AI Act : êtes-vous concerné avec votre application ? Checklist conformité avant le 2 août 2026
27 déc. 2025
Vous avez une et vous avez commencé à y ajouter “un peu d’IA” : extraction de données, suggestions, scoring, chatbot, automatisations…
Bonne nouvelle : dans beaucoup de cas, vous pouvez rester dans une zone “gérable”. Mauvaise nouvelle : avec l’EU AI Act, une IA “simple” peut basculer en risque élevé selon le contexte (emploi, crédit, assurance, services essentiels, sécurité, etc.).
Ce guide est fait pour vous si vous êtes dirigeant de PME : concret, opérationnel, et orienté “terrain”.
1) Le calendrier : ce qui est déjà applicable, et ce qui arrive le 2 août 2026
1.1. Dates à retenir (à afficher dans votre bureau)
1er août 2024 : entrée en vigueur du règlement (AI Act).
2 février 2025 :
interdictions (“pratiques interdites”) applicables
obligation d’AI literacy (former/sensibiliser les personnes qui utilisent l’IA) applicable
2 août 2025 : règles de gouvernance + obligations pour les modèles IA à usage général (GPAI) applicables.
2 août 2026 : la majorité des règles deviennent applicables (dont transparence et une grande partie des règles “haut risque”).
2 août 2027 : délai spécifique pour les IA haut risque intégrées à des produits réglementés (transition plus longue).
1.2. “On utilise ChatGPT via API, donc on n’est pas concerné” : faux réflexe
Même si vous ne “créez pas un modèle”, vous pouvez être concerné en tant que :
Déployeur (vous utilisez une IA dans vos processus / votre app)
Fournisseur/éditeur (vous mettez une app sur le marché avec une fonctionnalité IA)
En clair : si votre application prend des décisions/suggestions qui impactent des personnes (candidats, salariés, clients), ou automatise des tâches sensibles, vous devez qualifier et documenter.
2) Le point clé : ce n’est pas “l’IA” qui est risquée, c’est l’usage
Dans une PME, le piège classique ressemble à ça :
au départ : “on veut juste gagner du temps”
puis : “on va scorer les prospects”
puis : “on va filtrer des candidats”
puis : “on automatise 80% des décisions”
Et là, vous pouvez basculer dans des obligations bien plus lourdes.
3) Checklist conformité AI Act
Objectif : être prêt avant le 2 août 2026 sans bloquer vos projets.
Checklist #1 — Cartographier vos usages IA (1 à 2 heures)
Listez toutes les fonctionnalités “IA” (même petites) : classement, extraction, recommandation, génération de texte, chatbot, OCR, etc.
Pour chacune, notez :
qui l’utilise (interne / client / public)
sur quelles données (personnelles ? sensibles ?)
quelle action derrière (info, recommandation, décision, refus, priorité, prix…)
si un humain valide, et à quel moment
Checklist #2 — Classer le niveau de risque (simple mais indispensable)
Posez-vous ces questions (oui/non) :
Votre IA intervient-elle sur recrutement, évaluation de salariés, planning “punitif”, productivité individuelle ?
Votre IA impacte-t-elle l’accès à un service (ex : refus, priorité, tarification) ?
Votre IA fait-elle du scoring de personnes (fiabilité, fraude, solvabilité) ?
Votre IA a-t-elle un effet “juridique” ou “similairement significatif” sur quelqu’un ?
Si vous cochez “oui” à certains points, vous devez prendre le sujet au sérieux très tôt : l’effort de documentation et de contrôle n’a rien à voir avec un simple module de suggestion.
Checklist #3 — Mettre en place une supervision humaine
Définissez clairement ce que l’IA a le droit de faire : proposer vs décider.
Ajoutez des “garde-fous” : seuil de confiance, double validation, file d’exception.
Créez une procédure simple : que fait l’équipe quand l’IA se trompe ?
Checklist #4 — Logs, traçabilité, et audit
Logguez : input, output, version du modèle/prompt, utilisateur, date/heure, action prise.
Gardez un historique des changements (prompts, règles, seuils, templates).
Prévoyez un export “audit” (même basique) : indispensable en cas d’incident ou de demande.
Checklist #5 — Transparence côté utilisateurs
Indiquez quand une personne interagit avec une IA (ex : assistant, chatbot, suggestion automatique).
Rédigez des textes simples : “ce que fait l’IA / ce qu’elle ne fait pas / comment contester”.
Évitez les formulations ambiguës : une “reco” peut être perçue comme une décision.
La transparence devient un sujet majeur à partir du 2 août 2026
Checklist #6 — Gestion des incidents
Définissez un canal interne : “incident IA” (Slack/Teams + responsable).
Typologie : hallucination, erreur OCR, biais de scoring, fuite de données, action non désirée.
Plan : désactivation fonctionnalité, rollback version, communication interne/externe si besoin.
Checklist #7 — Revue fournisseurs (si vous utilisez une API IA)
Listez vos fournisseurs : modèle (LLM), OCR, transcription, anti-fraude, modération, etc.
Vérifiez : localisation, sous-traitants, conservation des données, opt-out training, SLA, sécurité.
Documentez : ce que vous envoyez (données personnelles ?) et pourquoi.
Checklist #8 — “AI literacy” : faites simple, mais faites-le
Depuis le 2 février 2025, l’AI Act prévoit une obligation d’AI literacy pour les organisations qui mettent en place/emploient des systèmes IA.
Version PME (pragmatique) :
45 minutes de formation interne : limites, biais, confidentialité, validation humaine.
Une checklist “avant de faire confiance à l’IA” (5 points) collée dans l’app / Notion.
Un rappel : jamais de données sensibles “copiées-collées” dans un outil non validé.
4) Cas pratiques
4.1. Planning / dispatch d’interventions
Plutôt tranquille : optimisation de tournées, suggestions d’ordonnancement, détection de retards.
Attention : si le système évalue la performance individuelle, attribue automatiquement des pénalités, ou influence fortement conditions de travail (horaires, pauses, charge) → zone sensible “emploi”.
4.2. Scoring de prospects / priorisation commerciale
Plutôt tranquille : prioriser des leads B2B sur la base d’intentions (pages vues, taille société) + validation commerciale.
Attention : si le scoring devient une logique de refus d’accès à un service ou une tarification “personnalisée” qui affecte significativement des personnes.
4.3. OCR + extraction (factures, bons d’intervention, KYC interne)
Plutôt tranquille : extraction assistée + écran de validation humaine + correction.
Attention : si l’extraction déclenche automatiquement des actions irréversibles (paiement, résiliation, refus) sans contrôle.
4.4. Contrôle qualité (photos, conformité chantier, sécurité)
Plutôt tranquille : détection d’anomalies comme aide au contrôleur.
Attention : si l’IA devient un “juge” unique qui bloque des livraisons, ou si elle touche à des environnements où la sécurité est critique (à cadrer sérieusement).
4.5. Support client (chatbot, assistant de réponse)
Plutôt tranquille : chatbot FAQ + transfert à un humain, rédaction assistée, résumé de ticket.
Attention : si le bot gère des réclamations sensibles, refuse des remboursements, ou produit des réponses “contractuelles” sans garde-fous.
5) Plan d’action pour être prêt avant le 2 août 2026
Semaine 1 : cartographie + classement des risques (atelier 2h).
Semaine 2 : décider “IA propose” vs “IA décide” + écrire les règles de supervision humaine.
Semaine 3 : logs + versioning + procédure incident (MVP conformité).
Semaine 4 : revue fournisseurs + mise à jour des écrans de transparence + mini-formation (AI literacy).
6) Et si vous développez aussi sur iOS : ne mélangez pas les sujets (mais anticipez)
L’AI Act encadre l’IA. Le DMA et l’écosystème iOS encadrent l’accès, les règles de distribution et certains points de conformité côté plateformes.
Si votre app iOS évolue (paiement, distribution, store, conformité), gardez un plan de route clair. Pour cadrer le sujet iOS/DMA, vous pouvez aussi lire :
Guide iOS en Europe : DMA (Digital Markets Act)
Conclusion : votre meilleur avantage, c’est d’être pragmatique
Une PME n’a pas besoin d’un programme conformité “groupe CAC 40”. En revanche, elle a besoin de :
mettre au clair où est l’IA dans l’app,
savoir qui valide,
garder des traces,
sécuriser les fournisseurs,
et former les équipes (AI literacy).
Si vous le faites maintenant, vous évitez le scénario classique : un projet qui marche, puis qui se retrouve freiné (ou refondu) à cause d’un point réglementaire découvert trop tard.
Besoin d’un cadrage rapide sur votre cas ?
Chez AppStarter, on vous aide à : (1) qualifier vos cas d’usage IA, (2) structurer une app métier robuste (logs, supervision, sécurité), (3) intégrer des modèles IA via API de façon propre (coûts, monitoring, garde-fous).
Si vous avez un planning, un dispatch, un scoring, un OCR ou un support client “augmenté” en tête, on peut vous dire rapidement ce qui est “tranquille” et ce qui doit être cadré plus sérieusement.