Diagnostic AI Act

Oui. Le Règlement UE 2024/1689 s'applique à toute organisation — quelle que soit sa taille — qui développe, commercialise ou utilise des systèmes d'IA dont l'effet se produit dans l'Union européenne. Les PME sont expressément mentionnées dans le règlement, qui prévoit des dispositions simplifiées pour certaines catégories, mais l'obligation d'AI literacy (art. 4) s'applique universellement depuis le 2 février 2025. Seuls les systèmes à usage strictement personnel sont exclus.

Trois critères principaux déterminent votre exposition : (1) vous utilisez, développez ou commercialisez un système IA, (2) l'effet de ce système se produit dans l'UE (vos clients, salariés ou utilisateurs sont dans l'UE), (3) le système IA n'est pas à usage strictement personnel. Notre diagnostic pose les 7 questions clés pour couvrir ces dimensions. Si vous utilisez des outils comme ChatGPT, Copilot ou tout outil d'automatisation IA dans un contexte professionnel avec des données personnelles, vous êtes a minima soumis à l'obligation d'AI literacy.

L'Annexe III du Règlement UE 2024/1689 liste les catégories de systèmes à haut risque : recrutement et évaluation des salariés (tri de CV, scoring de performance), scoring de crédit et assurance, accès aux soins et aux aides sociales, dispositifs médicaux avec composante IA, infrastructures critiques (eau, énergie, transport), biométrie (reconnaissance faciale, identification), décisions judiciaires et répression. Si votre IA intervient dans l'une de ces catégories, vous êtes soumis à des obligations renforcées depuis août 2026 : supervision humaine, traçabilité, documentation technique, enregistrement.

L'article 4 du Règlement UE 2024/1689 impose aux fournisseurs et déployeurs de systèmes IA de s'assurer que les personnes travaillant avec ces systèmes disposent d'une connaissance suffisante des capacités, des limites et des risques de l'IA. Cette obligation s'applique à toutes les catégories de risque — même les outils grand public comme ChatGPT utilisés dans un contexte professionnel. Elle est en vigueur depuis le 2 février 2025. Concrètement, cela signifie former et sensibiliser vos équipes, et documenter cette formation.

Le règlement s'applique par phases : (1) 1er août 2024 — entrée en vigueur ; (2) 2 février 2025 — interdictions (systèmes risque inacceptable) + obligation d'AI literacy (art. 4) ; (3) 2 août 2025 — modèles d'IA à usage général (GPAI) dont GPT-4 et équivalents ; (4) 2 août 2026 — systèmes à haut risque (Annexe III) dont recrutement, crédit, biométrie ; (5) 2 août 2027 — systèmes à haut risque restants (Annexe II, dispositifs médicaux). Votre première obligation immédiate est donc l'AI literacy.

Le fournisseur (provider) développe, adapte ou commercialise un système IA — il porte les obligations les plus lourdes : marquage CE pour les systèmes à haut risque, documentation technique, enregistrement dans la base de données EU AI Act. Le déployeur (deployer) utilise un système IA développé par un tiers dans un contexte professionnel — ses obligations portent sur la supervision humaine, la formation AI literacy, le maintien des logs d'utilisation et la transparence envers les utilisateurs finaux. La plupart des PME sont déployeurs.

Une charte IA interne doit couvrir au minimum : (1) les outils IA autorisés et leurs finalités déclarées, (2) les données qu'il est interdit d'insérer dans des systèmes IA tiers (données personnelles, secrets commerciaux, données santé), (3) les règles de supervision humaine (un humain valide toujours les décisions importantes), (4) les responsabilités en cas d'incident ou de biais détecté, (5) la procédure de signalement. Notre kit documentaire inclut un modèle de charte personnalisable pour les PME françaises, disponible après le diagnostic.

Non. Ce diagnostic est un outil d'orientation indicatif qui vous aide à comprendre votre exposition probable à l'AI Act et à prioriser vos actions. Il ne constitue pas un avis juridique ni une évaluation de conformité officielle. La qualification définitive de vos systèmes IA (haut risque ou non) et la validation de vos mesures de conformité requièrent l'intervention d'un conseil juridique ou d'un expert en conformité réglementaire spécialisé. Ce disclaimer est affiché de manière visible dans l'outil.