5 écarts AI Act que 90 % des PME/ETI françaises ont depuis le 2 août 2026
Le 2 août 2026, l'AI Act est pleinement entré en vigueur pour les systèmes IA à haut risque. Depuis, j'audite des PME et ETI françaises — DSI, DPO, équipes data. Les mêmes manques reviennent systématiquement. Voici les cinq plus fréquents, avec une action concrète pour chacun.
Pas d'inventaire des systèmes IA
L'article 9 de l'AI Act exige un système de gestion des risques documenté pour chaque système IA à haut risque. Impossible à mettre en œuvre sans savoir ce qui tourne dans vos processus. Or, dans la majorité des PME et ETI auditées, il n'existe ni registre, ni liste — les outils IA se sont déployés progressivement, sans traçabilité centrale. Première étape : cartographier.
Action immédiate — dressez la liste de tous les outils IA utilisés dans vos processus métier, même les plus anodins (scoring, suggestion automatique, prédiction). Classez-les par fonction et par périmètre de données utilisé.
Aucune classification du niveau de risque
L'AI Act distingue quatre niveaux : interdit, haut risque, risque limité et risque minimal. Les obligations varient radicalement d'un niveau à l'autre. Pourtant, la quasi-totalité des organisations traitent encore leurs outils IA de façon uniforme — sans appliquer la grille de classification réglementaire. Un outil de recrutement automatisé, un scoring de crédit, un système de surveillance biométrique : tous entrent dans la catégorie haut risque avec des exigences documentaires très précises.
Action immédiate — appliquez la grille annexe III de l'AI Act à chaque outil inventorié. Pour tout système classé haut risque, déclenchez une analyse d'impact dédiée.
Gouvernance des données d'entraînement absente
L'article 10 de l'AI Act impose que les données utilisées pour entraîner, valider et tester les systèmes IA soient pertinentes, représentatives, exemptes d'erreurs et complètes dans la mesure du possible. Ces données doivent être documentées et auditables. En pratique, quasi-inexistant en PME : on utilise des modèles pré-entraînés sans documentation de leur corpus d'origine, ou on fine-tune sur des données internes sans traçabilité. Ce point croise directement le RGPD sur la minimisation et la qualité des données.
Action immédiate — pour chaque système IA, documentez l'origine des données d'entraînement, leur date de collecte, leur périmètre géographique et les traitements appliqués. Archivez cette documentation.
Supervision humaine non traçable
Pour les systèmes à haut risque, l'AI Act exige que des mesures appropriées permettent aux personnes chargées de la surveillance humaine de comprendre les capacités et limites du système, et d'intervenir ou d'interrompre son fonctionnement. Cette supervision doit être effective ET documentée. Les logs de décision — qui a supervisé quoi, quand, avec quel résultat — manquent presque toujours. En cas de contrôle de la CNIL ou d'un litige, l'absence de traces équivaut à une absence de conformité.
Action immédiate — définissez pour chaque système haut risque un protocole de supervision humaine formalisé, avec désignation d'un responsable nominatif et journalisation des interventions.
AI Act et RGPD traités en silos
Les deux réglementations se superposent sur les données personnelles, le profilage et la prise de décision automatisée. Un manquement sur l'un fragilise mécaniquement l'autre : si vos données d'entraînement contiennent des données personnelles mal encadrées (RGPD), votre système IA est non conforme à l'AI Act. Inversement, un traitement automatisé sans supervision humaine adéquate (AI Act) peut constituer une violation du droit à ne pas faire l'objet d'une décision purement automatisée (article 22 RGPD). Pourtant, dans 9 organisations sur 10, les équipes conformité RGPD et les équipes projet IA ne se parlent pas.
Action immédiate — organisez un atelier de cartographie croisée RGPD × AI Act. Identifiez les traitements qui tombent sous les deux textes et assurez une couverture unifiée dans votre registre.
Le dénominateur commun : la gouvernance data
Ces cinq écarts ont une cause racine commune : l'absence d'une gouvernance data structurée. Inventaire, classification, traçabilité des données, supervision — tout part de là. L'AI Act n'invente pas de nouvelles obligations de fond ; il sanctionne l'absence de rigueur sur ce qui aurait dû être en place depuis le RGPD.
Bonne nouvelle : une organisation qui a investi dans sa gouvernance data a déjà posé 70 % de la fondation AI Act. Le reste est une couche d'adaptation réglementaire, pas un chantier from scratch.
Diagnostic gratuit
Où en est votre gouvernance RGPD & data ?
7 questions. 2 minutes. Score immédiat + les 3 priorités d'action personnalisées pour votre niveau — base indispensable avant d'aborder la conformité AI Act.
Faire le diagnostic gratuit →Aucune carte bancaire. Résultats immédiats.