- Les PME françaises sont déjà soumises au règlement européen sur l'IA (règlement (UE) 2024/1689): il n'existe aucune exemption ou report spécifique à la France.
- Deux institutions nationales comptent particulièrement pour les entreprises françaises : la CNIL (protection des données, et de plus en plus supervision de l'IA) et la DGE (Direction Générale des Entreprises, qui coordonne la mise en œuvre de l'AI Act en France).
- 26 % des TPE/PME françaises utilisent déjà au moins un outil d'IA, selon le Baromètre France Num 2025: la plupart n'ont pas documenté leurs obligations au titre de l'article 4.
- La France n'a pas créé d'obligations nationales supplémentaires au-delà du règlement européen, mais le contexte d'application français (l'historique d'application assertive de la CNIL envers les PME sous le RGPD) donne une indication de la façon dont l'application de l'AI Act se déroulera au niveau national.
- Ce guide couvre ce que les PME françaises doivent savoir spécifiquement : le paysage national d'application, les ressources publiques disponibles, et un parcours de conformité pratique.
Si vous dirigez une PME en France et que votre entreprise utilise un outil d'IA, vous êtes déjà un « déployeur » au sens du règlement européen sur l'IA : des obligations en vigueur depuis le 2 février 2025 s'appliquent à vous dès aujourd'hui, quelle que soit la taille ou le secteur de votre entreprise.
La France n'a pas de règlement IA national distinct. Le règlement s'applique directement en tant que droit européen, mais la manière dont il sera appliqué en France dépend des institutions françaises : la CNIL, qui régule déjà la protection des données et devrait jouer un rôle central dans la supervision de l'IA compte tenu du recoupement entre systèmes d'IA et traitement de données personnelles, et la DGE, qui coordonne la mise en œuvre nationale de l'AI Act et fournit des orientations aux entreprises. Comprendre comment ces organismes fonctionnent (et quel historique ils ont) constitue le prisme France-spécifique le plus pertinent pour aborder la conformité.
Le contexte d'application français : ce que révèle le bilan RGPD de la CNIL
La France ne dispose pas encore d'un corpus important de décisions d'application de l'AI Act: le règlement est trop récent. Mais l'approche de la CNIL en matière d'application du RGPD aux PME est le signal disponible le plus proche de la façon dont l'application de l'AI Act se déroulera probablement, la CNIL étant appelée à devenir une autorité de référence pour les systèmes d'IA qui traitent des données personnelles (ce qui est le cas de la plupart d'entre eux).
Depuis 2023, la CNIL applique une procédure de sanction simplifiée spécifiquement destinée aux petites structures, avec des amendes généralement comprises entre 3 000 et 20 000 €: de manière délibérément proportionnée aux ressources de la PME, mais bien réelle et exécutoire. En 2025, la CNIL a prononcé 87 sanctions totalisant 486 millions d'euros toutes tailles d'entreprises confondues. Le schéma est constant: les régulateurs français poursuivent les petites entreprises de manière routinière, pas seulement les grands groupes, et adaptent la sanction en conséquence plutôt que de les exempter.
Pour l'application de l'AI Act spécifiquement, attendez-vous à une posture similaire une fois les autorités nationales de surveillance du marché formellement désignées (attendu d'ici fin 2026): des amendes proportionnées mais réelles pour les PME, avec une application qui s'intensifie pour la non-conformité répétée ou délibérée plutôt que pour de véritables lacunes initiales traitées de bonne foi.
Ce que la DGE et les ressources publiques françaises offrent aux PME
La Direction Générale des Entreprises (DGE) coordonne la mise en œuvre de l'AI Act au niveau national et constitue une source utile d'orientations en français, aux côtés de ces ressources publiques que les PME devraient connaître :
- France Num : le programme de transformation numérique de l'État pour les PME, qui publie un baromètre annuel sur l'adoption du numérique et de l'IA par les TPE/PME françaises (source du chiffre de 26 % mentionné ci-dessus) et fournit des orientations accessibles sur les sujets de conformité numérique.
- CNIL : au-delà de l'application, la CNIL publie des orientations pratiques sur les systèmes d'IA et la protection des données, y compris des recommandations spécifiquement destinées aux PME sans service juridique dédié.
- Bpifrance : bien que principalement un organisme de financement, Bpifrance intègre de plus en plus des orientations de préparation à la conformité (y compris liées à l'IA) dans ses programmes de soutien aux PME, pertinent si vous recherchez également un financement européen (voir l'interaction de l'AI Act avec des programmes comme Horizon Europe ou l'EIC Accelerator).
Aucune de ces ressources ne remplace un outil de conformité dédié ou un conseil juridique pour les cas sensibles de classification, mais ce sont des points de départ légitimes, gratuits et en français: et le fait de les citer dans votre dossier de conformité démontre un engagement de bonne foi avec le contexte national, ce qui a son importance face à un régulateur.
Ce que les PME françaises doivent faire spécifiquement
Le processus sous-jacent en cinq étapes (inventaire, classification, formation, documentation, veille) est identique à celui de toute PME européenne: voir notre guide complémentaire, Comment se mettre en conformité avec l'AI Act en 5 étapes . Les ajouts spécifiques à la France sont :
- Recouper votre inventaire d'IA avec les orientations de la CNIL , la supervision de la protection des données et de l'AI Act étant très probablement assurées par la même autorité pour la plupart des PME (tout outil d'IA traitant des données personnelles de clients ou d'employés déclenchant simultanément les exigences du RGPD et du règlement IA).
- Vérifier les obligations sectorielles spécifiquement françaises. Certains secteurs réglementés français (services financiers sous supervision de l'ACPR, santé sous les cadres de la HAS/ANS) superposent des règles sectorielles additionnelles à la base du règlement européen.
- Documenter en français autant qu'en anglais si votre dossier de conformité doit être présenté à un régulateur français, à un investisseur français ou au service achats d'un grand compte français: un dossier de conformité exclusivement en anglais peut ralentir inutilement les processus de due diligence.
- Suivre spécifiquement le calendrier d'implémentation française de la proposition Digital Omnibus : bien que la proposition au niveau européen suggère de reporter certaines obligations de déployeur à haut risque à décembre 2027, les autorités françaises pourraient émettre leurs propres orientations sur la période de transition.
Référence rapide : votre PME française est-elle concernée ?
| Situation | Statut AI Act |
|---|---|
| PME française utilisant un outil d'IA (chatbot, scoring CRM, outil de recrutement, etc.) | Soumise aux obligations des articles 4 (culture IA) et 5 (pratiques interdites) dès maintenant |
| Micro-entreprise française (moins de 10 salariés) | Aucune exemption: mêmes obligations, la proportionnalité ne s'applique qu'à certaines exigences de déployeur à haut risque |
| PME française déjà enregistrée CNIL / conforme RGPD | Bonne base, mais la conformité RGPD seule ne couvre pas les exigences spécifiques à l'AI Act (classification des risques, documentation de la formation Article 4) |
| PME française dans les secteurs RH, recrutement ou crédit | Probabilité plus élevée de toucher des catégories à haut risque: prioriser la classification des risques (Étape 2 du processus en 5 étapes) |
| PME française recherchant un financement Horizon Europe / EIC / Bpifrance | Preuves d'alignement AI Act de plus en plus attendues en due diligence de financement |
Questions fréquentes
Themio.ai est conçu pour les PME européennes, avec une attention particulière au contexte réglementaire français: orientations CNIL, coordination DGE et données France Num: aux côtés d'une couverture complète AI Act , RGPD et NIS2. Analyse complétée en moins de deux minutes, hébergement 100 % Europe. Découvrez comment →