> Mise à jour du 20 août 2026. Le règlement "Digital Omnibus sur l'IA" (approuve par le Parlement européen le 16 juin 2026, adopte par le Conseil le 29 juin 2026) reporte au 2 décembre 2027 les obligations pesant sur les systèmes d'IA a haut risque de l'annexe III — recrutement, scoring, RH, crédit — initialement prévues au 2 août 2026, et au 2 août 2028 pour l'annexe I. En revanche, les obligations de transparence de l'article 50 s'appliquent bien depuis le 2 août 2026, comme les interdictions de pratiques et la littératie IA depuis février 2025. Cet article a été relu à cette date.
Le calendrier que personne ne suit dans les PME PACA
Si vous dirigez une PME à Marseille, Aix-en-Provence, Vitrolles ou Nice, vous avez probablement déjà entendu parler de "l'IA Act européen". Mais savez-vous qu'une partie du texte s'applique déjà, depuis le 2 août 2026, et que votre entreprise peut être en infraction aujourd'hui si elle utilise un chatbot ou des contenus générés par IA sans le signaler ?
Digital Work accompagne les PME de la région PACA sur leurs obligations réglementaires. Cet article explique concrètement ce qu'une PME doit faire avant la deadline, combien ça coute et comment s'y prendre sans budget conformité illimité.
Qui est concerne en région PACA ?
Toute entreprise qui utilise un système d'IA, peu importe sa taille, est potentiellement concernée par l'EU AI Act. Concrètement en PACA, ca inclut :
- Les PME qui utilisent ChatGPT, Claude, Copilot ou Gemini pour traiter des données clients
- Les cabinets de recrutement à Marseille ou Aix qui utilisent un scoring automatique de CV
- Les concessions automobiles qui utilisent un scoring crédit pour le financement
- Les cabinets médicaux et cliniques qui utilisent des outils d'aide au diagnostic
- Les e-commerces avec des chatbots clients ou recommandations produits automatiques
- Les SSII et éditeurs de logiciel qui intègrent de l'IA dans leurs produits
Si vous reconnaissez votre entreprise dans cette liste, l'EU AI Act vous concerne.
Les 4 catégories de risque de l'EU AI Act
L'EU AI Act classe les systèmes d'IA en 4 catégories :
1. Risque inacceptable (interdits depuis février 2025)
Notation sociale, reconnaissance des émotions en entreprise, manipulation comportementale. Si votre PME utilise ca, il faut arrêter immédiatement.
2. Haut risque (obligations lourdes, repoussées au 2 décembre 2027)
- Recrutement et évaluation des candidats
- Scoring crédit et solvabilité
- Gestion des ressources humaines (évaluation, promotion, licenciement)
- Accès aux services essentiels (banque, assurance, santé)
- Formation et éducation
Pour ces systèmes, il faut produire une documentation technique complete (Annexe IV), une analyse d'impact sur les droits fondamentaux (FRIA), mettre en place une supervision humaine et un système de logs.
3. Risque limite (obligations de transparence)
Chatbots, systèmes d'IA générative, deepfakes. Vous devez informer vos utilisateurs qu'ils interagissent avec une IA.
4. Risque minimal (pas d'obligation)
Filtres anti-spam, jeux vidéos, recommandations basiques. Pas d'obligation spécifique, juste une bonne pratique de transparence.
Le cas concret d'une PME de Vitrolles
Prenons l'exemple d'une PME de 45 salaries à Vitrolles, spécialisée dans la logistique, qui utilise :
- ChatGPT pour rédiger ses mails commerciaux (risque limite, obligation de transparence)
- Un outil de scoring automatique pour sélectionner les candidats chauffeurs (haut risque, obligations lourdes)
- Un chatbot client sur son site (risque limite, obligation d'information)
Cette PME doit :
- Informer les candidats que leur CV est analyse par un système automatique (article 13 EU AI Act + article 22 RGPD)
- Produire l'Annexe IV du système de scoring candidats (documentation technique, 20 à 40 pages)
- Réaliser la FRIA sur ce système (analyse d'impact droits fondamentaux)
- Mettre en place une supervision humaine : un RH doit pouvoir rejeter une recommandation du système
- Logger toutes les décisions prises par le système (durée conservation : 6 mois minimum)
- Ajouter une mention "Ce chatbot est un système d'IA" sur le site web
- Documenter ses usages de ChatGPT en interne (finalités, données envoyées)
Temps estime pour tout faire : 25 à 40 heures de travail réparties sur 2 à 3 mois.
Sanctions en cas de non-conformité
Les sanctions EU AI Act sont calquées sur le RGPD, mais plus sévères pour les cas graves :
- 35 millions euros ou 7 pourcent du CA mondial pour usage d'IA interdite
- 15 millions euros ou 3 pourcent du CA mondial pour violation des obligations haut risque
- 7,5 millions euros ou 1 pourcent du CA mondial pour violations administratives
Pour une PME PACA avec 5 millions de CA, le risque maximal est de 350 000 euros. Même si l'autorité de surveillance adopte une approche pédagogique en 2026 et 2027, aucune entreprise sérieuse ne peut se permettre ce risque.
Plan d'action pour une PME PACA (3 mois)
Mois 1 : Inventaire et diagnostic (avril a mai 2026)
- Lister tous les systèmes d'IA utilises dans l'entreprise (y compris les outils SaaS)
- Classer chaque système dans une catégorie de risque
- Identifier les systèmes a haut risque qui nécessitent une action lourde
- Réaliser un diagnostic gratuit sur une plateforme spécialisée
Mois 2 : Documentation et mise en conformité (juin a juillet 2026)
- Produire l'Annexe IV pour chaque système haut risque
- Réaliser la FRIA pour chaque système haut risque
- Mettre en place le système de logs
- Documenter les mesures de supervision humaine
- Ajouter les mentions de transparence sur les systèmes a risque limite
- Former les equipes aux obligations EU AI Act
Phase 3 : Audit et validation
- Revue juridique des documents produits
- Test des procédures de supervision humaine
- Validation par la direction
- Archivage des documents pour présentation en cas de controle
Échéance : 2 décembre 2027 pour le volet haut risque. Les obligations de transparence de l'article 50, elles, sont exigibles depuis le 2 août 2026 : c'est le point à traiter en premier.
Combien ça coute ?
Deux approches possibles pour une PME PACA :
Option 1 : Faire appel à un cabinet d'avocats
Un cabinet d'avocats specialise en droit du numérique facture entre 8 000 et 25 000 euros pour accompagner une PME sur la mise en conformité EU AI Act (selon nombre de systèmes IA). C'est l'approche la plus complete mais aussi la plus coûteuse.
Option 2 : Utiliser une plateforme SaaS et un DPO externalisé
Un outil de gestion de la conformité peut structurer le travail. En complément, un DPO externalisé (150 à 400 euros par mois selon la taille) peut valider la documentation produite. Budget total pour une PME : 500 à 2 000 euros sur 3 mois.
C'est 10 à 20 fois moins cher que l'option cabinet d'avocats, pour un résultat équivalent pour la plupart des PME.
Pourquoi agir maintenant (et pas en juillet)
Trois raisons d'agir des maintenant :
- La courbe d'apprentissage est réelle. Comprendre l'EU AI Act et produire une Annexe IV propre prend du temps. À 3 semaines de la deadline, les cabinets et plateformes seront satures.
- Les premiers controles sont prévus pour l'automne 2026. Les autorités de surveillance vont cibler les secteurs a risque (recrutement, crédit, santé) en priorité.
- Votre écosystème va vous demander des preuves. Vos clients grands comptes, vos banques et vos assureurs vont vous demander des attestations de conformité. Sans documentation, vous perdez des contrats.
Digital Work peut vous accompagner
Digital Work est une agence basée à Vitrolles qui accompagne les PME de la région PACA sur leurs projets numériques et leurs obligations réglementaires. Nous proposons :
- Audit EU AI Act gratuit pour identifier les systèmes a risque dans votre entreprise
- Mise en place d'un outil de suivi de la conformité adapté à votre taille
- DPO externalisé pour les PME qui n'ont pas de ressource en interne
- Formation des equipes aux obligations EU AI Act et RGPD
Contactez-nous pour un premier echange gratuit. Nous regardons ensemble votre situation et nous vous disons honnêtement si vous avez besoin d'un accompagnement ou si vous pouvez gérer en autonomie.