Conformité AI Act 2026 : Obligations légales pour les PME et startups

Le Règlement UE 2024/1689, dit 'AI Act', est entré en vigueur le 11 juin 2024. Il établit un cadre juridique harmonisé pour le développement, la commercialisation et l'utilisation de l'intelligence artificielle au sein de l'Union européenne. Ce texte est la première législation mondiale à encadrer l'IA de manière horizontale, avec pour objectif de garantir un haut niveau de sécurité et de respect des droits fondamentaux tout en stimulant l'innovation.

Le Règlement s'applique à la plupart des systèmes d'IA mis sur le marché de l'Union ou dont l'utilisation affecte des personnes situées dans l'Union, qu'ils soient fournisseurs ou déployeurs (utilisateurs) de systèmes d'IA. L'article 2 du Règlement détaille le champ d'application personnel et matériel, englobant les fournisseurs qui mettent sur le marché des systèmes d'IA, les déployeurs qui utilisent ces systèmes, les importateurs et les distributeurs.

La distinction entre 'fournisseur' et 'déployeur' est fondamentale. Un 'fournisseur' (article 3, paragraphe 8) est 'toute personne physique ou morale, autorité publique, agence ou autre organisme qui développe un système d'IA ou qui a un système d'IA développé et met ce système d'IA sur le marché ou le met en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit'. Un 'déployeur' (article 3, paragraphe 9) est 'toute personne physique ou morale, autorité publique, agence ou autre organisme qui utilise un système d'IA sous sa propre autorité, sauf lorsque le système d'IA est utilisé dans le cadre d'une activité personnelle non professionnelle'. Les PME et les startups peuvent être l'un ou l'autre, voire les deux, selon leur activité.

Ce cadre légal se caractérise par une approche graduelle basée sur le niveau de risque des systèmes d'IA. Il distingue entre systèmes à risque inacceptable, à haut risque, à risque limité et à risque minimal. Cette classification (détaillée aux articles 6, 7 et Annexe III) est au cœur des obligations de conformité. Les délais d'application sont progressifs, s'étalant de 6 à 36 mois après l'entrée en vigueur, mais des interdictions et certaines obligations s'appliquent déjà ou très prochainement, comme mentionné aux articles 5 et 87 du Règlement. La mise en place de structures comme l'AI Office au sein de la Commission européenne (https://digital-strategy.ec.europa.eu/en/policies/ai-office) vise à assurer une application cohérente et efficace de ces nouvelles règles, sous la supervision des autorités nationales d'IA.

Le cœur de l'AI Act repose sur une classification des systèmes d'IA en fonction de leur niveau de risque, ce qui détermine la nature et l'étendue des obligations. Les systèmes d'IA sont répartis en quatre catégories:

1. Systèmes à risque inacceptable (Article 5) : Ces systèmes sont purement et simplement interdits en raison de leur potentiel à manipuler, exploiter des vulnérabilités, ou réaliser des systèmes de notation sociale ('social scoring') généralisés. L’article 5, paragraphe 1, énumère spécifiquement ces pratiques, incluant les techniques subliminales ou la classification de personnes physiques sur la base de conduites sociales ou de caractéristiques personnelles. Cette interdiction est entrée en vigueur depuis le 11 juin 2024. Les entreprises utilisant ou développant de tels systèmes s'exposent à des sanctions très lourdes, pouvant aller jusqu'à 35 millions d'euros ou 7% de leur chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (Article 99, paragraphe 4).

2. Systèmes d'IA à haut risque (Articles 6 à 52 et Annexe III) : Cette catégorie est la plus contraignante pour les fournisseurs et, dans certains cas, pour les déployeurs. Les systèmes à haut risque sont ceux qui ont un impact critique sur la sécurité ou les droits fondamentaux. L'Annexe III liste explicitement les domaines concernés, incluant l'identification biométrique, la gestion et le fonctionnement d'infrastructures critiques, l'accès à l'éducation ou à la formation professionnelle, l'emploi, la gestion des travailleurs, l'accès aux services publics et privés essentiels, les systèmes de maintien de l'ordre, la gestion des frontières, et l'administration de la justice et les processus démocratiques. Pour ces systèmes, les fournisseurs ont des obligations strictes, dont :

   • Mise en place d'un système de gestion des risques (Article 9) : Une démarche continue d'identification, d'évaluation et d'atténuation des risques liés au système d'IA.
   • Gouvernance des données (Article 10) : Des exigences strictes sur la qualité et la provenance des jeux de données d'entraînement, de validation et de test pour minimiser les biais et les erreurs.
   • Documentation technique approfondie (Article 11 et Annexe IV) : Création et maintenance d'une documentation détaillée prouvant la conformité du système à toutes les exigences de l'AI Act.
   • Enregistrement (Article 49) : Inscription du système dans la base de données de l'UE pour les systèmes d'IA à haut risque avant sa mise sur le marché ou sa mise en service.
   • Procédures d'évaluation de la conformité (Article 43) : Réalisation d'une évaluation de la conformité pour démontrer que le système satisfait aux exigences du Règlement, souvent par une évaluation de la conformité tierce partie.
   • Supervision humaine (Article 14) : Conception du système pour qu'il puisse être soumis à la supervision humaine, surtout dans les situations critiques.
   • Robustesse, précision et sécurité (Article 15) : Le système doit être conçu pour avoir un niveau approprié de robustesse technique, de précision et de cybersécurité.
   • Transparence et fourniture d'informations aux déployeurs (Article 13) : Obligation des fournisseurs de fournir aux déployeurs des instructions claires sur l'utilisation du système d'IA, y compris les conditions d'utilisation, la signification des résultats et les risques potentiels.

Les déployeurs de systèmes d'IA à haut risque (Article 26) ne sont pas exemptés d'obligations. Ils doivent mettre en œuvre des mesures de cybersécurité, assurer une surveillance humaine, surveiller l'utilisation du système, conserver des journaux d'activité ('log-keeping'), et, si applicable, réaliser une évaluation d'impact sur les droits fondamentaux ('fundamental rights impact assessment') avant la mise en service du système, notamment s'il est utilisé par une autorité publique ou pour fournir des services publics essentiels. Le non-respect des obligations des systèmes à haut risque, y compris l'article 26, peut entraîner des amendes allant jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires annuel mondial total (Article 99, paragraphe 5).

1. Systèmes à risque limité (Articles 53 et 54) : Ces systèmes n'imposent que des obligations de transparence, comme l'obligation d'informer les utilisateurs qu'ils interagissent avec une IA (ex: chatbots), ou que le contenu est généré ou manipulé par l'IA (deepfakes). Il s'agit d'un droit à l'information de l'utilisateur.

2. Systèmes à risque minimal : La grande majorité des systèmes d'IA se trouvent dans cette catégorie et ne sont soumis à aucune obligation spécifique au titre de l'AI Act. Cependant, ils sont encouragés à adopter volontairement des codes de conduite.

Les PME et startups doivent évaluer précisément leur rôle – sont-elles un fournisseur, un déployeur, ou les deux ? –, et la classification de leurs systèmes d'IA afin d'identifier les obligations qui leur incombent. Une grille de qualification précise des systèmes est une première étape indispensable. La CNIL a produit des guides sur l'IA (https://www.cnil.fr/fr/intelligence-artificielle) qui peuvent aider à mieux appréhender certaines de ces notions, bien que distinctes de l'AI Act.

La conformité à l'AI Act n'est pas un événement ponctuel, mais un processus continu. Voici une checklist actionnable, priorisée pour les PME et startups:

1. Désignation d'un Responsable IA (RIA) et formation : Désignez un référent interne ou externe en charge de la conformité AI Act. Ce rôle peut être intégré à celui du DPO ou DSI. Assurez une formation approfondie sur le Règlement pour les équipes décisionnelles (juridiques, techniques, direction).
2. Cartographie et classification des systèmes d'IA : Répertoriez tous les systèmes d'IA utilisés, développés ou commercialisés par l'entreprise. Classez-les selon les catégories de risque de l'AI Act (inacceptable, haut risque, limité, minimal) en vous référant à l'Article 6 et à l'Annexe III. Documentez cette classification et les raisons sous-jacentes.
3. Évaluation préliminaire des risques pour les systèmes à haut risque : Pour tous les systèmes classifiés à haut risque, réalisez une première évaluation interne des risques (Article 9). Identifiez les risques pour la sécurité et les droits fondamentaux, les biais potentiels et les vulnérabilités.
4. Mise en place d'un système de gestion des risques (pour les fournisseurs de systèmes IA à haut risque) : Définissez, mettez en œuvre et documentez un système continu de gestion des risques tout au long du cycle de vie du système d'IA. Cela inclut l'analyse, l'évaluation et l'atténuation des risques.
5. Gouvernance des données AI (pour les fournisseurs de systèmes IA à haut risque) : Mettez en place des processus pour garantir la qualité, la représentativité et la pertinence des jeux de données d'entraînement, de validation et de test (Article 10). Évitez les biais discriminatoires.
6. Développement de la documentation technique (pour les fournisseurs de systèmes IA à haut risque) : Commencez à élaborer la documentation technique complète requise par l'Article 11 et l'Annexe IV. Celle-ci doit prouver la conformité aux exigences de l'AI Act.
7. Mise en conformité des systèmes à risque limité : Pour les systèmes à risque limité (ex: chatbots, deepfakes), assurez la mise en place de mécanismes de transparence pour informer les utilisateurs (Article 53).
8. Révision des contrats avec les fournisseurs/déployeurs d'IA : Si vous utilisez des systèmes d'IA tiers, assurez-vous que les contrats incluent des clauses de conformité avec l'AI Act. Si vous fournissez des systèmes d'IA, mettez à jour vos conditions générales pour inclure vos obligations et celles de vos clients.
9. Sensibilisation et formation internes continues : Informez régulièrement les équipes (développeurs, commerciaux, gestionnaires) sur les exigences de l'AI Act et l'importance de la conformité. Le non-respect des obligations de transparence peut entraîner des amendes jusqu'à 7,5 millions d'euros ou 1,5% du chiffre d'affaires mondial (Article 99, paragraphe 6).
10. Veille réglementaire active : L'AI Act est un texte évolutif. Suivez les publications de l'AI Office et des autorités nationales compétentes comme la CNIL pour anticiper les guides d'application et les évolutions.

• 2024-06-11 : Publication de l'AI Act au Journal Officiel de l'UE et entrée en vigueur. Premières interdictions des systèmes d'IA à risque inacceptable (Article 5). Désormais illégal d'utiliser des IA comme le social scoring ou la reconnaissance émotionnelle en milieu professionnel.
• 2024-12-02 : Entrée en application des mesures relatives aux systèmes d'IA non transparents et des codes de conduite volontaires. Obligations de transparence pour l'interaction avec l'IA et les contrefaçons profondes (Article 53 et 54).
• 2025-02-02 (6 mois après l'entrée en vigueur effective) : Entrée en application des interdictions de l'Article 5 pour les systèmes d'IA à risque inacceptable, y compris la manipulation comportementale ou l'exploitation de vulnérabilités.
• 2025-08-02 (12 mois après l'entrée en vigueur effective) : Entrée en vigueur des obligations pour les systèmes d'IA à risque limité (transparence) et des codes de conduite volontaires.
• 2026-08-02 (36 mois après l'entrée en vigueur effective) : Pleine application de toutes les obligations, y compris celles relatives aux systèmes d'IA à haut risque (Annexe III). Exigences pour les fournisseurs concernant la gestion des risques, la qualité des données, la documentation technique, la supervision humaine et l'évaluation de la conformité. Exigences pour les déployeurs d'IA à haut risque comme la surveillance humaine et les évaluations d'impact sur les droits fondamentaux.

• Règlement UE 2024/1689 (AI Act) — EUR-Lex
• AI Office — Commission européenne
• CNIL — Intelligence artificielle
• Commission Européenne - Actualités AI Act

L'AI Act représente un changement de paradigme majeur pour toute entreprise utilisant ou développant l'intelligence artificielle en Europe. Les PME et startups, souvent agiles et innovantes, doivent intégrer cette conformité comme un avantage compétitif et non une contrainte. L'anticipation des échéances et une stratégie proactive sont cruciales pour prévenir des sanctions sévères et positionner l'entreprise comme un acteur responsable et fiable de l'écosystème IA. La mise en place d'une feuille de route de conformité dès maintenant s'impose comme une nécessité stratégique.

Auteur : Maître Sophie Renard · Expert en droit de l'intelligence artificielle · Mis à jour le 04/06/2026