Conformité AI Act : guide pratique pour les PME françaises

Le règlement européen sur l'IA ne traite pas tous les outils de la même manière. Le premier réflexe pour votre PME est de situer vos outils dans la pyramide des risques. Les systèmes à risque inacceptable sont purement et simplement interdits. C'est le cas des systèmes de notation sociale ou de la manipulation comportementale visant à causer un préjudice. Utilisation interdite : infraction immédiate. La solution est simple : supprimer ces outils de vos processus. Ensuite, vous trouverez les systèmes à haut risque. Ils concernent des domaines sensibles comme le recrutement, l'éducation, la gestion des infrastructures critiques ou l'accès aux services publics. Si vous utilisez une IA pour trier des CV, vous entrez dans cette catégorie. Ces outils sont soumis à des exigences strictes : gestion des risques, qualité des données d'entraînement et surveillance humaine. Enfin, les risques limités et minimaux concernent la majorité des usages PME, comme les chatbots ou les générateurs de texte. Ici, l'obligation principale est la transparence. L'utilisateur doit savoir qu'il interagit avec une machine. Le manque de transparence est un risque juridique. La solution consiste à ajouter des mentions claires sur vos interfaces clients.

Pour établir votre conformité AI Act, vous devez savoir si vous êtes fournisseur ou déployeur. Le fournisseur est l'entité qui développe l'IA ou qui marque un système d'IA sous son propre nom. Si vous créez un logiciel d'IA pour vos clients, vous portez la responsabilité lourde : établissement d'un système de gestion des risques, rédaction d'une documentation technique exhaustive et enregistrement du système dans la base de données de l'UE pour les hauts risques. Le déployeur, quant à lui, est l'utilisateur professionnel qui utilise l'IA sous sa surveillance. La plupart des PME françaises sont des déployeurs. Votre responsabilité est moindre mais réelle. Vous devez suivre les instructions d'utilisation du fournisseur, veiller à ce que les données d'entrée soient pertinentes et informer vos employés et clients de l'usage de l'IA. Un déploiement sans instruction est une faille de conformité. La solution est de formaliser un guide d'utilisation interne et de vérifier les contrats de licence de vos prestataires pour vous assurer qu'ils respectent eux-mêmes le règlement.

La conformité ne se décrète pas, elle se prouve. Pour les systèmes classés à haut risque, le règlement impose une traçabilité totale. Vous devez mettre en place un journal d'événements automatique, permettant de suivre le fonctionnement du système tout au long de sa vie. C'est l'équivalent du registre de traitement pour le RGPD. Absence de logs : risque de sanction. La solution est d'exiger du fournisseur des rapports d'audit et des journaux d'activité exploitables. La qualité des données est le second pilier. Les jeux de données utilisés pour l'entraînement ou le test doivent être représentatifs et exempts de biais discriminatoires. Si votre IA de recrutement écarte systématiquement des profils selon un critère illégal, vous êtes responsable. Vous devez donc mettre en place une gouvernance des données stricte. Enfin, la surveillance humaine est obligatoire. Une IA ne peut pas prendre une décision finale sans qu'un collaborateur qualifié puisse intervenir, comprendre la logique de la machine et, si besoin, annuler la décision. L'automatisation totale sans contrôle est une infraction. La solution est de définir un circuit de validation humaine systématique.

L'AI Act ne remplace pas le RGPD, il s'y ajoute. Toute IA traitant des données personnelles doit respecter les principes de minimisation et de finalité. Le risque majeur est l'utilisation de données clients pour entraîner un modèle d'IA sans base légale valide. Entraînement non consenti : violation RGPD. La solution est de réaliser une Analyse d'Impact relative à la Protection des Données (AIPD) avant tout déploiement d'IA complexe. Le droit à l'explication est également renforcé. Le RGPD prévoit déjà un droit à l'intervention humaine pour les décisions automatisées. L'AI Act pousse cette logique plus loin en exigeant que le fonctionnement du système soit transparent. Vous devez être capable d'expliquer comment l'IA est arrivée à un résultat donné. L'opacité technique, ou effet boîte noire, n'est plus une excuse valable devant la CNIL. Pour sécuriser vos processus, vous devez cartographier les flux de données entrant dans l'IA et sortir du système. La solution consiste à intégrer l'AI Act dans votre registre de traitement existant pour avoir une vision globale de vos risques numériques.

Le calendrier de l'AI Act est progressif pour laisser le temps aux entreprises de s'adapter. Les interdictions sur les IA à risque inacceptable s'appliquent très rapidement après l'entrée en vigueur. Les obligations pour les systèmes à haut risque et les modèles d'IA généralistes (comme GPT-4) arrivent ensuite, avec une échéance globale vers 2026. Attendre la dernière minute est un risque opérationnel majeur. La solution est de lancer un inventaire de vos outils dès maintenant. Côté sanctions, le règlement prévoit des amendes administratives à titre indicatif. Pour les violations les plus graves (systèmes interdits), l'amende peut atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Pour les non-conformités aux obligations générales, elle peut être de 15 millions d'euros ou 3 % du chiffre d'affaires. Ces montants sont plafonnés pour les PME, mais restent significatifs. Le risque n'est pas seulement financier, il est aussi réputationnel. Une sanction publiée par la CNIL peut briser la confiance de vos clients. La solution est d'adopter une démarche de conformité proactive et documentée pour prouver votre bonne foi en cas de contrôle.