Conformité AI Act : guide pratique pour les PME françaises

La première étape de votre mise en conformité consiste à identifier la catégorie de risque de chaque outil d'IA utilisé dans votre entreprise. Le règlement européen distingue quatre niveaux. Le risque inacceptable concerne les systèmes interdits, comme le scoring social ou la manipulation comportementale. Si vous utilisez un tel outil, l'infraction est immédiate : vous devez cesser son usage sans délai. Le risque haut concerne les domaines critiques comme le recrutement, l'éducation ou la gestion des infrastructures. Pour ces systèmes, les exigences sont maximales : mise en place d'un système de gestion des risques, gouvernance des données d'entraînement et documentation technique exhaustive. Le risque limité s'applique principalement aux systèmes d'interaction, comme les chatbots. Ici, l'obligation majeure est la transparence : l'utilisateur doit savoir qu'il interagit avec une machine. Enfin, le risque minimal couvre la majorité des applications d'IA, comme les filtres anti-spam ou les outils de correction orthographique. Pour ces derniers, aucune obligation légale spécifique n'est imposée par l'AI Act, bien que le respect du RGPD reste impératif si des données personnelles sont traitées. Cette classification permet d'allouer vos ressources là où le risque juridique est le plus élevé.

Pour savoir quelles actions mener, vous devez définir votre statut juridique au regard de l'AI Act. Le fournisseur est l'entité qui développe un système d'IA et le met sur le marché sous son propre nom. Si votre PME crée un logiciel d'IA pour le vendre à des clients, vous portez la responsabilité principale de la conformité technique, de la certification et du marquage CE pour les systèmes à haut risque. Le déployeur, quant à lui, est l'utilisateur professionnel qui utilise un système d'IA sous sa surveillance et son contrôle. Si vous achetez un logiciel d'IA pour optimiser vos processus internes ou gérer vos ressources humaines, vous êtes le déployeur. Vos obligations sont alors différentes : vous devez suivre les instructions d'utilisation du fournisseur, informer vos employés et clients de l'usage de l'IA, et surveiller que le système ne produit pas de résultats biaisés ou discriminatoires dans votre contexte spécifique. Un risque fréquent pour les PME est de modifier substantiellement un outil tiers, ce qui peut, selon le règlement, transformer le déployeur en fournisseur, transférant ainsi l'intégralité des responsabilités techniques et juridiques sur l'entreprise.

Si votre activité implique des systèmes d'IA classés à haut risque, vous devez mettre en œuvre un cadre de gouvernance rigoureux. La qualité des données est le point central : les jeux de données d'entraînement, de validation et de test doivent être pertinents, représentatifs et, autant que possible, exempts de biais pour éviter toute discrimination. Vous devez également établir une documentation technique détaillée permettant aux autorités de comprendre comment le système prend ses décisions. La traçabilité est imposée via la création de journaux d'événements (logs) automatiques, permettant de reconstituer le fonctionnement de l'IA en cas d'incident. Un contrôle humain est obligatoire : le système ne doit pas fonctionner en autonomie totale sans qu'une personne physique puisse intervenir, modifier ou arrêter le processus. Enfin, vous devez réaliser une analyse d'impact sur les droits fondamentaux. Ce document évalue comment l'IA affecte la vie privée, l'égalité de traitement et la liberté des personnes concernées. L'absence de ces mesures expose l'entreprise à des sanctions financières significatives, présentées à titre indicatif, et à une obligation de retrait immédiat du produit du marché européen.

L'usage massif d'outils comme ChatGPT ou Midjourney dans les PME impose des règles de transparence spécifiques. L'AI Act exige que tout contenu généré ou manipulé par IA soit clairement identifiable comme tel. Si vous publiez des textes, des images ou des vidéos créés par IA sur votre site web ou dans vos communications clients, vous devez insérer une mention explicite. L'objectif est d'éviter la tromperie du consommateur et la propagation de deepfakes. Pour les fournisseurs de modèles d'IA générative, des obligations supplémentaires s'ajoutent, notamment la publication d'un résumé détaillé des contenus utilisés pour l'entraînement du modèle, afin de respecter le droit d'auteur. En tant que PME utilisatrice, vous devez vous assurer que vos contrats avec ces fournisseurs garantissent la protection de vos secrets d'affaires et la non-utilisation de vos données confidentielles pour l'entraînement global du modèle. Le risque de fuite de données sensibles est ici majeur. La solution consiste à configurer des environnements d'IA privés ou à utiliser des options de désactivation de l'entraînement sur vos données, tout en informant vos utilisateurs finaux de la nature des traitements effectués.

L'AI Act ne remplace pas le RGPD, il le complète. Toute IA traitant des données à caractère personnel doit respecter les principes de minimisation, de limitation des finalités et de transparence. Un conflit fréquent apparaît lors de la phase d'entraînement des modèles : collecter massivement des données pour améliorer l'IA peut contredire le principe de minimisation du RGPD. Pour résoudre cela, vous devez privilégier l'anonymisation irréversible ou la pseudonymisation des données avant toute injection dans le système d'IA. Le droit à l'explication est également renforcé : si une décision automatisée impacte un individu (par exemple, un refus de crédit ou une candidature rejetée), l'intéressé a le droit de savoir comment l'IA est arrivée à ce résultat. Vous devez donc être capable de justifier la logique algorithmique utilisée. Le registre des activités de traitement, obligatoire sous le RGPD, doit être mis à jour pour inclure les systèmes d'IA, en précisant les finalités, les catégories de données et les mesures de sécurité mises en œuvre. La conformité numérique globale impose donc une vision transversale où le DPO et les responsables techniques collaborent pour aligner les exigences techniques de l'AI Act avec les exigences juridiques du RGPD.

Pour une PME, la mise en conformité ne doit pas être un frein à l'innovation, mais un cadre sécurisant. La première action concrète est de réaliser un inventaire exhaustif de tous les outils d'IA utilisés, qu'ils soient intégrés dans vos logiciels métiers (CRM, ERP) ou utilisés de manière isolée par vos collaborateurs. Une fois cet inventaire terminé, procédez à la classification des risques mentionnée précédemment. Pour chaque outil à risque limité ou haut, documentez les processus de contrôle humain et les mesures de transparence. Rédigez une charte interne d'utilisation de l'IA pour vos salariés, définissant ce qui est autorisé (ex: aide à la rédaction) et ce qui est interdit (ex: injection de données clients confidentielles dans une IA publique). Enfin, vérifiez vos contrats avec vos prestataires d'IA pour vous assurer que la responsabilité est clairement répartie. Si vous manquez de ressources internes, faites appel aux professionnels indépendants du réseau pour auditer vos pratiques. Le verdict sur votre niveau de risque peut être obtenu rapidement via un scan, permettant ensuite de prioriser les corrections techniques et juridiques pour éviter toute amende à titre indicatif.