Choisir un logiciel de conformité AI Act : la grille de lecture PME

Un logiciel de conformité AI Act se juge sur neuf points : la déclaration par les salariés, les documents produits, l'hébergement des données, la formation incluse ou non, le mode de tarification, la réversibilité, le suivi réglementaire, le délai jusqu'au premier résultat et la profondeur de l'analyse de risques. Cette grille n'est pas neutre : plusieurs de ces critères correspondent à des choix de conception d'Harmonia, et le dernier pointe une limite des outils conçus pour les PME. Elle reste utilisable telle quelle, quel que soit le fournisseur retenu à la fin.

Trois familles d'outils, trois publics différents

Le marché n'est pas homogène. Avant de comparer des fonctionnalités, identifiez à qui l'outil que vous regardez a été conçu pour parler.

Les plateformes de gouvernance pour grands comptes. Elles gèrent des portefeuilles de systèmes d'IA, des workflows de validation multi-niveaux, des évaluations de risques détaillées par modèle. Elles supposent une équipe dédiée, un déploiement qui s'étale sur plusieurs mois et un budget annuel calibré pour une grande organisation. Elles trouvent leur public au-delà de quelques centaines de salariés, là où ces moyens existent déjà.

Les modules greffés sur des suites de conformité existantes. Ce sont des extensions ajoutées à des outils de gestion des risques ou de conformité au RGPD. L'intérêt est réel si vous utilisez déjà la suite en question. Le point faible est fréquent : le module reprend la logique du registre des traitements et raisonne en inventaire d'outils, pas en usages réels par les équipes.

Les outils conçus pour les PME. Ils partent du problème inverse : le dirigeant ne sait pas ce que ses équipes font avec l'IA, et il n'a personne pour tenir un dispositif lourd. La promesse est un résultat exploitable en quelques semaines avec quelques heures de travail interne. Le risque, dans cette famille, est le manque de profondeur ou une automatisation de façade.

Aucune famille n'est meilleure en soi. Ce qui compte est l'écart entre l'outil et votre situation réelle, que vous pouvez cadrer en relisant ce que le règlement IA européen impose vraiment à une PME en 2026.

Les neuf critères pour choisir un logiciel de conformité AI Act

1. La déclaration par les salariés, ou seulement l'inventaire technique. Un outil qui liste les applications détectées sur le réseau ne verra jamais le compte ChatGPT personnel utilisé depuis un téléphone. Or c'est là que se trouve l'essentiel des usages non cadrés. Demandez si l'outil organise une déclaration par les collaborateurs eux-mêmes, avec un questionnaire simple, ou s'il se contente d'un inventaire vu de la direction informatique.
2. Les documents produits, et leur réutilisabilité. L'objectif final est un dossier de preuve : charte signée, registre des usages, traces de formation, désignation d'un responsable. Demandez à voir les documents réellement générés, pas des captures d'écran de tableaux de bord. Un tableau de bord ne se transmet pas à un client ; un document daté, oui.
3. L'hébergement des données et leur régime juridique. Vous allez y consigner qui, dans votre entreprise, utilise quoi et avec quelles données. C'est une information sensible sur votre organisation. Demandez la localisation des serveurs, l'identité de l'hébergeur et la nationalité de la société qui exploite le service. L'absence de réponse claire est une réponse en soi.
4. La formation : incluse ou vendue à part. L'article 4 du règlement demande de prendre des mesures soutenant la littératie IA de vos équipes. C'est une obligation de moyens, et la preuve attendue est un programme documenté. Un outil qui produit un registre mais laisse la formation à votre charge vous laisse avec la moitié du travail, et le budget correspondant reste à trouver.
5. Le mode de tarification : effectif ou nombre de sièges. Une tarification au siège vous pousse à limiter le nombre de personnes qui déclarent leurs usages, ce qui va exactement contre l'objectif. Une tarification à l'effectif déclaré permet de faire participer tout le monde sans arbitrage budgétaire. Vérifiez aussi ce qui se passe quand vous recrutez cinq personnes en cours d'année.
6. La réversibilité et la sortie des données. Pouvez-vous exporter votre registre, votre charte et vos traces de formation dans un format ouvert, à tout moment, sans intervention du support ? Si la réponse est non, votre dossier de preuve appartient de fait à votre fournisseur. C'est un point à trancher avant la signature, pas après.
7. Le suivi réglementaire : qui met l'outil à jour. Le cadre bouge. Le Digital Omnibus sur l'IA, entré en vigueur le 27 juillet 2026, a reformulé l'article 4 et reporté au 2 décembre 2027 les obligations haut risque de l'Annexe III. Demandez comment l'éditeur a répercuté ce changement dans son produit et sous quel délai. Un outil dont les contenus datent d'avant cette évolution vous fera travailler sur un cadre périmé.
8. Le délai jusqu'au premier résultat utile. Fixez-vous une exigence : savoir, sous un mois, quels outils d'IA sont utilisés dans l'entreprise, par quels services, avec quelles données. Si l'outil demande trois mois de paramétrage avant de produire cette réponse, il n'est pas dimensionné pour vous.
9. La profondeur de l'analyse de risques et l'intégration au système d'information. C'est le critère sur lequel un outil conçu pour les PME est structurellement plus faible. Il simplifie volontairement : quelques niveaux de criticité, un questionnaire court, peu de connexion à votre annuaire ou à votre gestion de tickets. Cette simplification devient une limite dans trois cas : documenter chaque système au cas par cas, tracer une validation à plusieurs étages, alimenter un référentiel de risques existant. Demandez jusqu'où descend l'analyse par usage et quelles interfaces existent : si ce niveau de détail vous est nécessaire, une plateforme pour grands comptes sera mieux adaptée.

Les questions à poser en démonstration

Une démonstration commerciale montre ce que l'éditeur veut montrer. Ces questions déplacent la conversation vers ce qui vous intéresse.

• Demandez à voir le questionnaire exact que reçoit un salarié, et le temps qu'il met à y répondre.
• Exigez le dossier complet qu'une entreprise du même effectif peut transmettre à un grand client, tel qu'il sort de l'outil.
• Faites préciser où sont hébergées les données et qui exploite le service juridiquement.
• Demandez ce que contient la partie formation : durée, contenu, trace laissée après une session.
• Demandez le prix exact au passage de 18 à 25 collaborateurs.
• Faites démontrer l'export complet des données en cas de résiliation dans deux ans.
• Demandez ce qui a changé dans le produit après le Digital Omnibus, et à quelle date.
• Demandez ce qui se passe si un usage de l'entreprise relève du haut risque au sens de l'Annexe III.

Notez les questions restées sans réponse. Elles pèsent plus lourd que les fonctionnalités listées sur la plaquette.

Les signaux d'alerte

La promesse d'un titre officiel. Aucun schéma officiel de reconnaissance n'existe pour l'usage courant de l'IA en entreprise. Un éditeur qui laisse entendre qu'il peut vous en délivrer un vend une histoire fausse, et c'est vous qui porterez l'affirmation devant vos clients. Le détail figure dans l'analyse des titres et attestations qui existent réellement pour l'AI Act.

Une tarification au siège qui s'emballe. Le calcul paraît modeste sur dix utilisateurs et devient un poste budgétaire à quarante. Refaites toujours le calcul sur votre effectif complet, puis sur votre effectif dans deux ans.

Aucune mention de l'hébergement ni de la souveraineté des données. Un éditeur qui traite ce sujet en une ligne de conditions générales n'a pas anticipé la première question que vous posera un grand client sur sa chaîne de sous-traitance.

Une dépendance à la détection technique de l'activité des salariés. Pour une PME, la surveillance du poste de travail se paie en climat social et se contourne avec un téléphone personnel : c'est ce que détaille l'analyse des données confidentielles saisies dans ChatGPT par les salariés. Préférez un outil qui organise la déclaration.

Un discours qui repose entièrement sur la peur de l'amende. Le règlement prévoit bien un cadre de sanctions à son article 99, avec une atténuation explicite en faveur des PME et des start-ups. Un éditeur qui n'a que cet argument n'a probablement pas de produit derrière.

Comment trancher sans y passer un trimestre

Réduisez à deux candidats maximum. Au-delà, la comparaison coûte plus cher que l'écart entre les offres.

Notez chaque candidat sur les neuf critères, puis pondérez vous-même les trois qui comptent le plus dans votre contexte. Cette pondération ne se transpose pas d'une entreprise à l'autre. Elle dépend de votre effectif, de votre secteur, des exigences de vos clients et de ce que vous avez déjà en place.

Enfin, mettez le prix en face du temps interne que l'outil vous économise réellement. C'est la seule comparaison qui a du sens, et elle est développée dans l'analyse du coût de la conformité AI Act pour une PME.

Questions fréquentes

Un tableur et un modèle de charte peuvent-ils suffire à une petite structure ?

Oui, en dessous d'une dizaine de personnes et avec des usages simples, un tableur bien tenu et une charte signée constituent déjà un dossier défendable. L'outil devient utile quand les déclarations arrivent en continu, quand il faut former et tracer régulièrement, ou quand un tiers vous demande un dossier présentable sans que vous y passiez une journée.

Faut-il un outil qui surveille ce que les salariés font avec l'IA ?

Non, et c'est même contre-productif dans une PME. La surveillance dégrade le climat, coûte cher et se contourne avec un téléphone personnel. Une campagne de déclaration annoncée sans sanction, suivie d'un cadre clair sur ce qui est autorisé, donne une vision plus fidèle de la réalité.

Comment vérifier que l'éditeur suit vraiment l'évolution du règlement ?

Demandez-lui de vous dire ce qui a changé le 27 juillet 2026 et ce que cela a modifié dans son produit. Une réponse précise sur la reformulation de l'article 4 et sur le report des obligations haut risque au 2 décembre 2027 est un bon indicateur. Une réponse vague, ou un discours encore construit sur le 2 août 2026 comme échéance générale, en est un autre.

Où en est votre entreprise ?

Avant de comparer des outils, mesurez votre point de départ. L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA