AI Act : ce qu’une PME doit vraiment faire (et ce qu’elle peut ignorer).

Depuis des mois, deux phrases reviennent dans la bouche des dirigeants de PME. La première : « On va prendre une amende à 35 millions, il faut tout arrêter. » La seconde : « L’AI Act, c’est pour les grands groupes, ça ne nous concerne pas. »

Ces deux phrases sont fausses. Et elles coûtent cher, chacune à sa manière : la première gèle des projets utiles par peur ; la seconde laisse l’IA sauvage (le Shadow AI) s’installer sans le moindre garde-fou.

Le problème, c’est que personne ne lit le texte. Alors on réagit à des titres. Reprenons calmement.

Le Règlement européen sur l’intelligence artificielle s’applique par vagues depuis 2024. La grande date que tout le monde redoutait, le 2 août 2026, devait déclencher l’essentiel des obligations sur les systèmes dits « à haut risque ».

Sauf qu’un règlement de simplification publié au Journal officiel de l’Union européenne le 24 juillet 2026, entré en vigueur trois jours plus tard, a changé la donne. Ces obligations « haut risque » s’appliqueront le 2 décembre 2027 pour les systèmes autonomes listés à l’annexe III, et le 2 août 2028 pour ceux qui sont intégrés à des produits déjà réglementés. Le calendrier reste mouvant, et c’est exactement le piège.

Les obligations les plus lourdes (analyse de risque, gouvernance des données, journalisation, supervision humaine, évaluation de conformité) visent les usages « à haut risque ». Pour une PME, cela concerne surtout deux familles : la sélection de CV automatisée côté RH, et l’évaluation de la solvabilité côté crédit, ou la tarification en assurance santé et vie.

Si vous êtes dans ces cas, vous avez du temps : l’essentiel est reporté au 2 décembre 2027, et ce temps sert à monter le dossier, pas à attendre. Si vous n’y êtes pas, ces obligations ne vous tomberont sans doute jamais dessus.

Attention au contresens, parce qu’il coûte cher. Ne pas être « à haut risque » ne veut pas dire n’avoir rien à cadrer. Cela veut dire que votre chantier 2026 n’est pas le dossier de conformité du haut risque, mais un autre, plus simple et plus pressant : un contrat client collé dans un outil ouvert, un courrier parti avec une erreur que personne n’a relue, un assistant qui promet à un client un délai que vous ne tiendrez pas, et personne qui puisse dire qui avait autorisé quoi. C’est ce chantier-là que vous pouvez traiter cette année.

À retenirLe risque immédiat d’une PME, ce n’est pas l’amende à 35 millions d’euros. C’est l’IA sauvage : des données sensibles collées dans des outils ouverts, aucune trace, aucune politique. C’est ça qui vous expose, bien avant l’AI Act.

C’est tout l’enjeu. La plupart des entreprises voient la conformité comme une couche de paperasse à ajouter une fois que tout le monde utilise déjà l’IA dans son coin. C’est le pire moment, et le plus coûteux : on documente à reculons un chaos qu’on ne maîtrise plus.

La méthode du Cockpit CadrIA prend le problème à l’envers. La phase « Sécuriser » inscrit vos règles, votre périmètre RGPD et vos garde-fous dans la consigne IA elle-même, au moment où l’équipe travaille. Le DPO dispose d’un droit de veto. La trace s’écrit en séance, alignée sur l’AI Act et l’ISO 42001. Vous n’avez plus rien à rattraper après : la conformité est là, par construction.

Ce cadre, vous pouvez le formaliser dans une charte d’usage de l’IA : la mission autorisée, le périmètre de données, les garde-fous, construits avec vos équipes et révisables à mesure que la réglementation bouge. C’est la trace écrite que l’article 4 et un auditeur attendent de vous.