> Mise à jour du 20 août 2026. Le règlement « Digital Omnibus sur l'IA » (approuvé par le Parlement européen le 16 juin 2026, adopté par le Conseil le 29 juin 2026) reporte au 2 décembre 2027 les obligations pesant sur les systèmes d'IA à haut risque de l'annexe III — recrutement, scoring, RH, crédit — initialement prévues au 2 août 2026, et au 2 août 2028 pour l'annexe I. En revanche, les obligations de transparence de l'article 50 s'appliquent bien depuis le 2 août 2026, comme les interdictions de pratiques et la littératie IA depuis février 2025. Cet article a été relu à cette date.
Pourquoi cette checklist en 10 points ?
Le 2 août 2026 a rendu exigibles les obligations de transparence de l'EU AI Act ; le volet haut risque, lui, est attendu au 2 décembre 2027. Cette double échéance est précisément ce qui perd les dirigeants de PME : ce qui est déjà obligatoire et ce qui peut attendre ne se distinguent pas à la lecture du texte. Ceux qui ont commencé à se renseigner se heurtent à un règlement de 144 articles, 13 annexes, et un vocabulaire juridique opaque.
Cet article condense le règlement en 10 points concrets et actionnables, dans l'ordre où une PME a intérêt à les traiter. Les points 1 à 4 portent sur ce qui est déjà exigible ; les suivants préparent l'échéance de décembre 2027.
1. Avez-vous fait l'inventaire de tous vos systèmes d'IA ?
C'est le point de départ que 80 % des PME sautent parce qu'elles pensent ne pas utiliser d'IA. La réalité est différente : si votre entreprise utilise un chatbot Hubspot, un scoring prospect Salesforce, un tri automatique de CV, un détecteur anti-fraude bancaire, un traducteur DeepL automatisé, une plateforme de proctoring pour formations internes, ou même un assistant Microsoft Copilot, vous utilisez de l'IA au sens de l'EU AI Act.
Action concrète : listez sur un tableur tous les outils SaaS utilisés dans votre PME. Pour chacun, posez la question "intègre-t-il une fonctionnalité IA ?". Le résultat moyen d'un audit Digital Work : 7 systèmes IA identifiés là où le dirigeant pensait n'en avoir aucun.
2. Avez-vous classifié chaque système selon les 4 niveaux de risque ?
L'EU AI Act distingue 4 niveaux : risque inacceptable (interdit depuis février 2025), haut risque (Annexe III : RH, santé, finance, éducation, justice, infrastructure critique), risque limité (chatbots, deepfakes), risque minimal (la grande majorité des outils). Les obligations varient drastiquement selon le niveau.
Action concrète : pour chaque système identifié, vérifiez s'il tombe dans l'Annexe III. Un outil de tri de CV = haut risque. Un chatbot grand public = risque limité (transparence). Un outil de prédiction de stock = minimal. La majorité des PME ont 1 à 3 systèmes en haut risque, principalement dans le RH ou le service client.
3. Pour les systèmes haut risque, avez-vous la documentation Annexe IV ?
L'Annexe IV de l'EU AI Act exige 9 sections de documentation technique pour chaque système haut risque : description générale, méthode de développement, capacités et limitations, données d'entraînement, gestion des risques, tests effectués, mesures de gouvernance, journal des modifications, déclaration UE de conformité.
Action concrète : demandez à votre fournisseur SaaS la documentation Annexe IV. S'il refuse ou ne peut pas la fournir (cas fréquent avec les éditeurs américains), vous devez soit cesser l'usage, soit produire vous-même une documentation de votre intégration. C'est là que la majorité des PME bloquent. Un accompagnement avec des trames sectorielles permet de produire cette documentation beaucoup plus vite.
4. Avez-vous nommé ou désigné un responsable conformité IA ?
L'EU AI Act n'impose pas formellement un "DPO IA" mais le législateur recommande fortement de désigner un référent. Pour les PME ayant déjà un DPO RGPD, la mission peut être étendue à l'IA (avec formation complémentaire). Pour les PME sans DPO, l'externalisation est la solution la plus économique : le coût d'un DPO IA externalisé tourne autour de 350 à 600 € par mois pour une PME de 15 à 30 salariés (lire notre article DPO IA externalisé Marseille).
Action concrète : nommez un référent IA en interne (par décision écrite signée par le dirigeant) ou externalisez. La désignation doit être documentée pour démontrer votre conformité en cas de contrôle CNIL.
5. Avez-vous réalisé l'AIPD pour vos systèmes haut risque ?
L'Analyse d'Impact sur les Droits Fondamentaux (AIPD, article 27 de l'EU AI Act) est obligatoire pour les organismes publics et les opérateurs privés délivrant un service public. Elle est fortement recommandée pour toutes les PME utilisant un système haut risque, parce qu'elle constitue la principale preuve de bonne foi en cas de contrôle.
Action concrète : pour chaque système haut risque, documentez sur 2 à 5 pages : finalité du système, droits fondamentaux concernés (non-discrimination, vie privée, dignité), risques identifiés, mesures de mitigation, périodicité de revue. Le format n'est pas imposé par la CNIL tant que les éléments de fond sont couverts.
6. Vos utilisateurs sont-ils informés de l'usage d'IA ?
L'article 50 de l'EU AI Act impose une transparence explicite envers les personnes interagissant avec une IA. Concrètement : votre chatbot doit annoncer qu'il est une IA, vos contenus générés par IA doivent être étiquetés, vos candidats doivent être informés si leur CV est trié par algorithme, vos collaborateurs doivent savoir si leurs performances sont évaluées partiellement par IA.
Action concrète : auditez tous vos points de contact utilisateur (site web, formulaires, chatbots, processus de recrutement). Ajoutez les mentions de transparence requises. Pour un site PME standard, cela représente entre 2 et 5 mises à jour de copy. Si votre site a plus de 3 ans, c'est aussi le moment de questionner sa refonte globale (lire 10 signes qu'il faut refaire votre site internet en 2026).
7. Avez-vous mis en place une supervision humaine effective ?
L'article 14 exige qu'aucune décision automatisée à fort impact ne soit prise sans intervention humaine possible. Pour un outil de scoring CV : un recruteur doit pouvoir consulter et modifier la décision. Pour un détecteur de fraude bancaire : un agent doit pouvoir débloquer un compte signalé. Pour un système de proctoring : un examinateur doit pouvoir contester un signalement de triche.
Action concrète : documentez par écrit le processus de supervision humaine pour chaque système haut risque. Qui peut contester ? Sous quel délai ? Avec quelles preuves à l'appui ? Cette documentation est l'un des premiers éléments demandés par la CNIL en cas d'instruction.
8. Avez-vous testé la robustesse, la précision et la cybersécurité ?
L'article 15 exige un niveau approprié de précision, robustesse et cybersécurité pour les systèmes haut risque. En pratique : tests de biais (votre outil de tri de CV discrimine-t-il selon le genre, l'origine, l'âge ?), tests d'attaques adversariales (votre antifraude tient-il face à des tentatives de contournement ?), tests de continuité (que se passe-t-il si le service IA tombe en panne ?).
Action concrète : pour les systèmes développés en interne, planifiez une campagne de tests documentés. Pour les systèmes SaaS, demandez les rapports de tests à votre éditeur. Si l'éditeur refuse, c'est un signal d'alerte sur sa conformité globale.
9. Avez-vous formé vos équipes au usage responsable de l'IA ?
L'article 4 de l'EU AI Act, applicable depuis février 2025, oblige les fournisseurs et les déployeurs à garantir un niveau suffisant de littératie IA chez leurs collaborateurs. Cela inclut la compréhension des limites de l'IA, des biais possibles, des risques éthiques, et des bonnes pratiques d'utilisation.
Action concrète : organisez une session de formation IA pour toutes les équipes utilisant des outils IA (RH, commerce, support, marketing, IT). Une demi-journée suffit pour un niveau de base. Documentez la session par feuille de présence et support remis. Cette documentation prouve la conformité à l'article 4 en cas de contrôle.
10. Avez-vous un registre interne et un plan de réponse aux contrôles ?
Le registre interne IA est l'équivalent du registre RGPD article 30 mais pour l'IA : liste des systèmes, niveaux de risque, mesures appliquées, dates de revue. Il n'est pas formellement obligatoire pour les PME mais constitue le premier document demandé en cas de contrôle CNIL. À jour, il démontre une démarche structurée.
Action concrète : créez un fichier (tableur ou outil dédié) avec une ligne par système IA, et 8 colonnes minimum : nom du système, fournisseur, finalité, niveau de risque, date de classification, responsable interne, date de dernière revue, statut documentation. Mettez-le à jour trimestriellement.
Bilan : combien de points cochez-vous aujourd'hui ?
Faites le compte honnêtement, point par point. Voici comment lire votre score :
| Score | Où vous en êtes | Ce qu'il faut faire |
|---|---|---|
| 0-3 points | Aucune visibilité sur vos usages IA | Commencer par l'inventaire (point 1), c'est la brique dont tout le reste dépend |
| 4-6 points | Vous savez ce que vous utilisez, sans le documenter | Prioriser la transparence article 50, déjà exigible |
| 7-9 points | Base solide | Compléter la documentation Annexe IV avant décembre 2027 |
| 10/10 | Conformité opérationnelle | Maintenir : revue trimestrielle de l'inventaire |
Un score faible n'a rien d'exceptionnel : le texte fait 144 articles et 13 annexes, et son calendrier vient de changer. Ce qui compte est d'avoir traité en priorité ce qui est déjà exigible.
Comment Digital Work vous accompagne sur l'EU AI Act
Digital Work, basé à Vitrolles (PACA), accompagne les PME locales dans leur mise en conformité EU AI Act et RGPD via 3 services complémentaires :
- Audit conformité IA gratuit (1h en visio) — diagnostic des 10 points de cette checklist sur votre situation, livraison d'un rapport synthétique sous 48 h.
- DPO IA externalisé — abonnement mensuel à partir de 350 €/mois pour les PME de 15 à 30 salariés : nomination, registre IA, AIPD, suivi continu, formation équipes (lire DPO externalisé : avantages PME).
- Mise en conformité projet — accompagnement complet sur 6 à 8 semaines pour atteindre 10/10 sur la checklist : documentation, formation, intégration outils, audit final.
Pour les PME ayant un volume important de systèmes IA (5+) ou souhaitant gérer la conformité en autonomie, Digital Work peut mettre en place un outil de suivi adapté et former vos équipes.
Conclusion
L'EU AI Act n'est pas une menace, c'est une opportunité de structurer votre usage de l'IA et de démontrer votre sérieux face à vos clients B2B. Les PME conformes en août 2026 gagneront des appels d'offres publics, rassureront leurs grands comptes, et limiteront leur exposition juridique. Celles qui ignorent l'échéance risquent une mise en demeure CNIL dès septembre 2026, avec impact réputationnel non négligeable.
Si vous voulez un diagnostic rapide de votre situation, Digital Work propose un audit conformité IA gratuit en 1 h pour les PME PACA : nous parcourons les 10 points de cette checklist sur votre cas concret, et vous repartez avec un rapport priorisé des actions à engager d'ici le 2 août. Sans engagement, sans pression commerciale.