AI Act : le guide de mise en conformité qui libère les PME/ETI du verrouillage américain

# AI Act : le guide de mise en conformité qui libère les PME/ETI du verrouillage américain

L'AI Act est entré en application progressive depuis 2025. En 2026, les obligations touchent désormais les systèmes d'IA à haut risque et les modèles à usage général. Pour les DSI et CTO de PME/ETI, la question n'est pas seulement "sommes-nous conformes ?" — elle est surtout : est-ce que notre chemin vers la conformité renforce notre dépendance à des acteurs américains ou nous en libère ?

Ces deux questions ont des réponses très différentes selon les choix techniques que vous faites aujourd'hui. Ce guide vous donne les étapes concrètes pour naviguer l'une sans aggraver l'autre.

Étape 1 — Cartographiez vos systèmes d'IA avec un œil sur la chaîne de dépendance

Avant toute chose, vous devez savoir ce que vous faites tourner, et surtout où ça tourne.

L'AI Act distingue plusieurs niveaux de risque. Pour une PME/ETI, les systèmes concernés en priorité sont ceux qui touchent aux ressources humaines (recrutement, évaluation), au crédit, à la sécurité physique ou à l'accès aux services essentiels.

Checklist cartographie :

• Listez tous les outils intégrant de l'IA, y compris les modules "cachés" dans vos suites bureautiques ou ERP
• Pour chaque outil, identifiez : où est hébergé le modèle ? Qui en détient les poids ? Où partent vos données d'inférence ?
• Repérez les dépendances en cascade : votre outil de conformité RH fait peut-être appel à une API d'un acteur américain sans que vous le sachiez

Le piège typique : les offres dominantes US intègrent désormais des fonctions IA directement dans leurs licences existantes. Ce faisant, elles vous placent dans une situation de conformité AI Act à gérer sur leur infrastructure, selon leurs conditions contractuelles, avec leurs outils d'audit. Vous n'êtes plus maître du dossier de conformité que vous devrez présenter à votre autorité nationale de surveillance.

Étape 2 — Lisez vos contrats comme un juriste spécialisé en droit de la dépendance

L'AI Act impose des obligations de transparence, de documentation technique et de journalisation aux déployeurs de systèmes IA à haut risque. Concrètement, vous devez pouvoir produire des logs, des explications sur les décisions automatisées et une documentation sur les données d'entraînement.

Le problème souverain : ces obligations tombent sur vous, mais la capacité à y répondre appartient à votre fournisseur.

Ce que vous devez exiger contractuellement :

• Accès aux logs d'inférence en format exportable et lisible sans outil propriétaire
• Documentation technique du modèle utilisé (fiche technique, origine des données d'entraînement)
• Clause de portabilité des données de conformité en cas de résiliation
• Engagement sur la localisation des données de traitement (inférence incluse, pas seulement stockage)
• Droit d'audit indépendant ou accès à un rapport d'audit tiers reconnu (type SOC 2 ne suffit pas pour l'AI Act)

Si votre fournisseur ne peut pas ou ne veut pas répondre à ces exigences, vous portez un risque de non-conformité que vous ne contrôlez pas. C'est un signal de requalification du contrat, pas une discussion commerciale.

Étape 3 — Évaluez vos systèmes à haut risque avec la grille AI Act, pas avec celle de votre éditeur

Plusieurs acteurs américains proposent désormais leurs propres outils de "conformité AI Act". La démarche est habile : elle vous fait évaluer votre conformité avec leurs critères, dans leur interface, stockée dans leur cloud.

Faites l'exercice en interne ou avec un prestataire indépendant.

La grille de classification à haut risque (Annexe III de l'AI Act) est publique et applicable sans outil tiers. Les questions clés pour une PME/ETI :

1. Le système prend-il ou influence-t-il des décisions affectant des personnes physiques dans un domaine listé (emploi, crédit, éducation, services essentiels) ?

2. Le système est-il déployé sur des citoyens européens, même si le fournisseur est non-européen ?

3. Êtes-vous déployeur (vous utilisez le système) ou fournisseur (vous le mettez sur le marché) ? Les obligations diffèrent.

Si vous êtes déployeur d'un système à haut risque, vos obligations principales sont : évaluation d'impact, supervision humaine effective, tenue d'un registre. Ces trois obligations nécessitent un accès à des données que votre fournisseur détient. Revoyez l'étape 2.

Étape 4 — Pour les modèles à usage général, posez la question de la substituabilité

En 2026, les obligations sur les GPAI (General Purpose AI Models) sont actives. Si vous utilisez un modèle de fondation via API — pour du résumé, de la génération de contenu, du code, de l'analyse documentaire — vous êtes exposé à plusieurs risques cumulés :

• Risque de conformité : le fournisseur du modèle doit publier un résumé des données d'entraînement. Avez-vous vérifié que c'est le cas pour le modèle que vous utilisez ?
• Risque de lock-in : vos prompts, vos données contextuelles et votre historique d'usage constituent une dépendance opérationnelle. Migrer vers un autre modèle n'est pas qu'une question technique.
• Risque géopolitique : les conditions d'accès à ces APIs peuvent changer unilatéralement. Des PME européennes en ont fait l'expérience lors de révisions tarifaires ou de restrictions d'usage imposées sans préavis contractuel suffisant.

Ce que vous pouvez faire concrètement :

Tester le déploiement d'un modèle open-weight hébergé en Europe sur votre propre infrastructure ou celle d'un hébergeur européen certifié. Des modèles comme Falcon (développé aux Émirats, mais communauté ouverte) ou les travaux issus du consortium européen Lamarr existent. L'objectif n'est pas la performance maximale immédiate — c'est la réversibilité et la maîtrise de la chaîne de conformité.

Étape 5 — Construisez votre dossier de conformité comme s'il était auditable demain

L'autorité compétente dans votre pays (en France, c'est la CNIL en coordination avec d'autres autorités selon le secteur) peut demander accès à votre documentation. Un dossier de conformité AI Act minimal comprend :

Pour chaque système IA déployé à haut risque :

• [ ] Fiche d'identification du système (fournisseur, version, usage déclaré)
• [ ] Classification de risque et justification
• [ ] Évaluation d'impact sur les droits fondamentaux
• [ ] Procédure de supervision humaine documentée
• [ ] Registre des incidents et des décisions contestées
• [ ] Preuve de formation des utilisateurs finaux

Pour les GPAI utilisés en interne :

• [ ] Identification du modèle et du fournisseur
• [ ] Vérification de la publication du résumé de données d'entraînement par le fournisseur
• [ ] Politique d'usage acceptable interne
• [ ] Clause contractuelle sur la localisation de l'inférence

Ce dossier doit être maintenu à jour. Il ne peut pas reposer uniquement sur des exports depuis la plateforme de votre fournisseur. Vous avez besoin d'une copie locale, dans un format que vous contrôlez.

Étape 6 — Faites de la conformité un levier de renégociation, pas un coût subi

La mise en conformité AI Act vous donne une raison légitime et urgente de rouvrir des contrats qui semblaient verrouillés. C'est un levier que peu de DSI utilisent.

Arguments concrets pour une renégociation :

• L'AI Act impose des obligations légales européennes que le contrat actuel ne permet pas de respecter → clause de mise en conformité contractuelle obligatoire
• Si le fournisseur ne peut pas fournir la documentation technique requise → qualification possible en manquement contractuel
• Si les données d'inférence transitent hors UE sans encadrement adéquat → conflit avec le RGPD toujours en vigueur, cumulable avec l'AI Act

Ce moment est aussi l'occasion d'introduire des clauses de réversibilité technique : format d'export des données, délai de transition garanti, accès aux paramètres de personnalisation en cas de changement de fournisseur. Des prestataires européens spécialisés en droit du numérique peuvent vous accompagner sur ces renégociations — c'est un investissement, pas une dépense.

Ce que ce guide ne fait pas à votre place

L'AI Act n'est pas une contrainte administrative de plus. C'est le premier cadre légal européen qui vous donne des droits exigibles face à vos fournisseurs d'IA. Les PME/ETI qui le traitent comme un outil de reprise de contrôle sortiront de 2026 avec un SI moins exposé, des contrats plus équilibrés et une documentation qui prouve leur sérieux.

Celles qui délèguent leur conformité à leurs fournisseurs américains sortent avec une dépendance légèrement habillée en conformité. La différence, c'est qui tient le dossier.