L’IA Act européen (AI Act en anglais, le nom officiel du règlement) entre en application par étapes entre 2025 et 2027. Mais une date clé arrive très vite : le 2 août 2026, l’entrée en vigueur des obligations pour l’IA à haut risque. À partir de cette date, ces usages sont encadrés, avec des sanctions qui peuvent atteindre 7% du chiffre d’affaires mondial.
Pour une PME de 15 à 250 personnes, ça paraît disproportionné. Mais en pratique, ce n’est pas aussi compliqué qu’on le croit. Voici ce qu’il faut comprendre et mettre en place.
Ce qui s’applique dès le 2 août 2026
Les interdictions liées aux usages inacceptables (manipulation, exploitation des vulnérabilités, etc.) sont déjà en vigueur depuis février 2025.
À partir du 2 août 2026, c’est le tour des obligations pour les systèmes d’IA à haut risque : gouvernance, documentation, surveillance humaine, robustesse technique.
Pour la plupart des PME, vos usages sont à risque limité (marketing automation, chatbots, génération de contenus). Mais certains basculent en haut risque :
- RH : scoring de CV, évaluation des performances = haut risque
- Conformité : IA qui prend des décisions engageantes = haut risque
- Sécurité : IA de surveillance des employés = haut risque
L’erreur classique : penser que vous n’êtes pas concerné
On voit souvent des PME se dire “je ne fais pas d’IA à haut risque, donc l’IA Act ne me concerne pas”. C’est faux. Même les IA à risque limité ont des obligations :
- Transparence : informer les utilisateurs qu’ils interagissent avec une IA
- Documentation : prouver ce que fait votre système
- Surveillance humaine : un humain doit pouvoir intervenir
- RGPD renforcé : AIPD obligatoire pour certains usages
Le registre des traitements, votre premier livrable
Si vous utilisez déjà des outils d’IA (ChatGPT, Midjourney, Make, n8n, etc.), vous avez probablement l’obligation de documenter ces usages dans un registre des traitements.
Un registre, c’est simple : pour chaque outil d’IA utilisé, vous notez :
- Nom de l’outil et version
- Usage (génération de contenus, segmentation, scoring, etc.)
- Données traitées (personnelles ? sensibles ?)
- Base légale RGPD (consentement, intérêt légitime, etc.)
- Catégories d’usagers impactés
C’est 1-2 jours de travail pour une PME. Pas 3 mois.
Ce qu’on livre dans un audit IA
Quand on intervient en audit chez une PME, on commence toujours par cartographier les usages IA existants. Le livrable contient :
- Inventaire des outils : tous les SaaS, scripts, automatisations qui utilisent de l’IA
- Cartographie des risques : pour chaque usage, score de risque selon l’IA Act
- Plan d’action priorisé : quick wins pour conformité (souvent 2-3 actions)
- Registre des traitements pré-rempli : modèle prêt à signer
En 4 semaines, une PME de 50 personnes passe de “on ne sait pas trop” à “on a un registre à jour et un plan de mise en conformité”.
Le piège à éviter
Le piège, c’est de croire qu’on peut se mettre en conformité tout seul avec ChatGPT. La documentation IA Act demande de la rigueur juridique : il faut un vocabulaire précis, une traçabilité opposable, et souvent l’avis d’un DPO ou d’un avocat.
Nous, on intervient sur la partie opérationnelle : on cartographie les usages, on propose le registre des traitements, on identifie les actions critiques. Mais on travaille en binôme avec un DPO ou un avocat spécialisé pour la validation juridique finale.
Concrètement, par où commencer
Si vous utilisez ChatGPT, Midjourney, ou des outils d’automatisation dans votre PME aujourd’hui, voici votre plan d’action en 5 étapes :
- Liste exhaustive de tous les outils IA utilisés (même usage perso)
- Catégorisation : usage marketing, RH, commercial, autre
- Évaluation du risque : y a-t-il une décision automatisée ? des données personnelles ?
- Documentation : registre des traitements, conditions d’utilisation
- Plan d’action : prioriser les quick wins conformité
Si ça vous paraît trop lourd à faire seul, un audit IA de 8 jours peut vous livrer tout ça, présenté en CODIR, prêt à signer.
Le 2 août 2026 approche. Mieux vaut avoir votre registre prêt avant que de subir une non-conformité après.