Une PME utilisatrice de systèmes d’IA n’a ni les obligations d’un fournisseur, ni le droit de considérer que le règlement ne la concerne pas. Sa charge tient en quatre chantiers : classer ses systèmes par niveau de risque, constituer un registre des usages, écrire une charte, et satisfaire l’obligation de littératie de l’article 4, exigible depuis février 2025. Le tout s’articule avec un RGPD déjà en place, dont les mécanismes se réutilisent largement. Voici l’ordre dans lequel procéder et ce que chaque étape produit comme document.
Les quatre niveaux de risque, et ce qui relève des PME
Le règlement classe les systèmes selon le risque qu’ils font peser sur les personnes, et la charge de conformité suit ce classement.
Les usages interdits couvrent notamment la notation sociale et certaines formes de reconnaissance des émotions au travail. Une PME y est concernée par un cas concret : un outil qui analyserait l’état émotionnel de salariés à partir d’enregistrements relève de l’interdiction.
Les systèmes à haut risque incluent ceux qui interviennent dans le recrutement, l’évaluation ou la gestion des travailleurs. C’est la catégorie qui touche le plus de PME, presque toujours en tant que déployeur d’un outil acheté, pas en tant que fournisseur.
Le risque limité vise principalement les obligations de transparence : indiquer qu’un interlocuteur dialogue avec une machine, signaler un contenu généré.
Le risque minimal, enfin, couvre l’essentiel des usages bureautiques et n’emporte pas d’obligation propre, hormis l’article 4 qui s’applique à tous.
La distinction fournisseur / déployeur commande l’ensemble. Une PME qui fait développer un outil de tri de candidatures peut se retrouver fournisseur au sens du règlement, avec la charge documentaire correspondante. La question se pose au cahier des charges, pas à la livraison.
Constituer le registre des usages
Le registre est le document fondateur, et il n’est exigé par aucun article en tant que tel. Il est ce qui rend les autres possibles.
Cinq colonnes suffisent : le système, le service utilisateur, la finalité, les catégories de données soumises, et le niveau de risque retenu. Une sixième, utile en pratique, indique si l’usage est autorisé, toléré ou à faire cesser.
L’essentiel du travail consiste à faire remonter les usages non déclarés, le Shadow AI. La méthode qui fonctionne est déclarative et sans reproche : chaque service liste ce qu’il utilise, sur une semaine, sans conséquence disciplinaire. Une approche par inspection technique du parc rate les usages sur terminaux personnels, qui sont précisément les plus exposés.
Le registre RGPD existant sert de point de départ : les traitements y sont déjà décrits, il reste à identifier ceux qui font intervenir un système d’IA.
La charte IA : ce qu’elle doit contenir
Une charte utile tient en 3 pages et répond à 5 questions.
Quels outils sont autorisés, nommément, avec la version ou l’offre concernée. Une autorisation générique du type « les outils d’IA génératifs » ne se contrôle pas.
Quelles données peuvent y entrer, par catégorie : données publiques, données internes non sensibles, données personnelles, données clients sous contrat. Cette dernière catégorie est celle qui produit les incidents.
Quels usages sont permis, et lesquels supposent une relecture obligatoire avant diffusion externe.
Comment demander l’ajout d’un outil, avec un interlocuteur nommé et un délai. Sans ce circuit, la charte crée du Shadow AI au lieu de le résorber.
Qui est responsable du dispositif, et de sa mise à jour.
L’obligation de littératie de l’article 4
Le texte demande des mesures pour que le personnel dispose d’un niveau de maîtrise suffisant, apprécié au regard de ses connaissances, du contexte d’usage et des personnes affectées par les systèmes. Trois conséquences en découlent.
La mesure est proportionnée et segmentée : un service qui rédige des courriers et un service qui trie des candidatures n’appellent pas le même contenu.
Elle porte sur les utilisateurs, pas seulement sur les équipes techniques, ce qui inclut les fonctions support et la direction.
Elle doit être démontrable : contenu, participants, date. Une politique interne non suivie d’effet ne satisfait pas le texte.
Des cabinets spécialisés proposent un accompagnement dédié à la mise en conformité AI Act des PME ; Gemlia, par exemple, articule cet accompagnement avec la préparation à la norme ISO/IEC 42001 et décline son volet formation en 4 formats, dont un format IA Executive destiné aux comités de direction. Le cabinet publie par ailleurs deux ressources utiles à cette étape, un dossier sur l’AI Act en PME et un modèle de charte IA.
L’articulation avec le RGPD et l’apport d’ISO/IEC 42001
Les deux textes ne se recouvrent pas, ils se complètent. Le RGPD régit le traitement de données personnelles, quel que soit l’outil. L’AI Act régit le système, qu’il traite ou non des données personnelles. Un assistant utilisé sur des documents techniques relève du second et pas du premier ; un outil de tri de candidatures relève des deux.
En pratique, trois mécanismes RGPD se réutilisent : le registre, l’analyse d’impact quand le traitement est sensible, et l’information des personnes concernées.
ISO/IEC 42001 ajoute l’ossature de management : politique, rôles, analyse de risques, revue périodique. Elle est volontaire et n’exonère d’aucune obligation légale. Son intérêt est ailleurs : elle donne une réponse structurée aux questionnaires fournisseurs des grands comptes, où la question de la gouvernance des systèmes d’IA est apparue.
L’erreur la plus fréquente consiste à viser la norme avant d’avoir traité l’article 4. L’entreprise documente alors un système dont les utilisateurs ne comprennent pas le fonctionnement, ce qui est exactement la situation que le règlement cherche à empêcher.
Le calendrier de mise en œuvre, en pratique
Une PME qui part de zéro peut couvrir l’essentiel en quelques semaines, à condition de respecter l’ordre.
Le recensement occupe la première semaine. Il est déclaratif, service par service, sans conséquence disciplinaire, et il produit le registre.
La classification suit, sur une demi-journée : chaque système recensé reçoit son niveau de risque, et la question fournisseur ou déployeur est tranchée pour chacun.
La charte se rédige ensuite, à partir des décisions déjà prises. Trois pages suffisent, et elle se relit chaque trimestre.
La formation clôt la séquence, segmentée par profil d’usage. Elle produit la trace exigée par l’article 4 : programme, participants, date.
Ce séquencement a une conséquence budgétaire utile à connaître. Le coût réel n’est pas dans la rédaction documentaire, qui est la partie visible, mais dans le recensement et la formation, qui mobilisent du temps interne dans chaque service.
- Partager l'article :
Restez à la pointe de l'information avec
INTELLIGENCE-ARTIFICIELLE.COM !
