Où en sont vraiment les PME françaises face à l'AI Act, au RGPD et à NIS2 ? Les chiffres que vous ne verrez pas dans les communiqués officiels.
des PME françaises restent non conformes au RGPD — six ans après son entrée en vigueur.
La conformité réglementaire des grandes entreprises est documentée. Celle des PME, beaucoup moins. Les études disponibles s'arrêtent souvent aux déclarations d'intention — « nous sommes en cours de mise en conformité » — sans mesurer l'état réel des pratiques.
Ce baromètre compile les données publiques disponibles issues de la CNIL, de l'ENISA, de la Direction générale des Entreprises et de France Num. Il ne prétend pas à l'exhaustivité. Il pose le diagnostic d'ensemble le plus fiable aujourd'hui, et invite les PME à y contribuer directement via notre étude participative. Ce travail est supervisé par notre équipe d'experts .
Themio conduit en parallèle sa propre étude auprès des PME françaises et européennes. Les résultats seront publiés dans le Baromètre 2027.
Participer à l'étude →Sondage hébergé sur la plateforme officielle de la Commission européenne — vos données sont traitées conformément au RGPD.
Méconnaissance des obligations ou défaut de mise en œuvre. Ce chiffre est stable depuis 2022.
Absence de bandeau cookies conforme, pas de politique de confidentialité à jour, traceurs non consentis.
Hausse de +780 % par rapport à 2024 (55 M€). 32 % des entreprises contrôlées étaient des PME ou TPE.
Ce document est pourtant obligatoire pour toute structure traitant des données personnelles — soit la quasi-totalité des entreprises.
Ce chiffre a doublé en un an. La majorité de ces entreprises ignore que l'utilisation d'IA est désormais encadrée par le Règlement (UE) 2024/1689 (AI Act) .
Conséquence directe : les obligations NIS2 — entrées en vigueur en octobre 2024 — restent largement non implémentées dans les structures de moins de 250 salariés.
| Règlement | Niveau de connaissance PME | Niveau de conformité estimé | Prochaine échéance clé |
|---|---|---|---|
| RGPD (Règlement UE 2016/679) | Élevé — connu de 80 %+ des dirigeants | Faible — 40 % conformes sur le fond | Contrôles CNIL renforcés en continu |
| AI Act (Règlement UE 2024/1689) | Faible — moins de 20 % des PME utilisatrices d'IA en ont entendu parler | Très faible — conformité quasi inexistante | Article 4 (formation IA) : en vigueur depuis fév. 2025 — Systèmes haut risque : décembre 2027 (report Digital Omnibus, mai 2026) |
| NIS2 (Directive UE 2022/2555) | Moyen — connu des secteurs les plus exposés | Faible — implémentation en retard dans la majorité des États membres | Transposition FR attendue — vérifier le statut national |
Digital Omnibus (mai 2026) : Le report des obligations AI Act haut risque à décembre 2027 a été acté en mai 2026. Ce report ne concerne pas l'Article 4 (obligation de formation IA) ni les pratiques interdites, qui sont en vigueur depuis février 2025.
Toutes les PME ne sont pas exposées de la même façon. Voici les quatre secteurs où l'écart conformité/obligation est le plus critique.
L'IA est massivement utilisée pour le tri de CV, la gestion des présences et l'évaluation des performances. Ces usages entrent directement dans le champ des « systèmes IA à haut risque » de l'Annexe III de l' AI Act (Article 6). Les obligations de transparence et de supervision humaine s'appliquent — même pour une PME de 20 salariés utilisant un logiciel RH tiers intégrant de l'IA.
Traceurs publicitaires, personnalisation algorithmique, chatbots commerciaux : trois points de friction RGPD constants. La CNIL a fait des cookies et du consentement sa priorité de contrôle depuis 2023. Les PME e-commerce sont surreprésentées dans les sanctions de la procédure simplifiée (amendes jusqu'à 20 000 €).
Entités soumises à NIS2 en tant que fournisseurs de services numériques critiques. Obligation de déclarer les incidents de sécurité sous 24h. 51 % des TPE/PME ont déjà subi un incident de sécurité lié aux données — sans l'avoir déclaré dans la grande majorité des cas. 📎 Source : France Num RGPD 2024
Données de santé = catégorie spéciale au sens de l'Article 9 RGPD. Niveau de protection requis maximal. Secteur en retard structurel sur la conformité numérique malgré une exposition aux sanctions plus forte que la moyenne.
La plupart des PME pensent que l' AI Act ne concerne que les développeurs d'IA. C'est faux. Le règlement distingue deux rôles : le fournisseur (qui développe le système) et le déployeur (qui l'utilise dans un contexte professionnel). En tant que déployeur, une PME a des obligations : vérifier que le système est conforme, former son personnel (Article 4), ne pas utiliser l'IA pour surveiller ses employés de façon illicite. Utiliser ChatGPT, un logiciel RH avec scoring automatique ou un outil de reconnaissance faciale place la PME dans le champ du règlement.
L'absence de registre des activités de traitement est une infraction documentée, contrôlable lors d'un audit CNIL, et sanctionnable indépendamment de tout incident de sécurité. 59 % des PME n'en tiennent pas. Le registre n'est pas un document optionnel : c'est l'obligation RGPD la plus simple à mettre en œuvre et la première que la CNIL vérifie.
Le Digital Omnibus a repoussé certaines obligations à décembre 2027. Mais trois obligations restent actives dès maintenant : l'interdiction des pratiques IA à risque inacceptable (en vigueur depuis février 2025), l'obligation de formation IA (Article 4, en vigueur depuis février 2025), et les règles applicables aux modèles d'IA à usage général (en vigueur depuis août 2025). Les PME qui attendent 2027 pour commencer leur mise en conformité prennent un risque réel.
Les données disponibles sur la conformité des PME sont principalement déclaratives ou issues de grands cabinets travaillant avec les ETI et les grandes entreprises. Il n'existe pas encore d'étude systématique, indépendante et représentative sur les PME de moins de 250 salariés en France et en Europe.
C'est ce que nous construisons.
Le sondage prend moins de 5 minutes. Il est hébergé sur la plateforme officielle de la Commission européenne (EUSurvey). Vos réponses sont anonymisées et traitées conformément au RGPD.
Participer à l'étude Themio →Ce baromètre repose exclusivement sur des données publiques vérifiables, issues d'institutions françaises et européennes. Aucune donnée n'est extrapolée ou estimée sans base documentée.
| Donnée | Source | Année |
|---|---|---|
| 60 % des PME non conformes RGPD | RGPDKit — Bilan CNIL 2025 | 2025 |
| 88 % des sites TPE/PME non conformes au RGPD | Cartegie — RGPD 7 ans après | 2024 |
| 486 M€ d'amendes CNIL en 2025 | DPO Partage — Sanctions CNIL 2025 | 2025 |
| 32 % des contrôlés sont des PME/TPE | CNIL — Rapport annuel 2025 | 2025 |
| 41 % des TPE/PME tiennent un registre des traitements | Baromètre France Num RGPD 2024 | 2024 |
| 51 % ont subi un incident de sécurité données | Baromètre France Num RGPD 2024 | 2024 |
| 26 % des TPE/PME utilisent un outil IA (x2 en un an) | Baromètre France Num 2025 | 2025 |
| 59 % des PME EU sans profils cybersécurité qualifiés | ENISA — NIS Investments 2025 | 2025 |
| Article 4 AI Act — formation en vigueur fév. 2025 | DGE France — Règlement européen sur l'IA | 2025 |
| Report AI Act haut risque → déc. 2027 | Digital Omnibus — accord provisoire Conseil/Parlement, 7 mai 2026 | 2026 |
Découvrez si vous êtes en conformité avec l'AI Act européen en évaluant vos obligations de transparence dès aujourd'hui.
Ou participez à notre étude et contribuez au Baromètre 2027 :
Répondre au sondage Themio →