Checklist de conformité AI Act pour PME

1. Inventaire des systèmes d’IA

• Lister tous les outils utilisant de l'IA (SaaS, Copilot, chatbots, scoring, OCR, IA embarquée).
• Identifier pour chacun le fournisseur, la finalité métier et les données traitées.
• Préciser votre rôle : fournisseur, déployeur, importateur ou distributeur.
• Désigner un responsable interne par système.
• Mettre l'inventaire à jour à chaque nouvel outil ou nouvelle version.

2. Classification des risques

• Vérifier qu'aucun usage ne relève des pratiques interdites (article 5).
• Repérer les usages à haut risque (annexe III) : recrutement, crédit, sécurité, éducation.
• Identifier les systèmes soumis à obligation de transparence (chatbots, contenus générés).
• Documenter la justification de chaque classification.

3. Documentation et traçabilité

• Conserver la documentation technique fournie par l'éditeur.
• Activer et conserver la journalisation des systèmes à haut risque.
• Décrire les jeux de données, leur origine et leurs limites connues.
• Consigner les tests, incidents et corrections.
• Archiver les déclarations de conformité et marquages CE des fournisseurs.

4. Supervision humaine

• Définir qui peut arrêter ou contourner une décision automatisée.
• Former les personnes chargées de la supervision aux limites du système.
• Prévoir un canal de contestation pour les personnes concernées.

5. Littératie IA du personnel

• Sensibiliser tous les collaborateurs utilisant de l'IA (obligation depuis février 2025).
• Publier une charte d'usage de l'IA (données autorisées, outils validés).
• Tracer les sessions de formation et leur contenu.

6. Données, sécurité et gouvernance

• Vérifier la base légale RGPD de chaque traitement lié à l'IA.
• Mettre à jour le registre des traitements et, si nécessaire, réaliser une AIPD.
• Contrôler les clauses IA des contrats fournisseurs (responsabilité, localisation, réversibilité).
• Intégrer l'IA au périmètre de votre politique de sécurité et de vos sauvegardes.

Combien de points devez-vous cocher ?

Une PME qui n'utilise que des outils bureautiques augmentés à l'IA doit surtout couvrir l'inventaire, la littératie du personnel et la transparence. Dès qu'un système intervient dans le recrutement, l'accès au crédit ou la sécurité des personnes, l'ensemble des sections devient obligatoire.