Les obligations deployeur AI Act PME concernent toute PME qui utilise un système d’IA pour décider, assister une décision, classer, filtrer ou surveiller un processus de travail. Le bon objectif n’est pas de “tout auditer”, mais d’obtenir une décision traçable : quel usage garder, lequel encadrer, lequel suspendre. Pour une PME, le résultat concret attendu est simple : un responsable identifié, des preuves minimales sur les données et la supervision humaine, et un seuil clair qui déclenche un plan d’action.
Réponse exécutive
L’AI Act impose une logique de maîtrise du risque, pas seulement une lecture juridique. Le règlement européen organise les obligations selon le rôle de l’entreprise et le niveau de risque du système, avec des exigences sur la surveillance humaine, la qualité des données, la documentation et le suivi des incidents pour certains usages Règlement AI Act. La Commission européenne rappelle aussi que les obligations varient selon le cas d’usage et le positionnement de l’acteur dans la chaîne de valeur Vue d’ensemble de la Commission.
Pour une PME, la bonne question n’est pas “sommes-nous parfaitement conformes ?” mais “avons-nous assez de preuves pour décider en sécurité ?”. C’est exactement le rôle d’un audit IA PME ou d’un diagnostic IA entreprise : relier le risque réel à une décision d’usage, d’encadrement ou de retrait.
Critères de décision
Avant de lancer ou de maintenir un usage, la direction doit vérifier cinq critères concrets.
| Critère | Propriétaire | Preuve à inspecter | Seuil de décision |
|---|---|---|---|
| Usage réel du système | Responsable métier | Description du cas d’usage et population touchée | Si l’outil influence une décision sensible, passage en revue renforcé |
| Données d’entrée | DSI / métier | Source, fraîcheur, qualité, droits d’usage | Si les données sont incomplètes ou non maîtrisées, corriger avant déploiement |
| Surveillance humaine | Manager opérationnel | Qui peut revoir, annuler, corriger | Si personne ne peut intervenir, usage à restreindre |
| Journalisation / incidents | Sécurité / conformité | Registre des incidents, traces d’usage | Si aucun suivi n’existe, plan minimum à mettre en place |
| Impact sur les personnes | Direction / RH / juridique | Effets possibles sur clients, salariés, candidats | Si l’impact est élevé, validation formelle requise |
La gouvernance IA doit donc répondre à une question simple : qui assume la décision finale quand l’outil se trompe ? En pratique, l’absence d’owner est déjà un signal de risque.
Matrice à remplir
Utilisez une matrice de décision pondérée avec critères, notes et seuil de décision. Notez chaque critère de 1 à 5, multipliez par le poids, puis additionnez.
| Critère | Poids | Note 1-5 | Score pondéré | Évidence |
|---|---|---|---|---|
| Maîtrise des données d’entrée | 30 % | |||
| Supervision humaine effective | 25 % | |||
| Traçabilité et incidents | 20 % | |||
| Impact sur les droits ou opportunités | 15 % | |||
| Capacité de correction rapide | 10 % |
Seuil recommandé :
- 80/100 ou plus : usage maintenu, avec contrôle courant.
- 60 à 79/100 : usage autorisé sous conditions et plan de remédiation.
- Moins de 60/100 : suspendre ou limiter fortement jusqu’à correction.
Owner recommandé : direction des opérations ou direction générale, avec exécution par le métier et la DSI. Evidence à vérifier : logs, procédures de validation, politique d’usage, registre des incidents, notice fournisseur, droits sur les données.
Pour comparer une offre d’audit IA, regardez d’abord les livrables réutilisables : matrice, registre des risques, priorités et seuil de décision. Un exemple de livrables attendus est détaillé dans cet exemple de rapport d’audit IA pour PME, utile pour cadrer les résultats attendus avant d’acheter.
Interprétation
Si la note est faible sur la supervision humaine, le problème n’est pas “technique” mais organisationnel : il faut définir qui peut bloquer, corriger ou escalader. Si la faiblesse porte sur les données d’entrée, le risque principal est une décision cohérente… mais fondée sur des données erronées. Si les incidents ne sont pas suivis, la PME ne peut pas prouver qu’elle maîtrise son usage.
La CNIL insiste sur la nécessité de documenter les finalités, de sécuriser les données et d’anticiper les effets sur les personnes dans les projets d’IA Repères CNIL sur l’IA. Cette logique rejoint le besoin d’un audit IA PME centré sur les preuves, pas sur le discours vendeur.
Plan d’action
En 7 jours, une PME peut produire une décision utile.
- Nommer un owner par usage.
- Evidence : fiche de responsabilité.
- Seuil : aucun usage sans propriétaire.
- Next action : créer un registre des usages IA.
- Vérifier les données d’entrée.
- Evidence : source, fréquence de mise à jour, droits, exclusions.
- Seuil : toute donnée non maîtrisée bloque le déploiement.
- Next action : corriger ou retirer la source.
- Tester la supervision humaine.
- Evidence : scénario d’erreur et intervention possible.
- Seuil : si l’humain ne peut pas reprendre la main, restreindre l’usage.
- Next action : définir un point de contrôle.
- Ouvrir un suivi d’incidents.
- Evidence : journal simple des erreurs et corrections.
- Seuil : absence de trace = remédiation immédiate.
- Next action : tenir un registre minimal.
Pour un cadrage plus large, consultez la page d’accueil d’AI AUDIT en français et le blog AI AUDIT. Si vous souhaitez transformer ces critères en livrable de décision, la page de commande en français est ici.
Exemple hypothétique, clairement identifié
Une PME de services utilise un assistant IA pour préqualifier des demandes entrantes. Le responsable commercial pense gagner du temps, mais personne n’a vérifié la source des données ni prévu de revue humaine sur les dossiers sensibles.
Application de la matrice : données d’entrée 2/5, supervision humaine 1/5, incidents 1/5, impact 4/5, correction rapide 3/5. Score probable inférieur au seuil. Décision : limiter l’usage aux tâches de rédaction interne, interdire toute décision client automatisée, puis lancer un audit IA PME ciblé sur les points de contrôle.
FAQ
Par où commencer pour les obligations deployeur AI Act PME ?
Commencez par nommer un owner, lister les usages IA et vérifier les données d’entrée. Evidence : registre des usages. Next action : classer chaque usage selon son impact.
Quels points vérifier avant de décider ?
Vérifiez la supervision humaine, la traçabilité des incidents et le droit d’usage des données. Evidence : procédures, logs, contrat fournisseur. Threshold : si un point manque, la décision est différée.
Coût, risques et priorités : que traiter d’abord ?
Traitez d’abord les usages qui touchent clients, salariés ou candidats. Owner : direction avec métier. Evidence : matrice pondérée. Next action : corriger les faiblesses qui font passer le score sous 60/100.