IA Act 2026 : guide pratique de conformité pour les PME françaises sans se ruiner
Depuis août 2026, les obligations IA Act pour les systèmes à risque élevé sont pleinement en vigueur. Les premières inspections sectorielles sont annoncées pour le dernier trimestre 2026. Si vous utilisez de l'IA dans vos processus RH, votre relation client, votre scoring commercial ou votre e-commerce — ce guide vous donne les outils pour agir sans dépenser 50 000 € en conseil externe.
Qui est concerné ? La classification des risques simplifiée
L'IA Act ne s'applique pas de façon uniforme à toutes les IA. Il distingue quatre niveaux de risque, chacun déclenchant des obligations différentes. Avant toute démarche, votre priorité est de savoir dans quelle case se trouvent vos systèmes.
Risque inacceptable — interdit depuis février 2025
Ce qui est visé : notation sociale des citoyens par des acteurs publics ou privés, manipulation comportementale subliminale, exploitation de vulnérabilités psychologiques, reconnaissance biométrique en temps réel dans les espaces publics (hors exceptions strictes), profilage prédictif criminel.
Impact PME : très rare. Aucune PME française sérieuse ne devrait se trouver dans cette catégorie. Si c'est le cas, l'arrêt immédiat est la seule option légale.
Risque élevé — audit et documentation obligatoires depuis août 2026
Ce qui est visé : recrutement et gestion RH automatisés, scoring de crédit et évaluation de solvabilité, systèmes dans l'éducation (notation, orientation), sécurité des infrastructures critiques, gestion des migrations et contrôle des frontières, administration de la justice.
Impact PME : concerne directement les PME utilisant un ATS avec scoring de CV, un CRM avec notation prédictive liée à des décisions de crédit, ou des plateformes RH avec analyse comportementale. Ce sont les obligations les plus lourdes.
Risque limité — transparence requise
Ce qui est visé : chatbots et assistants virtuels, systèmes de génération de contenu (texte, image, audio), deepfakes à usage commercial, outils d'interaction émotionnelle.
Impact PME : la plus grande partie des PME françaises utilisant de l'IA tombe ici. L'obligation principale est d'informer clairement les utilisateurs qu'ils interagissent avec un système IA — et non un humain.
Risque minimal — aucune obligation spécifique
Ce qui est visé : filtres anti-spam, systèmes de recommandation de contenu interne sans impact décisionnel sur des personnes, outils de productivité internes, IA de maintenance prédictive industrielle sans lien avec des droits individuels.
Impact PME : si vos usages se limitent à ces cas, aucune obligation réglementaire formelle. Il reste cependant recommandé de documenter cette classification pour pouvoir la justifier en cas de contrôle.
Ce que les PME françaises font concrètement en IA
Avant de paniquer ou de vous lancer dans une démarche de conformité coûteuse, posons la réalité du terrain. Voici les quatre usages IA les plus répandus dans les PME françaises et leur niveau de risque IA Act réel.
Chatbots de service client
Les chatbots conversationnels (Intercom avec IA, Zendesk Answer Bot, Freshdesk Freddy, ou un bot maison basé sur GPT-4o) sont classés à risque limité dans la grande majorité des cas. L'obligation est simple : indiquer clairement à l'utilisateur qu'il parle à un système automatisé. Cette mention doit être visible avant la première interaction, pas cachée dans les CGV.
Exception à surveiller : si votre chatbot est couplé à un système de scoring (il évalue la valeur du client et adapte la réponse en conséquence), la classification peut glisser vers le risque élevé.
Scoring de crédit et notation de prospects
C'est la zone la plus sensible pour les PME B2B. Un CRM comme Salesforce Einstein, HubSpot Predictive Scoring ou Pipedrive AI qui note vos prospects pour prioriser vos commerciaux est en général un système à risque élevé si cette notation conditionne l'accès à un service (crédit fournisseur, contrat, tarif préférentiel). Si la notation est purement interne et ne conditionne aucune décision impactant le prospect (juste l'ordre dans lequel un commercial rappelle), le risque est plus nuancé.
Action immédiate : interrogez votre éditeur CRM sur sa documentation IA Act. S'il ne peut pas la fournir, c'est un signal d'alarme.
Outils de recrutement algorithmiques
Les ATS avec scoring de CV (Workday, SAP SuccessFactors, mais aussi des outils plus accessibles comme Recruitee avec modules IA ou Skeeled) sont explicitement cités dans l'annexe III de l'IA Act comme systèmes à risque élevé. La règle est simple : dès qu'un algorithme IA trie, classe ou rejette automatiquement des candidatures humaines, les obligations complètes s'appliquent.
Ce que beaucoup oublient : les outils d'entretien vidéo avec analyse de la gestuelle, du ton de voix ou des micro-expressions (HireVue, Retorio) entrent aussi dans cette catégorie. Plusieurs entreprises françaises ont déjà reçu des demandes d'information de la CNIL à ce sujet.
Systèmes de recommandation e-commerce
Les moteurs de recommandation produit (Nosto, Barilliance, ou les modules natifs Shopify/Prestashop) sont généralement classés à risque minimal lorsqu'ils suggèrent des produits. La situation change si votre moteur de recommandation adapte les prix en temps réel selon le profil de l'acheteur (tarification dynamique discriminante) — ce cas peut faire l'objet d'une requalification et d'un contrôle DGCCRF en plus de l'IA Act.
Bonne nouvelle : pour la grande majorité des PME e-commerce françaises, les obligations IA Act sur la recommandation produit se limitent à une transparence basique dans la politique de confidentialité.
Les 7 obligations concrètes pour les systèmes à risque élevé
Si vous avez identifié au moins un système IA à risque élevé dans votre organisation, voici ce que la loi exige concrètement. Ces obligations s'appliquent à la fois aux développeurs de ces systèmes et aux entreprises qui les déploient — c'est-à-dire vous, même si vous achetez le système à un éditeur tiers.
- 01
Documentation technique complète
Vous devez disposer d'une documentation décrivant comment le système fonctionne, sur quelles données il a été entraîné, quels sont ses cas d'usage prévus et ses limitations connues. Si vous achetez un SaaS, c'est à votre fournisseur de la produire — mais à vous de la demander et de la conserver.
- 02
Système de management de la qualité (QMS)
Un QMS documenté couvrant la conception, le développement, le test et la surveillance continue du système IA. Pour les PME déployant des systèmes tiers, cela se traduit concrètement par un processus interne de vérification périodique des performances du système et de documentation des incidents.
- 03
Registre des données d'entraînement et tests de biais
Le règlement exige de documenter les datasets utilisés pour entraîner le modèle, d'évaluer les biais potentiels et de montrer comment ils ont été mesurés et atténués. Pour un ATS, cela implique de vérifier que l'algorithme ne pénalise pas statistiquement certains groupes (femmes, seniors, personnes de certaines origines).
- 04
Journalisation automatique des événements
Le système IA doit générer automatiquement des logs permettant de reconstituer son comportement sur une période définie. Ces journaux doivent être conservés et accessibles lors d'un contrôle. La durée minimale de conservation est de 6 mois pour la plupart des systèmes.
- 05
Transparence et information des utilisateurs
Les personnes affectées par les décisions du système doivent être informées qu'un système IA intervient dans les décisions les concernant. Pour un candidat évalué par un ATS, cela implique une mention explicite dans le processus de candidature, pas seulement dans les CGU.
- 06
Supervision humaine obligatoire
Aucune décision à risque élevé ne peut être entièrement déléguée à l'IA. Un humain qualifié doit avoir la capacité de comprendre, surveiller et si nécessaire annuler les recommandations du système. Cette supervision doit être documentée — pas juste théorique.
- 07
Robustesse, précision et cybersécurité
Le système doit être suffisamment robuste pour résister aux tentatives de manipulation (adversarial attacks), maintenir un niveau de précision documenté et respecter les exigences de cybersécurité. Des tests de robustesse doivent être conduits régulièrement et documentés.
La feuille de route réaliste en 5 étapes (avec budget estimé)
Voici comment une PME française de taille moyenne (20 à 150 salariés) peut structurer sa mise en conformité IA Act de façon pragmatique, sans mobiliser un cabinet de conseil à 500 € / heure pendant six mois.
Étape 1 — Inventaire complet des systèmes IA (Semaines 1-2)
0 à 500 €Listez chaque outil numérique utilisant de l'IA ou du machine learning dans votre organisation — y compris les fonctionnalités IA cachées dans vos logiciels SaaS habituels (CRM, ERP, suite bureautique). La CNIL a publié un template d'inventaire réutilisable gratuitement. Cette étape peut être réalisée en interne par votre DSI ou responsable IT. Budget : temps interne uniquement dans la plupart des cas.
Étape 2 — Classification et analyse de risque (Semaines 3-4)
500 à 2 000 €Pour chaque système inventorié, appliquez les critères de l'IA Act : quel est l'impact sur des personnes physiques ? Le système est-il couvert par l'annexe III du règlement ? Intervient-il dans un secteur réglementé (santé, finance, emploi) ? Cette étape bénéficie d'un regard externe pour les cas ambigus — mais une demi-journée de conseil suffit généralement à clarifier les zones grises pour une PME standard.
Étape 3 — Mise en conformité des systèmes à risque élevé (Mois 2-3)
5 000 à 20 000 €Si des systèmes à risque élevé ont été identifiés, c'est ici que se concentre l'essentiel du travail : exiger la documentation technique auprès de vos fournisseurs SaaS, mettre en place les processus de supervision humaine, configurer les journaux d'événements, conduire des tests de biais sur vos datasets. La fourchette haute concerne les PME qui développent leur propre système IA — la fourchette basse celles qui déploient uniquement des solutions tierces.
Étape 4 — Rédaction du dossier de conformité (Semaines 8-10)
1 000 à 3 000 €Compilez les preuves de conformité dans un dossier centralisé : inventaire signé, classification argumentée, documentation technique des systèmes à risque élevé, attestations fournisseurs, procédures de supervision humaine, politique de gestion des incidents IA. Ce dossier doit être présentable en cas d'inspection — sa qualité peut faire la différence entre un simple avertissement et une amende.
Étape 5 — Formation et processus de surveillance continue (Mois 4+)
500 à 1 500 €La conformité IA Act n'est pas un projet ponctuel mais un processus continu. Formez les personnes qui supervisent les systèmes IA à reconnaître les anomalies, mettez en place une revue semestrielle de l'inventaire (les outils IA évoluent vite — une mise à jour peut changer la classification d'un système) et nommez un référent IA Act interne, même à temps partiel.
Conformité IA Act
Diagnostic de conformité IA Act gratuit
Nos experts évaluent vos systèmes IA actuels (ou en projet) et vous fournissent une feuille de route de conformité personnalisée sous 48h.
Obtenir mon diagnostic gratuit →Ce que les textes ne disent pas clairement — zones grises à surveiller
L'IA Act est un texte de 458 pages avec une soixantaine de considérants. Malgré sa longueur, plusieurs questions pratiques importantes restent floues pour les PME. Voici les trois zones grises les plus fréquentes que nous rencontrons.
La frontière entre risque limité et risque élevé pour les chatbots hybrides
Un chatbot qui répond aux questions fréquentes est à risque limité. Mais si ce même chatbot peut initier un remboursement, modifier un contrat ou transmettre une plainte officielle — il prend des décisions qui affectent les droits des utilisateurs. La Commission européenne n'a pas encore publié de guidelines claires sur ce point. Notre recommandation pragmatique : si votre chatbot peut déclencher une action irréversible sans validation humaine, documentez-le comme risque élevé par précaution.
La responsabilité partagée avec les fournisseurs SaaS
L'IA Act distingue le "provider" (qui développe le système IA) du "deployer" (qui le met en œuvre dans son contexte). Les PME françaises sont quasi exclusivement des deployers. Or, le règlement impose aux deployers des obligations substantielles, notamment la supervision humaine et la notification aux personnes affectées — même si le système a été conçu par un tiers. La bonne pratique : insérez dans vos contrats SaaS une clause exigeant de l'éditeur la documentation de conformité IA Act et une garantie de mise à jour en cas d'évolution réglementaire.
Les modèles d'IA "à usage général" (GPAI) intégrés dans vos outils
GPT-4o, Claude, Gemini, Mistral Large — ces modèles sont qualifiés de GPAI (General Purpose AI) et sont soumis à un cadre spécifique dans l'IA Act. Si vous les utilisez via une API pour construire votre propre application, vous devenez "provider" d'un système IA et vos obligations augmentent. Le seuil critique à surveiller : 1025 FLOPS d'entraînement déclenche les obligations GPAI les plus lourdes — un seuil que seuls les grands modèles dépassent, pas les PME qui les utilisent via API. Mais si vous affinez (fine-tune) un modèle sur vos propres données, la situation juridique se complique.
Cas pratique : une PME lyonnaise de 45 salariés se conforme en 3 mois
LyonTech Services (nom anonymisé) est une entreprise de services informatiques de 45 salariés basée à Lyon. Elle utilise trois outils IA : un chatbot sur son site web (Intercom avec IA), un ATS avec scoring automatique (Skeeled), et un outil de génération de contenu pour son blog (ChatGPT Enterprise). Voici comment elle a structuré sa mise en conformité entre avril et juin 2026.
Phase 1 — Inventaire et classification (2 semaines, réalisé en interne)
La responsable RH et le DSI ont co-rédigé l'inventaire en utilisant le template CNIL. Résultat : le chatbot Intercom est classé risque limité, l'ATS Skeeled est classé risque élevé (tri automatique de candidatures), l'outil de génération de contenu est classé risque minimal (usage interne, pas d'impact sur des tiers).
Coût : 0 € (temps interne, 3 demi-journées)
Phase 2 — Conformité chatbot (1 semaine)
Ajout d'un bandeau "Vous interagissez avec un assistant automatisé IA" visible dès l'ouverture du chat, mise à jour de la politique de confidentialité, et ajout d'une option de redirection vers un humain accessible en moins de deux clics. Documentation de la décision dans le dossier de conformité.
Coût : 800 € (développement front-end + rédaction juridique externalisée)
Phase 3 — Conformité ATS Skeeled (6 semaines, le plus long)
Skeeled a fourni une documentation de conformité partielle sur demande. LyonTech a dû compléter : mise en place d'une revue humaine systématique de chaque shortlist IA avant toute action (la RH valide chaque recommandation), information des candidats dans les emails de confirmation, paramétrage des journaux d'événements Skeeled exportés mensuellement, et conduite d'un test de biais sur les 180 candidatures de l'année précédente (aucun biais statistiquement significatif détecté).
Coût : 3 200 € (1 journée de conseil conformité + temps interne RH et DSI)
Phase 4 — Dossier de conformité et formation (2 semaines)
Compilation du dossier complet, formation d'une heure pour l'équipe RH sur les obligations de supervision humaine, désignation d'un "référent IA Act" (la responsable RH, à 10 % de son temps), et planification d'une revue semestrielle.
Coût total de l'ensemble de la démarche : 4 000 € + temps interne (estimé à 8 jours/homme)
LyonTech Services dispose aujourd'hui d'un dossier de conformité IA Act complet, d'un processus de supervision documenté et d'un référent identifié. La démarche a pris 3 mois et coûté 4 000 € en conseil externe — loin des devis à 30 000 € reçus de cabinets de conseil généralistes.
Outils open source pour vous aider (sans dépense)
La conformité IA Act ne nécessite pas nécessairement d'outils payants. Voici quatre ressources gratuites et open source particulièrement utiles pour les PME françaises.
AI Act Compliance Checker (Commission européenne)
L'outil officiel de la Commission pour auto-évaluer si un système IA est concerné par l'IA Act et à quel niveau. Gratuit, disponible en français, basé sur les critères officiels. Idéal pour la phase de classification.
AI Fairness 360 (IBM Research, open source)
Bibliothèque Python open source pour détecter et atténuer les biais dans les jeux de données et les modèles IA. Parfait pour réaliser les tests de biais exigés pour les systèmes à risque élevé. Licence Apache 2.0.
Template d'inventaire IA — CNIL
La CNIL a publié un template Excel/LibreOffice Calc pour inventorier les systèmes IA, intégrant les colonnes de classification IA Act. Téléchargeable gratuitement sur le site de la CNIL, compatible avec les exigences du règlement.
MLflow (open source, gestion du cycle de vie IA)
Si vous développez vos propres modèles IA, MLflow permet de tracer l'ensemble du cycle de vie (données d'entraînement, versions de modèle, métriques de performance) — un élément fondamental de la documentation technique exigée pour les systèmes à risque élevé. Autohébergeable, licencié Apache 2.0.
Questions fréquentes sur l'IA Act et les PME françaises
Mon entreprise de 20 salariés est-elle vraiment concernée par l'IA Act ?
Oui. L'IA Act s'applique à toute organisation qui développe, importe, distribue ou déploie des systèmes d'IA sur le marché européen, indépendamment de sa taille. Les PME ne bénéficient d'aucune exemption générale. En revanche, si vos systèmes IA sont classés à risque minimal (filtres anti-spam, recommandations de contenu interne), les obligations sont quasi nulles. C'est la classification du système qui détermine le niveau d'obligation, pas la taille de l'entreprise.
Notre logiciel RH avec tri automatique de CV est-il un système IA à risque élevé ?
Très probablement oui. L'annexe III de l'IA Act liste explicitement les systèmes IA utilisés dans le recrutement et la gestion de la main-d'œuvre comme systèmes à risque élevé — notamment lorsqu'ils servent à trier, classer ou filtrer des candidatures, ou à évaluer les performances des salariés. Cela inclut la plupart des ATS avec scoring automatique, les outils d'analyse de CV basés sur le machine learning et les plateformes d'entretien vidéo avec analyse comportementale IA.
Quelles sont les zones grises les plus risquées pour une PME française ?
Les trois zones grises les plus fréquentes : (1) les systèmes de scoring commercial — un CRM avec notation prédictive des prospects peut basculer en risque élevé s'il conditionne l'accès à des services financiers ; (2) les chatbots hybrides — un bot qui commence en support client peut devenir risque limité ou élevé selon les décisions qu'il prend ; (3) les outils tiers intégrés via API — si votre fournisseur SaaS utilise de l'IA dans ses algorithmes, c'est votre responsabilité de vérifier sa conformité IA Act.
Quel budget prévoir pour la conformité IA Act d'une PME sans système à risque élevé ?
Pour une PME utilisant exclusivement des outils IA à risque limité ou minimal (chatbot commercial, génération de contenu, recommandations internes), le coût de conformité est très faible : 500 à 2 000 € pour un audit initial, la mise à jour des mentions légales et la formation des équipes. L'essentiel du travail consiste à inventorier vos systèmes IA, documenter votre classification et ajouter les mentions de transparence obligatoires.
Sécurisez votre conformité IA Act dès aujourd'hui
Nos consultants vous accompagnent de l'audit initial à la documentation technique, en passant par la classification des risques — sans jargon ni surfacturation.
Parler à un expert conformité →