Le règlement sur l’IA pour les jeunes pousses et les PME

Il n’existe pas d’exonération liée à la taille au titre du règlement sur l’IA. Si votre système d’IA touche des personnes dans l’Union européenne, vous devez vous y conformer, que vous ayez 5 salariés ou 5 000. Une jeune pousse de deux personnes qui vend un outil d’embauche par IA à un seul client allemand porte les mêmes obligations juridiques de fond qu’un groupe du palmarès Fortune 500.

Le règlement n’est pas aveugle aux réalités des jeunes pousses. Le règlement (UE) 2024/1689, tel que modifié par le Digital Omnibus (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), prévoit des mesures de soutien spécifiques : amendes réduites, bacs à sable réglementaires, documentation simplifiée. Si vous planifiez tôt, la conformité devient un problème d’ingénierie maîtrisable, pas un risque juridique existentiel.

Ce guide couvre chaque disposition pertinente pour les PME, avec des estimations de coût, un ordre de priorités et des scénarios concrets. Commencez par la liste de contrôle du règlement sur l’IA si vous avez besoin d’un premier cadrage.

L’essentiel, la conformité au règlement pour les jeunes pousses

• Le règlement s’applique à toutes les organisations, quelle que soit leur taille. Il n’y a pas d’exonération PME générale.
• Amendes réduites : les PME et les jeunes pousses paient le plus faible du montant forfaitaire en euros ou du pourcentage de chiffre d’affaires, l’inverse de la formule applicable aux grandes entreprises (article 99, paragraphe 6). Voir le guide des sanctions.
• Les bacs à sable réglementaires (articles 57 à 62) permettent de développer et d’essayer des systèmes d’IA sous guidage de l’autorité, avec une protection contre l’exécution pour une participation de bonne foi. L’obligation de bac à sable des États membres s’applique depuis le 2 août 2026.
• Les PME, y compris les jeunes pousses, peuvent fournir la documentation technique de l’annexe IV d’une manière simplifiée (article 11) et se conformer de manière simplifiée à certains éléments du système de gestion de la qualité (article 63, étendu au-delà des seules microentreprises par le Digital Omnibus).
• Les bacs à sable doivent donner un accès prioritaire aux PME : les États membres sont tenus de traiter préférentiellement les petites entreprises.
• Budgétisez de façon réaliste : amener un système d’IA à haut risque à la conformité dans une jeune pousse à effectif réduit coûte typiquement 50 000 à 150 000 euros ; un système à risque minimal peut ne presque rien coûter.
• Commencez par la classification : utilisez l’outil gratuit de classification des risques avant de dépenser.

Les devoirs de transparence de l’article 50 s’appliquent depuis le 2 août 2026. Les obligations à haut risque de l’annexe III s’appliquent à compter du 2 décembre 2027. Voir ce qui s’applique réellement depuis le 2 août 2026 et les échéances après le Digital Omnibus.

Pas d’exonération de taille, mais des mesures de soutien importantes

Le règlement ne contient pas d’exonération générale pour les petites entreprises. L’article 3 définit « fournisseur » et « déployeur » sans référence à la taille : si vous développez ou utilisez un système d’IA sur le marché de l’Union, vous y êtes soumis, quel que soit l’effectif.

Les législateurs ont toutefois reconnu la charge disproportionnée. Plusieurs dispositions ciblent les PME :

1. Amendes proportionnées (article 99, paragraphe 6)

Pour les PME, y compris les jeunes pousses, l’amende retenue est le plus faible du montant forfaitaire ou du pourcentage de chiffre d’affaires. Pour les grandes entreprises, c’est le plus élevé des deux. L’inversion compte : une jeune pousse avant recettes voit le pourcentage à zéro, et une PME dans les seuils de la recommandation 2003/361/CE paiera presque toujours le pourcentage, nettement inférieur au plafond forfaitaire. Une grande entreprise paie le plus élevé des deux.

2. Bacs à sable réglementaires obligatoires (articles 57 à 62)

Chaque État membre doit établir au moins un bac à sable réglementaire de l’IA. Cette obligation s’applique depuis le 2 août 2026. Ces bacs à sable doivent offrir un accès prioritaire aux PME et aux jeunes pousses, y compris celles établies dans d’autres États membres. La participation donne un accès direct au guidage réglementaire et, point critique, une protection contre une action d’exécution pour des efforts de conformité de bonne foi pendant la période du bac à sable.

3. Documentation simplifiée (article 11)

Les PME, y compris les jeunes pousses, et, depuis le Digital Omnibus, les petites entreprises à moyenne capitalisation, peuvent fournir les éléments de l’annexe IV d’une manière simplifiée. La Commission est chargée d’établir un formulaire de documentation technique simplifié ciblant leurs besoins. Les organismes notifiés doivent accepter ce formulaire aux fins de l’évaluation de la conformité.

4. Système de gestion de la qualité simplifié (article 63)

L’article 63 permettait aux microentreprises de se conformer de manière simplifiée à certains éléments du système de gestion de la qualité de l’article 17. Le Digital Omnibus a étendu cette possibilité à toutes les PME, y compris les jeunes pousses, à condition qu’elles n’aient pas d’entreprises partenaires ou liées au sens de la recommandation 2003/361/CE. La Commission doit élaborer des orientations sur les éléments qui peuvent être respectés de manière simplifiée, sans abaisser le niveau de protection.

5. Formulaires types et boîtes à outils (article 62)

Le bureau de l’IA doit élaborer des formulaires types et des outils pour réduire le coût et la complexité de la documentation. Ils sont conçus avec un apport de représentants des PME et seront librement accessibles. L’article 62 impose aussi aux États membres un accès prioritaire aux bacs à sable, des activités de sensibilisation et de formation, des canaux de communication dédiés, et une réduction des frais lorsque c’est possible.

6. Accès prioritaire aux installations d’essai

Les centres de compétence nationaux et les pôles européens d’innovation numérique doivent offrir un accès préférentiel à l’infrastructure d’essai de l’IA pour les PME : ressources de calcul, jeux de données, expertise technique autrement inabordables.

7. Codes de conduite pour les systèmes qui ne sont pas à haut risque

L’article 95 encourage l’élaboration de codes de conduite volontaires pour les systèmes d’IA qui ne sont pas classés à haut risque. Pour une jeune pousse dans les paliers minimal ou limité, suivre un code de conduite sectoriel peut être la voie la plus efficace pour démontrer des pratiques responsables, sans la charge d’une conformité à haut risque complète.

Cas d’usage fréquents des jeunes pousses, par palier de risque

La classification des risques détermine 90 % de vos obligations et 95 % de vos coûts. Utilisez l’outil gratuit de classification ou lisez le guide détaillé.

Risque minimal (pas d’obligations imposées)

La plupart de l’IA des jeunes pousses tombe ici. Si votre système n’interagit pas directement avec des personnes physiques d’une manière qui exige de la transparence, et n’est pas énuméré à l’annexe III, vous n’avez aucune obligation imposée au titre du règlement. Outils internes, analytique, moteurs de recommandation, algorithmes de recherche et systèmes d’optimisation sont typiquement à risque minimal.

Quoi faire : documentez le motif de classification. Un raisonnement écrit est une preuve solide de bonne foi si une autorité interroge un jour votre système.

Risque limité (transparence seulement)

Les systèmes qui interagissent directement avec des personnes, agents conversationnels, assistants virtuels, générateurs de contenu, relèvent du risque limité avec les obligations de transparence de l’article 50. Ces devoirs s’appliquent depuis le 2 août 2026. Les exigences sont directes :

• Agents conversationnels : informer clairement les personnes physiques qu’elles interagissent avec un système d’IA (sauf si cela ressort clairement des circonstances).
• Contenu généré par IA : marquer les sorties (texte, audio, images, vidéo) comme générées ou manipulées artificiellement.
• Reconnaissance des émotions / catégorisation biométrique (lorsqu’elles restent licites) : informer la personne analysée.

Quoi faire : ajouter un avis d’IA visible dans l’interface. Actualiser les conditions d’utilisation. Marquer le contenu généré par IA avec des métadonnées et des indicateurs visibles. Le coût de conformité est négligeable.

Haut risque (conformité complète)

Si votre système entre dans un cas d’usage de l’annexe III, emploi, solvabilité, éducation, activités répressives, infrastructures critiques, et d’autres, ou s’il est un composant de sécurité d’un produit couvert par la législation d’harmonisation de l’Union, vous affrontez le régime complet : gestion des risques (article 9), gouvernance des données, documentation technique (article 11), contrôle humain, évaluation de la conformité, enregistrement dans la base de l’UE, surveillance après mise sur le marché. C’est là que la conformité d’une jeune pousse devient un vrai projet. Voir la liste de contrôle complète.

Échéances : 2 décembre 2027 pour l’annexe III (autonome), 2 août 2028 pour l’annexe I (intégré dans un produit réglementé).

Interdit (déjà banni)

L’article 5 interdit d’emblée certaines pratiques, quelles que soient les mesures d’atténuation. Ces interdictions sont exécutoires depuis le 2 février 2025. Si votre produit s’appuie sur une manipulation subliminale, une notation sociale, une identification biométrique à distance en temps réel dans des espaces publics (avec d’étroites exceptions), l’exploitation de groupes vulnérables, ou l’inférence des émotions sur le lieu de travail ou dans l’enseignement, vous devez pivoter ou arrêter cette fonction. Il n’y a pas d’exception de bac à sable pour les pratiques interdites.

Amendes réduites pour les PME et les jeunes pousses

La structure de l’article 99 traite les PME fondamentalement autrement que les grandes entreprises.

Les trois paliers d’amende

La formule d’inversion pour les PME

Pour les grandes entreprises, l’amende applicable est le montant le plus élevé, forfait ou pourcentage. Pour les PME, y compris les jeunes pousses, la formule est inversée : l’amende est le montant le plus faible (article 99, paragraphe 6).

Pourquoi cela compte en pratique :

• Une jeune pousse à 500 000 euros de chiffre d’affaires annuel qui commet un manquement à haut risque s’expose au maximum à 15 000 euros (3 % de 500 000 euros), pas à 15 millions, parce que 3 % du chiffre d’affaires est très inférieur au plafond de 15 millions.
• Une jeune pousse avant recettes affronte un calcul encore plus singulier. Avec un chiffre d’affaires nul, le montant en pourcentage est 0 euro. Qu’une autorité applique une amende nulle n’est pas tranché, mais la formule légale favorise clairement la jeune pousse.
• Une grande entreprise à 10 milliards d’euros de chiffre d’affaires affronte 300 millions d’euros (3 % de 10 milliards) pour le même manquement.

Ce mécanisme de proportionnalité est l’une des protections PME les plus importantes du règlement. Pour une analyse plus profonde, y compris la comparaison avec les amendes du RGPD, lisez le guide des sanctions.

Circonstances atténuantes

Au-delà de la formule PME, l’article 99, paragraphe 7, impose aux autorités de considérer la nature et la gravité du manquement, s’il était délibéré ou négligent, les mesures prises pour atténuer le préjudice, le degré de coopération, et si l’organisation a signalé d’elle-même le problème. Pour une jeune pousse qui classe ses systèmes, documente ses efforts et coopère pleinement, le risque d’amende pratique est nettement inférieur aux plafonds affichés.

Bacs à sable réglementaires de l’IA

Les articles 57 à 62 établissent des bacs à sable réglementaires de l’IA, des environnements contrôlés où les jeunes pousses développent, entraînent et essaient des systèmes d’IA sous guidage de l’autorité, avant la mise sur le marché. Chaque État membre devait en établir au moins un d’ici le 2 août 2026.

Ce qu’un bac à sable fournit

• Accès direct au guidage réglementaire : le personnel de l’autorité revoit votre système et donne un retour sur la conformité.
• Environnement d’essai contrôlé : vous pouvez essayer votre système sur des données réelles (avec les garanties appropriées) dans des conditions surveillées.
• Protection de bonne foi : si vous respectez les termes du bac à sable et agissez de bonne foi, vous n’affronterez pas d’action d’exécution pour des questions identifiées pendant la période du bac à sable.
• Trajectoire structurée vers la conformité : le bac à sable donne une feuille de route du prototype au produit prêt pour le marché.
• Accès accéléré au marché : un parcours de bac à sable réussi peut fluidifier votre évaluation de la conformité.

Comment candidater

Chaque État membre gère le sien, en général par l’autorité nationale de surveillance du marché ou un centre de compétence IA désigné. Le processus type : soumettre une description du système et de son stade de développement, convenir d’un plan de bac à sable avec l’autorité (périmètre, calendrier, garanties sur les données), développer sous conditions surveillées avec des revues périodiques, et recevoir un rapport de sortie sur l’état de conformité, utile pour l’évaluation de la conformité.

L’article 57 exige explicitement que les bacs à sable offrent un accès prioritaire aux PME et aux jeunes pousses, y compris aux participants transfrontaliers. Une jeune pousse établie dans un État membre peut candidater au bac à sable d’un autre.

État actuel des bacs à sable dans l’Union

Plusieurs États membres ont lancé ou annoncé des programmes : Espagne (AESIA, opérationnel depuis fin 2024, axé sur les services financiers, la santé et l’emploi), France (bac à sable conjoint CNIL / Arcep pour l’IA générative), Pays-Bas (bac à sable de la RDI avec voie accélérée PME), Allemagne (BNetzA), Finlande (Traficom, avec l’appui du centre national de compétence). Le bureau européen de l’IA coordonne ces initiatives pour l’interopérabilité et la reconnaissance mutuelle des issues.

L’Union a aussi financé le programme pilote EUSAiR (European Sandbox for AI Regulation) au titre d’Horizon Europe, qui fournit un cadre paneuropéen pour les systèmes transfrontaliers. La participation est gratuite.

Documentation simplifiée pour les PME et les microentreprises

Deux dispositions distinctes allègent la paperasse. Ni l’une ni l’autre n’allège le fond des obligations.

Qui est une microentreprise ?

Au titre de la recommandation 2003/361/CE de la Commission :

• moins de 10 salariés, ET
• chiffre d’affaires annuel ou total du bilan n’excédant pas 2 millions d’euros

Les deux conditions doivent être réunies. Une jeune pousse de 8 salariés et 5 millions d’euros de recettes n’est pas une microentreprise. Une jeune pousse de 12 salariés et 1 million d’euros de recettes non plus.

Une PME au sens de la même recommandation a moins de 250 salariés et soit un chiffre d’affaires n’excédant pas 50 millions d’euros, soit un total de bilan n’excédant pas 43 millions d’euros. Depuis le Digital Omnibus, les allègements de documentation et de gestion de la qualité ne sont plus réservés aux microentreprises.

Ce qui est simplifié

Pour les PME, y compris les jeunes pousses, qui fournissent des systèmes d’IA à haut risque :

• Système de gestion de la qualité simplifié (article 63) : au lieu de l’intégralité de l’article 17, certains éléments peuvent être respectés de manière simplifiée, selon les orientations de la Commission, à condition de n’avoir pas d’entreprises partenaires ou liées.
• Documentation technique simplifiée (article 11) : formulaire type de la Commission, ciblé sur les besoins des PME, des jeunes pousses et des petites entreprises à moyenne capitalisation, tout en couvrant le minimum de l’annexe IV.
• Proportionnalité (article 17, paragraphe 2, tel que modifié) : la mise en œuvre du système de gestion de la qualité est proportionnée à la taille de l’organisation.

Ce qui n’est PAS simplifié

Même pour une microentreprise, certaines obligations ne peuvent pas être réduites :

• Gestion des risques (article 9) : vous devez toujours identifier, analyser et atténuer les risques. Le processus peut être plus léger, pas sauté.
• Gouvernance des données (article 10) : les données d’entraînement et de validation doivent rester pertinentes, représentatives, et aussi exemptes d’erreurs que possible.
• Évaluation de la conformité (article 43) : vous devez toujours l’achever avant de mettre le système sur le marché.
• Transparence envers les déployeurs (article 13) : vous devez toujours fournir des informations claires sur les capacités et les limites.
• Surveillance après mise sur le marché (article 72) : vous devez toujours surveiller le système après déploiement et signaler les incidents graves.

Les simplifications réduisent le format et la profondeur de la documentation, pas la substance. Une microentreprise a toujours besoin d’un système d’IA conforme ; elle a simplement moins de paperasse pour le démontrer.

Planification budgétaire pratique par palier de risque

La réponse à « combien cela coûtera-t-il ? » dépend presque entièrement de votre palier. Les fourchettes ci-dessous s’appuient sur des projets de conformité observés début 2026.

Risque minimal / limité : 0 à 2 000 euros

Pour le risque minimal, le seul coût est de documenter le motif de classification. Pour le risque limité, ajoutez quelques heures de travail d’interface et une brève revue juridique. L’article 50 s’applique déjà : ce n’est plus un poste à reporter.

Haut risque (approche économe de jeune pousse) : 50 000 à 150 000 euros

Le bas de fourchette suppose une prise en charge interne avec un appui externe ciblé ; le haut suppose une externalisation large.

Haut risque (approche d’entreprise complète) : 200 000 à 500 000 euros

Cette fourchette s’applique aux organisations avec des systèmes complexes, plusieurs déploiements à haut risque, ou des systèmes exigeant un organisme notifié (identification biométrique au titre de l’article 43). Principaux postes : conseil externe (30 000 à 80 000 euros), audits d’équité indépendants (20 000 à 50 000 euros), frais d’organisme notifié (15 000 à 40 000 euros), conseil juridique continu (25 000 à 60 000 euros), infrastructure de surveillance (20 000 à 50 000 euros).

Conseils de budgétisation pour les jeunes pousses

• Classez d’abord, dépensez ensuite : utilisez l’évaluation gratuite Legalithm avant d’allouer un budget.
• Intégrez la conformité dès la conception : la rattraper coûte 3 à 5 fois plus cher que de la concevoir dès le départ.
• Appuyez-vous sur des outils ouverts : les bibliothèques d’examen des biais (Fairlearn, AI Fairness 360) et les structures de documentation sont gratuites.
• Mutualisez : rejoignez des codes de conduite ou des consortia sectoriels pour partager les coûts.
• Candidatez à un bac à sable : guidage réglementaire et infrastructure d’essai sans frais.

Priorisation de la conformité pour les équipes réduites

Voici un parcours de 90 jours pour une jeune pousse de 2 à 15 personnes, sans personnel dédié à la conformité, en séquençant d’abord les étapes les plus lourdes d’effet. L’article 50 s’applique déjà ; le haut risque de l’annexe III court jusqu’au 2 décembre 2027. Ne reportez pas le démarrage.

Jours 1-30 : classer et évaluer

1. Construire l’inventaire des systèmes d’IA : lister chaque système que vous développez, déployez ou utilisez comme outil tiers. Suivez le guide d’inventaire.
2. Classer chaque système : utilisez l’outil gratuit de classification ou l’évaluation Legalithm.
3. Déterminer votre rôle : êtes-vous fournisseur ou déployeur ? Les obligations divergent nettement.
4. Vérifier les pratiques interdites : passez vos systèmes au crible de l’article 5. Si un système recourt à une technique interdite, arrêtez-le immédiatement.
5. Documenter le motif de classification : une page de raisonnement par système. C’est votre première pièce de conformité.

Jours 31-60 : traiter les obligations prioritaires

1. Mettre en œuvre les mesures de transparence : pour le risque limité, ajouter les avis d’IA dans les interfaces. C’est rapide et cela retire toute une catégorie de risque juridique déjà exécutoire.
2. Démarrer le système de gestion des risques : pour le haut risque, commencer à documenter risques, mesures d’atténuation et plans d’essai au titre de l’article 9.
3. Entamer la documentation technique : commencer le dossier d’annexe IV. Utilisez les formulaires types de la Commission lorsqu’ils sont disponibles, ou suivez la structure du guide de l’annexe IV.
4. Établir la gouvernance des données : documenter les sources d’entraînement, les mesures de qualité, les examens de biais et les garanties de protection des données.
5. Candidater à un bac à sable réglementaire : déposer le dossier auprès de l’autorité nationale compétente. Même sans acceptation immédiate, la candidature démontre une conformité proactive.

Jours 61-90 : formaliser et préparer l’évaluation

1. Achever le système de gestion de la qualité : documenter les processus de conception, d’essai, de surveillance et de réponse aux incidents au titre de l’article 17.
2. Conduire les essais de biais et d’exactitude : essais systématiques pour le biais, l’exactitude, la robustesse et la cybersécurité. Documenter les résultats.
3. Préparer l’évaluation de la conformité : rassembler documentation, résultats d’essai et descriptions de processus pour l’auto-évaluation ou la revue d’un organisme notifié.
4. Préparer l’enregistrement dans la base de l’UE : informations d’article 49.
5. Mettre en place la surveillance après mise sur le marché : processus de suivi continu, détection d’incidents et signalement.

C’est un calendrier ambitieux. Si votre système est complexe ou vos ressources contraintes, étendez à 120-180 jours, mais ne retardez pas le démarrage. L’article 50 est déjà en vigueur ; le 2 décembre 2027 pour l’annexe III est une date calendaire, pas un horizon mou.

Scénarios concrets de jeunes pousses

Scénario 1 : jeune pousse SaaS d’agent conversationnel (risque limité)

Exemple concret : une jeune pousse SaaS de 5 personnes a construit un agent de support client pour le commerce en ligne. L’agent s’appuie sur un grand modèle de langage affiné pour répondre aux questions produits, traiter des retours et faire monter les cas complexes vers des agents humains. 200 clients professionnels en Allemagne, en France et aux Pays-Bas. Recettes annuelles : 800 000 euros.

Classification : risque limité. L’agent interagit directement avec des personnes physiques et doit satisfaire aux obligations de transparence de l’article 50, déjà applicables depuis le 2 août 2026. Il n’est pas énuméré à l’annexe III et ne prend pas de décisions produisant des effets juridiques ou un effet similairement significatif.

Obligations :

• Veiller à ce que chaque personne soit clairement informée qu’elle interagit avec un système d’IA, avant ou au début de l’interaction.
• Si l’agent génère du texte qui pourrait être pris pour un texte d’auteur humain, le marquer comme généré par IA.
• Pas de système de gestion des risques, de documentation technique ni d’évaluation de la conformité exigés.

Coût estimé : 500 à 1 500 euros. Cela couvre l’ajout d’une bannière visible « Vous échangez avec un assistant d’IA », l’actualisation des conditions d’utilisation, et une brève revue juridique. Le travail d’ingénierie tient en un cycle de développement.

Exposition aux amendes (pire cas) : sous la formule PME, l’amende maximale pour un manquement à la transparence est le plus faible de 15 millions d’euros ou 3 % de 800 000 euros = 24 000 euros. L’amende réaliste pour une omission de première fois, de bonne foi, serait bien inférieure, probablement un avertissement ou une injonction de corriger.

Scénario 2 : jeune pousse RH avec filtrage de CV par IA (haut risque)

Exemple concret : une jeune pousse RH de 12 salariés a construit un système de suivi des candidatures. La fonction centrale est le filtrage automatisé de CV : le système note les candidats d’après qualifications, expérience et compétences, puis les classe pour revue du recruteur. Elle vend à des entreprises de taille intermédiaire dans toute l’Union. Recettes annuelles : 2,5 millions d’euros.

Classification : haut risque. Les systèmes d’IA utilisés pour le recrutement et la sélection de personnes physiques, notamment pour filtrer les candidatures et évaluer les candidats, sont explicitement énumérés à l’annexe III, point 4, a) (emploi, gestion de la main-d’œuvre et accès à l’emploi indépendant). Ce n’est pas débattable ; c’est nommément visé.

Obligations (en tant que fournisseur) : système complet de gestion des risques documentant les risques de biais (sexe, origine ethnique, âge, handicap), documentation technique complète d’annexe IV, examen systématique des biais sur les caractéristiques protégées, conception du contrôle humain pour que les recruteurs puissent écarter les classements, gestion de la qualité au titre de l’article 17, auto-évaluation de la conformité (permise pour l’IA d’emploi au titre de l’article 43), enregistrement dans la base de l’UE, surveillance après mise sur le marché. Échéance : 2 décembre 2027.

Coût estimé : 80 000 à 120 000 euros en approche économe. Les plus gros postes sont l’examen des biais (15 000 à 25 000 euros), la documentation technique (15 000 à 25 000 euros) et le conseil juridique externe (10 000 à 15 000 euros). La jeune pousse peut traiter en interne la gestion des risques, la gestion de la qualité et l’infrastructure de surveillance.

Exposition aux amendes (pire cas) : le plus faible de 15 millions d’euros ou 3 % de 2,5 millions = 75 000 euros. C’est le maximum absolu pour un manquement à haut risque, significatif mais survivable à ce niveau de recettes.

Scénario 3 : jeune pousse fintech utilisant une API tierce de notation de crédit (déployeur)

Exemple concret : une fintech de 8 salariés a construit une plateforme de prêt. Elle ne construit pas sa propre IA : elle intègre une API tierce de notation de crédit d’un fournisseur établi. L’API prend les données financières du candidat et renvoie une note de risque de crédit. La jeune pousse utilise cette note comme un facteur parmi d’autres dans ses décisions de prêt. Recettes annuelles : 1,2 million d’euros.

Classification : déployeur à haut risque. La notation de crédit par IA figure à l’annexe III, point 5, b). Même si la jeune pousse n’a pas construit le système, l’utiliser sous sa propre autorité en fait un déployeur avec son propre jeu d’obligations. Voir le guide fournisseur / déployeur.

Obligations (en tant que déployeur) : vérifier l’évaluation de la conformité du fournisseur (marquage CE, déclaration UE de conformité, notice d’utilisation), mettre en place un contrôle humain pour qu’une personne revoie et puisse écarter les décisions de crédit, mener une analyse d’impact relative aux droits fondamentaux (FRIA) avant le déploiement (l’annexe III, point 5, b), déclenche l’article 27), conserver les journaux au moins six mois, informer les personnes concernées du rôle de l’IA, et surveiller les performances avec signalement d’incidents.

Coût estimé : 15 000 à 40 000 euros. La charge du déployeur est plus légère que celle du fournisseur, parce que la jeune pousse n’a pas à produire la documentation technique ni à conduire l’évaluation de la conformité, mais elle doit toujours vérifier la conformité du fournisseur, mettre en place le contrôle, mener une FRIA et tenir la surveillance. Lisez le guide FRIA.

Exposition aux amendes (pire cas) : le plus faible de 15 millions d’euros ou 3 % de 1,2 million = 36 000 euros.

Financement et ressources de soutien

L’Union a mis en place plusieurs mécanismes de soutien spécifiquement pour les jeunes pousses et les PME confrontées à la régulation de l’IA :

Pôles européens d’innovation numérique (EDIH)

Le réseau de plus de 200 pôles européens d’innovation numérique fournit des services gratuits ou subventionnés aux PME, notamment :

• évaluations de conformité IA et analyses d’écarts ;
• accès à des installations d’essai et d’expérimentation ;
• formation technique aux bonnes pratiques de développement de l’IA ;
• mise en réseau avec d’autres jeunes pousses et des experts réglementaires.

Trouvez le pôle le plus proche dans le catalogue EDIH de la Commission.

Centres nationaux de compétence IA

Chaque État membre met en place des centres nationaux de compétence IA qui fournissent un guidage sur la mise en œuvre nationale, un appui technique à la documentation, un lien vers les bacs à sable, et un conseil sectoriel.

Ressources du bureau de l’IA

Le bureau européen de l’IA publie des documents d’orientation, des formulaires types de conformité, des questions fréquentes et des mises à jour du calendrier d’exécution, le tout librement accessible sur le site de la Commission.

Outils gratuits

• Évaluation Legalithm au titre du règlement sur l’IA : classification des risques gratuite, qui détermine vos obligations en quelques minutes.
• Guide Legalithm du règlement sur l’IA : guide article par article, avec un commentaire pratique.

Programmes de financement de l’Union

Plusieurs instruments soutiennent la conformité IA des PME :

• Programme pour une Europe numérique : subventions à la numérisation des PME, y compris les outils de conformité IA.
• Horizon Europe : financement de la recherche et de l’innovation, qui peut couvrir de la R&D liée à la conformité.
• InvestEU : financement et garanties pour les investissements PME dans l’infrastructure et la conformité IA.
• Plans nationaux de relance et de résilience : beaucoup d’États membres ont alloué des fonds à l’adoption et à la conformité IA.

Questions fréquentes

Puis-je reporter la conformité si je suis avant recettes ?

Non. Les obligations du règlement sont déclenchées par la mise sur le marché ou la mise en service d’un système d’IA dans l’Union, pas par les recettes. Une jeune pousse avant recettes qui lance une version bêta d’un système à haut risque auprès de personnes dans l’Union doit s’y conformer dès le lancement. La formule d’amende réduite signifie toutefois que votre exposition financière est minimale pendant cette phase. Le conseil pratique : utilisez la période avant recettes pour intégrer la conformité dans le produit, afin de lancer conforme dès le premier jour. Pour un agent conversationnel ou du contenu généré, l’article 50 s’applique déjà.

Le règlement s’applique-t-il hors de l’Union ?

Oui. L’article 2 établit une portée extraterritoriale : le règlement s’applique aux fournisseurs qui mettent des systèmes d’IA sur le marché de l’Union, quel que soit le lieu d’établissement. Il s’applique aussi lorsque les sorties d’IA sont utilisées dans l’Union. Une jeune pousse américaine qui vend à des clients de l’Union, ou une entreprise israélienne dont les sorties d’IA atteignent des entreprises de l’Union, doivent s’y conformer.

Et si je n’utilise que des outils d’IA tiers ?

Vous êtes probablement déployeur. Les déployeurs ont leurs propres obligations : vérifier la conformité du fournisseur, mettre en place le contrôle humain, conserver les journaux, informer les personnes concernées. Les devoirs sont plus légers que ceux du fournisseur, mais ils ne sont pas nuls. Si l’outil tiers est classé à haut risque, vos obligations de déployeur peuvent aussi inclure une analyse d’impact relative aux droits fondamentaux. Voir le guide fournisseur / déployeur.

Mon système d’IA n’est pas énuméré à l’annexe III, suis-je à l’abri ?

Probablement, mais pas automatiquement. L’annexe III liste les cas d’usage classés à haut risque, mais l’article 6 saisit aussi les systèmes d’IA qui sont des composants de sécurité de produits couverts par la législation d’harmonisation de l’Union (dispositifs médicaux, machines, jouets, etc.). De plus, la Commission a le pouvoir d’étendre l’annexe III dans le temps. Votre évaluation de classification devrait être revue périodiquement, au moins une fois par an et après tout changement significatif de fonctionnalité ou de destination.

Combien de temps prend la conformité pour une jeune pousse ?

Risque minimal / limité : quelques jours à quelques semaines. Haut risque : 3 à 6 mois pour une équipe concentrée, avec des ressources d’ingénierie et un appui juridique externe. Les postes les plus longs sont l’examen des biais, la documentation technique et l’évaluation de la conformité. Pour des systèmes à haut risque complexes à plusieurs cas d’usage : 6 à 12 mois ; envisagez de candidater à un bac à sable réglementaire.

Que se passe-t-il si je suis racheté, la conformité se transfère-t-elle ?

Si l’acquéreur offre le système sous son propre nom, il devient le nouveau fournisseur et hérite de toutes les obligations. Si le système continue sous le nom d’origine, la documentation de conformité existante reste valable. La diligence au titre du règlement sur l’IA devient standard dans les fusions-acquisitions : arriver conforme avant une acquisition augmente votre valorisation et réduit les frictions de la transaction.

Prochaines étapes

1. Classez vos systèmes d’IA avec l’outil d’évaluation gratuit Legalithm.
2. Déterminez votre rôle, fournisseur ou déployeur.
3. Suivez la liste de contrôle dans notre guide 2026 pas à pas.
4. Candidatez à un bac à sable réglementaire si vous développez un système à haut risque.
5. Intégrez la conformité dans le produit dès le départ : c’est moins cher, plus rapide, et cela produit un meilleur produit.

Les entreprises qui investissent tôt dans la conformité auront un avantage concurrentiel sur un marché où la confiance, la transparence et la sécurité juridique valent de plus en plus pour les acheteurs d’entreprise. Commencez aujourd’hui. L’article 50 s’applique déjà ; l’échéance à haut risque du 2 décembre 2027 est fixe, votre avance ne l’est pas.