Vous utilisez déjà une IA pour rédiger des réponses clients, résumer des comptes rendus, analyser des CV ou classer des demandes entrantes. Le sujet AI Act PME n’est donc plus théorique. Dès qu’un outil traite des données personnelles, même de façon ponctuelle, votre entreprise doit savoir ce qui entre dans l’outil, pourquoi, par qui et avec quelles garanties. L’enquête CNIL publiée début juillet 2026 montre un écart net de préparation entre petites et grandes structures. L’objectif ici est simple : vous aider à faire cinq vérifications réalistes, cette semaine, sans transformer votre PME en service juridique.
1. Repérez les usages IA qui touchent des données personnelles 🎯
La première vérification consiste à lister vos usages réels d’IA, pas seulement les outils officiellement validés. Dans une PME, l’IA entre souvent par petites touches : un collaborateur colle un e-mail client dans un assistant, une commerciale fait résumer un devis, une personne RH teste un tri de candidatures.
Selon l’enquête CNIL “Les DPO à l’heure de l’IA”, 30 % des structures de moins de 50 salariés utilisent déjà des systèmes d’IA et 16 % ont un projet d’utilisation. Le même rapport indique que 58 % des systèmes d’IA utilisés ou en préparation traitent des données personnelles. Ce chiffre suffit à justifier un inventaire rapide, même si vous pensez avoir seulement des usages “bureautiques”.
Prenons une PME de 28 personnes à Pau, dans les services aux entreprises. L’équipe commerciale utilise un outil d’IA générative pour reformuler des réponses à des prospects. Au départ, les prompts semblent anodins. En regardant de près, on trouve des noms, des adresses e-mail, des historiques d’achat, parfois des problèmes de paiement. Ce n’est plus une simple aide à la rédaction, c’est un traitement de données personnelles.
Pour faire l’inventaire sans y passer un mois, demandez à chaque responsable d’équipe de remplir un tableau court :
- outil utilisé, par exemple ChatGPT, Copilot, Gemini, CRM enrichi par IA ;
- finalité, par exemple rédiger, classer, noter, résumer, prédire ;
- données entrées dans l’outil, clients, salariés, candidats, fournisseurs ;
- fréquence d’usage, test ponctuel ou processus régulier ;
- personne responsable de l’usage dans l’équipe.
Votre objectif n’est pas de sanctionner les usages existants. Il est de rendre visible ce qui existe déjà. Si vous partez d’une feuille blanche, un diagnostic IA court permet de cartographier les usages, les risques et les priorités avant de rédiger une charte ou d’acheter un nouvel outil.
2. Classez le risque AI Act PME avant de déployer plus largement 🔍
La deuxième vérification consiste à savoir si votre usage relève d’un risque faible, limité, élevé ou interdit. L’AI Act repose sur une logique de niveau de risque. Une IA qui aide à reformuler un e-mail n’appelle pas les mêmes précautions qu’un outil qui classe des candidats, évalue des salariés ou décide de l’accès à un service.
Le calendrier officiel de mise en œuvre de l’AI Act rappelle que le règlement s’applique progressivement, avec des obligations déjà entrées en application depuis 2025, notamment sur certains usages interdits et la culture IA. Pour une PME, le bon réflexe n’est pas d’apprendre tout le texte par cœur. Il faut identifier les usages qui méritent un examen avant généralisation.
Exemple concret : une PME industrielle de 35 salariés à Tarbes teste un outil qui aide à prioriser les candidatures reçues. L’outil ne recrute pas à la place du dirigeant, mais il classe les CV selon des critères automatiques. Ce cas touche à l’emploi, avec un impact potentiel sur des personnes. Il doit être traité avec plus de prudence qu’un outil qui corrige l’orthographe d’un compte rendu interne.
Posez-vous quatre questions simples :
- l’IA influence-t-elle une décision concernant une personne ?
- la personne concernée est-elle un salarié, un candidat, un client vulnérable ou un usager ?
- l’outil produit-il un score, un classement, une recommandation ou une alerte ?
- un humain peut-il réellement comprendre, contester et corriger la sortie ?
Si vous répondez “oui” à plusieurs questions, ne déployez pas plus largement sans avis compétent. Vous pouvez classer vos usages en trois niveaux internes : usage courant sous conditions, usage sensible à valider, usage suspendu en attente d’analyse. Cette grille simple évite deux erreurs : tout bloquer par prudence ou tout autoriser parce que “ce n’est qu’un outil”.
3. Clarifiez le rôle du DPO ou du référent IA ⚙️
La troisième vérification consiste à désigner clairement qui regarde les usages IA sous l’angle données personnelles et conformité. Dans une TPE ou une PME, vous n’avez pas toujours un DPO à temps plein. Parfois, le sujet est porté par la direction, la responsable administrative, le prestataire informatique ou un DPO externe.
La CNIL souligne que le règlement IA ne mentionne pas directement le DPO, mais que la protection des données s’applique dès lors que l’IA traite des données personnelles. Dans son enquête, 71 % des DPO répondants souhaitent voir leur rôle s’étendre au contrôle de la conformité au règlement IA, tandis que 58 % estiment que l’IA rend leur rôle plus complexe, selon le rapport CNIL publié en juillet 2026.
Mini-scénario : une entreprise de 42 personnes à Toulouse a un DPO externe pour le RGPD, mais les équipes testent des assistants IA sans l’informer. Le dirigeant pense que le sujet relève de l’informatique. Le prestataire informatique pense que cela relève du juridique. Résultat : personne ne vérifie les prompts, les contrats fournisseurs ni les droits des personnes.
Pour éviter ce flou, formalisez une responsabilité minimale :
- le dirigeant valide les usages sensibles et arbitre les moyens ;
- le DPO ou référent RGPD vérifie les données personnelles, les bases légales et les durées ;
- le responsable métier décrit le besoin, les données utilisées et les impacts ;
- le prestataire informatique vérifie les accès, la sécurité et les paramètres ;
- les utilisateurs signalent les nouveaux usages avant déploiement.
Le bon format est une réunion de 45 minutes, avec votre tableau d’usages IA sous les yeux. Pas besoin de comité complexe. Il faut simplement que chacun sache quand il doit être consulté. Si personne n’a encore les bases, une montée en compétences ciblée via le catalogue des formations IA peut suffire à créer un vocabulaire commun entre direction, métiers et conformité.
4. Encadrez les prompts, fichiers et sorties avec une charte courte 📄
La quatrième vérification consiste à transformer vos règles implicites en consignes écrites, lisibles par vos équipes. Beaucoup de problèmes viennent d’un usage banal : copier un fichier client dans une IA, demander un résumé de dossier RH, générer une réponse automatique sans relecture.
La CNIL a finalisé des recommandations sur le développement des systèmes d’IA et met à disposition une synthèse ainsi qu’une liste de points à vérifier pour aider les professionnels à prendre en compte la protection des données. Elle insiste notamment sur la documentation de l’analyse permettant de savoir si l’utilisation d’un modèle est soumise au RGPD, ainsi que sur la sécurité du développement d’un système d’IA dans ses recommandations IA finalisées.
Dans une PME de 18 personnes, une charte IA peut tenir sur deux pages. Par exemple, l’équipe support peut utiliser une IA pour reformuler une réponse client, mais elle ne doit pas y coller le nom du client, son contrat complet, ses coordonnées ou des informations de santé. La sortie doit être relue avant envoi. Si l’outil est intégré au logiciel métier, les règles changent et doivent être validées.
Votre charte doit répondre à des situations concrètes :
- ce que vos équipes peuvent saisir dans un outil IA ;
- ce qui est interdit, par exemple données sensibles, mots de passe, secrets commerciaux ;
- les usages qui nécessitent une validation préalable ;
- l’obligation de relire les réponses générées ;
- la marche à suivre en cas d’erreur, fuite ou doute.
Ajoutez une règle simple : aucune IA ne décide seule pour une personne. Si l’outil aide à prioriser, proposer ou détecter, l’humain garde la décision et doit comprendre les limites de la sortie. Une bonne charte ne sert pas à faire peur. Elle sécurise les usages utiles et évite que chacun invente ses propres règles.
5. Documentez les preuves avant qu’un usage banal devienne sensible
La cinquième vérification consiste à garder des traces compréhensibles de vos choix. La conformité IA ne se limite pas à “avoir le bon outil”. Vous devez pouvoir expliquer pourquoi vous l’utilisez, quelles données sont traitées, quelles garanties existent et qui contrôle le résultat.
La CNIL indique dans son programme de travail 2026 qu’elle poursuivra ses travaux sur le déploiement de l’IA au travail, les responsabilités dans la chaîne de valeur et les outils opérationnels destinés aux DPO, notamment sur la gouvernance, la feuille de route et l’organisation de la documentation. Pour une PME, cela signifie qu’il vaut mieux constituer un dossier léger maintenant que reconstituer les décisions dans l’urgence plus tard.
Exemple : une PME du 64 utilise un chatbot sur son site pour préqualifier les demandes clients. Au départ, il ne collecte qu’un prénom et une question. Six mois plus tard, l’équipe lui demande d’identifier les prospects prioritaires, puis de transférer certains messages au commercial. Le même outil est devenu plus structurant. Sans documentation, personne ne sait exactement quand le changement a eu lieu.
Créez une fiche par usage IA sensible avec :
- finalité de l’outil et service concerné ;
- catégories de données traitées ;
- fournisseur, localisation connue, options de confidentialité ;
- règles données aux utilisateurs ;
- validation par le dirigeant, le DPO ou le référent ;
- date de revue prévue, par exemple tous les six mois.
Gardez aussi les contrats, captures de paramétrage, notes de décision, versions de charte et supports de formation. Ce dossier n’a pas besoin d’être parfait. Il doit être à jour et exploitable. Si un usage devient stratégique, par exemple un chatbot métier connecté à votre CRM, vous pourrez ensuite envisager un développement IA sur mesure avec des exigences de sécurité et de traçabilité dès la conception.
Votre premier objectif n’est pas de devenir expert de l’AI Act. C’est de savoir où l’IA est utilisée, avec quelles données et sous quelle responsabilité. En une semaine, vous pouvez déjà réunir vos usages, repérer les cas sensibles, nommer un référent, poser une charte courte et créer vos premières fiches de preuve. Ce travail réduit les risques sans freiner les usages utiles. Chez Docentia, nous aidons les TPE et PME à transformer ces obligations en décisions pratiques, adaptées à leur taille et à leurs métiers. Pour faire le point sur vos usages actuels, demandez un diagnostic IA de 30 minutes.