L'évaluation de conformité au sens de l'AI Act est une procédure formelle prévue par l'article 43, et elle ne concerne que les fournisseurs de systèmes d'IA à haut risque. Si votre PME utilise ChatGPT, Copilot ou un CRM doté d'une brique IA, vous n'y êtes très probablement pas soumis. Ce que vous devez conduire, en revanche, c'est un auto-diagnostic de conformité : identifier votre rôle, classer vos systèmes, documenter vos décisions.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
L'évaluation de conformité au sens de l'AI Act est une procédure formelle prévue par l'article 43, et elle ne concerne que les fournisseurs de systèmes d'IA à haut risque. Si votre PME utilise ChatGPT, Copilot ou un CRM doté d'une brique IA, vous n'y êtes très probablement pas soumis. Ce que vous devez conduire, en revanche, c'est un auto-diagnostic de conformité : identifier votre rôle, classer vos systèmes, documenter vos décisions.
La confusion entre ces deux exercices est la première source de perte de temps que nous constatons en accompagnement. Des dirigeants nous appellent persuadés de devoir produire un dossier technique et apposer un marquage CE sur leur usage de Copilot. Ce n'est pas ce que dit le texte. Cet article remet les choses dans l'ordre, à partir du règlement (UE) 2024/1689 tel que modifié par l'AI Omnibus entré en vigueur le 27 juillet 2026. Pour la vue d'ensemble, le guide de conformité AI Act pour PME et associations reste le point d'entrée du sujet.
L'évaluation de conformité de l'article 43 est une procédure de mise sur le marché, pas un audit interne annuel. Elle intervient avant qu'un système d'IA à haut risque soit mis sur le marché ou mis en service, et elle incombe au fournisseur, c'est-à-dire à celui qui développe le système et le commercialise sous son nom.
Le règlement prévoit deux voies :
À l'issue de cette procédure, le fournisseur établit une déclaration UE de conformité (article 47), appose le marquage CE (article 48) et enregistre le système dans la base de données européenne (article 49). C'est un dispositif calqué sur la logique de la sécurité des produits, pas sur celle du RGPD.
Une précision qui compte pour les acheteurs : une modification substantielle du système déclenche une nouvelle évaluation de conformité, y compris si le système reste utilisé par le même déployeur. Les évolutions d'apprentissage prédéterminées par le fournisseur et documentées dès l'évaluation initiale ne comptent pas comme modification substantielle.
Votre rôle juridique conditionne 90 % de vos obligations, et il se détermine avant même de regarder le niveau de risque. Une PME qui utilise un outil acheté sur étagère est déployeur. Une PME qui développe un système et le vend est fournisseur. La différence d'obligations est considérable.
| Rôle | Qui est concerné | Évaluation de conformité art. 43 | Obligations principales |
|---|---|---|---|
| Fournisseur | Développe et met sur le marché sous son nom | Oui, si haut risque | Documentation technique, SMQ, marquage CE, surveillance après commercialisation |
| Déployeur | Utilise le système sous sa propre autorité | Non | Usage conforme à la notice, contrôle humain, information des personnes, journalisation |
| Importateur | Met sur le marché UE un système d'un pays tiers | Non, mais vérifie qu'elle a été faite | Contrôle documentaire avant mise sur le marché |
| Distributeur | Met à disposition sans être fournisseur ni importateur | Non | Vérification du marquage CE et de la documentation |
Le piège se trouve à l'article 25. Un déployeur bascule dans le statut de fournisseur, avec toutes les obligations associées, dans trois cas : s'il commercialise le système sous sa propre marque, s'il le modifie substantiellement, ou s'il en détourne la finalité prévue. Concrètement, une PME qui encapsule un modèle sous sa marque dans un produit vendu à ses clients devient fournisseur. Une PME qui utilise ce même modèle en interne reste déployeur. La frontière est plus fine qu'elle n'en a l'air, et elle mérite d'être tranchée par écrit. Le détail du périmètre est traité dans AI Act : qui est concerné.
L'AI Act ne classe pas les organisations, il classe les systèmes, un par un. Une même PME peut cumuler un usage à risque minimal (rédaction marketing), un usage à risque limité soumis à transparence (chatbot client) et un usage à haut risque (outil de tri de CV).
L'ordre de vérification est le suivant :
L'inventaire préalable est le travail le plus chronophage, et le plus souvent bâclé. Nous avons publié une méthode et un modèle dans cartographier ses systèmes IA. Comptez une demi-journée pour une PME de 20 personnes, plutôt deux jours au-delà de 100 salariés, parce qu'il faut interroger les métiers un par un : la moitié des usages IA d'une PME sont des abonnements souscrits sans passer par la direction.
Si vous êtes fournisseur d'un système à haut risque, l'évaluation de conformité est la dernière brique d'un chantier qui en compte sept. Vous ne pouvez pas la conduire tant que les exigences de la section 2 du chapitre III ne sont pas satisfaites :
L'évaluation de conformité, ensuite, consiste à vérifier que le système de management de la qualité est conforme à l'article 17, que la documentation technique démontre le respect de ces exigences, et que la conception, le développement et la surveillance après commercialisation sont cohérents avec cette documentation.
Pour une PME dans cette situation, l'ordre de grandeur budgétaire va de quelques dizaines de milliers d'euros en contrôle interne à plusieurs fois ce montant avec organisme notifié. Ce chiffrage dépend trop du système pour être annoncé sérieusement à l'avance, et nous ne le donnons ici qu'à titre d'ordre de grandeur à valider projet par projet. Notez que l'article 62 prévoit des mesures de soutien spécifiques aux PME et aux start-ups, dont un accès prioritaire aux bacs à sable réglementaires.
Pour l'immense majorité des PME, la conformité tient en cinq livrables internes, pas en une procédure d'évaluation. Voici ce que nous mettons en place en accompagnement :
Ce dernier point mérite une position claire. Former ses équipes reste utile, mais l'argument juridique de l'amende automatique est faux et nous ne l'utilisons pas. La vraie raison de former, c'est qu'un collaborateur qui ne sait pas ce qu'est un LLM ni comment il hallucine produit des erreurs qui coûtent plus cher que la formation.
Un classement en risque minimal doit être écrit et daté au même titre qu'un classement en haut risque. C'est le point le plus négligé, et c'est pourtant celui qui vous protégera si une autorité de surveillance du marché vous interroge.
Pour chaque système, gardez la trace de la question posée, du raisonnement suivi, de la conclusion retenue et de la personne qui a tranché. Trois lignes suffisent. Ce qui compte est de pouvoir démontrer que la question a été traitée, pas de produire un document impressionnant. C'est exactement la logique de l'accountability du RGPD, et les deux textes se recoupent largement, comme expliqué dans AI Act vs RGPD.
Prévoyez une revue à chaque changement d'outil ou de version majeure. Un fournisseur qui ajoute une fonctionnalité d'analyse de CV à son SIRH peut faire basculer votre classement du jour au lendemain, sans que personne chez vous ne l'ait demandé.
Les obligations relatives aux systèmes à haut risque de l'annexe III ne s'appliquent pas au 2 août 2026, mais au 2 décembre 2027. Le report résulte de l'AI Omnibus, sur lequel un accord politique a été trouvé le 7 mai 2026 et qui est entré en vigueur le 27 juillet 2026. Les systèmes à haut risque intégrés à des produits réglementés (annexe I) suivent au 2 août 2028.
Ce décalage change la priorisation. Vous n'avez pas quelques semaines pour boucler un dossier d'évaluation de conformité, vous avez plus d'un an. En revanche, ce qui s'applique déjà ne bouge pas : interdictions de l'article 5 depuis février 2025, obligations GPAI depuis août 2025, transparence de l'article 50 et pleins pouvoirs de sanction depuis le 2 août 2026. Le calendrier AI Act complet reprend chaque échéance.
Beaucoup d'articles en ligne, y compris récents, annoncent encore l'échéance haut risque au 2 août 2026. C'est périmé. Vérifiez systématiquement la date de mise à jour des sources que vous consultez sur ce sujet, et privilégiez le calendrier officiel publié par le service desk de la Commission européenne.
Une PME qui utilise ChatGPT doit-elle faire une évaluation de conformité ? Non. Utiliser un outil d'IA générative sous sa propre autorité fait de vous un déployeur, pas un fournisseur. L'évaluation de conformité de l'article 43 ne s'applique pas. Vous restez soumis aux obligations de transparence de l'article 50 si vous publiez du contenu généré ou exploitez un agent conversationnel.
Combien de temps prend un auto-diagnostic de conformité pour une PME ? Entre une demi-journée et trois jours selon la taille et le nombre d'outils. L'inventaire représente les deux tiers de l'effort. La rédaction des livrables est rapide une fois le périmètre stabilisé.
Qui contrôle en France ? Les autorités nationales de surveillance du marché, désignées au titre de l'article 70. Leurs pleins pouvoirs de sanction sont effectifs depuis le 2 août 2026. Le régime d'amendes de l'article 99 va jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, avec un plafond appliqué au montant le plus faible des deux pour les PME.
Faut-il un organisme notifié ? Seulement pour les systèmes biométriques de l'annexe III point 1 lorsque les normes harmonisées n'ont pas été appliquées, et pour certains produits réglementés de l'annexe I. Les autres cas d'usage haut risque relèvent du contrôle interne de l'annexe VI.
Une modification de notre outil déclenche-t-elle une nouvelle évaluation ? Oui si elle est substantielle, c'est-à-dire si elle affecte la conformité, la sécurité ou la finalité du système. Les évolutions d'apprentissage prévues et documentées par le fournisseur dès l'évaluation initiale ne sont pas considérées comme substantielles.
Le marquage CE est-il obligatoire pour notre chatbot interne ? Non, sauf si ce chatbot constitue un système à haut risque que vous fournissez. Un agent conversationnel de support interne relève au maximum des obligations de transparence.
Que se passe-t-il si nous nous trompons de classement ? Un classement erroné mais documenté et raisonné vous place dans une position très différente d'une absence totale d'analyse. C'est la raison pour laquelle nous insistons sur la trace écrite, y compris pour les décisions négatives.
Nous intervenons sur trois briques : la cartographie des systèmes et le classement de risque, la production des livrables internes (registre, politique d'usage, mentions de transparence), et la formation des équipes qui utilisent réellement ces outils au quotidien. Nous sommes organisme de formation certifié Qualiopi, ce qui ouvre la prise en charge OPCO sur le volet formation.
Notre position est simple : nous ne vendons pas de la peur réglementaire. La plupart des PME que nous accompagnons découvrent qu'elles sont moins exposées qu'elles ne le pensaient sur l'AI Act, et beaucoup plus exposées qu'elles ne le pensaient sur la qualité de leurs usages IA. C'est ce second sujet qui fait la différence sur les résultats. Pour aller plus loin sur le cadre complet, reportez-vous au guide AI Act pour PME et associations, et sur les risques financiers aux sanctions AI Act.
Si vous voulez y voir clair sur votre propre situation, nous proposons un audit guidé de 30 minutes : inventaire rapide, classement des trois ou quatre systèmes principaux, et liste des livrables qui vous manquent. Sans engagement, et sans dossier de 40 pages à la clé.