AI Act : ce qu’une PME doit vraiment faire (et ce qu’elle peut ignorer).

Depuis des mois, deux phrases reviennent dans la bouche des dirigeants de PME. La première : « On va prendre une amende à 35 millions, il faut tout arrêter. » La seconde : « L’AI Act, c’est pour les grands groupes, ça ne nous concerne pas. »

Ces deux phrases sont fausses. Et elles coûtent cher, chacune à sa manière : la première gèle des projets utiles par peur ; la seconde laisse l’IA sauvage (le Shadow AI) s’installer sans le moindre garde-fou.

Le problème, c’est que personne ne lit le texte. Alors on réagit à des titres. Reprenons calmement.

Le Règlement européen sur l’intelligence artificielle s’applique par vagues depuis 2024. La grande date que tout le monde redoutait, août 2026, devait déclencher l’essentiel des obligations sur les systèmes dits « à haut risque ».

Sauf qu’un accord de simplification présenté en mai 2026 a changé la donne : la plupart de ces obligations « haut risque » sont repoussées à décembre 2027. Le calendrier reste mouvant, et c’est exactement le piège.

Les obligations les plus lourdes (analyse de risque, gouvernance des données, journalisation, supervision humaine, évaluation de conformité) visent les usages « à haut risque ». Pour une PME, cela concerne surtout deux familles : la sélection de CV automatisée côté RH, et le scoring financier côté crédit ou assurance.

Si vous êtes dans ces cas, vous avez du temps : l’essentiel est reporté à décembre 2027. Si vous n’y êtes pas, ces obligations ne vous tomberont sans doute jamais dessus. C’est précisément ce que veut dire « ce que vous pouvez ignorer » : ne consacrez pas votre énergie 2026 à documenter un « haut risque » que vous n’avez pas.

À retenirLe risque immédiat d’une PME, ce n’est pas l’amende à 35 millions d’euros. C’est l’IA sauvage : des données sensibles collées dans des outils ouverts, aucune trace, aucune politique. C’est ça qui vous expose, bien avant l’AI Act.

C’est tout l’enjeu. La plupart des entreprises voient la conformité comme une couche de paperasse à ajouter une fois que tout le monde utilise déjà l’IA dans son coin. C’est le pire moment, et le plus coûteux : on documente à reculons un chaos qu’on ne maîtrise plus.

La méthode du Cockpit CadrIA prend le problème à l’envers. La phase « Sécuriser » inscrit vos règles, votre périmètre RGPD et vos garde-fous dans la consigne IA elle-même, au moment où l’équipe travaille. Le DPO dispose d’un droit de veto. La trace s’écrit en séance, alignée sur l’AI Act et l’ISO 42001. Vous n’avez plus rien à rattraper après : la conformité est là, par construction.

Ce cadre, vous pouvez le formaliser dans une charte d’usage de l’IA : la mission autorisée, le périmètre de données, les garde-fous, construits avec vos équipes et révisables à mesure que la réglementation bouge. C’est la trace écrite que l’article 4 et un auditeur attendent de vous.