Checklist EU AI Act PME 2026 — 12 obligations à cocher
L'EU AI Act (règlement UE 2024/1689) s'applique progressivement depuis février 2025. Au 13 mai 2026, certaines obligations sont déjà actives, d'autres arrivent dans les 3 mois. Voici la checklist actionnable pour une PME française utilisant un chatbot, un assistant IA ou un système IA en production : classification, obligations par niveau de risque, AIPD/FRIA, sanctions.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
En bref
L'EU AI Act classe les systèmes IA en 4 niveaux (interdit, haut risque, transparence, risque minimal). Pour une PME, deux niveaux sont fréquents : transparence (chatbots, assistants) et parfois haut risque (recrutement IA, scoring crédit, biométrie). Le seul cas à 0 obligation, c'est le risque minimal. Sanctions jusqu'à 35 M€ ou 7% du CA mondial pour les usages interdits.
1. Classification : quel niveau de risque pour votre système ?
L'EU AI Act applique une approche par les risques. Avant tout, vous devez identifier le niveau de classification de chacun de vos systèmes IA. La majorité des cas PME tombent dans la catégorie « transparence » (chatbots, assistants).
Interdit
Risque inacceptableExemples typiques : Notation sociale par gouvernement, manipulation cognitive ciblée, reconnaissance biométrique temps réel en lieu public (avec exceptions), exploitation des vulnérabilités d'un groupe
Obligations : Interdit depuis février 2025
Haut risque
Risque élevé pour santé, sécurité ou droits fondamentauxExemples typiques : Systèmes de recrutement, scoring de crédit, biométrie, accès à l'éducation, infrastructures critiques, contrôle aux frontières, administration justice
Obligations : Gestion des risques, données qualité, doc technique, logs, transparence, supervision humaine, robustesse, cybersécurité, conformité avant mise sur le marché, FRIA
Transparence
Risque limité — interaction directe avec personnesExemples typiques : Chatbots, assistants IA, deepfakes, systèmes de reconnaissance d'émotions, contenu généré par IA
Obligations : Information de l'utilisateur qu'il interagit avec une IA. Marquage du contenu généré par IA.
Risque minimal
Pas de risque significatifExemples typiques : Filtres anti-spam, jeux vidéo IA, outils de productivité bureautique
Obligations : Codes de conduite volontaires. Pas d'obligation contraignante.
2. La checklist EU AI Act PME — 12 obligations à cocher
Plan d'action actionnable, classé en 4 catégories. Tout ne s'applique pas à chaque entreprise : les obligations « haut risque » ne concernent que les systèmes effectivement classés haut risque.
Cartographie et classification
- Inventaire de tous les systèmes IA utilisés (déployés, importés, développés)
- Classification de chaque système selon les 4 niveaux EU AI Act
- Identification du rôle de l'entreprise (fournisseur, déployeur, importateur, distributeur)
- Documentation des fournisseurs IA tiers (OpenAI, Anthropic, Mistral, etc.)
Obligations pour systèmes à haut risque
- Mise en place d'un système de gestion des risques (identification, évaluation, atténuation)
- Documentation technique conforme à l'Annexe IV (architecture, données, performance)
- Logs automatiques de fonctionnement (Art. 12) pendant toute la durée de vie
- Supervision humaine opérationnelle et documentée (Art. 14)
- FRIA (Fundamental Rights Impact Assessment) avant mise en service
- Évaluation de conformité et marquage CE avant mise sur le marché
Transparence et information
- Information claire à l'utilisateur qu'il interagit avec un système d'IA (chatbot, assistant)
- Marquage du contenu généré ou modifié par IA (deepfakes, images générées, textes IA)
- Mise à disposition de la documentation pour les déployeurs en aval
- Notice utilisateur conforme à l'Annexe IV
RGPD articulé avec EU AI Act
- AIPD (Art. 35 RGPD) si traitement à risque élevé
- FRIA + AIPD combinées dans un document unique si pertinent
- Information Art. 22 RGPD si décision automatisée avec effet significatif
- Base légale identifiée et documentée (consentement, intérêt légitime, etc.)
3. Articulation RGPD + EU AI Act
Les deux règlements coexistent et se complètent. Quelques points à connaître pour ne pas dupliquer le travail.
RGPD (UE 2016/679)
- Art. 22 — Décisions automatisées affectant la personne
- Art. 32 — Mesures techniques appropriées
- Art. 35 — AIPD obligatoire si risque élevé
- Sanctions jusqu'à 20 M€ ou 4% CA
EU AI Act (UE 2024/1689)
- FRIA obligatoire pour systèmes haut risque
- Transparence sur l'interaction avec IA
- Marquage CE avant mise sur le marché (haut risque)
- Sanctions jusqu'à 35 M€ ou 7% CA
Bon réflexe : combiner AIPD (RGPD) et FRIA (EU AI Act) dans un document unique si les traitements se recoupent. Vous évitez le double travail et démontrez une approche intégrée.
4. Sanctions et calendrier d'application
Sanctions financières
- • Usage de systèmes IA interdits : jusqu'à 35 M€ ou 7% du CA mondial
- • Non-respect des obligations haut risque : jusqu'à 15 M€ ou 3% du CA
- • Information incorrecte aux autorités : jusqu'à 7,5 M€ ou 1,5% du CA
Calendrier d'application
- • 1er août 2024 : entrée en vigueur
- • 2 février 2025 : systèmes interdits — déjà en application
- • 2 août 2025 : modèles IA à usage général (GPAI)
- • 2 août 2026 : majorité des autres obligations (haut risque, transparence)
- • 2 août 2027 : systèmes haut risque mis sur le marché avant 2026
5. Comment l'audit IA aide à la conformité
L'EU AI Act exige plusieurs preuves techniques pour les systèmes à haut risque (gestion des risques, qualité des données, robustesse, cybersécurité). Un audit IA produit ces preuves de manière structurée.
Documentation technique
Le rapport d'audit alimente directement la documentation technique Annexe IV (architecture, données, performance, garde-fous).
Robustesse et cybersécurité
Tests offensifs OWASP LLM Top 10 + MITRE ATLAS = preuves de robustesse face aux attaques (prompt injection, data poisoning, model extraction).
FRIA et AIPD
Les findings audit alimentent l'évaluation des risques pour les droits fondamentaux (discrimination, vie privée) et l'analyse d'impact RGPD.
Logs et traçabilité
Les recommandations de logs pseudonymisés et de traçabilité couvrent simultanément Art. 12 EU AI Act et Art. 32 RGPD.
Pour aller plus loin
- Audit IA — méthodologie complète — référentiels, livrable, scénario.
- Audit sécurité chatbot — focus chatbot et RAG.
- RGPD et chatbot — angle RGPD détaillé.
- Texte officiel EU AI Act (Eur-Lex) — règlement intégral.
Mettre votre système IA en conformité EU AI Act ?
Le diagnostic gratuit qualifie votre classification (transparence ou haut risque) et recommande la mission d'audit adaptée. 48 à 72 heures.