Le règlement européen sur l’IA peut sembler concerner uniquement les laboratoires de modèles, les banques, les fabricants de dispositifs médicaux et les autorités publiques. C’est en partie vrai : les obligations les plus lourdes incombent aux fournisseurs de systèmes à haut risque et de modèles d’IA à usage général.
Mais les PME ont elles aussi besoin d’un dispositif de gouvernance opérationnel. Si votre entreprise utilise l’IA pour le recrutement, le service client, le traitement documentaire, la vente, l’assistance, le marketing, le développement logiciel ou l’aide à la décision interne, la question n’est pas « sommes-nous une entreprise d’IA réglementée ? », mais « quels systèmes d’IA utilisons-nous, quels risques créent-ils et qui est responsable de leur utilisation sûre ? ».
Cet article propose un plan de gouvernance concret pour les PME. Il ne constitue pas un conseil juridique. Il décrit le socle opérationnel à mettre en place avant qu’un examen juridique approfondi ne devienne coûteux.
Traitez d’abord la préparation au règlement européen sur l’IA comme un problème d’inventaire opérationnel. Si vous ne pouvez pas répertorier vos systèmes d’IA, fournisseurs, utilisateurs, catégories de données, effets sur les décisions et règles de contrôle humain, vous n’êtes pas prêt à classer les risques ni à démontrer une utilisation responsable.
Le calendrier qui compte
Le règlement européen sur l’IA (règlement (UE) 2024/1689, texte intégral sur EUR-Lex) entre en application par étapes ; les dates ci-dessous ont été revérifiées le 7 juillet 2026 sur la page de la Commission consacrée au règlement sur l’IA. Le règlement est entré en vigueur le 1er août 2024. Les interdictions et les obligations de maîtrise de l’IA s’appliquent depuis le 2 février 2025. Les règles de gouvernance et les obligations relatives aux modèles d’IA à usage général sont devenues applicables le 2 août 2025. Les règles de transparence s’appliquent à compter du 2 août 2026.
Le calendrier des systèmes à haut risque a évolué sous l’effet du train de mesures de simplification « Omnibus numérique ». À la suite de l’accord politique du 7 mai 2026, le calendrier de la Commission prévoit une application à compter du 2 décembre 2027 pour les systèmes utilisés dans certains domaines à haut risque, notamment la biométrie, les infrastructures critiques, l’éducation, l’emploi, la migration, l’asile et le contrôle aux frontières. Les règles relatives aux systèmes à haut risque intégrés à des produits réglementés s’appliqueront à compter du 2 août 2028. Ces dates ayant déjà été reportées une fois, vérifiez la page de la Commission avant d’engager un budget sur la base d’une échéance de conformité.
Le coût réel d’un manquement
Voici la première question que se pose tout dirigeant de PME. Les niveaux d’amende prévus à l’article 99, vérifiés le 7 juillet 2026, sont les suivants :
- Pratiques interdites (liste de l’article 5 — notation sociale, techniques manipulatrices, plupart des systèmes d’identification biométrique à distance en temps réel) : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
- La plupart des autres obligations, y compris les exigences relatives aux systèmes à haut risque et les obligations de transparence : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires.
- Fournir des informations incorrectes ou trompeuses aux autorités : jusqu’à 7,5 millions d’euros ou 1 % du chiffre d’affaires.
Deux atténuations pertinentes pour les PME figurent dans le règlement : pour les PME et les startups, chaque plafond correspond au montant le plus faible entre la somme fixe et le pourcentage, et les autorités nationales doivent tenir compte du principe de proportionnalité. La conclusion pratique reste néanmoins la même : traitez la liste des pratiques interdites comme une limite absolue. L’inventaire ci-dessous vous évitera d’entrer involontairement dans le champ de ces interdictions.
Qui supervise cela en Estonie
À la mi-2026, l’Estonie n’avait pas encore désigné définitivement son autorité de surveillance du marché au titre du règlement européen sur l’IA (information vérifiée le 7 juillet 2026). Le dispositif envisagé s’appuie sur l’Autorité estonienne de protection des consommateurs et de réglementation technique (TTJA), placée sous la tutelle du ministère des Affaires économiques et des Communications et déjà compétente pour des régimes voisins de surveillance du marché. Pour une PME estonienne, la conséquence pratique est claire : il n’existe pas encore de doctrine locale d’application dont s’inspirer. Appuyez-vous donc sur le texte du règlement plutôt que d’attendre des lignes directrices, tenez votre inventaire et vos justificatifs fournisseurs à jour et attendez-vous à ce que les premiers contrôles portent sur les pratiques interdites et les obligations de transparence, qui sont déjà applicables.
Utilisez ces dates pour planifier, et non pour remplacer une confirmation juridique. Pour les PME, le message est simple : commencez dès maintenant, car l’inventaire, la désignation des responsables, la documentation et le contrôle humain demandent du temps.
Fournisseur, déployeur ou acheteur ?
La plupart des PME n’entraînent pas de modèles de pointe. Elles assument généralement l’un des trois rôles suivants :
| Rôle | Ce que cela signifie | Exemple de PME | Obligation pratique |
|---|---|---|---|
| Acheteur | Vous achetez un outil doté de fonctions d’IA | Assistant CRM, outil de synthèse de réunions, assistant de programmation | Vérification préalable du fournisseur et règles internes d’utilisation |
| Déployeur | Vous mettez un système d’IA en service dans votre entreprise | Triage des demandes d’assistance, notation des prospects, processus de présélection des candidats | Contrôle humain, suivi, transparence, conservation des traces |
| Fournisseur | Vous mettez un système d’IA sur le marché sous votre nom | Chatbot d’IA, API de notation, outil sectoriel | Conformité du produit, documentation technique, gestion des risques |
Vous pouvez cumuler plusieurs rôles. Une entreprise qui achète l’accès à une API de modèle, l’intègre à un produit sectoriel et vend celui-ci à ses clients est probablement plus qu’un simple acheteur. Une entreprise qui utilise un chatbot SaaS en interne est généralement un déployeur ou un utilisateur, selon le cas d’usage.
Ne tranchez pas cette question à l’intuition pendant une réunion. Inscrivez chaque système d’IA dans un inventaire et qualifiez le rôle correspondant.
Constituez l’inventaire des systèmes d’IA
Commencez par une feuille de calcul. Consacrez une ligne à chaque système d’IA :
| Champ | Pourquoi cela compte |
|---|---|
| Nom du système | Les équipes ont besoin d’une désignation commune |
| Fournisseur ou propriétaire | Quelqu’un doit répondre aux questions |
| Finalité métier | Le risque dépend de l’usage prévu |
| Utilisateurs | Personnel interne, clients, candidats, public |
| Catégories de données | Publiques, internes, à caractère personnel, confidentielles, à diffusion restreinte |
| Utilisation des résultats | Brouillon, recommandation, décision automatisée, réponse destinée au client |
| Contrôle humain | Qui vérifie le résultat et à quel moment |
| Transparence | Les personnes sont-elles informées qu’elles interagissent avec une IA ? |
| Journaux | Quelles preuves subsistent après l’utilisation ? |
| Niveau de risque | Faible, limité, potentiellement élevé, interdit/non autorisé |
Cet inventaire est plus précieux qu’un document de politique que personne ne lit. Il montre où l’IA existe réellement dans l’entreprise.
Classez le risque opérationnel
Ne commencez pas par demander « ce système relève-t-il du haut risque au sens de l’annexe III ? ». Partez de son impact opérationnel :
Assistance à faible risque. Rédaction d’e-mails, synthèse de réunions internes, réflexion exploratoire, révision de textes. Une personne utilise le résultat comme brouillon. Les règles ordinaires de confidentialité s’appliquent.
Interaction à risque limité. Chatbots, agents vocaux, médias générés par l’IA, textes publics ou réponses d’assistance. La transparence et la clarté pour l’utilisateur sont essentielles.
Processus d’aide à la décision. Notation des prospects, routage des demandes d’assistance, traitement des factures, contrôle qualité, alertes de fraude. Le contrôle humain, le suivi et les voies de recours sont essentiels.
Domaines potentiellement à haut risque. Emploi, éducation, crédit, services essentiels, santé, forces de l’ordre, migration, infrastructures critiques et catégorisation biométrique. Un examen juridique est nécessaire avant tout déploiement.
Interdit sans approbation juridique et de sécurité explicite. Reconnaissance des émotions dans des contextes sensibles, systèmes manipulateurs, notation sociale, dispositifs de surveillance au travail ou systèmes susceptibles de porter substantiellement atteinte aux droits sans garanties appropriées.
Il ne s’agit pas d’une qualification juridique définitive, mais d’un tri initial qui indique les cas nécessitant l’avis d’un spécialiste.
Contrôles minimaux de gouvernance pour les PME
Pour chaque système d’IA non trivial, exigez six contrôles :
- Responsable. Une personne ou une équipe nommément désignée répond du système.
- Périmètre d’utilisation. Définissez les usages autorisés et interdits.
- Règle relative aux données. Définissez les données qui peuvent entrer dans le système.
- Contrôle humain. Précisez les résultats qui doivent être examinés avant toute action.
- Suivi. Définissez comment détecter les erreurs, réclamations, dérives et changements apportés par le fournisseur.
- Traçabilité. Précisez les preuves à conserver : documents fournisseurs, consignes, paramètres, approbations, journaux et résultats de tests.
Ces contrôles sont peu spectaculaires. C’est précisément pour cela qu’ils fonctionnent. Les incidents liés à l’IA commencent souvent lorsqu’aucune personne ne se considère responsable du processus, que personne ne sait quelles données ont été transmises et que personne ne peut reconstituer pourquoi un résultat a été utilisé.
Évaluation des fournisseurs
Pour les outils tiers, exigez des preuves plutôt que des promesses :
- Les données client sont-elles utilisées pour l’entraînement par défaut ?
- Où sont traitées et stockées les données ?
- Quels contrôles de conservation sont disponibles ?
- Des paramètres d’entreprise permettent-ils de refuser l’utilisation des données pour l’entraînement et de gérer la journalisation, le SSO et les contrôles d’accès ?
- Le fournisseur fournit-il des documents sur le règlement européen sur l’IA, le RGPD, la sécurité et les sous-traitants ?
- La fonction d’IA peut-elle être désactivée ou limitée à un périmètre précis ?
- Le fournisseur divulgue-t-il les fournisseurs de modèles et les changements majeurs d’architecture ?
- Que se passe-t-il si le fournisseur modifie le modèle, la consigne ou le comportement de récupération ?
Si un fournisseur ne peut pas répondre à ces questions pour un outil destiné à traiter des données de clients, de salariés ou des données confidentielles, limitez son usage à un cas à faible risque ou choisissez un autre outil.
Transparence et contrôle humain
Pour les systèmes d’IA destinés aux clients, l’information doit être simple et visible. Si un client échange avec un chatbot ou un agent vocal d’IA, indiquez-le. Si un texte généré par l’IA est envoyé par une personne après vérification, la politique interne doit préciser si cette utilisation doit être signalée sur le canal concerné.
Le contrôle humain doit être défini avec précision. Affirmer qu’« une personne intervient dans la boucle » ne suffit pas. Précisez :
- Quelle sortie l’humain voit.
- Quelles sources ou pièces justificatives cette personne peut consulter.
- Si elle peut remplacer ou rejeter le résultat.
- De combien de temps elle dispose.
- Si son approbation est enregistrée.
- Ce qui se passe lorsqu’elle n’est pas d’accord avec le système.
Un contrôle dépourvu d’autorité n’est qu’une mise en scène. Si la personne ne peut pas arrêter l’action, le contrôle humain n’est pas réel.
Un déploiement de 30 jours pour les PME
Semaine 1 : inventaire. Répertoriez chaque outil d’IA et chaque processus. Incluez les outils non approuvés que les collaborateurs utilisent réellement.
Semaine 2 : tri des risques. Classez chaque usage comme présentant un risque faible, limité, lié à l’aide à la décision, potentiellement élevé ou non autorisé. Soumettez les cas potentiellement à haut risque à un examen spécialisé.
Semaine 3 : contrôles. Ajoutez, pour chaque système actif, un responsable, une règle relative aux données, une règle de contrôle humain, une règle de transparence, une règle de journalisation et des justificatifs fournisseurs.
Semaine 4 : Politique et formation. Publiez une courte politique interne d’utilisation de l’IA et organisez une session de 45 minutes pour l’équipe. Concentrez-vous sur des exemples pratiques, pas sur la théorie juridique.
Ces mesures suffisent pour passer d’un usage ponctuel et non encadré de l’IA à un usage gouverné.
Ne faites pas cela pour le moment
N’achetez pas de plateforme de conformité avant de disposer d’un inventaire. Elle ne ferait qu’automatiser la confusion.
Ne laissez pas chaque service rédiger sa propre politique d’IA. Centralisez le socle commun, puis autorisez des règles propres à chaque service.
Ne confondez pas les conditions contractuelles d’un fournisseur avec un dispositif de gouvernance. Un contrat ne précise pas à votre équipe commerciale quelles informations elle peut copier dans un modèle.
N’attendez pas une certitude réglementaire parfaite. Les calendriers et les lignes directrices peuvent évoluer, mais l’inventaire, la responsabilité, les règles relatives aux données, le contrôle humain et la journalisation resteront nécessaires.
Le point clé
Pour une PME, la préparation au règlement européen sur l’IA n’est pas un projet à mener dans l’urgence, mais une pratique régulière de gouvernance.
Commencez par l’inventaire. Classez les risques par cas d’usage. Maintenez la responsabilité humaine pour les décisions importantes. Exigez des justificatifs fournisseurs. Documentez les contrôles. Avant tout lancement, soumettez à un examen spécialisé les usages liés à l’emploi, au crédit, à la santé, à l’éducation, aux services essentiels, à la biométrie ou susceptibles d’affecter les droits.
En suivant cette démarche, vous serez en avance sur la plupart des entreprises. Surtout, vos systèmes d’IA seront plus faciles à comprendre, plus sûrs à exploiter et plus crédibles aux yeux des clients.
