pas d’exemption générale au règlement européen sur l’intelligence artificielle.

La question essentielle ne concerne donc pas uniquement le nombre de salariés de l’entreprise. Une PME doit déterminer si elle fournit ou déploie un système d’IA, si elle en importe ou en distribue un, ou si elle intègre une solution d’intelligence artificielle dans un produit commercialisé sous son propre nom. Les responsabilités réglementaires peuvent également évoluer lorsque l’entreprise rebaptise un système fourni par un tiers, le modifie de manière substantielle ou change sa finalité prévue.

Champ d’application territorial

L’AI Act peut s’appliquer :

• Aux fournisseurs qui mettent sur le marché de l’Union européenne des systèmes d’IA ou des modèles d’IA à usage général

• Aux organisations établies dans l’Union européenne qui déploient des systèmes d’IA dans le cadre de leurs activités

• Aux importateurs et distributeurs qui mettent des systèmes d’IA à disposition sur le marché européen

• Aux fournisseurs et déployeurs établis en dehors de l’Union européenne lorsque les résultats produits par le système sont utilisés dans l’Union européenne

Cela signifie qu’un fournisseur ou une entreprise établi en dehors de l’Union européenne peut malgré tout entrer dans le champ d’application du règlement lorsque ses produits, services ou résultats générés par IA atteignent le marché européen.

Mesures de soutien aux PME et principe de proportionnalité

La présentation du cadre réglementaire de l’AI Act par la Commission européenne précise que le dispositif comprend plusieurs mesures destinées à soutenir l’innovation et à favoriser une mise en conformité proportionnée. Celles-ci incluent notamment les bacs à sable réglementaires, des orientations ciblées, des canaux de communication dédiés et des parcours de conformité simplifiés pour certaines obligations. Les PME peuvent également bénéficier d’un accès prioritaire à certains dispositifs de bac à sable, tandis que les frais liés aux évaluations de conformité doivent tenir compte de leur taille et de leurs intérêts.

Ces mesures peuvent limiter les charges administratives inutiles, mais elles ne dispensent pas les PME d’identifier leur rôle, de classer leurs systèmes d’IA et de respecter l’ensemble des obligations applicables à leurs activités.

Déterminer votre rôle au regard de l’AI Act

Les obligations d’une PME dépendent largement du rôle réglementaire qu’elle exerce. Un même système d’IA peut entraîner des responsabilités différentes pour l’organisation qui le développe, l’entreprise qui le déploie et les acteurs qui le mettent à disposition sur le marché de l’Union européenne.

Fournisseur

Une PME peut être considérée comme un fournisseur lorsqu’elle développe un système d’IA ou un modèle d’IA à usage général, lorsqu’elle le fait développer pour son compte, ou lorsqu’elle met le système sur le marché sous son propre nom ou sa propre marque.

Cela peut notamment concerner une entreprise de logiciels qui commercialise un outil d’IA pour le recrutement, une société de technologies de santé qui développe un logiciel d’aide au diagnostic, ou une organisation qui commercialise sous sa propre marque une solution d’IA conçue par un tiers.

Déployeur

Un déployeur utilise un système d’IA sous son autorité dans un cadre professionnel ou organisationnel. La plupart des PME qui utilisent des outils d’IA disponibles sur le marché sont plus susceptibles d’être considérées comme des déployeurs que comme des fournisseurs.

Cela peut inclure un employeur qui utilise une plateforme de recrutement fondée sur l’IA, un commerçant qui exploite un chatbot de service client, une entreprise qui déploie un logiciel de suivi de la productivité ou une société financière qui utilise un outil d’aide à la détection des fraudes.

Importateur et distributeur

Un importateur introduit sur le marché de l’Union européenne un système d’IA provenant d’un pays tiers. Un distributeur met un système d’IA à disposition au sein de la chaîne d’approvisionnement, sans nécessairement l’avoir développé ou importé.

Fabricant de produit

Une PME peut être soumise à des responsabilités supplémentaires lorsqu’un système d’IA est intégré à un produit réglementé commercialisé sous son nom. Cette situation est particulièrement importante lorsque l’IA remplit une fonction liée à la sécurité.

Pourquoi les contrats ne déterminent pas le statut réglementaire

Un contrat conclu avec un fournisseur peut répartir certaines obligations commerciales, mais il ne peut pas modifier le rôle réellement exercé par l’entreprise au regard de l’AI Act. Les autorités examineront les activités effectives de l’organisation, et non uniquement les intitulés utilisés dans le contrat.

Les PME doivent donc consigner leur rôle réglementaire pour chaque système figurant dans leur inventaire d’IA et le réévaluer dès que le produit, la marque, la finalité prévue ou le niveau de contrôle exercé évolue.

Commencer par un inventaire des systèmes d’IA

Les PME ne peuvent pas évaluer leur conformité à l’AI Act tant qu’elles ne savent pas précisément où et comment l’intelligence artificielle est utilisée dans l’organisation. La création d’un inventaire des systèmes d’IA apporte cette visibilité et constitue la base de l’analyse des rôles, de la classification des risques, de l’évaluation des fournisseurs, des mesures de transparence et de la formation des équipes.

Ce que l’inventaire doit contenir

Pour chaque système, il convient d’enregistrer le nom du produit, le fournisseur, le responsable métier, le service concerné, la finalité prévue et les utilisateurs autorisés. L’inventaire doit également préciser les personnes susceptibles d’être affectées, les données traitées, le type de résultats produits et le niveau d’intervention humaine.

Les champs de conformité doivent inclure le rôle réglementaire de l’entreprise, la classification du système selon son niveau de risque, les obligations de transparence applicables, le statut contractuel et la date du prochain examen. La finalité prévue doit être documentée avec une attention particulière, car une modification de l’usage d’un système peut changer sa qualification juridique ou les responsabilités de l’entreprise.

Inclure les usages informels et non autorisés de l’IA

L’inventaire ne doit pas se limiter aux logiciels achetés et déployés de manière centralisée. Il doit également couvrir les usages informels ou non validés, comme l’utilisation par les salariés d’outils publics d’IA générative, la rédaction assistée d’e-mails, la transcription automatique de réunions, les fonctionnalités d’IA intégrées aux logiciels bureautiques, le tri de candidatures, l’analyse des sentiments clients, la génération d’images ou de vidéos, les outils de détection de fraude ou d’évaluation du crédit, ainsi que les solutions d’analyse de la productivité des salariés.

Sans ce recensement, ces usages peuvent rester invisibles pour les équipes juridiques, conformité, sécurité et achats.

Mettre en place un processus de déclaration des nouveaux usages de l’IA

Les salariés doivent être tenus d’informer un responsable désigné avant d’acheter un outil, d’activer une fonctionnalité d’IA, de téléverser des données professionnelles, de lancer un projet pilote, d’intégrer une API ou d’utiliser l’intelligence artificielle pour appuyer une décision concernant un salarié ou un client.

L’inventaire doit être considéré comme un registre de gouvernance évolutif. Il doit être mis à jour dès qu’un système, un fournisseur, une fonctionnalité, une source de données, une finalité prévue ou un responsable métier change.

Classer les systèmes d’IA selon leur niveau de risque

La classification des risques liés à l’IA doit suivre une méthode documentée et cohérente. Les PME doivent examiner la définition juridique du système, sa finalité prévue et son utilisation réelle, sans se fier uniquement à la description du fournisseur ou au niveau apparent de sophistication de la technologie.

Étape 1 : la technologie constitue-t-elle un système d’IA ?

Toutes les règles automatisées, calculatrices, formules de tableur ou applications logicielles classiques ne constituent pas nécessairement des systèmes d’IA. L’analyse doit porter sur le fonctionnement de la technologie, sur sa capacité à déduire la manière de produire des résultats à partir de données d’entrée, ainsi que sur l’influence de ces résultats sur des environnements physiques ou virtuels.

Les lignes directrices de la Commission européenne sur la définition d’un système d’IA fournissent des orientations pratiques, non contraignantes, pour appliquer la définition juridique.

Étape 2 : l’usage est-il interdit ?

La finalité prévue et l’utilisation réelle du système doivent être comparées aux règles relatives aux pratiques interdites. Un système impliquant une manipulation préjudiciable, certaines formes de notation sociale, une reconnaissance des émotions interdite ou des pratiques biométriques restreintes peut nécessiter une suspension immédiate et une analyse juridique.

Étape 3 : le système est-il à haut risque ?

Il convient de déterminer si le système :

• Constitue un composant de sécurité d’un produit réglementé

• Relève d’un cas d’usage classé comme étant à haut risque

• Remplit les conditions permettant de bénéficier d’une exception ou d’une exclusion

La classification dépend principalement de la finalité prévue du système et de son impact potentiel, et non de sa seule complexité technique.

Étape 4 : des obligations de transparence s’appliquent-elles ?

Il faut vérifier si le système interagit directement avec des personnes ou génère des contenus synthétiques, comme des fichiers audio, des images, des vidéos ou des textes. Des exigences supplémentaires peuvent notamment s’appliquer aux deepfakes, aux systèmes de reconnaissance des émotions et aux outils de catégorisation biométrique.

Étape 5 : la PME fournit-elle un modèle d’IA à usage général ?

Une PME qui achète un accès à un modèle d’IA à usage général ne devient généralement pas le fournisseur de ce modèle. En revanche, le développement, la mise sur le marché ou la modification substantielle d’un tel modèle peut entraîner des obligations plus étendues en tant que fournisseur.

Étape 6 : d’autres réglementations s’appliquent-elles ?

La classification au titre de l’AI Act ne constitue qu’une partie de l’analyse. Les PME doivent également prendre en compte le RGPD, le droit du travail, la protection des consommateurs, la sécurité des produits, la propriété intellectuelle, la cybersécurité et les réglementations propres à leur secteur.

Pour chaque décision de classification, l’entreprise doit conserver une trace du raisonnement suivi, des éléments de preuve examinés, de l’identité du responsable de la revue et de la date du prochain contrôle.

Pratiques d’IA interdites que les PME doivent éviter

Certains usages de l’intelligence artificielle sont interdits parce qu’ils présentent des risques inacceptables pour les personnes, les droits fondamentaux ou la société. L’article 5 de l’AI Act vise notamment les pratiques reposant sur la manipulation ou la tromperie préjudiciable, l’exploitation de vulnérabilités, certaines formes de notation sociale et certains systèmes destinés à prédire le risque qu’une personne commette une infraction.

Le règlement encadre également la collecte non ciblée d’images faciales, certaines formes de catégorisation biométrique fondées sur des caractéristiques sensibles, la reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement, ainsi que certains usages de l’identification biométrique à distance en temps réel par les autorités répressives.

Les lignes directrices de la Commission européenne sur les pratiques d’IA interdites fournissent des explications juridiques et des exemples pratiques pour aider les organisations à déterminer si un usage envisagé ou déjà déployé entre dans l’une de ces catégories. Ces lignes directrices facilitent l’interprétation du règlement, mais chaque situation doit néanmoins être évaluée au regard des fonctionnalités du système, de son contexte d’utilisation et de ses effets réels.

Exemple d’utilisation en entreprise

Un employeur ne doit pas considérer qu’un outil est licite uniquement parce que son fournisseur le présente comme une solution d’engagement des salariés, de bien-être au travail ou de suivi de la productivité.

Lorsqu’un système cherche à déduire les émotions des salariés à partir de leurs expressions faciales, de leur voix, de leur comportement ou de signaux biométriques, son utilisation peut relever de l’interdiction applicable à la reconnaissance des émotions sur le lieu de travail.

Contrôle lors de l’achat d’une solution d’IA

Les équipes achats, ressources humaines et conformité doivent vérifier si les systèmes envisagés comprennent des fonctions liées à :

• La biométrie

• L’analyse des émotions

• La notation comportementale ou sociale

• La personnalisation manipulatrice

• Le ciblage de personnes vulnérables

• La collecte ou l’extraction d’images faciales

Les descriptions commerciales du fournisseur doivent être comparées aux fonctionnalités réelles du système, à sa finalité prévue et aux différentes options de configuration disponibles.

Lorsqu’un outil est susceptible de relever d’une pratique interdite, la PME doit suspendre son achat, ses tests ou son déploiement et obtenir une analyse juridique documentée avant de poursuivre. Il peut être nécessaire de désactiver la fonctionnalité concernée, mais l’entreprise doit également vérifier qu’elle ne peut pas être réactivée ou utilisée indirectement.

Qu’est-ce qu’un système d’IA à haut risque ?

Un système d’IA n’est pas considéré comme étant à haut risque en raison de son niveau de sophistication, de son coût ou de sa complexité technique. Sa classification dépend principalement de sa finalité prévue, du produit ou de l’activité dans lequel il est utilisé, ainsi que de ses effets potentiels sur la santé, la sécurité ou les droits fondamentaux.

Dans le cadre de l’AI Act, les systèmes d’IA à haut risque relèvent généralement de deux catégories : les systèmes liés à certains produits réglementés et les systèmes utilisés pour les finalités spécifiques énumérées à l’annexe III.

Systèmes d’IA à haut risque liés à des produits réglementés

Un système d’IA peut être classé à haut risque lorsqu’il constitue un composant de sécurité d’un produit couvert par certaines réglementations européennes, ou lorsque le produit intégrant l’IA doit lui-même faire l’objet d’une évaluation de conformité par un organisme tiers avant sa mise sur le marché.

Cette catégorie peut notamment concerner les PME qui développent ou commercialisent des machines réglementées, des dispositifs médicaux, des équipements de sécurité ou d’autres produits couverts par les textes européens mentionnés dans l’AI Act.

Cas d’usage classés à haut risque

Parmi les catégories de l’annexe III les plus susceptibles de concerner les PME figurent les systèmes d’IA utilisés pour :

• Le recrutement et la sélection des candidats

• Les décisions relatives à l’emploi et la gestion des salariés

• L’attribution des tâches et le suivi des performances

• L’accès à l’enseignement professionnel ou à la formation

• L’évaluation de la solvabilité

• L’évaluation des risques et la tarification dans certains domaines de l’assurance vie et santé

• L’accès à certains services privés ou publics essentiels

• Certaines applications biométriques

• Certaines finalités liées à la sécurité, aux forces de l’ordre, à la migration et à la justice

Outils de recrutement et de gestion des ressources humaines

Les systèmes utilisés dans le domaine de l’emploi nécessitent une évaluation particulièrement rigoureuse.

Cela peut inclure :

• Les outils de tri de CV et de classement des candidats

• L’analyse automatisée des entretiens

• Les systèmes de recommandation pour les promotions

• Les outils d’aide aux décisions disciplinaires ou de licenciement

• Les logiciels d’attribution des tâches

• Les systèmes de suivi des performances des salariés

Une PME doit examiner l’influence réelle du système sur la décision. Un outil présenté comme une simple assistance administrative peut malgré tout être considéré comme étant à haut risque lorsque ses résultats influencent de manière significative le recrutement, la promotion, la surveillance ou le licenciement d’une personne.

Exceptions à la classification à haut risque

Certains systèmes relevant de l’annexe III peuvent ne pas être classés à haut risque lorsqu’ils accomplissent une tâche procédurale ou préparatoire limitée, améliorent le résultat d’une activité humaine déjà achevée, détectent des tendances sans remplacer l’évaluation humaine, ou n’exercent pas d’influence significative sur la décision concernée.

Les systèmes qui établissent un profil des personnes restent toutefois soumis à un traitement plus strict.

Les employeurs ne doivent pas invoquer une exception sans documenter la finalité prévue du système, son influence sur la décision, le niveau d’intervention humaine et les éléments justificatifs disponibles.

Les lignes directrices de la Commission européenne à l’intention des fournisseurs et des déployeurs de systèmes d’IA à haut risque fournissent des exemples pratiques de classification. Chaque PME reste néanmoins responsable de l’analyse de son propre système et de son cas d’usage.

Obligations des fournisseurs de systèmes d’IA à haut risque

Cette section concerne principalement les PME qui développent, commercialisent sous leur propre marque ou modifient de manière substantielle des systèmes d’IA à haut risque. Les fournisseurs assument des responsabilités plus étendues que les entreprises qui se contentent d’utiliser un outil d’IA, car ils doivent démontrer que le système respecte les exigences de l’AI Act avant sa mise sur le marché, mais aussi après son déploiement.

Les principaux dispositifs de contrôle à mettre en place par les fournisseurs comprennent :

• Un système continu de gestion des risques

• Des mesures appropriées de gouvernance et de qualité des données

• Une documentation technique complète

• Des fonctions automatiques d’enregistrement et de journalisation

• Des instructions claires et des informations de transparence destinées aux déployeurs

• Des mécanismes efficaces de contrôle humain

• Des niveaux appropriés d’exactitude, de robustesse et de cybersécurité

• Un système documenté de management de la qualité

• Une évaluation de conformité avant la mise sur le marché ou la mise en service

• Un enregistrement du système lorsque cela est requis

• Un dispositif de surveillance après commercialisation

• La déclaration des incidents graves

• La mise en œuvre de mesures correctives lorsqu’un risque ou un défaut de conformité est identifié

Ces contrôles doivent fonctionner pendant toute la durée de vie du système. Ils ne doivent pas être traités comme de simples formalités à accomplir au moment du lancement du produit.

Risque lié à une modification substantielle

Un déployeur, un distributeur ou une autre entreprise peut être considéré comme fournisseur lorsqu’il met un système d’IA sur le marché sous son propre nom ou sa propre marque, le modifie de manière substantielle ou change sa finalité prévue de telle sorte que le système soit désormais classé à haut risque.

Une modification susceptible d’affecter la conformité réglementaire peut également imposer une nouvelle évaluation de conformité du système.

Proportionner la documentation

Les PME doivent éviter de mettre en place une organisation documentaire lourde et déconnectée du développement réel du produit. Les preuves de conformité doivent plutôt être intégrées aux documents opérationnels déjà utilisés par l’entreprise, notamment :

• Les exigences produit

• Les résultats des tests et des validations

• Les procédures de gestion des changements

• Les revues de sécurité

• La documentation des fournisseurs

• Les décisions de mise en production et d’approbation

Cette approche facilite la conservation, l’audit et la mise à jour des preuves de conformité, tout en renforçant la gouvernance du produit.

Obligations des déployeurs de systèmes d’IA à haut risque

Cette section concerne tout particulièrement les PME qui achètent et utilisent des systèmes d’IA à haut risque sans les développer elles-mêmes. Le déployeur doit utiliser le système conformément à sa finalité prévue et mettre en place les mesures techniques et organisationnelles nécessaires pour respecter les instructions du fournisseur.

Selon le système utilisé et son contexte de déploiement, la PME peut notamment devoir :

• Désigner des personnes compétentes chargées du contrôle humain

• Veiller à ce que les données d’entrée soient pertinentes et suffisamment représentatives lorsqu’elle maîtrise ces données

• Surveiller le fonctionnement du système et détecter les risques inattendus

• Conserver les journaux automatiquement générés lorsqu’ils sont sous son contrôle

• Suspendre l’utilisation du système lorsqu’il est susceptible de créer des risques inacceptables

• Signaler les incidents graves ou les dysfonctionnements par les canaux prévus

• Informer les salariés et les représentants du personnel avant certains déploiements sur le lieu de travail

• Coopérer avec les autorités compétentes

• Réaliser une analyse d’impact sur les droits fondamentaux lorsque les conditions légales sont réunies

La page officielle de la Commission européenne Naviguer dans l’AI Act : questions et réponses fournit des précisions pratiques sur les responsabilités des déployeurs, notamment en matière de qualité des données d’entrée, d’information des personnes concernées et d’analyse d’impact sur les droits fondamentaux.

Contrôle humain

Le contrôle humain doit être réel et utile. Il ne doit pas se limiter à une validation automatique des résultats produits par le système d’IA. La personne chargée de cette supervision doit comprendre la finalité du système, ses limites et le niveau de performance attendu.

Elle doit être en mesure de :

• Repérer les biais d’automatisation

• Analyser les résultats avec un regard critique

• Refuser ou modifier une recommandation

• Signaler un problème

• Interrompre l’utilisation du système lorsque cela est nécessaire

La PME doit accorder aux personnes chargées du contrôle humain l’autorité, le temps, les informations et la formation nécessaires pour intervenir efficacement.

Ne pas se fier uniquement aux garanties du fournisseur

Avant le déploiement, la PME doit demander et examiner :

• Les instructions d’utilisation

• La déclaration relative à la finalité prévue

• Les informations sur la classification du système

• Les limites de performance

• Les exigences de contrôle humain

• Les fonctions de journalisation

• Les procédures de signalement des incidents

• Les informations relatives à la cybersécurité

• La documentation de conformité pertinente

Les déclarations du fournisseur ne dispensent pas le déployeur de sa responsabilité de configurer, surveiller et utiliser le système dans le respect du droit applicable. La PME doit consigner dans son inventaire des systèmes d’IA les résultats de son évaluation, les contrôles opérationnels mis en place et les éventuelles limites restant sans réponse.

Obligations de transparence applicables aux systèmes d’IA

Certains systèmes d’intelligence artificielle sont soumis à des obligations de transparence même lorsqu’ils ne sont pas classés comme étant à haut risque. L’article 50 de l’AI Act vise notamment certains systèmes interactifs, génératifs ou capables de produire ou de manipuler des contenus. Les obligations concernées s’appliqueront à compter du 2 août 2026. Les PME doivent déterminer si elles interviennent en tant que fournisseur du système, en tant que déployeur, ou dans les deux rôles.

Informer les personnes qu’elles interagissent avec une IA

Lorsque le règlement l’exige, les personnes doivent être informées qu’elles interagissent avec un système d’IA, sauf si cette situation est déjà évidente pour une personne raisonnablement informée et attentive.

Parmi les exemples susceptibles de concerner les PME figurent :

• Les chatbots de service client

• Les systèmes d’accueil fondés sur l’IA

• Les assistants automatisés d’assistance

• Les agents conversationnels vocaux

L’information doit être claire, visible et communiquée au bon moment, avant ou pendant l’interaction. Elle ne doit pas être dissimulée dans de longues conditions générales difficilement accessibles.

Contenus générés ou manipulés par l’IA

Les fournisseurs de certains systèmes capables de générer des contenus audio, des images, des vidéos ou des textes synthétiques peuvent devoir activer un marquage lisible par machine afin de permettre l’identification du caractère artificiel ou manipulé du contenu.

Les déployeurs peuvent également être tenus d’indiquer qu’un contenu constitue un deepfake et de signaler certains textes générés par IA lorsqu’ils sont publiés pour informer le public sur des sujets d’intérêt général, sous réserve des exceptions applicables et des garanties éditoriales prévues.

Risques pour le marketing et la communication

Les PME doivent définir des règles de validation pour les usages suivants :

• Porte-parole virtuels

• Témoignages générés par IA

• Démonstrations de produits manipulées

• Contenus présentés sous une forme journalistique

• Clonage de voix

• Vidéos deepfake

• Conversations automatisées non signalées

Une validation éditoriale humaine doit permettre de vérifier l’exactitude des informations, leur contexte, les autorisations nécessaires et le risque d’induire les clients en erreur.

Conserver les preuves des mesures de transparence

L’entreprise doit documenter :

• L’emplacement des mentions informant de l’utilisation de l’IA

• Les contenus faisant l’objet d’un étiquetage

• L’identité des personnes chargées de la validation éditoriale

• Les fonctions de marquage lisible par machine activées

• Les exceptions juridiques invoquées

Les lignes directrices officielles de la Commission européenne sur les obligations de transparence applicables aux systèmes d’IA fournissent des orientations pratiques pour appliquer l’article 50 de manière cohérente et proportionnée.

Exigences en matière de maîtrise de l’IA et de formation des équipes

La formation à l’intelligence artificielle doit être proportionnée aux systèmes utilisés par la PME, aux profils de ses collaborateurs et à son niveau d’exposition aux risques. L’article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures visant à développer la maîtrise de l’IA parmi les salariés et les autres personnes qui exploitent ou utilisent des systèmes d’IA pour leur compte.

L’approche retenue doit tenir compte du rôle réglementaire de l’organisation, des connaissances techniques et de l’expérience des salariés, du contexte d’utilisation de l’IA, des décisions influencées par les systèmes et des personnes susceptibles de subir un préjudice. Le cadre actuel n’impose ni une formation identique pour tous, ni un niveau uniforme de maîtrise de l’IA pour chaque salarié.

Formation générale de sensibilisation à l’IA

Les salariés qui utilisent des outils d’IA ou sont amenés à interagir avec eux doivent notamment comprendre :

• Ce qu’est l’intelligence artificielle et quels systèmes sont autorisés par l’entreprise

• Les principales limites de l’IA, notamment les hallucinations et les résultats peu fiables

• Les risques liés à la confidentialité et aux données personnelles

• Les enjeux de propriété intellectuelle

• Les risques de biais et de discrimination

• Les exigences de contrôle humain

• Les procédures de signalement des incidents

• Les usages interdits ou non autorisés

La formation doit s’appuyer sur des exemples issus des activités réelles de l’entreprise, comme la rédaction d’e-mails, l’analyse d’informations clients ou la création de contenus marketing.

Formation adaptée aux fonctions

Des modules renforcés peuvent être nécessaires pour les équipes RH qui utilisent des outils d’IA dans le recrutement, les services marketing qui publient des contenus générés par IA, les développeurs qui conçoivent des produits intégrant l’intelligence artificielle, les équipes achats chargées d’évaluer les fournisseurs, les managers qui s’appuient sur des recommandations automatisées et les professionnels de la conformité responsables de la gouvernance de l’IA.

Formation relative aux systèmes d’IA à haut risque

Les salariés responsables de systèmes d’IA à haut risque doivent comprendre la finalité prévue du système, ses limites de performance, les exigences relatives aux données d’entrée et les signaux d’alerte à surveiller.

Ils doivent également savoir :

• Interpréter les résultats avec un regard critique

• Éviter les biais d’automatisation

• Refuser ou remplacer une recommandation

• Conserver les journaux nécessaires

• Signaler les incidents

• Faire remonter les préoccupations relatives aux droits fondamentaux

Les déployeurs de systèmes d’IA à haut risque restent soumis à des obligations spécifiques visant à garantir que les personnes chargées du contrôle humain disposent d’une formation adaptée.

Documenter les actions de formation

L’entreprise doit conserver des preuves concernant :

• Le contenu des formations

• Les publics concernés

• La participation des salariés

• Les dates de réalisation

• Les évaluations des connaissances

• Les modules adaptés aux différentes fonctions

• Le calendrier des sessions de mise à jour

• Les modifications apportées aux supports

La page de la Commission européenne consacrée aux questions et réponses sur la maîtrise de l’IA confirme que les mesures de formation doivent reposer sur une approche fondée sur les risques et être adaptées aux connaissances des équipes, aux rôles exercés dans l’organisation et aux contextes réels d’utilisation.

L’achat d’une formation générique sur l’intelligence artificielle ne suffit donc pas, à lui seul, à démontrer la conformité. La formation doit être directement reliée aux systèmes utilisés par la PME, à ses responsabilités réglementaires et aux risques qu’elle a identifiés.

Articulation entre l’AI Act et le RGPD

La conformité à l’AI Act ne remplace pas le respect des règles relatives à la protection des données. Lorsqu’un système d’IA traite des données à caractère personnel, le règlement européen sur l’intelligence artificielle et le RGPD peuvent s’appliquer simultanément.

L’AI Act encadre principalement les risques liés aux systèmes, les rôles réglementaires des différents acteurs et les contrôles propres à l’intelligence artificielle. Le RGPD régit quant à lui la manière dont les données personnelles sont collectées, utilisées, conservées et partagées. La CNIL rappelle que les organisations qui utilisent des données personnelles dans le cadre de systèmes d’IA doivent continuer à respecter le RGPD ainsi que les droits des personnes concernées.

Principales questions à examiner au titre du RGPD

Pour chaque usage de l’IA, les PME doivent notamment se demander :

• Quelles données personnelles sont traitées ?

• Quelle est la base légale du traitement ?

• Le système utilise-t-il des données sensibles ?

• Les personnes concernées ont-elles reçu une information claire ?

• Le traitement est-il nécessaire et proportionné ?

• Implique-t-il une prise de décision automatisée ?

• Une analyse d’impact relative à la protection des données est-elle requise ?

• Pendant combien de temps les données seront-elles conservées ?

• Des données sont-elles transférées en dehors de l’Espace économique européen ?

• Les personnes peuvent-elles exercer leurs droits d’accès, de rectification, d’opposition et d’effacement ?

Risques liés à l’IA générative

L’IA générative crée des risques supplémentaires lorsque les salariés saisissent dans leurs requêtes des informations concernant des clients, des candidats ou des collaborateurs. Les PME doivent vérifier si les fournisseurs conservent les prompts, réutilisent les données pour entraîner leurs modèles ou transfèrent les informations à l’international.

D’autres risques doivent également être pris en compte, notamment :

• La mémorisation de données par le modèle

• Le manque de transparence sur les sources des données d’entraînement

• La production de résultats inexacts

• La difficulté pratique à répondre aux demandes des personnes concernées

La CNIL précise que certains modèles d’IA peuvent rester soumis au RGPD lorsqu’ils mémorisent des données personnelles issues de leur entraînement.

Coordonner les analyses liées à l’IA et à la protection des données

Lorsque cela est pertinent, les PME peuvent coordonner la classification des risques liés à l’IA, les analyses d’impact relatives à la protection des données, les analyses fondées sur l’intérêt légitime, les revues de sécurité, les procédures de vérification des fournisseurs et les évaluations portant sur les droits fondamentaux.

Cette approche permet de limiter les doublons et d’aider les équipes à identifier les risques interdépendants.

Une analyse ne remplace toutefois pas automatiquement une autre. Chacune doit répondre à ses propres exigences juridiques et à ses propres critères de décision.

Le guide officiel de la CNIL sur la mise en conformité des professionnels utilisant l’intelligence artificielle constitue un point de départ pratique pour aligner les usages de l’IA avec les obligations du RGPD.

Vérification préalable des fournisseurs et achats de solutions d’IA

La plupart des PME utilisent des solutions d’IA fournies par des prestataires externes plutôt que de développer leurs propres systèmes. Cela ne supprime pas leurs responsabilités en matière de conformité. Toute solution d’IA proposée par un fournisseur doit être évaluée avant son achat, encadrée par des clauses contractuelles adaptées et suivie pendant toute sa durée d’utilisation.

Questions à poser aux fournisseurs

Avant toute validation, la PME doit demander des informations claires sur :

• La finalité prévue du système

• Le rôle du fournisseur au regard de l’AI Act

• La classification du système selon son niveau de risque

• Les restrictions relatives aux usages interdits

• Les limites techniques et les limites de performance

• Les informations sur les données d’entraînement lorsque cela est pertinent

• Les conditions de traitement des données

• Les mesures de sécurité

• Les exigences de contrôle humain

• Les fonctions de journalisation

• Les procédures de notification des incidents

• Les sous-traitants et les lieux d’hébergement

• Les preuves d’audit, de certification ou d’assurance disponibles

• Les procédures de sortie et de suppression des données

• Les engagements du fournisseur à signaler toute modification importante

Les déclarations du fournisseur doivent être comparées à la configuration réelle du système et à l’usage professionnel envisagé par l’entreprise.

Clauses contractuelles à prévoir

Les contrats doivent encadrer la coopération réglementaire, l’accès à la documentation de conformité, la notification des incidents, la cybersécurité, les modifications du modèle ou du système, le recours à la sous-traitance, l’utilisation des données, la propriété intellectuelle, la responsabilité, la résiliation et l’assistance à la transition.

Le contrat doit également préciser qui est responsable :

• De la conservation des journaux

• De la configuration des mentions de transparence

• Du soutien au contrôle humain

• De l’information de la PME lorsque des changements peuvent modifier la classification du risque ou les obligations juridiques applicables

Suivre les fournisseurs après l’achat

La vérification du fournisseur ne s’arrête pas à la signature du contrat. Une nouvelle évaluation doit être prévue lorsque le prestataire :

• Modifie le modèle

• Ajoute de nouvelles fonctionnalités

• Change la finalité prévue du système

• Fait appel à de nouveaux sous-traitants

• Modifie les conditions d’utilisation des données

• Subit un incident de sécurité

• Modifie sa position concernant la classification du système

Les PME doivent consigner dans leur inventaire des systèmes d’IA les évaluations réalisées, les problèmes restant sans réponse et les mesures correctives demandées.

La relation avec le fournisseur doit être suspendue ou faire l’objet d’une escalade lorsque des documents essentiels, des garanties de sécurité ou des contrôles juridiques indispensables ne sont pas disponibles.

Mettre en place un cadre de gouvernance de l’IA adapté aux PME

Une gouvernance efficace de l’intelligence artificielle ne nécessite pas forcément la création d’un comité important ni la mise en place d’une structure complexe. Une PME peut maîtriser les risques liés à l’IA en attribuant clairement les responsabilités, en appliquant des contrôles proportionnés et en documentant la manière dont les décisions importantes sont prises.

Attribuer les responsabilités

Les responsabilités doivent être réparties entre les personnes qui comprennent les enjeux métier, juridiques et techniques. Les fonctions concernées peuvent notamment inclure :

• Un membre de la direction chargé de parrainer la démarche

• Un responsable de la conformité liée à l’IA

• Un responsable métier du système

• Le délégué à la protection des données

• Un responsable de la sécurité des systèmes d’information

• Un représentant des ressources humaines ou du service juridique

• Un responsable des achats

Dans une petite entreprise, une même personne peut exercer plusieurs de ces fonctions. Les responsabilités doivent néanmoins rester clairement définies pour l’approbation des systèmes, la classification des risques, le suivi, la gestion des incidents et l’escalade réglementaire.

Mettre en place les contrôles essentiels

Au minimum, le cadre de gouvernance doit comprendre :

1. Une politique d’utilisation de l’IA

2. Un inventaire des systèmes d’IA

3. Un processus de classification des risques

4. Une procédure d’évaluation des achats et des fournisseurs

5. Une liste des outils autorisés

6. Des règles relatives aux usages interdits

7. Des exigences de contrôle humain

8. Une procédure de gestion des incidents liés à l’IA

9. Un programme de formation adapté aux fonctions

10. Un processus de réexamen périodique

Dans la mesure du possible, ces contrôles doivent être intégrés aux procédures existantes en matière de protection des données, de cybersécurité, de droit du travail et d’achats.

Définir des niveaux d’approbation proportionnés

Les exigences d’approbation doivent dépendre du niveau de risque potentiel :

• Outil de productivité à faible risque : validation par le responsable métier

• Outil traitant des données personnelles : examen par les fonctions protection des données et sécurité

• Système utilisé pour prendre des décisions concernant des salariés ou des clients : examen juridique et conformité

• Système potentiellement à haut risque : évaluation formelle des risques et validation par la direction

• Pratique potentiellement interdite : arrêt immédiat de l’utilisation et escalade sans délai

Utiliser les référentiels reconnus de manière adaptée

La norme ISO/IEC 42001 peut aider les organisations à structurer un système de management de l’intelligence artificielle autour du leadership, de la gestion des risques, des contrôles, du suivi et de l’amélioration continue.

La certification ISO n’est toutefois pas une exigence générale de l’AI Act, et la norme ne remplace ni la classification juridique des systèmes ni les obligations propres au rôle exercé par l’entreprise. Les PME peuvent reprendre certains de ses principes pour renforcer leur gouvernance sans engager immédiatement une démarche de certification formelle.

Gestion et suivi des incidents liés à l’IA

La conformité à l’AI Act ne s’arrête pas au déploiement du système. Les PME doivent surveiller le fonctionnement réel de leurs outils d’IA, vérifier que les utilisateurs respectent les procédures approuvées et déterminer si des changements remettent en cause l’évaluation initiale des risques.

Définir ce qu’est un incident lié à l’IA

Un incident lié à l’intelligence artificielle peut notamment concerner :

• Un résultat discriminatoire ou dangereux

• Une décision erronée ayant un impact sur une personne

• La perte d’un contrôle humain effectif

• Une exposition de données personnelles

• Une faille de sécurité

• Un comportement inattendu du système

• L’absence d’une information de transparence obligatoire

• Une utilisation en dehors de la finalité prévue

• Des hallucinations répétées causant un préjudice important

• L’utilisation par un salarié d’un outil d’IA non autorisé

Les incidents doivent être évalués en fonction de leurs conséquences réelles, et non uniquement de leur gravité technique.

Mettre en place une procédure d’escalade

Le processus de traitement doit couvrir les étapes suivantes :

1. Contenir immédiatement l’incident

2. Préserver les journaux et les éléments de preuve

3. Évaluer les conséquences pour les personnes concernées

4. Informer les responsables internes compétents

5. Informer le fournisseur

6. Réaliser une analyse juridique et réglementaire

7. Mettre en œuvre les mesures correctives nécessaires

8. Documenter l’incident et la réponse apportée

9. Assurer un suivi après la résolution

Les responsabilités doivent être clairement définies afin que les salariés sachent quand et comment faire remonter une alerte.

Surveiller les évolutions du système

La conformité doit être réévaluée lorsque le modèle est mis à jour, que de nouvelles fonctionnalités sont activées, que l’usage professionnel évolue, que de nouvelles sources de données sont intégrées ou que les conditions du fournisseur sont modifiées.

Une nouvelle analyse peut également être nécessaire après une baisse des performances, un incident, un événement de cybersécurité ou une évolution de la réglementation et des orientations officielles.

Chaque modification importante doit entraîner une mise à jour de l’inventaire des systèmes d’IA, de la classification des risques et des contrôles applicables.

Sanctions prévues par l’AI Act et conséquences pour l’entreprise

Les sanctions prévues par l’AI Act dépendent notamment de la nature, de la gravité et de la durée du manquement, du rôle exercé par l’organisation et des circonstances propres à chaque situation. Un risque de contrôle ou de sanction peut notamment résulter de l’utilisation d’une pratique d’IA interdite, du non-respect d’obligations applicables à un système ou à un opérateur, de la communication d’informations inexactes ou trompeuses, d’un refus de coopérer avec les autorités compétentes ou, lorsque cela est applicable, d’un manquement aux exigences relatives aux modèles d’IA à usage général.

Les États membres doivent prévoir des sanctions et des mesures d’exécution effectives, proportionnées et dissuasives.

L’AI Act impose aux autorités de tenir compte du principe de proportionnalité, notamment des intérêts et de la viabilité économique des PME. Cela ne signifie toutefois pas que les petites entreprises sont à l’abri d’un contrôle ou d’une sanction. Une organisation qui n’est pas en mesure de démontrer sa classification des risques, ses mesures de contrôle humain, ses vérifications fournisseurs, ses actions de formation ou sa procédure de gestion des incidents peut avoir davantage de difficultés à défendre sa position en matière de conformité.

Conséquences plus larges pour l’entreprise

Les amendes réglementaires ne représentent qu’une partie du risque. Un défaut de conformité peut également entraîner :

• La suspension d’un projet d’IA

• Le retrait d’un produit ou la limitation de son déploiement

• Des litiges contractuels avec des fournisseurs

• L’exclusion de certaines opportunités de marché ou procédures d’achat

• Une perte de confiance des clients et des investisseurs

• Des contentieux en droit du travail ou en matière de discrimination

• Des mesures de contrôle parallèles au titre du RGPD

• Des incidents de cybersécurité

• Une atteinte à la réputation

• Le remplacement ou la refonte coûteuse d’un système

La prévention reste l’approche la plus efficace. Les PME doivent donner la priorité à un inventaire fiable de leurs systèmes d’IA, à des décisions de classification documentées, à un contrôle humain réel, à une vérification rigoureuse des fournisseurs et à la mise en œuvre rapide de mesures correctives, plutôt que de se concentrer uniquement sur les montants maximaux des sanctions.

Feuille de route pratique pour la conformité des PME à l’AI Act

Une feuille de route proportionnée permet aux PME de passer d’une situation d’incertitude à une conformité fondée sur des preuves, sans créer une charge administrative inutile.

Phase 1 : actions immédiates

Désignez un responsable de la conformité à l’IA et établissez un inventaire complet des systèmes d’IA utilisés par l’entreprise. Pour chaque système, précisez si l’organisation agit en tant que fournisseur, déployeur, importateur ou distributeur.

Vérifiez immédiatement l’existence éventuelle de pratiques interdites, établissez une liste d’outils approuvés et empêchez les salariés de saisir des données confidentielles ou personnelles dans des outils publics d’IA qui ne sont pas encadrés par l’entreprise.

Mettez en place une politique de base sur l’utilisation de l’IA et commencez à déployer des mesures de maîtrise de l’IA adaptées aux fonctions des salariés, des managers et des équipes spécialisées.

Phase 2 : classification des risques

Vérifiez si chaque outil entre dans la définition d’un système d’IA au sens de l’AI Act. Identifiez les systèmes susceptibles d’être classés à haut risque ainsi que les éventuelles obligations de transparence prévues par l’article 50.

Documentez le raisonnement suivi pour chaque classification, faites remonter les cas incertains et vérifiez si le système déclenche également des obligations au titre du RGPD.

Phase 3 : contrôle des fournisseurs et des processus

Examinez les contrats relatifs aux solutions d’IA et demandez aux fournisseurs les documents de conformité pertinents. Évaluez notamment l’utilisation des données, les mesures de sécurité, la finalité prévue, les fonctions de journalisation, les procédures de gestion des incidents et les limites du système.

Définissez un contrôle humain réellement opérationnel, établissez des règles de notification des incidents et intégrez la vérification préalable des solutions d’IA aux processus d’achat et de gestion des changements.

Phase 4 : préparation aux systèmes d’IA à haut risque

Lorsque cela est pertinent, examinez les instructions du fournisseur, désignez des personnes formées pour assurer le contrôle humain et vérifiez l’efficacité des mesures opérationnelles.

Configurez les fonctions de journalisation, préparez les procédures de suivi et d’escalade, évaluez les impacts sur les droits fondamentaux et confirmez les éventuelles obligations d’information des salariés ou des représentants du personnel.

Phase 5 : gouvernance continue

Mettez régulièrement à jour l’inventaire des systèmes d’IA et réévaluez les changements importants concernant les outils ou les fournisseurs. Suivez les orientations réglementaires, analysez les incidents, renouvelez les formations et auditez les systèmes ayant un impact important.

Les politiques et les contrôles doivent être actualisés après toute évolution significative des fonctionnalités, de la finalité prévue, des sources de données ou des exigences juridiques. Les risques importants, les faiblesses non résolues et les mesures correctives doivent être communiqués à la direction.

Checklist de conformité à l’AI Act pour les PME

Utilisez cette checklist pour vérifier si votre organisation dispose des contrôles essentiels nécessaires à une conformité proportionnée, documentée et fondée sur des preuves.

Périmètre et responsabilités

• Avons-nous désigné un responsable de la conformité à l’IA ?

• Avons-nous identifié tous les systèmes d’IA utilisés dans l’organisation ?

• Avons-nous attribué un responsable métier à chaque système ?

• Avons-nous indiqué si nous agissons en tant que fournisseur, déployeur, importateur ou distributeur ?

Classification

• Avons-nous vérifié l’existence éventuelle de pratiques d’IA interdites ?

• Avons-nous évalué si certains systèmes sont susceptibles d’être classés à haut risque ?

• Avons-nous identifié les obligations de transparence applicables ?

• Avons-nous documenté le raisonnement ayant conduit à chaque classification ?

• Équipes et formation

• Les salariés concernés ont-ils reçu une formation à l’IA ?

• La formation est-elle adaptée aux fonctions, aux systèmes utilisés et aux risques réels ?

• Les personnes chargées du contrôle humain sont-elles formées pour remettre en question les résultats et les écarter si nécessaire ?

• Conservons-nous les preuves de participation ainsi que le calendrier des formations de mise à jour ?

Données et sécurité

• Le système traite-t-il des données personnelles ou sensibles ?

• Avons-nous évalué les obligations applicables au titre du RGPD ?

• L’utilisation de données confidentielles dans les outils d’IA est-elle encadrée ?

• Les risques de cybersécurité ont-ils été examinés ?

• Les journaux sont-ils conservés de manière sécurisée pendant une durée appropriée ?

Fournisseurs

• Le fournisseur a-t-il clairement défini la finalité prévue du système ?

• Avons-nous demandé la documentation de conformité pertinente ?

• Le contrat encadre-t-il les incidents et les modifications du système ?

• Comprenons-nous le recours aux sous-traitants, les lieux d’hébergement et les flux de données ?

Exploitation et suivi

• Les utilisateurs respectent-ils les instructions approuvées ?

• Le contrôle humain est-il réel et effectif ?

• Les mentions de transparence requises sont-elles actives ?

• Les contenus générés par IA sont-ils signalés lorsque cela est nécessaire ?

• Une procédure documentée de gestion des incidents est-elle en place ?

• Chaque système est-il réévalué après une modification importante et selon un calendrier défini ?

Erreurs fréquentes de conformité à l’AI Act

Erreur 1 : penser que l’AI Act concerne uniquement les développeurs d’IA
Correction : Vérifiez si l’entreprise agit également en tant que déployeur, importateur, distributeur ou fabricant de produit intégrant un système d’IA.

Erreur 2 : classer tous les outils d’IA comme étant à haut risque
Correction : Appliquez les critères juridiques de classification en tenant compte de la finalité prévue, de la catégorie de produit et de l’impact du système sur les décisions.

Erreur 3 : considérer que toute IA générative présente un faible niveau de risque
Correction : Analysez les obligations de transparence ainsi que les risques liés à la protection des données, à la propriété intellectuelle, à la confidentialité et au cas d’usage concerné.

Erreur 4 : acheter une politique générique sans créer d’inventaire des systèmes d’IA
Correction : Construisez le programme de conformité à partir des systèmes réellement utilisés par l’organisation, de ses fournisseurs et de ses processus métiers.

Erreur 5 : se reposer entièrement sur le fournisseur
Correction : Vérifiez la documentation, configurez les contrôles opérationnels nécessaires et surveillez le fonctionnement réel du système après son déploiement.

Erreur 6 : proposer la même formation à l’IA à tous les salariés
Correction : Adaptez la formation aux fonctions exercées, aux systèmes utilisés, au pouvoir de décision des salariés et à leur niveau d’exposition aux risques.

Erreur 7 : ignorer l’utilisation d’outils publics d’IA par les salariés
Correction : Définissez une liste d’outils autorisés, des restrictions concernant les données saisies, des voies d’escalade et des règles de signalement claires.

Erreur 8 : traiter la conformité comme un projet ponctuel
Correction : Réévaluez régulièrement les mises à jour des fournisseurs, les modifications des systèmes, les incidents, les problèmes de performance et les nouvelles orientations réglementaires.

Développer une culture pratique de l’IA dans toute l’organisation

Aider les salariés à utiliser l’IA de manière responsable

La conformité à l’AI Act repose d’abord sur la capacité des équipes à comprendre le fonctionnement de l’intelligence artificielle, à identifier les situations à risque et à savoir quand une intervention humaine est nécessaire. Les salariés doivent être en mesure d’utiliser les outils d’IA sans divulguer d’informations confidentielles, sans se fier automatiquement à des résultats inexacts et sans créer de risques juridiques, opérationnels ou liés à la protection des données.

La formation AI for Everyone du French Compliance Institute présente les bases pratiques de l’intelligence artificielle, les principes d’une utilisation responsable et les bonnes pratiques de prise de décision pour les professionnels non techniques.

Cette formation peut soutenir les actions plus larges de maîtrise de l’IA au sein de l’entreprise. Elle doit toutefois s’intégrer dans un programme global adapté aux systèmes utilisés, aux fonctions des salariés et au niveau d’exposition aux risques de l’organisation.

Conclusion

L’AI Act peut s’appliquer aux PME qui agissent en tant que fournisseurs, déployeurs, importateurs, distributeurs ou fabricants de produits intégrant un système d’IA. La mise en conformité doit commencer par un inventaire des systèmes d’IA, une identification claire du rôle exercé par l’entreprise et une classification des risques correctement documentée.

Les pratiques interdites et les systèmes d’IA à haut risque nécessitent une vigilance particulière. Cette surveillance doit s’appuyer sur des obligations de transparence, un contrôle humain réellement opérationnel, une évaluation rigoureuse des fournisseurs et la conservation de preuves de conformité fiables.

Le RGPD et les autres réglementations applicables continuent de produire leurs effets. La formation à l’IA doit également être adaptée aux outils réellement utilisés par l’entreprise, aux fonctions des salariés et au niveau d’exposition aux risques.

Les PME qui connaissent précisément leurs systèmes d’IA, forment leurs équipes et mettent en place une gouvernance proportionnée seront mieux préparées à utiliser l’intelligence artificielle de manière productive tout en respectant les exigences de la réglementation européenne sur l’IA.