Évaluation de conformité AI Act : les étapes réelles pour une PME

Évaluation de conformité AI Act : les étapes réelles pour une PME

L'évaluation de conformité au sens de l'AI Act est une procédure formelle prévue par l'article 43, et elle ne concerne que les fournisseurs de systèmes d'IA à haut risque. Si votre PME utilise ChatGPT, Copilot ou un CRM doté d'une brique IA, vous n'y êtes très probablement pas soumis. Ce que vous devez conduire, en revanche, c'est un auto-diagnostic de conformité : identifier votre rôle, classer vos systèmes, documenter vos décisions.

La confusion entre ces deux exercices est la première source de perte de temps que nous constatons en accompagnement. Des dirigeants nous appellent persuadés de devoir produire un dossier technique et apposer un marquage CE sur leur usage de Copilot. Ce n'est pas ce que dit le texte. Cet article remet les choses dans l'ordre, à partir du règlement (UE) 2024/1689 tel que modifié par l'AI Omnibus entré en vigueur le 27 juillet 2026. Pour la vue d'ensemble, le guide de conformité AI Act pour PME et associations reste le point d'entrée du sujet.

Ce que l'AI Act appelle vraiment une évaluation de conformité

L'évaluation de conformité de l'article 43 est une procédure de mise sur le marché, pas un audit interne annuel. Elle intervient avant qu'un système d'IA à haut risque soit mis sur le marché ou mis en service, et elle incombe au fournisseur, c'est-à-dire à celui qui développe le système et le commercialise sous son nom.

Le règlement prévoit deux voies :

• la procédure fondée sur le contrôle interne (annexe VI), sans intervention d'un organisme notifié. C'est le régime par défaut pour les systèmes à haut risque des points 2 à 8 de l'annexe III : infrastructures critiques, éducation, emploi, services essentiels, répression, migration, justice ;
• la procédure impliquant un organisme notifié (annexe VII), qui évalue le système de management de la qualité et la documentation technique. Elle devient obligatoire pour les systèmes biométriques du point 1 de l'annexe III lorsque le fournisseur n'a pas appliqué les normes harmonisées, ou lorsque celles-ci n'existent pas encore.

À l'issue de cette procédure, le fournisseur établit une déclaration UE de conformité (article 47), appose le marquage CE (article 48) et enregistre le système dans la base de données européenne (article 49). C'est un dispositif calqué sur la logique de la sécurité des produits, pas sur celle du RGPD.

Une précision qui compte pour les acheteurs : une modification substantielle du système déclenche une nouvelle évaluation de conformité, y compris si le système reste utilisé par le même déployeur. Les évolutions d'apprentissage prédéterminées par le fournisseur et documentées dès l'évaluation initiale ne comptent pas comme modification substantielle.

Étape 1 : déterminer votre rôle avant toute autre chose

Votre rôle juridique conditionne 90 % de vos obligations, et il se détermine avant même de regarder le niveau de risque. Une PME qui utilise un outil acheté sur étagère est déployeur. Une PME qui développe un système et le vend est fournisseur. La différence d'obligations est considérable.

Le piège se trouve à l'article 25. Un déployeur bascule dans le statut de fournisseur, avec toutes les obligations associées, dans trois cas : s'il commercialise le système sous sa propre marque, s'il le modifie substantiellement, ou s'il en détourne la finalité prévue. Concrètement, une PME qui encapsule un modèle sous sa marque dans un produit vendu à ses clients devient fournisseur. Une PME qui utilise ce même modèle en interne reste déployeur. La frontière est plus fine qu'elle n'en a l'air, et elle mérite d'être tranchée par écrit. Le détail du périmètre est traité dans AI Act : qui est concerné.

Étape 2 : classer chaque système, pas votre entreprise

L'AI Act ne classe pas les organisations, il classe les systèmes, un par un. Une même PME peut cumuler un usage à risque minimal (rédaction marketing), un usage à risque limité soumis à transparence (chatbot client) et un usage à haut risque (outil de tri de CV).

L'ordre de vérification est le suivant :

1. Le système relève-t-il d'une pratique interdite de l'article 5 ? Notation sociale, exploitation de vulnérabilités, reconnaissance des émotions au travail hors sécurité ou médical. Ces pratiques sont prohibées depuis le 2 février 2025. Voir les pratiques IA interdites.
2. Est-il à haut risque au sens de l'article 6 ? Soit composant de sécurité d'un produit réglementé de l'annexe I, soit cas d'usage listé à l'annexe III. La lecture détaillée est dans Article 6 AI Act : systèmes IA à haut risque.
3. Génère-t-il ou manipule-t-il du contenu, ou interagit-il avec des personnes ? L'article 50 impose alors des obligations de transparence.
4. Sinon, il relève du risque minimal et n'appelle aucune obligation spécifique au titre de l'AI Act, ce qui n'exonère de rien côté RGPD.

L'inventaire préalable est le travail le plus chronophage, et le plus souvent bâclé. Nous avons publié une méthode et un modèle dans cartographier ses systèmes IA. Comptez une demi-journée pour une PME de 20 personnes, plutôt deux jours au-delà de 100 salariés, parce qu'il faut interroger les métiers un par un : la moitié des usages IA d'une PME sont des abonnements souscrits sans passer par la direction.

Étape 3 : le cas où vous devez réellement conduire une évaluation de conformité

Si vous êtes fournisseur d'un système à haut risque, l'évaluation de conformité est la dernière brique d'un chantier qui en compte sept. Vous ne pouvez pas la conduire tant que les exigences de la section 2 du chapitre III ne sont pas satisfaites :

• système de gestion des risques (article 9) ;
• gouvernance des données et qualité des jeux d'entraînement (article 10) ;
• documentation technique conforme à l'annexe IV (article 11) ;
• journalisation automatique des événements (article 12) ;
• transparence et notice d'utilisation destinée aux déployeurs (article 13) ;
• contrôle humain effectif (article 14) ;
• exactitude, robustesse et cybersécurité (article 15).

L'évaluation de conformité, ensuite, consiste à vérifier que le système de management de la qualité est conforme à l'article 17, que la documentation technique démontre le respect de ces exigences, et que la conception, le développement et la surveillance après commercialisation sont cohérents avec cette documentation.

Pour une PME dans cette situation, l'ordre de grandeur budgétaire va de quelques dizaines de milliers d'euros en contrôle interne à plusieurs fois ce montant avec organisme notifié. Ce chiffrage dépend trop du système pour être annoncé sérieusement à l'avance, et nous ne le donnons ici qu'à titre d'ordre de grandeur à valider projet par projet. Notez que l'article 62 prévoit des mesures de soutien spécifiques aux PME et aux start-ups, dont un accès prioritaire aux bacs à sable réglementaires.

Étape 4 : l'auto-diagnostic que doit mener une PME déployeur

Pour l'immense majorité des PME, la conformité tient en cinq livrables internes, pas en une procédure d'évaluation. Voici ce que nous mettons en place en accompagnement :

• un registre des systèmes d'IA utilisés, avec pour chacun le fournisseur, la finalité, les données traitées, le classement de risque retenu et la date de la décision ;
• une politique d'usage de l'IA, opposable en interne, qui délimite ce qui est autorisé et ce qui ne l'est pas. Un modèle de politique IA est téléchargeable sur le blog ;
• les mentions de transparence dues au titre de l'article 50, quand vous exploitez un chatbot ou publiez du contenu généré. Voir comment rédiger une notice d'information IA ;
• la trace des mesures de contrôle humain lorsque vous êtes déployeur d'un système à haut risque, exigence de l'article 26 qui subsiste indépendamment du reste ;
• un plan de montée en compétences des équipes qui utilisent ces outils. L'article 4 sur la maîtrise de l'IA a été allégé par l'AI Omnibus et l'exigence pesant sur les entreprises est devenue incitative, ce que la plupart des articles publiés avant l'été 2026 ignorent encore. Nous détaillons cette nuance dans Article 4 AI Act : la formation IA est-elle obligatoire.

Ce dernier point mérite une position claire. Former ses équipes reste utile, mais l'argument juridique de l'amende automatique est faux et nous ne l'utilisons pas. La vraie raison de former, c'est qu'un collaborateur qui ne sait pas ce qu'est un LLM ni comment il hallucine produit des erreurs qui coûtent plus cher que la formation.

Étape 5 : documenter et dater, y compris les non-décisions

Un classement en risque minimal doit être écrit et daté au même titre qu'un classement en haut risque. C'est le point le plus négligé, et c'est pourtant celui qui vous protégera si une autorité de surveillance du marché vous interroge.

Pour chaque système, gardez la trace de la question posée, du raisonnement suivi, de la conclusion retenue et de la personne qui a tranché. Trois lignes suffisent. Ce qui compte est de pouvoir démontrer que la question a été traitée, pas de produire un document impressionnant. C'est exactement la logique de l'accountability du RGPD, et les deux textes se recoupent largement, comme expliqué dans AI Act vs RGPD.

Prévoyez une revue à chaque changement d'outil ou de version majeure. Un fournisseur qui ajoute une fonctionnalité d'analyse de CV à son SIRH peut faire basculer votre classement du jour au lendemain, sans que personne chez vous ne l'ait demandé.

Le calendrier réel, et l'erreur que répètent la plupart des sources

Les obligations relatives aux systèmes à haut risque de l'annexe III ne s'appliquent pas au 2 août 2026, mais au 2 décembre 2027. Le report résulte de l'AI Omnibus, sur lequel un accord politique a été trouvé le 7 mai 2026 et qui est entré en vigueur le 27 juillet 2026. Les systèmes à haut risque intégrés à des produits réglementés (annexe I) suivent au 2 août 2028.

Ce décalage change la priorisation. Vous n'avez pas quelques semaines pour boucler un dossier d'évaluation de conformité, vous avez plus d'un an. En revanche, ce qui s'applique déjà ne bouge pas : interdictions de l'article 5 depuis février 2025, obligations GPAI depuis août 2025, transparence de l'article 50 et pleins pouvoirs de sanction depuis le 2 août 2026. Le calendrier AI Act complet reprend chaque échéance.

Beaucoup d'articles en ligne, y compris récents, annoncent encore l'échéance haut risque au 2 août 2026. C'est périmé. Vérifiez systématiquement la date de mise à jour des sources que vous consultez sur ce sujet, et privilégiez le calendrier officiel publié par le service desk de la Commission européenne.

Questions fréquentes

Une PME qui utilise ChatGPT doit-elle faire une évaluation de conformité ? Non. Utiliser un outil d'IA générative sous sa propre autorité fait de vous un déployeur, pas un fournisseur. L'évaluation de conformité de l'article 43 ne s'applique pas. Vous restez soumis aux obligations de transparence de l'article 50 si vous publiez du contenu généré ou exploitez un agent conversationnel.

Combien de temps prend un auto-diagnostic de conformité pour une PME ? Entre une demi-journée et trois jours selon la taille et le nombre d'outils. L'inventaire représente les deux tiers de l'effort. La rédaction des livrables est rapide une fois le périmètre stabilisé.

Qui contrôle en France ? Les autorités nationales de surveillance du marché, désignées au titre de l'article 70. Leurs pleins pouvoirs de sanction sont effectifs depuis le 2 août 2026. Le régime d'amendes de l'article 99 va jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, avec un plafond appliqué au montant le plus faible des deux pour les PME.

Faut-il un organisme notifié ? Seulement pour les systèmes biométriques de l'annexe III point 1 lorsque les normes harmonisées n'ont pas été appliquées, et pour certains produits réglementés de l'annexe I. Les autres cas d'usage haut risque relèvent du contrôle interne de l'annexe VI.

Une modification de notre outil déclenche-t-elle une nouvelle évaluation ? Oui si elle est substantielle, c'est-à-dire si elle affecte la conformité, la sécurité ou la finalité du système. Les évolutions d'apprentissage prévues et documentées par le fournisseur dès l'évaluation initiale ne sont pas considérées comme substantielles.

Le marquage CE est-il obligatoire pour notre chatbot interne ? Non, sauf si ce chatbot constitue un système à haut risque que vous fournissez. Un agent conversationnel de support interne relève au maximum des obligations de transparence.

Que se passe-t-il si nous nous trompons de classement ? Un classement erroné mais documenté et raisonné vous place dans une position très différente d'une absence totale d'analyse. C'est la raison pour laquelle nous insistons sur la trace écrite, y compris pour les décisions négatives.

Comment GrowthPerf accompagne les PME sur ce sujet

Nous intervenons sur trois briques : la cartographie des systèmes et le classement de risque, la production des livrables internes (registre, politique d'usage, mentions de transparence), et la formation des équipes qui utilisent réellement ces outils au quotidien. Nous sommes organisme de formation certifié Qualiopi, ce qui ouvre la prise en charge OPCO sur le volet formation.

Notre position est simple : nous ne vendons pas de la peur réglementaire. La plupart des PME que nous accompagnons découvrent qu'elles sont moins exposées qu'elles ne le pensaient sur l'AI Act, et beaucoup plus exposées qu'elles ne le pensaient sur la qualité de leurs usages IA. C'est ce second sujet qui fait la différence sur les résultats. Pour aller plus loin sur le cadre complet, reportez-vous au guide AI Act pour PME et associations, et sur les risques financiers aux sanctions AI Act.

Si vous voulez y voir clair sur votre propre situation, nous proposons un audit guidé de 30 minutes : inventaire rapide, classement des trois ou quatre systèmes principaux, et liste des livrables qui vous manquent. Sans engagement, et sans dossier de 40 pages à la clé.