AI Act et PME : obligations allegees

Le règlement européen sur l’intelligence artificielle (AI Act) a suscité des inquietudes légitimes chez les petites et moyennes entreprises et les start-ups du secteur de l’IA. La crainte d’une charge réglementaire disproportionnée, susceptible de freiner l’innovation européenne face aux geants américains et asiatiques, a été un enjeu central des négociations législatives. Le texte final du AI Act intègre plusieurs dispositions spécifiques visant à alleger les obligations des PME tout en maintenant un niveau élevé de protection des droits fondamentaux.

Cet article analyse en détail les mécanismes d’allegement prévus par le règlement pour les PME et les start-ups, ainsi que leurs limites.

Le cadre général : les PME ne sont pas exemptees

Le principe d’application universelle

Premier point essentiel : le AI Act s’appliqué à toutes les entreprises, quelle que soit leur taille. Les PME ne sont pas exemptees des obligations fondamentales du règlement. Les systèmes d’IA interdits (article 5) le sont pour tout le monde. Les obligations de transparence (article 50) s’imposent à tous les fournisseurs et déploiements. Les obligations relatives aux systèmes à haut risque s’appliquent en fonction de la nature du système, non de la taille de l’entreprise qui le fournit ou le déploie.

Ce principe est logique : le risque que presente un système d’IA pour les droits fondamentaux ne dépend pas de la taille de l’entreprise qui l’a développé. Un système de scoring crédit développé par une start-up presente les mêmes risques pour les personnes qu’un système équivalent développé par une multinationale.

La logique d’allegement : proportionnalité, pas exemption

L’approche du AI Act en matière de PME repose sur le principe de proportionnalité. Les obligations ne sont pas supprimées mais adaptées dans leurs modalités de mise en oeuvre. Les allegements portent sur les coûts de conformité, l’accès aux outils et ressources, les procédures d’évaluation, les sanctions, et l’accompagnement par les autorités.

Les allegements spécifiques pour les PME

Les bacs a sable réglementaires (articles 57 à 62)

Le AI Act impose aux États membres de mettre en place des bacs a sable réglementaires (regulatory sandboxes) pour l’IA au niveau national. Ces dispositifs permettent aux entreprises de développer et tester des systèmes d’IA innovants dans un environnement contrôle, sous la supervision des autorités compétentes, avant leur mise sur le marché.

Les PME et les start-ups bénéficient d’un accès prioritaire à ces bacs a sable. Le règlement prévoit explicitement que les conditions de participation doivent être adaptées aux besoins et aux capacités des petits opérateurs. Les autorités nationales doivent fournir un accompagnement spécifique, incluant des orientations sur les attentes réglementaires, les bonnes pratiques et les normes applicables.

L’intérêt du bac a sable est double pour les PME : il offre une sécurité juridique pendant la phase de développement (les autorités valident l’approche de conformité en amont), et il réduit les coûts de mise en conformité en permettant de bénéficier de l’expertise des autorités sans recourir à des consultants externes coûteux.

En France, la CNIL a déjà mis en place un dispositif de bac a sable pour l’IA dans le contexte du RGPD. Ce dispositif sera étendu ou complète pour couvrir les exigences du AI Act.

Les obligations de documentation allegees

Pour les systèmes d’IA à haut risque, le AI Act impose une documentation technique détaillée (article 11 et annexe IV). Le règlement prévoit que la Commission adopté des formulaires simplifies de documentation technique adaptés aux besoins des PME.

Ces formulaires doivent couvrir les mêmes éléments que la documentation standard (description du système, données d’entraînement, mesures de gestion des risques, résultats des tests) mais de manière proportionnée à la taille et aux ressources de l’entreprise. La Commission est chargée d’élaborer ces formulaires en consultation avec les parties prenantes, y compris les représentants des PME.

La checklist de conformité IA reste applicable, mais les modalités de mise en oeuvre sont allegees pour les petits opérateurs.

Les sanctions plafonnées

Le régime de sanctions du AI Act prévoit des plafonds spécifiques pour les PME :

Catégorie de violation	Sanction maximale (grandes entreprises)	Sanction maximale (PME)
Systèmes interdits	35 M EUR ou 7% CA	Le montant le plus faible
Autres obligations	15 M EUR ou 3% CA	Le montant le plus faible
Informations inexactes	7,5 M EUR ou 1,5% CA	Le montant le plus faible

Pour une PME dont le chiffre d’affaires annuel est de 2 millions d’euros, l’amende maximale pour non-conformité aux obligations standard serait de 60 000 euros (3% du CA), au lieu des 15 millions d’euros theoriques. Cette proportionnalité est essentielle pour éviter qu’une sanction ne mette en peril la survie de l’entreprise.

L’évaluation de conformité simplifiée

Pour les systèmes d’IA à haut risque listes à l’annexe III, le AI Act prévoit que l’évaluation de conformité peut être réalisée en interne par le fournisseur (auto-évaluation) dans la majorité des cas, sans recourir à un organisme notifie. Cette possibilité bénéficie particulièrement aux PME, pour lesquelles le coût d’une certification tierce peut être prohibitif.

L’auto-évaluation reste néanmoins exigeante : elle suppose la mise en place d’un système de gestion de la qualité, la réalisation de la documentation technique complète et la réalisation des tests requis. Les PME doivent disposer des compétences internes nécessaires ou se faire accompagner.

Les dispositifs d’accompagnement

Le Bureau européen de l’IA

Le Bureau européen de l’IA, cree au sein de la Commission européenne, a parmi ses missions l’accompagnement des PME dans la mise en conformité. Il doit publier des lignes directrices, des guides pratiques et des outils adaptés aux besoins des petites structures.

Les autorités nationales

Chaque autorité nationale compétente doit mettre en place des dispositifs d’accompagnement spécifiques pour les PME. Cela comprend des points de contact dédiés, des guides pratiques nationaux, des consultations gratuites et des formations.

Les codes de conduite

Le AI Act encourage l’élaboration de codes de conduite volontaires (article 95) pour les systèmes d’IA qui ne sont pas à haut risque. Ces codes, elabores par les acteurs du secteur en concertation avec les autorités, peuvent fournir aux PME un cadre de bonnes pratiques structuré et reconnu, facilitant la démonstration de leur diligence.

Les limites des allegements

Les obligations incompressibles

Certaines obligations du AI Act ne font l’objet d’aucun allegement pour les PME :

• Les interdictions (article 5) s’appliquent intégralement : une PME ne peut pas déployer un système d’IA interdit au motif de sa taille ;
• Les obligations de transparence (article 50) s’appliquent intégralement : un chatbot développé par une PME doit informer l’utilisateur qu’il interagit avec une IA ;
• Les exigences essentielles de sécurité pour les systèmes à haut risque ne sont pas allegees : la gestion des risques, la qualité des données, la supervision humaine restent des obligations pleines ;
• L’obligation de maîtrise de l’IA (article 4) s’appliqué à toutes les organisations.

Le coût réel de la conformité pour les PME

Malgré les allegements, la mise en conformité représente un investissement significatif pour une PME. Les principales charges incluent la formation des équipes (obligation de maîtrise de l’IA), la documentation technique (même simplifiée), les tests et évaluations, la mise en place d’un système de gestion des risques, et le suivi post-commercialisation.

Selon les estimations de la Commission européenne, le coût de mise en conformité pour un système d’IA à haut risque peut représenter entre 6 000 et 7 000 euros pour les tests d’évaluation, auxquels s’ajoutent les coûts de documentation, de formation et de mise en place des processus internes.

L’articulation avec le RGPD

Les PME qui developpent ou deploient des systèmes d’IA traitant des données personnelles doivent également satisfaire aux exigences du RGPD. L’articulation entre IA et RGPD impose notamment la réalisation d’une AIPD pour les traitements à risque élevé, la définition d’une base légale validé, la garantie des droits des personnes, et la conformité au principe de minimisation des données.

Ces obligations RGPD s’ajoutent a celles du AI Act, sans allegement spécifique lié à la taille de l’entreprise.

Recommandations pratiques pour les PME

Prioriser les actions

Les PME doivent adopter une approche pragmatique et prioriser leurs actions de mise en conformité selon le calendrier du AI Act :

1. Immediat : identifier les usages d’IA interdits et les supprimer ; engager la formation des équipes ;
2. Court terme : cartographier les systèmes d’IA et les classifier par niveau de risque ;
3. Moyen terme : mettre en place la documentation technique et le système de gestion des risques pour les systèmes à haut risque ;
4. Continu : surveiller le fonctionnement des systèmes déployés.

Mutualiser les ressources

Les PME peuvent mutualiser les coûts de conformité en s’appuyant sur les ressources sectorielles (guides, codes de conduite), les outils et modèles mis à disposition par les autorités nationales et le Bureau de l’IA, les prestataires spécialisés proposant des forfaits adaptés aux PME, et les bacs a sable réglementaires.

Intégrer la conformité des la conception

Pour les PME qui developpent des systèmes d’IA, l’approche la plus efficace consiste à intégrer les exigences de conformité des la phase de conception. Cela permet d’éviter les coûts de mise en conformité à posteriori, qui sont généralement beaucoup plus élevés que l’intégration des exigences en amont.

Cette approche de “conformité by design” rejoint le principe de protection des données des la conception (privacy by design) déjà impose par le RGPD.

FAQ

Les micro-entreprises sont-elles exemptees du AI Act ?

Non. Le AI Act ne prévoit pas d’exemption pour les micro-entreprises. Les allegements prévus pour les PME (formulaires simplifies, sanctions plafonnées, accès aux bacs a sable) s’appliquent également aux micro-entreprises. Cependant, les obligations fondamentales du règlement – interdictions, exigences essentielles pour les systèmes à haut risque, transparence – restent applicables à toutes les entreprises, quelle que soit leur taille.

Une start-up peut-elle commercialiser un système d’IA à haut risque sans organisme notifie ?

Oui, dans la majorité des cas. Pour les systèmes à haut risque listes à l’annexe III du AI Act, l’évaluation de conformité peut être réalisée en interne (auto-évaluation) par le fournisseur, sans intervention d’un organisme notifie. L’exception concerne les systèmes d’identification biométrique, pour lesquels l’intervention d’un organisme notifie est obligatoire. Cette possibilité d’auto-évaluation est particulièrement benefique pour les start-ups et PME qui ne disposent pas des ressources pour financer une certification tierce coûteuse.

Quels financements existent pour aider les PME a se mettre en conformité avec le AI Act ?

Plusieurs sources de financement peuvent être mobilisées. Au niveau européen, le programme pour une Europe numérique (DEP) et Horizon Europe prévoient des financements pour le développement d’IA de confiance. Au niveau national, les dispositifs d’aidé à l’innovation (BPI France, crédits d’impôt recherché) peuvent couvrir les travaux de R&D liés à la conformité. Les bacs a sable réglementaires offrent un accompagnement gratuit par les autorités. Enfin, les chambres de commerce et les organisations professionnelles commencent a proposer des programmes d’accompagnement dédiés.