Point 1 — Inventaire des systèmes IA
Ce que dit l'AI Act : Tout déployeur d'un système d'IA doit être en mesure d'identifier et de documenter les systèmes IA qu'il utilise, afin de déterminer les obligations qui s'y appliquent (article 26).
Questions à vous poser :
- Avez-vous listé l'ensemble des outils IA utilisés dans votre entreprise, y compris les abonnements SaaS intégrant de l'IA (Copilot, Notion AI, HubSpot AI, outils de recrutement) ?
- Distinguez-vous les IA que vous utilisez en interne de celles que vous déployez auprès de vos clients ou utilisateurs ?
- Cet inventaire est-il maintenu à jour, notamment lors de l'adoption de tout nouvel outil ?
✅ Conforme si :
- Un document ou registre liste tous les systèmes IA utilisés (nom, fournisseur, usage, périmètre).
- La distinction déployeur / utilisateur final est clairement établie pour chaque outil.
- Le registre est révisé au moins une fois par trimestre ou à chaque changement d'outil.
❌ Non conforme si :
- Aucun inventaire formel n'existe — les outils IA sont adoptés sans recensement central.
- Certains services utilisent des outils IA sans que la direction en soit informée (shadow IT IA).
- Vous ne savez pas distinguer les systèmes IA des logiciels classiques dans votre stack.
Action concrète : Créez un tableur simple (Nom de l'outil | Fournisseur | Usage | Qui l'utilise | Données traitées | Niveau de risque estimé) et faites un tour de table avec chaque responsable de service pour le compléter en une réunion d'une heure.
Point 2 — Classification des risques pour chaque IA
Ce que dit l'AI Act : L'AI Act classe les systèmes IA en quatre niveaux — interdit, haut risque, risque limité et risque minimal — avec des obligations proportionnelles à chaque niveau (articles 5, 6, 50).
Questions à vous poser :
- Pour chaque IA de votre inventaire, avez-vous déterminé son niveau de risque selon la classification AI Act ?
- Savez-vous quels secteurs ou usages font automatiquement basculer un système en "haut risque" (recrutement, crédit, accès aux services publics, infrastructure critique) ?
- Avez-vous vérifié si vos fournisseurs IA communiquent sur la classification de leurs modèles ?
✅ Conforme si :
- Chaque outil de votre inventaire est associé à un niveau de risque documenté et justifié.
- Les systèmes classés haut risque ont été identifiés et font l'objet d'un traitement prioritaire.
- Vous avez consulté les fiches de conformité publiées par vos principaux fournisseurs IA (Microsoft, Google, OpenAI, etc.).
❌ Non conforme si :
- Vous n'avez jamais analysé vos outils IA sous l'angle de la classification AI Act.
- Vous utilisez un outil de scoring ou d'aide à la décision RH sans savoir s'il est classé haut risque.
- La notion de "système d'IA à usage général" (GPAI) ne vous dit rien par rapport à vos outils.
Action concrète : Consultez l'annexe III du règlement AI Act qui liste explicitement les domaines à haut risque. Pour chaque IA de votre inventaire, vérifiez si son usage correspond à l'un de ces domaines. En cas de doute, contactez le fournisseur — il est légalement tenu de vous informer.
Point 3 — Aucun système IA interdit en usage
Ce que dit l'AI Act : L'article 5 interdit absolument certaines pratiques IA : la notation sociale généralisée, la manipulation comportementale subliminale, la reconnaissance émotionnelle au travail et dans les espaces publics, et la biométrie à distance en temps réel dans les espaces publics.
Questions à vous poser :
- Utilisez-vous un système qui analyse les émotions de vos employés, clients ou prospects (reconnaissance faciale émotionnelle, analyse vocale du stress) ?
- Avez-vous mis en place un système de scoring ou de notation de comportement de vos clients ou employés à des fins de prise de décision différenciée ?
- Des outils marketing utilisent-ils des techniques subliminales ou de manipulation comportementale basées sur l'IA pour contourner le libre arbitre des utilisateurs ?
✅ Conforme si :
- Aucun outil de votre inventaire ne correspond aux pratiques interdites listées à l'article 5.
- Vos outils d'analyse comportementale (heatmaps, A/B testing) restent dans les limites autorisées (pas de manipulation subliminale).
- Vous n'avez pas déployé de reconnaissance biométrique à distance dans vos espaces physiques.
❌ Non conforme si :
- Vous utilisez un outil RH qui analyse les micro-expressions faciales lors des entretiens vidéo pour "évaluer" les candidats.
- Votre CRM attribue un "score de fiabilité" ou un "score comportemental" à vos clients pour moduler vos offres de manière opaque.
- Un prestataire a déployé pour vous un système de reconnaissance émotionnelle en point de vente sans vous informer des implications légales.
Attention : Certains outils RH ou marketing commercialisent des fonctionnalités d'analyse émotionnelle ou comportementale qui tombent dans les pratiques interdites. Lisez attentivement les conditions d'utilisation de vos outils, en particulier les modules "insights" ou "analytics comportementaux".
Action concrète : Passez en revue les modules avancés de vos outils RH et marketing — en particulier les fonctions d'analyse de candidats, de scoring client ou d'analyse vidéo — et vérifiez explicitement auprès du fournisseur si ces fonctions tombent dans les catégories interdites par l'AI Act.
Point 4 — Transparence envers les utilisateurs
Ce que dit l'AI Act : L'article 50 impose aux déployeurs d'informer clairement les utilisateurs lorsqu'ils interagissent avec un système IA (chatbot, agent conversationnel) ou reçoivent un contenu généré par IA (images, textes, vidéos deepfake).
Questions à vous poser :
- Vos chatbots ou assistants virtuels indiquent-ils explicitement à l'utilisateur qu'il s'adresse à une IA et non à un humain ?
- Les contenus générés par IA (articles, images, vidéos) publiés par votre entreprise sont-ils identifiés comme tels ?
- Vos emails ou communications automatisées par IA précisent-ils leur nature automatique lorsque cela est pertinent ?
✅ Conforme si :
- Tous vos chatbots affichent un message d'accueil indiquant leur nature artificielle ("Je suis un assistant IA de [entreprise]").
- Les contenus générés par IA publiés sur votre site ou vos réseaux sociaux sont labelisés (mention "généré par IA" ou équivalent).
- Vos CGU ou politique de confidentialité mentionnent l'utilisation de systèmes IA dans vos processus client.
❌ Non conforme si :
- Votre chatbot se présente sous un prénom humain sans mentionner qu'il s'agit d'une IA.
- Des contenus entièrement générés par IA sont publiés sans aucune mention de leur origine artificielle.
- Vos clients ou prospects ne savent pas que certaines décisions les concernant impliquent un système IA.
Action concrète : Auditez tous vos points de contact client intégrant de l'IA (chatbot, email automatisé, assistant vocal, contenu web généré par IA) et ajoutez une mention de transparence là où elle manque. Une phrase suffit : "Vous interagissez avec un assistant IA. Un conseiller humain reste disponible."
Point 5 — Supervision humaine des décisions importantes
Ce que dit l'AI Act : L'article 14 exige que les systèmes IA à haut risque soient conçus pour permettre une supervision humaine effective. Les déployeurs doivent s'assurer qu'un humain peut comprendre, surveiller, corriger et si nécessaire annuler les décisions de l'IA.
Questions à vous poser :
- Pour les décisions importantes (embauche, refus de crédit, accès à un service), un humain valide-t-il systématiquement la recommandation de l'IA avant qu'elle soit appliquée ?
- Vos équipes ont-elles la capacité réelle de comprendre et de contester une décision produite par l'IA (accès aux critères, aux pondérations) ?
- Existe-t-il une procédure claire pour qu'un client ou employé puisse demander une révision humaine d'une décision automatisée ?
✅ Conforme si :
- Aucune décision à fort impact (embauche, licenciement, refus de service, crédit) n'est prise sans validation humaine finale.
- Les managers disposent des outils et de la formation pour comprendre et remettre en question les recommandations de l'IA.
- Une procédure de recours est accessible et documentée pour les personnes affectées par une décision automatisée.
❌ Non conforme si :
- Un outil IA de tri de CV élimine automatiquement des candidats sans qu'un humain ne valide ou ne révise le filtrage.
- Un algorithme de scoring client déclenche automatiquement des actions (blocage de compte, modification de tarif) sans validation humaine.
- Vos équipes suivent systématiquement les recommandations de l'IA sans jamais les remettre en question, faute de formation ou d'outils.
Action concrète : Pour chaque processus décisionnel assisté par IA, formalisez par écrit qui est le "validateur humain", quelle est sa marge de manœuvre pour s'écarter de la recommandation IA, et comment cette décision est tracée. Même une simple case à cocher dans votre outil RH ou CRM suffit comme trace documentaire.
Point 6 — Qualité des données d'entraînement
Ce que dit l'AI Act : L'article 10 impose aux fournisseurs de systèmes IA à haut risque de garantir la qualité, la représentativité et la légalité des données d'entraînement. En tant que déployeur ayant fine-tuné un modèle, ces obligations vous concernent également.
Questions à vous poser :
- Si vous avez fine-tuné un modèle IA avec vos propres données, pouvez-vous documenter l'origine, la qualité et la base légale (au sens RGPD) de ces données ?
- Vos données d'entraînement sont-elles représentatives de la diversité des cas réels que l'IA rencontrera en production ?
- Avez-vous testé votre modèle fine-tuné pour détecter d'éventuels biais discriminatoires (genre, âge, origine) avant déploiement ?
✅ Conforme si :
- Vous n'avez pas fine-tuné de modèle propre — vous utilisez uniquement des modèles SaaS tiers "as is" (ChatGPT, Claude, Gemini) : ce point ne vous concerne pas directement.
- Si vous avez fine-tuné : un document décrit les jeux de données utilisés (source, volume, période, méthode de collecte, base légale RGPD).
- Des tests de biais ont été conduits et leurs résultats sont archivés.
❌ Non conforme si :
- Vous avez fine-tuné un modèle avec des données clients sans base légale RGPD documentée.
- Les données utilisées pour l'entraînement incluent des données personnelles collectées sans consentement explicite pour cet usage.
- Aucun test de biais n'a été conduit avant la mise en production d'un modèle que vous avez entraîné.
Action concrète : Si vous utilisez uniquement des API IA tierces sans fine-tuning, ce point est automatiquement géré par votre fournisseur. Si vous avez fine-tuné un modèle, listez immédiatement les jeux de données utilisés et vérifiez avec votre DPO (ou un consultant RGPD) que la base légale est conforme.
Point 7 — Documentation technique des systèmes à haut risque
Ce que dit l'AI Act : L'article 11 et l'annexe IV exigent qu'une documentation technique complète soit constituée pour chaque système IA à haut risque : architecture, données, performances, limitations connues, mesures de robustesse.
Questions à vous poser :
- Avez-vous identifié lesquels de vos systèmes IA tombent dans la catégorie "haut risque" (recrutement, crédit, accès services essentiels, infrastructure critique) ?
- Pour ces systèmes, disposez-vous ou avez-vous demandé à votre fournisseur la documentation technique requise (fiche de conformité, déclaration CE, notice d'utilisation) ?
- Les limitations et cas d'échec connus du système sont-ils documentés et communiqués à vos équipes utilisatrices ?
✅ Conforme si :
- Pour chaque système à haut risque, vous détenez (ou pouvez obtenir sur demande) la documentation technique fournie par le fabricant.
- Vos contrats avec les fournisseurs de systèmes à haut risque incluent une clause d'accès à la documentation de conformité AI Act.
- Les instructions d'utilisation, les performances annoncées et les limitations du système sont connues des équipes qui l'utilisent.
❌ Non conforme si :
- Vous utilisez un outil de recrutement IA ou de scoring financier sans avoir jamais demandé au fournisseur sa documentation de conformité AI Act.
- Vos équipes utilisent un système IA sans connaître ses limitations ou les cas dans lesquels il est peu fiable.
- Aucun contrat ne prévoit l'obligation pour le fournisseur de vous fournir la documentation réglementaire.
Action concrète : Envoyez un email formel à chaque fournisseur de systèmes IA à haut risque en demandant explicitement : leur déclaration de conformité AI Act, leur documentation technique selon l'annexe IV, et leurs instructions d'utilisation. La réponse (ou l'absence de réponse) est en elle-même une information précieuse.
Point 8 — Sécurité et robustesse des systèmes IA
Ce que dit l'AI Act : L'article 15 impose que les systèmes IA à haut risque atteignent un niveau approprié de précision, robustesse et cybersécurité. Les déployeurs doivent prendre des mesures pour minimiser les risques liés aux attaques et aux erreurs.
Questions à vous poser :
- Vos systèmes IA exposés à des entrées utilisateur (chatbots, formulaires IA, interfaces de génération) ont-ils été testés contre les attaques de type "prompt injection" ?
- Disposez-vous d'un mécanisme de surveillance pour détecter les comportements anormaux ou les dérives de vos systèmes IA en production ?
- Vos fournisseurs IA ont-ils fourni des informations sur leur programme de bug bounty ou leurs tests de robustesse adversariale ?
✅ Conforme si :
- Vos chatbots et interfaces IA intègrent des garde-fous contre les tentatives de manipulation (prompt injection, jailbreaking).
- Un monitoring des sorties IA est en place pour détecter des réponses hors-périmètre ou potentiellement nuisibles.
- Des tests de robustesse sont conduits lors de chaque mise à jour majeure d'un système IA critique.
❌ Non conforme si :
- Votre chatbot peut être détourné par un utilisateur malveillant pour contourner vos règles métier ou extraire des informations sensibles.
- Aucun monitoring des conversations ou des outputs IA n'est en place — vous n'avez aucune visibilité sur ce que produit votre IA au quotidien.
- Vous n'avez jamais testé ce qui se passe si un utilisateur tente de manipuler votre IA avec des instructions malveillantes.
Action concrète : Effectuez un test de base de robustesse en demandant à quelques collaborateurs d'essayer de détourner vos interfaces IA (chatbot, assistant). Notez les failles et mettez en place des filtres de contenu en entrée et en sortie. Pour les systèmes critiques, planifiez un test de pénétration IA avec un prestataire spécialisé.
Point 9 — Alignement RGPD et AI Act
Ce que dit l'AI Act : L'AI Act et le RGPD sont complémentaires. L'AI Act impose ses propres obligations, mais précise que les droits des personnes en matière de données personnelles restent régis par le RGPD. Les deux réglementations doivent être appliquées conjointement.
Questions à vous poser :
- Vos bases légales RGPD (consentement, intérêt légitime, contrat) sont-elles compatibles avec les usages IA que vous en faites — notamment si les données sont utilisées pour entraîner ou personnaliser un modèle ?
- Vos Analyses d'Impact relatives à la Protection des Données (AIPD / DPIA) ont-elles été mises à jour pour intégrer les risques spécifiques liés à l'IA ?
- Les droits RGPD des personnes (accès, rectification, opposition, droit à l'explication) sont-ils applicables aux décisions prises par ou avec l'IA ?
✅ Conforme si :
- Chaque traitement IA impliquant des données personnelles est couvert par une base légale RGPD explicite et documentée dans votre registre de traitements.
- Vos DPIAs existantes ont été révisées pour inclure une section sur les risques IA (biais, décisions automatisées, opacité des modèles).
- Vos politiques de confidentialité informent les utilisateurs de l'utilisation de leurs données dans des processus IA.
❌ Non conforme si :
- Des données clients collectées pour la facturation sont réutilisées pour personnaliser un modèle IA sans base légale distincte.
- Vos DPIAs ne mentionnent pas l'utilisation de l'IA dans les traitements concernés.
- Vous ne savez pas si votre utilisation de données personnelles dans des systèmes IA nécessite une DPIA obligatoire au sens de l'article 35 RGPD.
Point de vigilance : Le RGPD interdit les décisions entièrement automatisées produisant des effets juridiques significatifs (article 22) sauf exceptions. Si un de vos systèmes IA prend seul des décisions sur des personnes (refus, tarification, accès), vous devez soit obtenir le consentement explicite, soit prévoir une intervention humaine.
Action concrète : Demandez à votre DPO (ou à un consultant RGPD externe si vous n'en avez pas) de passer en revue votre registre de traitements à la lumière de vos usages IA et d'identifier les DPIAs à créer ou mettre à jour. Prévoyez 1 à 2 jours de travail pour une PME avec 5 à 10 traitements IA.
Point 10 — Gouvernance IA interne
Ce que dit l'AI Act : L'article 26 encourage les déployeurs à mettre en place des mesures organisationnelles adaptées pour garantir la conformité dans la durée : formation, responsabilités claires, procédures de suivi des incidents.
Questions à vous poser :
- Avez-vous désigné un référent ou responsable IA en interne, chargé de suivre les obligations réglementaires et les évolutions de vos usages IA ?
- Existe-t-il une politique d'usage acceptable de l'IA (AI acceptable use policy) communiquée à tous vos collaborateurs ?
- Disposez-vous d'une procédure de signalement et de gestion des incidents IA (erreur grave, biais détecté, utilisation abusive) ?
✅ Conforme si :
- Un responsable IA (ou un référent dans une plus petite structure) est officiellement désigné et formé aux enjeux réglementaires.
- Une politique d'usage IA écrite existe, couvre les usages autorisés et interdits, et a été communiquée aux équipes.
- Une procédure de signalement d'incident IA est en place — avec un canal dédié et un responsable de traitement identifié.
❌ Non conforme si :
- Personne dans l'entreprise n'est officiellement responsable des sujets IA réglementaires — chacun fait ce qu'il veut avec les outils IA.
- Aucune politique d'usage IA n'a été rédigée : les collaborateurs utilisent ChatGPT, Copilot ou d'autres outils IA sans règles définies sur ce qui est autorisé avec les données clients ou confidentielles.
- Si un incident IA survenait (biais dans un recrutement, fuite de données via un prompt), vous ne sauriez pas comment réagir ni qui alerter.
Action concrète : Rédigez un document d'une page intitulé "Politique d'usage de l'IA" couvrant : les outils autorisés, les données qui ne peuvent pas y être saisies (données clients identifiées, secrets commerciaux), le référent interne, et la marche à suivre en cas de problème. Même imparfait, ce document montre une démarche de bonne foi en cas de contrôle.
Interpréter vos résultats
Comptabilisez vos points : 1 point par ✅ Conforme, 0,5 point par ⚠️ À améliorer, 0 point par ❌ Non conforme. Le tableau ci-dessous vous indique votre niveau de conformité et le risque associé.
| Score | Statut | Niveau de risque | Recommandation |
|---|---|---|---|
| 9 – 10 | ✅ Conforme | Minimal | Maintenez votre veille réglementaire et documentez vos pratiques. |
| 7 – 8 | ✅ Majoritairement conforme | Faible | Combler les lacunes identifiées en priorité d'ici juin 2026. |
| 5 – 6 | ⚠️ Conformité partielle | Modéré | Planifier un plan d'action structuré sur 3 mois avec jalons clairs. |
| 3 – 4 | ⚠️ Non-conformité significative | Élevé | Engager un accompagnement externe, commencer par l'inventaire et les points 3 et 4. |
| 0 – 2 | ❌ Non conforme | Critique | Action urgente requise. Suspendre les usages à haut risque en attendant la mise en conformité. |
Mise en perspective : Selon les premières évaluations sectorielles, la majorité des PME françaises de moins de 50 salariés se situent entre 3 et 6 sur cette échelle en début 2026. La bonne nouvelle : la plupart des actions correctrices sont organisationnelles (documentation, désignation de responsables, politiques internes) et ne nécessitent pas de budget significatif.
Prochaines étapes selon votre score
Score 7-10 : Consolider et documenter
Vous êtes sur la bonne voie. L'enjeu est maintenant de pérenniser vos pratiques : mettre à jour votre inventaire à chaque nouvel outil adopté, former vos nouveaux collaborateurs à la politique IA interne, et maintenir une veille sur les actes délégués de la Commission européenne qui préciseront certaines obligations d'ici fin 2026.
Pensez également à vérifier que vos contrats fournisseurs incluent les clauses AI Act nécessaires (transfert d'obligations, accès à la documentation technique, notification d'incidents).
Score 4-6 : Plan d'action sur 3 mois
Un effort structuré sur 12 semaines vous permettra d'atteindre la conformité avant la date limite :
- Semaines 1-2 : Finaliser l'inventaire IA et la classification des risques (points 1 et 2). C'est le fondement de tout le reste.
- Semaines 3-4 : Ajouter les mentions de transparence sur tous les points de contact client IA (point 4) et désigner un référent IA (point 10).
- Semaines 5-8 : Rédiger la politique d'usage IA, mettre à jour les DPIAs, formaliser la supervision humaine pour les décisions critiques (points 9, 10, 5).
- Semaines 9-12 : Demander la documentation technique aux fournisseurs, mettre en place le monitoring des systèmes IA, tester la robustesse des interfaces exposées (points 7, 8).
Score 0-3 : Accompagnement recommandé
Avec moins de 4 points, le volume d'actions à réaliser avant août 2026 justifie un accompagnement externe pour prioriser et aller vite. Un consultant peut compresser 6 mois de travail en 6 semaines grâce à des méthodologies éprouvées et des templates documentaires prêts à l'emploi.
Rappel calendrier : Le 2 août 2026 marque l'entrée en application de la grande majorité des obligations AI Act pour les déployeurs. Les interdictions (article 5) sont applicables depuis le 2 février 2025 — elles s'appliquent donc déjà. Les obligations GPAI sont applicables depuis août 2025. Ne repoussez pas l'évaluation.
Pour aller plus loin : Notre guide complet AI Act pour les PME détaille chaque obligation avec le calendrier précis, les montants des amendes et les exemples concrets par secteur. Si vous souhaitez un diagnostic personnalisé de votre situation, contactez-nous pour un audit gratuit — nous analysons votre stack IA et vos pratiques pour identifier les priorités spécifiques à votre activité.
Questions fréquentes
Cette checklist est-elle suffisante pour être conforme ?
Elle couvre les obligations des PME déployant des IA à risque limité (le cas le plus fréquent). Pour les PME déployant des IA à haut risque (recrutement, crédit), une analyse juridique approfondie est recommandée. Cette checklist est un point de départ, pas un audit complet.
Que se passe-t-il si je ne suis pas conforme en août 2026 ?
L'AI Act prévoit une approche progressive. Les premières années, les autorités nationales (en France, la CNIL sera l'autorité compétente) se concentreront sur la pédagogie plutôt que la sanction pour les PME de bonne foi. Cela dit, les amendes peuvent atteindre 3% du CA mondial pour non-respect des obligations générales. Une démarche de conformité documentée protège en cas de contrôle.
Dois-je être conforme si j'utilise seulement ChatGPT en interne ?
Non, si vous utilisez ChatGPT uniquement comme outil de productivité interne (rédaction, résumé, traduction). L'AI Act distingue les utilisateurs finaux (faibles obligations) des déployeurs (entreprises qui intègrent l'IA dans leurs produits/services). Si vous intégrez un LLM dans votre site, votre application ou votre processus client, vous devenez déployeur.
L'AI Act s'applique-t-il aux modèles open source ?
Partiellement. Les modèles open source (Llama, Mistral 7B) bénéficient d'exemptions si le code et les poids sont librement accessibles. En revanche, si vous déployez un modèle open source dans un système à haut risque, les obligations de déployeur s'appliquent. Les exemptions ne s'appliquent pas aux fournisseurs de modèles GPAI open source avec plus d'un milliard de paramètres (Llama 3 par exemple).
Comment utiliser cette checklist
Cette checklist couvre les 10 obligations fondamentales de l'AI Act pour les PME françaises qui déploient ou utilisent des systèmes d'IA. Elle s'adresse aux entreprises de 10 à 250 salariés qui ont intégré au moins un outil IA dans leurs processus (chatbot, outil de recrutement IA, scoring, génération de contenu, etc.).
Pour chaque point, attribuez-vous l'un des trois statuts suivants en fonction de votre situation réelle :
- ✅ Conforme : vous remplissez toutes les conditions décrites et disposez des preuves documentaires nécessaires.
- ⚠️ À améliorer : vous avez commencé mais la mise en œuvre est partielle ou non documentée. Comptez 0,5 point.
- ❌ Non conforme : vous ne remplissez pas les conditions ou n'avez pas encore traité ce point. Comptez 0 point.
Score final : 9-10 ✅ = conforme | 6-8 = risque modéré | moins de 6 = action urgente requise avant août 2026.