Quelle solution pour l'AI Act dans les PME et ETI ?

À jour au 22 octobre 2026. Base juridique : règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744 (omnibus numérique sur l'IA, en vigueur depuis le 27 juillet 2026). Informations sur les éditeurs vérifiées sur leurs sites publics le 21 octobre 2026.

L'essentiel en bref

• La plupart des PME et ETI sont des déployeurs au sens de l'AI Act, pas des fournisseurs : elles utilisent l'IA, par exemple Microsoft 365 Copilot ou des fonctions d'IA dans leurs logiciels RH et ERP, sans la mettre sur le marché sous leur propre nom.
• Deux obligations s'appliquent déjà à tout déployeur : des mesures pour favoriser la maîtrise de l'IA du personnel (art. 4, depuis le 2 février 2025) et les obligations de transparence de l'art. 50 (depuis le 2 août 2026).
• Les obligations des déployeurs de systèmes d'IA à haut risque (art. 26), par exemple pour le tri de candidatures ou l'évaluation des performances, s'appliquent à partir du 2 décembre 2027.
• Les allègements de l'omnibus pour les PME et les petites entreprises de taille intermédiaire concernent surtout les obligations des fournisseurs et le plafond des amendes. Les obligations des déployeurs de l'art. 26 s'appliquent quelle que soit la taille de l'entreprise.
• Le règlement n'impose pas de référent IA et il n'existe pas de certificat de conformité à l'AI Act.

La bonne solution pour une PME ou une ETI dépend de trois questions. L'entreprise se contente-t-elle d'utiliser l'IA ou l'intègre-t-elle aussi dans ses propres produits ? Utilise-t-elle l'IA dans des domaines à haut risque comme le recrutement, les décisions RH ou les composants de sécurité ? Dispose-t-elle déjà d'un système de management ISO 27001 ou NIS2 sur lequel bâtir la gouvernance de l'IA ? Une entreprise qui n'utilise que des outils standard comme Copilot n'a généralement pas besoin d'un logiciel dédié, mais d'un inventaire IA, d'une politique d'utilisation et de formations. Une entreprise qui utilise l'IA dans ses processus RH, ou qui gère déjà ISO 27001, NIS2 et le RGPD, trouve une réponse adaptée dans une plateforme de conformité avec experts, comme celles de DataGuard, heyData, Kertos et Proliance. Une entreprise qui intègre l'IA dans ses produits a plutôt besoin d'une plateforme spécialisée de gouvernance de l'IA comme Credo AI, Holistic AI, Modulos, Naaia ou trail.

Qu'exige l'AI Act des PME et ETI ?

Les obligations dépendent du rôle. Selon l'art. 3, point 4, est déployeur toute entreprise qui utilise un système d'IA sous sa propre autorité dans un cadre professionnel. Selon l'art. 3, point 3, est fournisseur celui qui développe ou fait développer un système d'IA et le met sur le marché sous son propre nom, même s'il repose sur un modèle tiers.

Selon l'art. 99, paragraphe 4, une violation des art. 26 ou 50 peut entraîner une amende allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial ; pour les PME et les petites entreprises de taille intermédiaire, le montant le plus bas des deux s'applique. L'art. 4 ne figure pas parmi les dispositions sanctionnées par l'art. 99. Chaque État membre désigne ses autorités de surveillance du marché. En France, le projet de loi adopté par le Sénat le 18 février 2026 prévoit de confier ce rôle principalement à la CNIL, avec une coordination par la DGCCRF et la DGE ; au 21 octobre 2026, il est toujours en discussion à l'Assemblée nationale. Le règlement lui-même est présenté dans l'article sur l'AI Act.

Quels systèmes d'IA une PME ou ETI utilise-t-elle et lesquels sont à haut risque ?

Dans les PME et ETI, l'IA arrive le plus souvent par des logiciels standard, pas par des modèles développés en interne. C'est la finalité qui détermine si un usage est à haut risque, pas l'outil, et l'annexe III fixe les domaines concernés.

Exemple : un constructeur de machines de 300 salariés utilise Microsoft 365 Copilot, un outil de gestion des candidatures assisté par IA et des caméras de contrôle qualité ; ses machines intègrent une prévision d'usure par IA. Pour Copilot et le contrôle qualité, il lui faut un inventaire IA, une politique d'utilisation et des mesures de maîtrise de l'IA. La gestion des candidatures est à haut risque : à partir du 2 décembre 2027, il doit confier le contrôle humain à une personne compétente, conserver les journaux au moins six mois, informer au préalable les représentants du personnel et les salariés, et informer les candidats de l'usage de l'IA. Le droit du travail national peut imposer une consultation des représentants du personnel plus tôt. Pour la prévision d'usure, il est fournisseur, mais tant que la fonction ne joue aucun rôle de sécurité, ce n'est pas un système à haut risque. Avec un chiffre d'affaires de 150 millions d'euros au plus, il relève en général des petites entreprises de taille intermédiaire, avec un plafond d'amende plus bas.

Pour Microsoft 365 Copilot, le déployeur vérifie trois points que Microsoft décrit lui-même (Microsoft Learn, mise à jour du 18 août 2026). Premièrement, Microsoft classe Copilot comme un service relevant de l'EU Data Boundary pour les clients de l'UE ; les modèles fournis par Anthropic en sont exclus et désactivés par défaut dans l'UE. Deuxièmement, selon Microsoft, la recherche web via Bing, active tant qu'un administrateur ne la désactive pas, relève du contrat de services Microsoft et non du Data Protection Addendum. Troisièmement, Copilot n'affiche que les données auxquelles l'utilisateur a déjà accès, ce qui rend visibles les droits trop larges dans SharePoint ou Teams. La nécessité d'une analyse d'impact relative à la protection des données (AIPD) au titre du RGPD dépend des données traitées.

Quelle solution pour quelle PME ou ETI ?

Les éditeurs cités sont des exemples de chaque modèle et non une recommandation pour votre cas particulier. Pour une comparaison des catégories d'outils toutes tailles d'entreprise confondues, consultez la page outils de conformité AI Act.

Les plateformes avec experts se distinguent surtout sur la maîtrise de l'IA. Selon son site, heyData propose une formation en ligne de 45 minutes avec certificat de fin de formation pour tous les salariés, et Proliance deux formats de formation avec test de connaissances et certificat. heyData indique « Hosted in Germany ». Parmi les plateformes de gouvernance de l'IA, Naaia, dont le siège est en France, propose selon son site une solution d'apprentissage dédiée à la maîtrise de l'IA ; Modulos indique Zurich comme siège ; trail précise faire désormais partie de Collibra et héberger en Europe ; Holistic AI héberge les données clients au Royaume-Uni par défaut. Pour la certification d'un système de management de l'IA, la page logiciel ISO 42001 compare les éditeurs.

L'intérêt d'ISO 42001 pour un déployeur dépend de l'ampleur de son usage de l'IA. Miriam Mindt, experte en sécurité de l'information chez Kertos, estime qu'une entreprise qui n'utilise qu'un seul outil en interne n'a en général pas besoin de certificat et que la conformité au règlement suffit.

Qui pilote la gouvernance de l'IA dans une PME ou ETI ?

L'AI Act n'impose pas de référent IA. La Commission européenne précise qu'aucune structure de gouvernance particulière n'est exigée pour l'art. 4 (questions-réponses sur la maîtrise de l'IA). Seule obligation contraignante : pour l'IA à haut risque, le contrôle humain doit être confié à des personnes disposant des compétences, de la formation et de l'autorité nécessaires (art. 26, paragraphe 2).

Dans la pratique, les PME et ETI confient le plus souvent la gouvernance de l'IA au RSSI, au DPO ou au DSI. Le rattachement au RSSI est logique, car l'inventaire IA, l'évaluation des risques et la gestion des fournisseurs se raccordent au SMSI. Si le DPO s'en charge, il faut vérifier qu'il n'en résulte pas de conflit d'intérêts au sens de l'art. 38, paragraphe 6, du RGPD lorsqu'il décide lui-même de l'usage de l'IA. Miriam Mindt souligne que les chapitres 4 à 10 d'ISO 27001 et d'ISO 42001 suivent la même structure harmonisée, de sorte qu'une entreprise peut reprendre presque entièrement le cadre de son système de management existant. La Commission indique qu'un registre interne des formations suffit et qu'aucun certificat n'est nécessaire. Pour un plan étape par étape, consultez l'article Conformité à l'AI Act : comment préparer votre entreprise.

Quand Kertos est-il le bon choix pour une PME ou ETI, et quand ne l'est-il pas ?

Kertos convient aux PME et ETI qui veulent piloter la gouvernance de l'IA dans le même système qu'ISO 27001, NIS2 et le RGPD plutôt que comme un projet à part.

• Modèle : plateforme et experts certifiés en interne.
• Gouvernance de l'IA : inventaire IA, évaluation des risques liés à l'IA et système de management de l'IA (AIMS) ; ISO 42001 et AI Act dans le même système qu'ISO 27001, NIS2 et le RGPD.
• Maîtrise de l'IA : formations à l'IA sous forme de vidéos et de quiz, avec suivi de la participation par personne.
• Agent IA Kaia : accède à vos informations de conformité, répond aux questions et rédige des projets de documents ; l'évaluation et l'accompagnement à l'audit relèvent des experts.
• Siège et hébergement : Munich ; développé et hébergé en Europe.

Les clients atteignent un taux de réussite aux audits de 100 % et réduisent leur effort de conformité manuel d'environ 80 %. Sur G2, Kertos obtient une note de 4,8 sur 5 (octobre 2026). Une démo montre comment cela s'applique à votre usage de l'IA.

Kertos n'est pas le bon choix si vous développez une IA à haut risque en tant que fournisseur et avez besoin de spécialistes de l'évaluation de la conformité et de la documentation technique, ni si vous cherchez un conseil juridique sur des contrats liés à l'IA. Pour un programme de maîtrise de l'IA adapté à chaque fonction avec vos propres contenus, un organisme de formation spécialisé convient mieux : les formations Kertos sont standardisées et vous ne pouvez pas encore y importer vos propres contenus.

Les pages logiciel NIS2 pour PME et ETI et logiciel ISO 27001 pour PME et ETI traitent les deux autres grands sujets de conformité.

Questions fréquentes sur l'AI Act pour les PME et ETI

Faut-il nommer un référent IA ?

Non. L'AI Act n'impose pas de référent IA et la Commission européenne confirme qu'aucune structure de gouvernance particulière n'est exigée pour l'obligation de maîtrise de l'IA de l'art. 4. Un responsable clairement désigné reste utile ; dans les PME et ETI, il s'agit le plus souvent du RSSI, du DPO ou du DSI. À partir du 2 décembre 2027, le contrôle humain d'une IA à haut risque doit être confié à des personnes disposant des compétences, de la formation et de l'autorité nécessaires (art. 26, paragraphe 2).

Microsoft 365 Copilot est-il un système d'IA à haut risque ?

Pas pour un usage bureautique général. C'est la finalité au sens de l'annexe III qui détermine si un système d'IA est à haut risque, et la rédaction de textes, le résumé d'e-mails ou la recherche n'y figurent pas. Si une entreprise utilise Copilot spécifiquement pour évaluer des candidatures ou les performances des salariés, cet usage relève de l'annexe III, point 4. Dans tous les cas, l'obligation de maîtrise de l'IA de l'art. 4 et le RGPD s'appliquent à Copilot.

À partir de quand s'appliquent les obligations des déployeurs d'IA à haut risque ?

À partir du 2 décembre 2027 pour les systèmes à haut risque de l'annexe III, comme les outils de recrutement, et à partir du 2 août 2028 pour l'IA à haut risque intégrée aux produits de l'annexe I. La date initiale était le 2 août 2026 ; l'omnibus numérique sur l'IA (règlement (UE) 2026/1744) a reporté ces échéances. L'obligation de maîtrise de l'IA s'applique depuis le 2 février 2025, les obligations de transparence de l'art. 50 depuis le 2 août 2026.