Checklist conformité AI Act pour PME : 12 points à vérifier

Cette checklist conformité AI Act tient en douze questions fermées : vous y répondez par oui ou par non, et chaque non désigne un chantier précis. Elle est écrite pour une PME qui utilise l'IA au quotidien, donc pour un déployeur, pas pour un éditeur de systèmes d'IA. Les douze points sont ci-dessous, en clair, avec ce qui est attendu pour chacun.

Comptez vingt minutes pour la parcourir honnêtement. Répondre « en partie » revient à répondre non.

Comment utiliser cette liste

Le règlement (UE) 2024/1689, dit AI Act, ne fournit pas de formulaire d'auto-évaluation pour les entreprises qui se contentent d'utiliser l'IA. Les douze points ci-dessous reconstituent ce qui est réellement attendu d'une PME déployeuse aujourd'hui, à partir des obligations en vigueur. Pour comprendre le cadre général avant de vous évaluer, lisez ce qui s'applique vraiment à une PME en 2026.

Un point important pour ne pas travailler pour rien : les obligations lourdes pesant sur les systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027. Ce qui vous est dû aujourd'hui est bien plus léger que ce que laissent croire beaucoup de contenus en ligne. Le cadre des contrôles et l'atténuation prévue pour les PME sont décrits dans les sanctions de l'AI Act et qui contrôle quoi.

Checklist conformité AI Act : les six points de cadrage

1. Disposez-vous de la liste écrite des outils d'IA réellement utilisés ?

Il s'agit d'une liste nominative des systèmes en service, y compris les comptes gratuits ouverts par les équipes et les fonctions d'IA intégrées à vos logiciels habituels. Vous pouvez répondre oui seulement si cette liste existe sous forme écrite et date de moins de six mois. Une conviction du dirigeant sur ce que ses équipes utilisent n'est pas une liste.

2. Savez-vous si vous êtes déployeur ou fournisseur pour chaque usage ?

Une entreprise qui utilise un outil du marché est déployeuse. Elle devient fournisseuse si elle met un système d'IA sur le marché sous son propre nom, ou si elle modifie substantiellement un système existant qu'elle diffuse ensuite. Les obligations ne sont pas les mêmes, donc la question se tranche usage par usage, pas pour l'entreprise en bloc.

3. Un de vos usages relève-t-il des pratiques interdites de l'article 5 ?

L'article 5 du règlement liste les pratiques interdites, applicables depuis le 2 février 2025. En pratique, une PME doit vérifier deux zones : la reconnaissance des émotions des salariés sur le lieu de travail et la notation sociale des personnes. Répondre non ici suppose de l'avoir vérifié, pas de le supposer.

4. Un de vos usages touche-t-il un domaine listé à l'annexe III ?

L'annexe III liste les domaines de haut risque : recrutement et gestion des travailleurs, accès à l'éducation, accès aux services essentiels, entre autres. Si vous utilisez l'IA pour trier des candidatures, évaluer des salariés ou décider d'une promotion, vous êtes dans cette zone. Les obligations correspondantes sont reportées au 2 décembre 2027, mais l'usage doit être identifié et documenté dès maintenant.

5. Votre charte d'usage de l'IA est-elle diffusée et signée ?

La charte doit être écrite, datée, numérotée, remise à chaque personne concernée et accompagnée d'un accusé de réception conservé. Sans signature ni date de remise, vous avez un document interne, pas une règle opposable. Le modèle complet, clause par clause, figure dans la charte d'usage de l'IA en 8 clauses.

6. Les catégories de données interdites en saisie sont-elles écrites noir sur blanc ?

Vos équipes doivent pouvoir citer de mémoire trois ou quatre catégories interdites : données personnelles de clients, éléments contractuels et tarifaires, documents confidentiels, identifiants. Une consigne générale du type « ne mettez rien de sensible » ne fonctionne pas, parce que chacun place le curseur ailleurs. Le test est simple : posez la question à deux salariés de services différents.

Les six points de preuve à réunir

7. Fournissez-vous un outil d'IA professionnel à ceux qui en ont besoin ?

Interdire sans fournir d'alternative déplace les usages vers les comptes personnels au lieu de les faire disparaître. Vous répondez oui si les personnes dont le métier suppose un usage régulier disposent d'un accès professionnel payé par l'entreprise. C'est souvent le point le plus rentable de la liste, parce qu'il supprime la cause du problème.

8. Votre action de formation à l'IA est-elle documentée ?

L'article 4, consacré à la littératie IA, est applicable depuis le 2 février 2025. Il entre dans le champ de la supervision des autorités nationales à partir du 2 août 2026. C'est une obligation de moyens dont la preuve est un programme documenté : le détail figure dans l'article 4 de l'AI Act et la littératie IA. Retenez le format de la preuve : contenus, dates, participants. Une réunion orale sans trace ne compte pas.

9. Les personnes qui interagissent avec un de vos systèmes d'IA en sont-elles informées ?

L'article 50, consacré à la transparence, est applicable le 2 août 2026. Si votre site expose un agent conversationnel ou si un assistant vocal répond à vos appels, la personne en face doit savoir qu'elle s'adresse à un système d'IA. L'information n'est pas exigée quand la situation est évidente pour une personne raisonnablement avertie, mais l'évidence se juge du point de vue de l'interlocuteur, pas du vôtre.

10. Les contenus générés que vous diffusez sont-ils signalés comme tels ?

Cela concerne les visuels, vidéos et voix générés ou modifiés de manière significative et diffusés à l'extérieur. L'information visible des personnes est due dès le 2 août 2026. Le délai de grâce du 2 décembre 2026 ne porte que sur le marquage lisible par machine, côté fournisseur : voyez l'article 50 de l'AI Act et la transparence. Décidez dès maintenant d'une formulation standard de mention et de l'endroit où elle apparaît.

11. Tenez-vous un registre des usages IA à jour ?

Le registre liste chaque usage avec son service, son outil, sa finalité, les données saisies, sa criticité, son responsable et ses dates. Il se tient dans un tableur au début, ce qui suffit largement. Les dix colonnes sont détaillées dans le registre des usages IA.

12. Un responsable est-il désigné et la révision annuelle est-elle planifiée ?

Une personne nommée doit porter le sujet : tenir le registre, arbitrer les déclarations, déclencher la revue. Sans nom, le dispositif se dégrade en quelques mois sans que personne s'en aperçoive. La révision annuelle doit être inscrite quelque part avec une date, sans quoi elle n'aura pas lieu.

Lire votre résultat

Tous les non ne se valent pas. Trois points sont à traiter en priorité, parce qu'ils créent une exposition réelle immédiate.

Le point 3 d'abord : une pratique interdite est la seule situation où le sujet cesse d'être documentaire, l'interdiction étant applicable depuis le 2 février 2025. Le point 6 ensuite, parce qu'une catégorie de données non définie signifie qu'un contrat ou un fichier client est probablement déjà sorti de l'entreprise. Le point 1 enfin, car aucun autre chantier ne peut être mené correctement sans savoir ce qui est utilisé.

Viennent ensuite les points 5, 8, 11 et 12, à traiter dans cet ordre. Ils correspondent aux quatre pièces décrites dans la gouvernance IA de PME en quatre documents. Elles se produisent en quelques semaines.

Les points 2 et 7 se traitent en parallèle, parce qu'ils ne dépendent de personne d'autre que vous. Le point 2 se tranche une fois par écrit, usage par usage, et conditionne la lecture de tous les autres. Le point 7 n'est imposé par aucun texte, mais c'est souvent la décision qui fait disparaître le plus d'usages hors cadre.

Les points 9 et 10 dépendent entièrement de ce que vous exposez au public. Une entreprise sans agent conversationnel et sans production de visuels générés les traite en une seule décision écrite.

Le point 4, enfin, se documente maintenant et s'approfondit plus tard. Identifier un usage relevant de l'annexe III et l'inscrire au registre est suffisant à ce stade, l'échéance étant fixée au 2 décembre 2027. Monter dès aujourd'hui un dispositif complet de gestion des risques dans une entreprise de 30 personnes revient à consommer un budget deux ans trop tôt.

Si vous cochez dix points sur douze avec des documents datés à l'appui, vous disposez déjà de l'essentiel des pièces qu'un tiers vous demandera. Si vous en cochez trois, l'ordre indiqué ci-dessus vous donne un plan de six semaines, pas un chantier annuel.

Questions fréquentes

Cette checklist a-t-elle une valeur officielle ?

Non. Il s'agit d'une auto-évaluation indicative, construite à partir des obligations en vigueur pour une entreprise qui utilise des systèmes d'IA. Aucune autorité ne délivre de grille officielle d'auto-évaluation pour l'usage courant de l'IA en entreprise, et aucun résultat obtenu ici ne constitue une garantie juridique.

Faut-il tout traiter avant le 2 décembre 2027 ?

Cette date concerne uniquement les obligations liées aux systèmes à haut risque de l'annexe III. Les points relatifs aux pratiques interdites, à la littératie IA et à la transparence ne dépendent pas de cette échéance. Ils sont déjà applicables ou le deviennent le 2 août 2026. Ne repoussez pas les onze autres points en vous appuyant sur une échéance qui ne concerne que le point 4.

Combien de temps pour passer de trois oui à dix ?

Pour une PME de 20 à 50 salariés qui s'y met sérieusement, comptez quelques semaines de travail réparti. Deux semaines calendaires pour le recensement, quelques jours pour la charte et le registre, deux à quatre heures par groupe pour la formation. Le poste le plus lourd n'est pas la rédaction des documents, c'est la collecte honnête des usages réels.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA