Checklist EU AI Act PME 2026 : 12 obligations à cocher
L'EU AI Act (règlement UE 2024/1689) s'applique progressivement depuis février 2025. Mise à jour juillet 2026 : le Digital Omnibus reporte les obligations haut risque au 2 décembre 2027 (annexe III), mais interdits, littératie IA et GPAI sont déjà en application. Voici la checklist actionnable pour une PME française utilisant un chatbot, un assistant IA ou un système IA en production : classification, obligations par niveau de risque, AIPD/FRIA, sanctions.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
| Rôle | Obligations à examiner | Calendrier |
|---|---|---|
| Fournisseur haut risque | Conception, documentation, évaluation et marquage CE selon le régime | 2 décembre 2027 (annexe III) / 2 août 2028 (annexe I) |
| Déployeur haut risque | Usage conforme aux instructions, supervision et suivi ; FRIA seulement dans les cas de l’article 27 | Selon la catégorie du système et le régime transitoire |
| Fournisseur ou déployeur d’un chatbot | Transparence article 50 selon le rôle ; littératie article 4 ; RGPD si données personnelles | Obligations déjà applicables, sous réserve des transitions prévues |
Commission : rôles, obligations et FRIA ; calendrier d'application.
En bref
L'EU AI Act classe les systèmes IA en 4 niveaux (interdit, haut risque, transparence, risque minimal). Pour une PME, deux niveaux sont fréquents : transparence (chatbots, assistants) et parfois haut risque (recrutement IA, scoring crédit, biométrie). Le seul cas à 0 obligation, c'est le risque minimal. Sanctions jusqu'à 35 M€ ou 7% du CA mondial pour les usages interdits.
1. Classification : quel niveau de risque pour votre système ?
L'EU AI Act applique une approche par les risques. Avant tout, vous devez identifier le niveau de classification de chacun de vos systèmes IA. La majorité des cas PME tombent dans la catégorie « transparence » (chatbots, assistants).
Interdit
Risque inacceptableExemples typiques : Notation sociale par gouvernement, manipulation cognitive ciblée, reconnaissance biométrique temps réel en lieu public (avec exceptions), exploitation des vulnérabilités d'un groupe
Obligations : Interdit depuis février 2025
Haut risque
Risque élevé pour santé, sécurité ou droits fondamentauxExemples typiques : Systèmes de recrutement, scoring de crédit, biométrie, accès à l'éducation, infrastructures critiques, contrôle aux frontières, administration justice
Obligations : Gestion des risques, données qualité, doc technique, logs, transparence, supervision humaine, robustesse, cybersécurité, conformité fournisseur avant mise sur le marché ; obligations propres au déployeur et FRIA dans les seuls cas prévus à l’article 27
Transparence
Risque limité : interaction directe avec personnesExemples typiques : Chatbots, assistants IA, deepfakes, systèmes de reconnaissance d'émotions, contenu généré par IA
Obligations : Information de l'utilisateur qu'il interagit avec une IA. Marquage du contenu généré par IA.
Risque minimal
Pas de risque significatifExemples typiques : Filtres anti-spam, jeux vidéo IA, outils de productivité bureautique
Obligations : Pas de régime haut risque du seul fait de cette classification ; droit existant et obligations transversales selon le rôle et l’usage, codes de conduite volontaires.
2. La checklist EU AI Act PME : 12 obligations à cocher
Plan d'action actionnable, classé en 4 catégories. Tout ne s'applique pas à chaque entreprise : les obligations « haut risque » ne concernent que les systèmes effectivement classés haut risque.
Cartographie et classification
- Inventaire de tous les systèmes IA utilisés (déployés, importés, développés)
- Classification de chaque système selon les 4 niveaux EU AI Act
- Identification du rôle de l'entreprise (fournisseur, déployeur, importateur, distributeur)
- Documentation des fournisseurs IA tiers (OpenAI, Anthropic, Mistral, etc.)
Haut risque : distinguer fournisseur et déployeur
- Mise en place d'un système de gestion des risques (identification, évaluation, atténuation)
- Documentation technique conforme à l'Annexe IV (architecture, données, performance)
- Fournisseur : capacité de journalisation article 12 ; conservation des logs sous contrôle du fournisseur/déployeur selon les articles 19 et 26 et les autres textes applicables
- Supervision humaine opérationnelle et documentée (Art. 14)
- Déployeurs visés à l’article 27 : FRIA avant la première utilisation ; vérifier les catégories et exclusions
- Fournisseur haut risque : évaluation de conformité et marquage CE avant mise sur le marché ou mise en service selon le régime applicable
Transparence et information
- Information claire à l'utilisateur qu'il interagit avec un système d'IA (chatbot, assistant)
- Marquage du contenu généré ou modifié par IA (deepfakes, images générées, textes IA)
- Mise à disposition de la documentation pour les déployeurs en aval
- Fournisseur haut risque : instructions au déployeur selon l’article 13 ; annexe IV pour la documentation technique
RGPD articulé avec EU AI Act
- AIPD (Art. 35 RGPD) si traitement à risque élevé
- FRIA + AIPD combinées dans un document unique si pertinent
- Information Art. 22 RGPD si décision automatisée avec effet significatif
- Base légale identifiée et documentée (consentement, intérêt légitime, etc.)
3. Articulation RGPD + EU AI Act
Les deux règlements coexistent et se complètent. Quelques points à connaître pour ne pas dupliquer le travail.
RGPD (UE 2016/679)
- Art. 22 : Décisions automatisées affectant la personne
- Art. 32 : Mesures techniques appropriées
- Art. 35 : AIPD obligatoire si risque élevé
- Sanctions jusqu'à 20 M€ ou 4% CA
EU AI Act (UE 2024/1689)
- FRIA pour les déployeurs et usages visés à l'article 27, pas pour tout système haut risque
- Transparence sur l'interaction avec IA
- Marquage CE à la charge du fournisseur haut risque selon le régime applicable, pas de tout déployeur
- Sanctions jusqu'à 35 M€ ou 7% CA
Bon réflexe : combiner AIPD (RGPD) et FRIA (EU AI Act) dans un document unique si les traitements se recoupent. Vous évitez le double travail et démontrez une approche intégrée.
4. Sanctions et calendrier d'application
Sanctions financières
- • Usage de systèmes IA interdits : jusqu'à 35 M€ ou 7% du CA mondial
- • Non-respect des obligations haut risque : jusqu'à 15 M€ ou 3% du CA
- • Information incorrecte aux autorités : jusqu'à 7,5 M€ ou 1,5% du CA
Calendrier d'application
- • 1er août 2024 : entrée en vigueur
- • 2 février 2025 : systèmes interdits : déjà en application
- • 2 août 2025 : modèles IA à usage général (GPAI)
- • 27 juillet 2026 : entrée en vigueur du règlement (UE) 2026/1744 (« Digital Omnibus sur l'IA »), publié au Journal officiel le 24 juillet 2026. Le report des obligations haut risque est acquis
- • 2 août 2026 : date d'application générale du règlement, dont la transparence de l'article 50 et le régime de sanctions. Ce n'est plus l'échéance des exigences de fond du haut risque
- • 2 décembre 2026 : deux nouvelles interdictions ajoutées à l'article 5 par le règlement (UE) 2026/1744, visant les contenus intimes générés ou manipulés sans consentement
- • 2 décembre 2027 : échéance des systèmes haut risque autonomes de l'annexe III (recrutement, scoring de crédit, biométrie, infrastructures critiques), contre 2 août 2026 auparavant
- • 2 août 2028 : échéance de l'IA embarquée dans des produits réglementés (annexe I), contre 2 août 2027 auparavant
Le détail du report, ce qui reste dû et les allègements prévus pour les PME : notre analyse du Digital Omnibus.
5. Comment l'audit IA aide à la conformité
L'EU AI Act exige plusieurs preuves techniques pour les systèmes à haut risque (gestion des risques, qualité des données, robustesse, cybersécurité). Un audit IA produit ces preuves de manière structurée.
Documentation technique
Le rapport d'audit alimente directement la documentation technique Annexe IV (architecture, données, performance, garde-fous).
Robustesse et cybersécurité
Tests offensifs OWASP LLM Top 10 + MITRE ATLAS = preuves de robustesse face aux attaques (prompt injection, data poisoning, model extraction).
FRIA et AIPD
Les findings audit alimentent l'évaluation des risques pour les droits fondamentaux (discrimination, vie privée) et l'analyse d'impact RGPD.
Logs et traçabilité
Les recommandations de logs pseudonymisés et de traçabilité couvrent simultanément Art. 12 EU AI Act et Art. 32 RGPD.
Pour aller plus loin
- Audit IA : méthodologie complète : référentiels, livrable, scénario.
- Audit sécurité chatbot : focus chatbot et RAG.
- RGPD et chatbot : angle RGPD détaillé.
- Texte officiel EU AI Act (Eur-Lex) : règlement intégral.
Mettre votre système IA en conformité EU AI Act ?
Le diagnostic gratuit qualifie votre classification (transparence ou haut risque) et recommande la mission d'audit adaptée. 48 à 72 heures.