C'est l'amende maximale prévue par l'EU AI Act pour une startup qui déploie un système d'IA à haut risque sans conformité documentée. Même un tour de table réussi ne couvre pas ça.
Le 2 décembre 2027, l'EU AI Act s'applique pleinement à toutes les entreprises qui développent ou déploient de l'IA en Europe — y compris les startups. Ce n'est pas une loi qui vise les Big Tech. C'est une loi qui vise votre produit, si votre produit utilise de l'IA pour prendre des décisions qui affectent des personnes.
En 18 mois d'analyse de dossiers IA, on a vu des fondateurs découvrir au moment d'une levée ou d'une acquisition que leur système était classifié "haut risque" sans qu'ils le sachent. Le deal se bloque. Le haircut est immédiat. L'AI Act n'est pas hypothétique — les premières investigations sont en cours.
Ce qui change concrètement pour vous
Avant l'EU AI Act, déployer une IA en Europe relevait de votre responsabilité interne. La loi ne prescrivait pas comment votre modèle devait être conçu, documenté ou supervisé. Ce régime est terminé.
Désormais, si votre système d'IA est classifié "haut risque" — et la liste des usages concernés est plus longue que vous ne le pensez — vous êtes légalement obligé d'avoir : un système de gestion des risques documenté, une traçabilité des données d'entraînement, une supervision humaine effective (pas juste déclarée), et un dossier technique complet avant toute mise sur le marché. Ce n'est pas de la paperasse optionnelle. C'est la condition d'exploitation légale.
Pour les systèmes complètement interdits — manipulation comportementale, scoring social, biométrie en temps réel dans l'espace public — la deadline n'est pas décembre 2027. Elle était en février 2025. Si vous avez un de ces cas d'usage dans votre roadmap, arrêtez-vous là et lisez la suite attentivement.
Suis-je concerné ? 5 cas d'usage fréquents
Voici la réponse directe pour les cas qu'on voit le plus souvent.
| Cas d'usage | Verdict | Pourquoi |
|---|---|---|
| Chatbot RH — répond aux questions internes, oriente les salariés | NON* | Informatif uniquement. Dès qu'il évalue ou filtre des candidats, le verdict bascule. |
| Scoring de crédit — IA qui note la solvabilité ou le risque client | OUI | Classifié haut risque explicitement. Obligations complètes dès le premier déploiement. |
| Recommandation e-commerce — "vous aimerez aussi…" | NON | Pas de décision impactant des droits. Hors périmètre haut risque. |
| Outil de recrutement — IA qui filtre des CV ou classe des candidats | OUI | Accès à l'emploi = haut risque. Même si c'est "juste un filtre", l'obligation s'applique. |
| Maintenance prédictive industrielle — IA qui détecte des pannes sur équipements critiques | PEUT-ÊTRE | Dépend de l'infrastructure. Si votre client est un opérateur d'infra critique (énergie, eau, transport), haut risque probable. |
*Le "NON" ne signifie pas zéro obligation. Il signifie que les obligations de conformité haut risque ne s'appliquent pas. Des règles de transparence minimales s'appliquent à tous les systèmes IA en contact avec des utilisateurs humains.
Ce que ça coûte de ne pas s'en occuper
Trois scénarios réels. Les chiffres sont ceux qu'on observe dans les dossiers.
Un investisseur sérieux mandate une DD AI Act. Votre système de recrutement est classifié haut risque, pas de QMS documenté. Haircut immédiat sur la valorisation. Dans 20% des cas : deal abandonné.
Les premières sanctions AI Act ne tombent pas à 35 M€. Elles tombent à 70–150 K€ pour les PME et startups — calibrées sur le CA. Suffisant pour tuer une série A en cours.
Remettre un système haut risque en conformité après coup coûte 3 à 5 fois plus cher que de le faire en amont. Plus les délais réglementaires qui bloquent l'exploitation pendant la correction.
Ce n'est pas l'amende elle-même. C'est la combinaison : haircut sur la levée + coût de remédiation + retard go-to-market. Sur un tour de 2 M€, ça peut représenter 300 à 600 K€ de valeur détruite — pour un problème qui se détecte en 24h.
3 actions à faire maintenant
-
01
Classifiez vos systèmes IA
Listez chaque système ou fonctionnalité IA que vous développez ou déployez. Pour chacun, posez une seule question : est-ce que cette IA influe sur une décision qui affecte l'accès d'une personne à l'emploi, au crédit, à un service essentiel, ou la sécurité d'une infrastructure ? Si oui, vous êtes probablement haut risque. Cette liste prend deux heures à constituer et peut éviter un blocage de deal.
-
02
Documentez votre supervision humaine
Le règlement exige que les décisions haut risque soient supervisées par un humain. Pas une case cochée dans vos CGU — une supervision effective et traçable. Définissez qui dans votre organisation peut intervenir, comment, et gardez-en la preuve. C'est ce que les régulateurs et les DDs investisseurs vont demander en premier.
-
03
Obtenez un score D7™ avant votre prochaine levée ou signature
Un score D7™ documente votre niveau de conformité sur 7 dimensions en 24 à 48h. C'est ce que les investisseurs sérieux vont exiger de toute façon — autant le produire vous-même et contrôler le narrative plutôt que de le découvrir en DD adverse. Pour une startup, c'est moins cher que la première heure d'un avocat spécialisé.
Score D7™ en 24h
Classification de vos systèmes IA, exposition réglementaire EU AI Act documentée, rapport utilisable en due diligence. Moins cher qu'une heure d'avocat.
Obtenir mon Score D7™ En savoir plus sur la méthodologie D7™ →