Comment preparer son audit EU AI Act : guide pratique pour les PMEs

La mise en conformite EU AI Act n'est pas un evenement unique - c'est un processus continu. Pour les PMEs qui debutent, la question n'est pas 'quand commencer' (c'est maintenant pour les obligations deja en vigueur) mais 'par ou commencer'. Ce guide pratique donne une methode en 5 etapes applicable a toute entreprise.

Etape 1 : Inventorier tous vos systemes d'IA

Avant toute classification, il faut savoir ce que vous utilisez. Passez en revue :

• Les logiciels SaaS avec fonctionnalites IA (CRM, ATS, ERP, outils marketing)
• Les APIs externes de modeles IA (OpenAI, Anthropic, Google, Mistral)
• Les outils internes developpes en interne avec des composantes IA
• Les chatbots et assistants virtuels sur votre site ou en interne
• Les outils de generation de contenu (texte, image, video) utilises pour votre communication

Etape 2 : Classifier chaque systeme selon l'EU AI Act

Pour chaque systeme identifie, determinez son niveau de risque :

• Risque inacceptable (interdit) : votre systeme pratique-t-il la manipulation subliminale, la reconnaissance d'emotions, le scoring social ?
• Haut risque : votre systeme est-il utilise en RH, sante, education, finance, justice ou infrastructure critique ?
• Risque limite : votre systeme interagit-il avec des humains (chatbot) ou genere-t-il du contenu publie ?
• Risque minimal : votre systeme n'entre dans aucune des categories precedentes

Etape 3 : Prioriser les actions selon le calendrier

Toutes les obligations ne s'appliquent pas au meme moment. Classez vos actions :

• Immediat (deja en vigueur) : verifier l'absence de pratiques interdites, afficher la mention IA sur vos chatbots, former vos equipes a la litteratie IA
• Avant decembre 2027 : documentation technique, gestion des risques, enregistrement EU AI Office pour les systemes haut risque
• Continu : maintenir les logs, surveiller les performances, signaler les incidents

Etape 4 : Constituer la documentation requise

La documentation est au coeur de la conformite EU AI Act. Pour les systemes haut risque, l'Annexe IV detaille ce qui est requis :

• Description du systeme : objectif, architecture, capacites, limitations
• Donnees d'entrainement : origine, criteres de selection, mesures anti-biais
• Metriques de performance : taux d'erreur, tests de biais, performances par sous-groupe
• Systeme de gestion des risques : risques identifies, mesures de mitigation
• Procedure de supervision humaine : qui valide, selon quels criteres, avec quelle autorite

Etape 5 : Former vos equipes (obligation Article 4)

L'Article 4 impose aux deployers de s'assurer que leurs employes utilisant des systemes d'IA ont un niveau suffisant de litteratie IA. En pratique :

• Former les utilisateurs directs des systemes IA a leurs capacites et limitations
• Expliquer les biais potentiels et comment les identifier
• Documenter les formations realisees (date, contenu, participants)
• Inclure la litteratie IA dans les programmes d'onboarding