Partie 2 — Les autres règles de l'UE que les PME qui utilisent l'IA devraient connaître
Les réglementations qui arrivent avec l'AI Act — et celles que vous pouvez ignorer
L’AI Act arrive rarement seul. La plupart des PME qui utilisent l’IA se situent déjà dans une ou deux des autres règles numériques de l’UE, et elles les rencontrent en général la même semaine — dans un seul contrat fournisseur, pas dans cinq projets distincts. Il s’agit d’une orientation, pas d’un programme de conformité : de quoi savoir lesquelles s’appliquent, et lesquelles vous pouvez ignorer sans risque.
| Réglementation | Qui est concerné | Ce qu’elle exige | Pertinente si vous… |
|---|---|---|---|
| RGPD | Toute organisation traitant des données personnelles de résidents de l’UE | Registres de traitement, analyses d’impact pour les traitements à risque élevé, accords de traitement des données avec les fournisseurs, notification des violations sous 72 heures | Utilisez l’IA sur des données clients, du profilage ou des décisions automatisées — c’est-à-dire presque toutes les PME qui utilisent l’IA |
| NIS2 | Environ 160 000 entités dans 18 secteurs — énergie, santé, finance, infrastructures numériques, et leurs chaînes d’approvisionnement | Un programme de gestion des risques couvrant plus de 10 domaines de sécurité, des évaluations de sécurité de la chaîne d’approvisionnement, une alerte précoce des incidents sous 24 heures | Êtes dans un secteur couvert, ou fournissez un secteur couvert — un fournisseur d’IA à un hôpital ou à un opérateur de réseau, par exemple |
| Cyber Resilience Act | Fabricants et distributeurs de « produits comportant des éléments numériques », avec une entrée en application progressive jusqu’en 2027 | Gestion des vulnérabilités, une nomenclature logicielle (SBOM), une réponse aux incidents documentée | Construisez ou vendez des logiciels ou des produits connectés — y compris un SaaS ou un outil d’IA que vous livrez à des clients |
| Data Act | Entreprises générant des données à partir de produits connectés, ou agissant comme fournisseurs de cloud ou de traitement de données | Des droits pour les utilisateurs d’accéder aux données de produits connectés et de les transférer ; un changement de cloud facilité | Vendez ou utilisez des produits connectés/IoT, ou proposez des services de cloud ou de données |
| DORA | Les entités financières et leurs fournisseurs TIC spécifiquement | Un cadre de risque TIC, des droits d’audit contractuels vis-à-vis des fournisseurs | Vendez des services d’IA ou TIC à des institutions financières, ou en êtes une |
Le vrai sujet, c’est le chevauchement
Une seule relation avec un fournisseur d’IA peut déclencher un accord de traitement des données RGPD, une évaluation fournisseur NIS2 si vous êtes dans un secteur couvert, et une diligence raisonnable au titre de l’AI Act — tout cela depuis un seul contrat. La solution pratique n’est pas trois projets de conformité distincts. C’est une seule liste de contrôle d’intégration des fournisseurs, ce que fait déjà le Playbook 2 (Fournisseurs et achats). Une ligne à y ajouter : le questionnaire fournisseur devrait poser des questions sur le RGPD, et sur NIS2 ou le CRA lorsque votre secteur ou la position du fournisseur rend l’un ou l’autre pertinent.
Ce qui ne doit pas vous préoccuper
Si vous êtes une PME classique, DORA est le problème de quelqu’un d’autre — sauf si vous vendez des services d’IA ou TIC à des institutions financières, ou si vous en êtes une. L’essentiel de NIS2 ne s’appliquera pas non plus, sauf si vous êtes dans l’un de ses dix-huit secteurs ou fournissez l’un d’eux. Leur présence dans des articles orientés grands comptes sur le « stack de conformité européen » ne signifie pas que chaque PME a besoin d’un programme DORA. La plupart n’en ont pas.
Sources : analyses du stack de conformité européen 2026 couvrant le RGPD, DORA, NIS2 et l’AI Act ; outils de suivi des échéances de conformité à la réglementation tech de l’UE.