Le 2 mars 2026, la Commission européenne a publié les premières lignes directrices opérationnelles de l'AI Act — le règlement européen sur l'intelligence artificielle. Pour la première fois, les critères de classification des systèmes IA à « haut risque » sont clairement définis. Et les sanctions sont lourdes : jusqu'à 7,5 millions d'euros ou 1 % du chiffre d'affaires mondial pour les PME non conformes, applicables dès le 2 août 2026. Si vous utilisez de l'IA dans votre entreprise — même un simple chatbot ou un outil d'automatisation — vous êtes concerné.
Ce que dit l'AI Act pour les PME en 5 points clés
- Tout système IA utilisé en entreprise doit être classifié par niveau de risque : minimal, limité, élevé ou interdit
- Les IA « à haut risque » (recrutement, scoring client, décisions financières) nécessitent une documentation technique, un registre d'utilisation et une supervision humaine
- Les PME bénéficient d'un régime allégé mais ne sont pas exemptées : elles doivent au minimum documenter leurs usages IA et garantir la transparence
- Les fournisseurs d'IA (OpenAI, Anthropic, Google) sont responsables de la conformité du modèle — mais l'entreprise utilisatrice est responsable de l'usage qu'elle en fait
- Les sanctions nationales sont applicables à compter du 2 août 2026 : chaque État membre pourra contrôler et sanctionner
Pourquoi les PME sont les plus exposées
Les grandes entreprises ont des directions juridiques et des équipes conformité dédiées. Les PME, elles, ont adopté l'IA rapidement — souvent sans cadre formel. Selon France Num, 26 % des PME françaises utilisent au moins un outil IA au quotidien en mars 2026. Mais combien ont documenté ces usages ? Combien savent si leur chatbot de qualification de leads constitue un système « à haut risque » au sens du règlement ? La réponse, dans la grande majorité des cas : aucune.
Les usages IA courants qui peuvent être classés « haut risque »
- Scoring ou notation de clients et prospects (crédit, assurance, priorisation commerciale)
- Tri automatique de CV ou aide au recrutement
- Chatbot qui influence une décision d'achat ou un parcours client
- Analyse automatisée de données personnelles pour segmentation marketing
- Surveillance ou monitoring des performances des employés
Le plan d'action en 4 étapes pour être conforme avant août
Étape 1 — Inventaire complet de vos usages IA (semaine 1)
Listez tous les outils et systèmes qui utilisent de l'IA dans votre organisation : chatbots, automatisations Make/n8n, outils de rédaction, CRM avec scoring IA, outils d'analyse. Pour chaque usage, identifiez les données traitées, les décisions influencées et les personnes impactées. C'est la base de votre registre d'utilisation IA.
Étape 2 — Classification par niveau de risque (semaine 2)
Appliquez la grille de l'AI Act à chaque usage identifié. La majorité des outils de productivité (rédaction, traduction, résumé) sont classés « risque minimal » et ne nécessitent qu'une obligation de transparence. Les systèmes qui influencent des décisions sur des personnes (clients, candidats, employés) relèvent potentiellement du « haut risque » et nécessitent une documentation renforcée.
Étape 3 — Documentation et mise en conformité (semaines 3-4)
Pour chaque système à haut risque : rédigez la documentation technique, mettez en place la supervision humaine, et assurez la traçabilité des décisions. Pour les systèmes à risque limité ou minimal : documentez simplement l'usage et informez les utilisateurs qu'ils interagissent avec une IA.
Étape 4 — Monitoring et amélioration continue
La conformité AI Act n'est pas un exercice ponctuel. Chaque nouvel outil IA déployé doit passer par cette grille. Mettez en place un process de validation simple avant tout nouveau déploiement — ça prend 30 minutes par outil et vous protège durablement.
Ce que ça change pour votre stratégie IA
L'AI Act n'est pas un frein à l'adoption de l'IA — c'est un cadre qui professionnalise son usage. Les PME qui se mettent en conformité maintenant prennent un avantage compétitif : elles rassurent leurs clients, structurent leurs process, et évitent les sanctions. Celles qui ignorent le sujet s'exposent à des amendes significatives et à une perte de confiance de leurs partenaires. Le calcul est simple : 45 minutes d'audit aujourd'hui vs 7,5 M€ de risque demain.
