Vanta, Drata, Kertos : pourquoi les PME françaises paient 25 à 250x trop cher pour la conformité EU AI Act

Le 13 mai 2026 marque une nouvelle session de trilogue sur le Digital Omnibus. Mais comme l'a confirme le 28 avril, les négociateurs européens ont maintenu la deadline EU AI Act du 2 août 2026 pour les systèmes à haut risque. Les PME françaises disposent de 87 jours pour se mettre en conformité — et beaucoup commettent encore l'erreur de regarder du cote des solutions américaines ou entreprise pour le faire.

Ce guide compare les principaux outils de conformité IA disponibles en 2026 : leurs prix réels, leurs coûts caches, et pourquoi la plupart des PME françaises n'ont pas besoin de payer 25 à 250 fois plus cher que nécessaire.

Ce que Vanta, Drata et Kertos vous coûtent vraiment

Le marche de la conformité automatisée est domine par trois acteurs anglosaxons. Leurs tarifs ne sont pas toujours affiches clairement — et c'est précis pour une raison.

Vanta : 10 000 à 80 000 USD par an, hors renouvellement

Vanta est la solution la plus connue du marche. Elle a été conçue pour la conformité SOC 2 américaine et a ajoute l'EU AI Act comme module supplémentaire en 2025. Son positionnement est clairement enterprise : le contrat médian est d'environ 20 000 USD par an, les plans Core démarrent à 10 000 USD, et les plans Scale et Enterprise atteignent 30 000 à 80 000 USD par an.

Le Trust Center — outil de partage des preuves de conformité avec vos clients et partenaires — est un module additionnel facture environ 6 000 USD supplémentaires par an.

Mais le vrai problème n'est pas le prix initial. C'est le renewal shock : selon les avis collectes sur G2 et Capterra, les renouvellements Vanta augmentent de 40 à 100% après la première année, une fois les remises de démarrage expirées. Des entreprises ayant négocié un contrat à 10 000 USD se retrouvent avec une facture de 15 000 à 20 000 USD l'année suivante — sans changement de périmètre.

Drata : 7 500 USD pour démarrer, 20 000 USD après le premier renouvellement

Drata positionne ses plans à partir de 7 500 USD par an pour les startups, ce qui le rend superficiellement plus accessible que Vanta. Mais les utilisateurs rapportent des augmentations similaires : passer de deux frameworks de conformité a trois suffit parfois à doubler la facture. Des exemples documentes montrent des devis passant de 7 500 à 20 000 USD simplement en ajoutant ISO 27001 au SOC 2.

Drata a introduit le support DORA, NIS2 et ISO 42001 (gestion du risque IA) en 2025. Son module EU AI Act est récent et moins mature que son offre SOC 2 historique. Pour une PME française qui n'a pas besoin de SOC 2 américain, elle paie donc pour un produit calibre pour des exigences qui ne sont pas les siennes.

Kertos : pricing enterprise, opaque par design

Kertos a levé 14 millions d'euros en Serie A et se positionne sur le marche entreprise avec son agent IA "KAIA". Leur pricing n'est pas public — c'est un signal clair de leur segment cible : grands comptes avec cycles de vente longs et budgets compliance de plusieurs dizaines de milliers d'euros par an. Les PME ne sont pas leur cible, même si elles peuvent théoriquement souscrire.

heyData : 89 euros par mois, mais calibre RGPD, pas EU AI Act

heyData est l'un des acteurs européens les plus accessibles du lot, avec une grille publique démarrant à 89 euros par mois (tarif constate en août 2026). Leur force est la conformité RGPD, avec une note G2 de 4,4/5 (source : fiche produit G2, août 2026). Mais leur offre EU AI Act est secondaire : c'est un module greffe sur un produit RGPD, pas une plateforme congue nativement pour l'inventaire des systèmes IA, la classification Annexe III et la génération documentaire AI Act.

Tableau comparatif prix et couverture EU AI Act 2026

Solution	Prix indicatif annuel	Hébergement	EU AI Act natif	Sectoriel
Vanta	10 000 à 80 000 USD/an	USA	Module add-on	Non
Drata	7 500 à 20 000 USD/an	USA	ISO 42001 partiel	Non
Kertos	N.C. (enterprise)	DE	Oui (agent KAIA)	Non
heyData	à partir de 1 068 euros/an	DE	Partiel (RGPD-first)	Non
ConformScan	1 788 euros/an	EU	Partiel	Non
MaConformite	0 à 468 euros/an	FR (Vercel EU)	Oui — natif	Oui (6 secteurs)

Les trois coûts caches que personne ne mentionne

1. La conversion USD en euros, plus les frais bancaires

Vanta et Drata facturent en USD. Pour une PME française, cela signifie une exposition au taux de change, des frais de conversion bancaire de 1 à 3%, et une comptabilité en devise étrangère pour des obligations 100% européennes. Un contrat Vanta à 10 000 USD représentait 9 200 euros en janvier 2026, mais pourrait valoir 8 500 ou 10 500 euros au renouvellement selon l'évolution de l'EUR/USD — sans que le périmètre de conformité ait change d'un iota.

2. Les frais de mise en place et d'accompagnement

Les solutions enterprise incluent rarement la mise en place dans leur tarif de base. Des frais d'onboarding de 2 000 à 5 000 euros s'ajoutent fréquemment au premier contrat. Pour Vanta, les intégrateurs certifies facturent en plus leurs honoraires — comptez 150 à 300 euros de l'heure pour un consultant spécialisé.

Pour l'EU AI Act spécifiquement, la mise en place d'un inventaire complet, la classification des systèmes, la rédaction des notices transparence et la préparation de l'Annexe IV peuvent représenter 15 à 30 jours de travail consultant. À 200 euros de l'heure, le coût d'implémentation dépassé souvent le coût de la licence la première année.

3. La souveraineté des données : une ironie réglementaire

C'est le paradoxe que peu de prestataires mentionnent : utiliser Vanta ou Drata pour prouver votre conformité EU AI Act signifie stocker vos données de conformité — inventaires de systèmes IA, évaluations des risques, documentation technique — sur des serveurs américains soumis au Cloud Act.

Le Cloud Act américain permet aux autorités américaines de contraindre les fournisseurs de services cloud américains à divulguer des données, même si ces données sont physiquement stockées en Europe. Pour une PME dont les données de conformité incluent des informations stratégiques sur ses systèmes IA, ses processus internes et sa documentation technique, c'est un risque réglementaire et concurrentiel non négligeable.

Confiez vos preuves de conformité RGPD à un acteur soumis au Cloud Act, et vous cumulez deux problèmes réglementaires au lieu d'en résoudre un.

Pourquoi les PME françaises n'ont pas besoin d'une solution enterprise

Vanta et Drata ont été construits pour les startups tech américaines qui ont besoin de SOC 2 pour vendre à des clients enterprise américains. Leur produit EU AI Act est une extension de cette logique : ils ont ajoute un framework européen à une architecture américaine.

La réalité des PME françaises est différente. Vous n'avez pas besoin de SOC 2. Vous n'avez pas de CISO a plein temps. Vous n'avez pas de budget compliance de 20 000 euros par an. Vous avez besoin de :

• Savoir quels systèmes IA vous utilisez et leur niveau de risque EU AI Act
• Générer la documentation technique requise par le règlement (Annexe IV, notices transparence)
• Évaluer les droits fondamentaux pour les systèmes haut risque (AIPD/FRIA)
• Suivre votre conformité dans le temps et prouver votre diligence aux autorités

Aucune de ces fonctions ne nécessite une infrastructure enterprise a six chiffres.

L'approche sectorielle : ce qui manque à toutes les solutions du marche

Un point rarement aborde dans les comparaisons concurrentielles : les obligations EU AI Act varient considérablement selon le secteur d'activité. Un système de scoring de candidatures en RH (Annexe III point 4) n'a pas les mêmes obligations documentaires qu'un outil d'aide à la décision médicale (Annexe III point 5) ou qu'un logiciel de notation de crédit (Annexe III point 5).

Les solutions comme Vanta ou Drata appliquent un template générique à tous les secteurs. MaConformite a structure ses Pôles sectoriels — Santé, RH, Finance, Industrie, Éducation, Transport — avec des checklists, des modeles documentaires et des évaluations des risques adaptes à chaque contexte réglementaire spécifique.

Pour un directeur de clinique ou un DRH de PME industrielle, la différence entre un questionnaire générique et un parcours guide par secteur represente plusieurs jours de travail economises — et une documentation beaucoup plus solide face à un contrôle de la CNIL.

Ce que coûtent vraiment 87 jours de non-conformité

La question n'est pas seulement le coût de la conformité, mais le coût de l'absence de conformité. L'EU AI Act prévoit des amendes jusqu'à 15 millions d'euros ou 3% du CA mondial pour le non-respect des obligations sur les systèmes haut risque. Pour une PME de 50 salariés avec 5 millions d'euros de CA, cela représente jusqu'à 150 000 euros d'amende.

Même en dessous du seuil d'amende formelle, les risques sont concrets : suspension des systèmes haut risque ordonnée par les autorités, interdiction de mise sur le marche, obligation de rappel produit pour les fournisseurs de logiciels. Pour une PME qui intègre de l'IA dans ses processus RH ou financiers, l'interruption forcée est potentiellement plus coûteuse que l'amende elle-même.

L'article 99 protege certes les PME en plafonnant les amendes au montant le plus bas entre le pourcentage du CA et le montant fixe — mais seulement si l'infraction est prouvée et formellement constatée. La protection PME ne s'applique pas à la suspension d'activité ordonnée à titre conservatoire.

En pratique : ce que vous obtenez pour 39 euros par mois

MaConformite a été conçu spécifiquement pour les PME et ETI françaises qui doivent prouver leur conformité EU AI Act avant le 2 août 2026, sans mobiliser un budget compliance équivalent à un poste temps plein.

Le plan Pro à 39 euros par mois — soit 468 euros par an, sans surprise de renouvellement, sans frais caches, sans conversion USD — inclut :

• L'inventaire complet de vos systèmes IA avec classification automatique selon les Annexes I a III de l'EU AI Act
• La génération de votre documentation technique obligatoire (Annexe IV) adaptée à votre secteur
• L'évaluation de l'impact sur les droits fondamentaux (FRIA/AIPD), requise pour les systèmes haut risque
• Les checklists de conformité par article du règlement, avec statut de validation et audit trail
• L'export PDF professionnel de toute votre documentation, consultable par vos équipes et vos auditeurs
• Les alertes deadline (J-87, J-30, J-7) pour ne manquer aucune échéance

Pour une PME qui comparait avec un contrat Vanta Core à 10 000 USD, l'économie annuelle est de l'ordre de 8 700 euros — soit 19 années de MaConformite Pro financées par la différence de la première année Vanta.

Questions fréquentes

Vanta couvre-t-il vraiment l'EU AI Act ou juste le SOC 2 ?

Vanta a ajoute un module EU AI Act en 2025, mais c'est une extension d'un produit historiquement conçu pour SOC 2, ISO 27001 et HIPAA américains. La couverture EU AI Act de Vanta manque la granularite sectorielle et la profondeur documentaire requise par les articles 11 (documentation technique), 13 (transparence) et 9 (gestion des risques) de l'EU AI Act. Pour une conformité européenne profonde, une solution nativement congue pour l'EU AI Act est préférable.

Drata est-il disponible en français ?

Drata est disponible en anglais uniquement. Pour des PME dont les équipes ne sont pas anglophones, cela ajoute une difficulté opérationnelle réelle : les checklists, les questionnaires et les rapports générés sont en anglais, ce qui complique la diffusion interne et la communication avec les autorités françaises.

Puis-je utiliser MaConformite si j'ai déjà commence avec Vanta ?

Oui. MaConformite peut être utilise en parallèle ou en remplacement de tout autre outil. La plateforme permet d'importer votre inventaire existant et de compléter la documentation manquante pour les obligations spécifiques de l'EU AI Act que Vanta ne couvre pas nativement. Le diagnostic gratuit identifie en 3 minutes les gaps de conformité restants.

Le prix de MaConformite va-t-il augmenter après la deadline du 2 août 2026 ?

Non. La tarification MaConformite — 0 euro (diagnostic), 39 euros (Pro), 97 euros (Business), 197 euros (Enterprise) — est ferme et transparente. Aucun supplément post-deadline, aucun renewal shock, aucun add-on cache. L'objectif est d'accompagner les PME dans la durée, pas seulement jusqu'au 2 août.

Quelle est la différence entre EU AI Act et ISO 42001 ?

ISO 42001 est un standard international de gestion du risque IA, volontaire et certifiable. L'EU AI Act est un règlement européen obligatoire avec sanctions. Les deux peuvent se compléter — une certification ISO 42001 peut faciliter la démonstration de conformité EU AI Act — mais ils n'ont pas la même portée juridique. Ni Vanta ni Drata ne couvrent complètement les obligations légales spécifiques de l'EU AI Act, notamment l'Annexe IV et les FRIA.

À 87 jours de la deadline, la question n'est plus de choisir le meilleur outil du marche en général. C'est de savoir si votre documentation sera prêté le 2 août 2026. Le diagnostic MaConformite vous donne une cartographie complete de votre situation actuelle, votre niveau de risque par système, et le plan d'action pour les 87 prochains jours — gratuitement, en 3 minutes.