AI Act pour les PME : obligations, priorités et plan d’action réaliste.
Une PME n’a pas besoin de reproduire l’organisation d’un grand groupe pour maîtriser l’AI Act. Elle doit en revanche savoir quels systèmes elle utilise, quel rôle elle exerce et quelles mesures sont réellement attendues. La bonne démarche concentre les ressources sur les usages qui peuvent affecter des personnes, engager la responsabilité de l’entreprise ou fragiliser un contrat.
Une PME commence par inventorier ses usages d’IA, qualifier son rôle et vérifier les pratiques interdites, la maîtrise de l’IA et la transparence. Elle approfondit ensuite les systèmes susceptibles d’être à haut risque, les contrats et les preuves. La taille de l’entreprise influence les moyens, pas l’existence des obligations applicables.
Cluster éditorial : Gouvernance et mise en conformité · Intention : Comprendre les obligations AI Act d’une PME et établir un plan proportionné
En bref
L’essentiel à retenir
01
Inventaire court mais exploitable
02
Priorité aux usages qui affectent des personnes
03
Mesures adaptées au rôle réel
04
Preuves simples, datées et maintenues
01
Commencer par les usages qui comptent vraiment
Recensez les outils achetés, les fonctions d’IA intégrées aux logiciels, les développements internes et les usages individuels tolérés. Pour chaque cas, notez la finalité, le propriétaire métier, les personnes concernées, les données mobilisées et la décision ou le contenu influencé. Cette fiche suffit pour commencer. Elle évite de lancer un chantier documentaire avant de savoir ce qui existe.
Priorisez les systèmes utilisés en recrutement, évaluation, crédit, assurance, accès à un service, sécurité, santé ou production réglementée. Ajoutez les outils largement utilisés et ceux dont le fournisseur donne peu d’informations. Un assistant de rédaction interne et un système classant des candidatures ne demandent pas le même niveau d’analyse. La méthode reste commune, mais l’effort doit suivre l’impact et l’incertitude.
Qualifier le rôle avant de choisir les obligations
La plupart des PME utilisatrices seront déployeurs pour les systèmes qu’elles emploient sous leur autorité. Une PME éditrice peut être fournisseur lorsqu’elle met un système sur le marché sous son nom. Elle peut aussi changer de rôle si elle modifie substantiellement une solution ou transforme sa finalité. Le contrat commercial ne décide pas seul de cette qualification.
Établissez une carte simple de la chaîne de valeur. Qui fournit le modèle, qui intègre le système, qui choisit la finalité, qui fixe les consignes et qui assume la relation avec les personnes concernées ? Cette carte détermine les informations à demander et les contrôles à conserver. Elle permet aussi d’éviter une clause qui attribue artificiellement toutes les responsabilités au client ou au prestataire.
Vérifiez les pratiques interdites pour les usages réels, y compris les fonctions optionnelles. Organisez des mesures de maîtrise de l’IA adaptées aux personnes qui choisissent, paramètrent ou utilisent les systèmes. Examinez enfin l’article 50 lorsque l’outil interagit avec le public ou produit des contenus synthétiques. Ces travaux concernent aussi des systèmes qui ne sont pas à haut risque.
Une PME peut produire des preuves sobres : une politique d’usage de deux pages, une matrice de compétences, une revue des pratiques interdites et une fiche de transparence par interface. Le document doit dire qui agit, quand et avec quel résultat attendu. Un modèle téléchargé mais jamais appliqué apporte moins de valeur qu’une procédure courte testée sur un usage réel.
Lorsqu’un système peut relever de l’annexe I ou III, documentez la finalité exacte et les critères de l’article 6. Demandez au fournisseur les instructions, les performances, les limites, les données, les mesures de supervision, les journaux et le dispositif d’incident. Si des informations manquent, consignez l’incertitude et limitez l’usage avant de conclure.
Pour un système à haut risque, répartissez les mesures entre le fournisseur et le déployeur. La PME utilisatrice doit notamment préparer l’usage conforme aux instructions, la supervision humaine, la qualité des données d’entrée qu’elle contrôle, la surveillance et les journaux disponibles. Certaines situations appellent aussi une information des travailleurs ou une analyse d’impact.
Avant le renouvellement, demandez une documentation versionnée, un canal d’incident, les conditions de changement, l’accès aux journaux utiles et un mécanisme de sortie. Vérifiez la localisation des données, les sous-traitants, les limites de responsabilité et la coopération en cas de contrôle. La promesse générale de conformité ne remplace pas ces éléments.
Une PME dispose souvent de moins de poids de négociation. Elle peut compenser en comparant les réponses, en conditionnant le déploiement à quelques preuves critiques et en choisissant une solution plus transparente. Conservez les questions, les réponses et les arbitrages. Ce dossier protège la continuité du projet et accélère la requalification lorsqu’une version change.
Suivez la couverture de l’inventaire, les qualifications incomplètes, les actions critiques en retard, les personnes formées pour les usages prioritaires et les fournisseurs sans preuve suffisante. Ces indicateurs donnent une vue de direction sans créer un tableau de bord complexe. Chaque écart reçoit un propriétaire et une date.
Revoyez le portefeuille après une nouvelle finalité, un changement de version, un incident ou une évolution réglementaire. Commencez avec un système pilote, corrigez la méthode et étendez-la. Une PME progresse plus vite lorsque la conformité devient un rythme de décision intégré aux achats, aux projets et à la formation, plutôt qu’une campagne annuelle isolée.
Oui lorsque les conditions du règlement sont réunies. Des mesures de soutien et des adaptations existent, mais une PME doit qualifier ses rôles et ses systèmes.
Pas nécessairement. Les responsabilités peuvent être réparties entre des fonctions existantes si le mandat, les compétences et les décisions sont explicites.
Non. Le niveau de preuve doit être proportionné à l’usage, au rôle, au risque et aux obligations applicables.
Un registre priorisé reliant usage, propriétaire, rôle, risque pressenti et prochaine revue.
Non. Elle encadre les usages, mais doit être complétée par la qualification, les contrôles, la formation et les preuves nécessaires.
