Préparer sa démarche EU AI Act : une méthode en 5 étapes pour les PME

Certaines obligations s'appliquent déjà (pratiques interdites, maîtrise de l'IA, transparence), d'autres arrivent en décembre 2027 pour les systèmes à haut risque. Pour une PME, la difficulté est rarement « quand commencer » mais « par où commencer ». Voici une méthode simple, à adapter à votre situation.

Étape 1 : inventorier vos systèmes d'IA

• Logiciels SaaS avec fonctions d'IA (CRM, ATS, ERP, outils marketing).
• Modèles appelés par API (OpenAI, Anthropic, Google, Mistral…) et ce que vous construisez dessus.
• Outils développés en interne.
• Chatbots et assistants, sur votre site ou en interne.
• Outils de génération de textes, d'images ou de vidéos utilisés pour votre communication.

Étape 2 : identifier votre rôle pour chacun

• Fournisseur : vous développez le système, ou le faites développer, et le mettez sur le marché ou en service sous votre nom.
• Déployeur : vous utilisez le système sous votre autorité dans votre activité.
• Vous pouvez être les deux, par exemple pour un chatbot que vous avez construit et que vous utilisez sur votre site.

Étape 3 : estimer le niveau de risque

• Pratiques interdites (article 5) : manipulation préjudiciable, exploitation des vulnérabilités, notation sociale, reconnaissance des émotions au travail ou à l'école, etc.
• Haut risque : usages listés à l'annexe III (biométrie, infrastructures critiques, éducation, emploi, crédit et assurance, services publics essentiels, répression, migration, justice), ou composant de sécurité d'un produit réglementé (annexe I). C'est l'usage qui compte, pas le secteur de votre entreprise.
• Transparence (article 50) : chatbots, contenus générés, hypertrucages.
• Risque minimal : les autres usages, sans obligation spécifique au-delà de l'article 4.

Étape 4 : prioriser selon le calendrier

• Dès maintenant : vérifier l'absence de pratique interdite ; informer les personnes qui échangent avec vos chatbots ; organiser la maîtrise de l'IA de vos équipes.
• Avant le 2 décembre 2026 : marquage des contenus générés pour les systèmes déjà sur le marché avant le 2 août 2026.
• Avant le 2 décembre 2027, pour les systèmes à haut risque de l'annexe III : côté fournisseur, gestion des risques, documentation technique, évaluation de la conformité, enregistrement dans la base de données de l'UE ; côté déployeur, contrôle humain, journaux, information des personnes et, dans certains cas, analyse d'impact sur les droits fondamentaux.
• En continu : surveiller le fonctionnement, signaler les incidents graves, mettre à jour l'inventaire.

Étape 5 : documenter et former

Pour un système à haut risque, le fournisseur tient une documentation technique dont le contenu est fixé par l'annexe IV (allégée pour les PME) :

• description du système : finalité, fonctionnement, capacités, limites ;
• données : origine, collecte, préparation, examen des biais ;
• performances : métriques, tests, résultats par groupe concerné ;
• gestion des risques et mesures de contrôle humain.

Côté formation, gardez une trace de ce qui a été fait (date, contenu, participants) : c'est le moyen le plus simple de démontrer les mesures prises au titre de l'article 4.