Guide AI Act : comment se mettre en conformité ?

Qu'est-ce que l'AI Act ?

L'AI Act encadre la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union européenne selon une approche par les risques. Le principe est simple : plus un système peut porter atteinte aux droits fondamentaux, à la sécurité ou à la santé des personnes, plus les obligations sont strictes.

Le texte définit largement un « système d'IA » comme un système automatisé qui, à partir d'entrées, produit des sorties (prédictions, recommandations, décisions, contenus) avec un certain degré d'autonomie. Cette définition englobe aussi bien les modèles génératifs que des algorithmes plus classiques de scoring ou de tri.

Il s'articule autour de catégories de risque et introduit un régime spécifique pour les modèles d'IA à usage général (GPAI), ces grands modèles fondation qui peuvent servir à d'innombrables usages en aval.

Les quatre niveaux de risque

La classification par risque est la clé de voûte de tout le règlement : elle détermine l'intensité de vos obligations pour chaque système.

• Risque inacceptable : pratiques interdites (notation sociale généralisée, manipulation exploitant les vulnérabilités, certaines identifications biométriques). Interdiction pure et simple.
• Haut risque : IA utilisées dans des domaines critiques (recrutement, éducation, crédit, services essentiels, dispositifs de sécurité, justice, migration). Obligations les plus lourdes.
• Risque limité : chatbots, systèmes générant ou manipulant des contenus (deepfakes). Obligation de transparence : informer l'utilisateur.
• Risque minimal : la grande majorité des IA (filtres anti-spam, moteurs de recommandation basiques, jeux). Aucune obligation spécifique.

Qui est concerné, et à quel titre ?

L'AI Act vise toute la chaîne de valeur. Une même entreprise peut cumuler plusieurs rôles : fournisseur d'un outil qu'elle a développé, déployeur d'un autre qu'elle utilise. Identifier votre rôle pour chaque système est donc la première étape de la conformité.

• Fournisseur : développe ou fait développer un système d'IA et le met sur le marché sous son nom. Obligations maximales pour le haut risque.
• Déployeur : utilise un système d'IA à titre professionnel. Obligations de surveillance humaine, d'usage conforme et d'information.
• Importateur / distributeur : met à disposition sur le marché européen un système d'IA de tiers ; doit vérifier la conformité.
• Toute organisation : obligation transversale de « littératie IA » — garantir un niveau de compétence suffisant des personnes qui conçoivent ou utilisent l'IA.

Le calendrier d'application à connaître

L'AI Act ne s'applique pas d'un bloc : ses obligations entrent en vigueur par vagues. Se préparer à la bonne échéance évite autant la panique que le retard.

Ces jalons peuvent être précisés par des actes d'exécution ; vérifiez l'échéance applicable à votre situation avant toute décision.

Les obligations des systèmes à haut risque

C'est le cœur exigeant du règlement. Un fournisseur de système à haut risque doit mettre en place un ensemble d'exigences avant la mise sur le marché, puis les maintenir tout au long du cycle de vie.

• Système de gestion des risques continu.
• Gouvernance des données d'entraînement, de validation et de test (qualité, représentativité, biais).
• Documentation technique détaillée (annexe IV) et journalisation automatique.
• Transparence et information des déployeurs (notice d'utilisation).
• Surveillance humaine effective et mesures de robustesse, d'exactitude et de cybersécurité.
• Évaluation de conformité, déclaration UE et, le cas échéant, marquage CE et enregistrement.

Quelles sanctions en cas de non-conformité ?

Les sanctions sont graduées selon la nature du manquement. Les PME et start-up bénéficient de plafonds adaptés (le montant le plus bas s'applique), mais restent pleinement soumises aux obligations correspondant au niveau de risque de leurs systèmes.

La surveillance est confiée à des autorités nationales et à un Bureau de l'IA au niveau européen, avec des pouvoirs d'enquête et de retrait du marché.

Comment se mettre en conformité : la feuille de route en 8 étapes

Étape 1 — Inventorier tous vos systèmes d'IA

On ne peut pas classer ce que l'on ne connaît pas. Recensez l'ensemble des systèmes d'IA développés ou utilisés : outils internes, briques SaaS embarquant de l'IA, modèles génératifs, algorithmes de scoring, assistants. Un registre des systèmes d'IA est le point de départ indispensable, à l'image du registre RGPD.

Ce recensement révèle souvent des IA « cachées » dans les logiciels métiers, ainsi que des usages spontanés d'outils grand public par les équipes. Pour chaque système, notez le rôle joué (fournisseur ou déployeur) et la finalité.

• Incluez les IA intégrées à vos logiciels et à vos outils SaaS.
• Recensez les usages d'IA génératives par les collaborateurs.
• Notez, pour chacun, votre rôle et les données personnelles traitées.

Étape 2 — Classer chaque système par niveau de risque

Appliquez la grille de l'AI Act à chaque système : interdit, haut risque, risque limité ou minimal. Cette classification conditionne l'intégralité de vos obligations : un système à risque minimal ne demande rien de spécifique, un système à haut risque en demande beaucoup.

En cas de doute, documentez votre raisonnement : c'est cette analyse motivée qui vous protégera en cas de contrôle et guidera vos priorités.

• Confrontez chaque usage aux listes de systèmes à haut risque.
• Repérez les obligations de transparence (chatbots, contenus générés).
• Priorisez les systèmes à haut risque dans votre plan d'action.

Étape 3 — Déployer la littératie IA

La littératie IA est une obligation transversale, exigible tôt et facile à enclencher. Elle consiste à garantir que les personnes qui conçoivent ou utilisent l'IA disposent d'un niveau de compétence suffisant : comprendre ce que fait un système, ses limites, ses biais, les précautions d'usage.

C'est aussi un investissement rentable : des équipes formées commettent moins d'erreurs, exploitent mieux les outils et repèrent les usages à risque avant qu'ils ne deviennent des incidents.

• Formez en priorité les fonctions qui conçoivent ou pilotent l'IA.
• Sensibilisez l'ensemble des utilisateurs aux bonnes pratiques.
• Tracez les actions de formation réalisées.

Étape 4 — Établir la gouvernance et la gestion des risques

Pour les systèmes à haut risque, mettez en place un système de gestion des risques continu : identification, évaluation et traitement des risques pour la santé, la sécurité et les droits fondamentaux, réévalués tout au long du cycle de vie.

Structurez aussi la gouvernance des données : qualité, pertinence et représentativité des jeux d'entraînement, de validation et de test, avec une attention particulière aux biais.

• Documentez l'analyse de risques de chaque système à haut risque.
• Contrôlez la qualité et les biais des données d'entraînement.
• Définissez des indicateurs d'exactitude et de robustesse.

Étape 5 — Rédiger les documents obligatoires

L'AI Act est très documentaire. Selon vos systèmes et votre rôle, vous devez produire : documentation technique (annexe IV), notice d'utilisation, procédure de gestion des incidents, clauses fournisseurs, et, lorsque requise, une évaluation d'impact sur les droits fondamentaux (FRIA/AIDF).

Partir de modèles adaptables — pensés pour être compréhensibles par des non-spécialistes — fait gagner un temps considérable et évite l'angoisse de la page blanche juridique.

• Constituez la documentation technique des systèmes à haut risque.
• Réalisez la FRIA/AIDF quand elle est exigée.
• Préparez une procédure de gestion et de signalement des incidents.

Étape 6 — Encadrer les fournisseurs et le droit d'auteur

Si vous utilisez des modèles ou des systèmes tiers, vous dépendez de leur conformité. Vérifiez les garanties de vos fournisseurs (documentation, notice, conformité GPAI) et intégrez des clauses contractuelles adaptées.

Documentez également le respect du droit d'auteur et la provenance des données, un point sensible pour les IA génératives et une obligation explicite pour les fournisseurs de GPAI.

• Exigez de vos fournisseurs la documentation et les garanties requises.
• Ajoutez des clauses IA à vos contrats.
• Tracez la provenance des données et le respect du droit d'auteur.

Étape 7 — Assurer la surveillance humaine et la transparence

Un système à haut risque doit rester sous contrôle humain : les personnes doivent pouvoir comprendre les sorties, les contester et, si nécessaire, interrompre le système. Concevez cette supervision, ne l'ajoutez pas après coup.

Pour les systèmes à risque limité, respectez l'obligation de transparence : indiquer clairement que l'utilisateur interagit avec une IA, ou qu'un contenu a été généré ou modifié par IA.

• Définissez des points de contrôle humain effectifs.
• Informez les utilisateurs des interactions avec une IA.
• Marquez les contenus générés ou altérés par IA.

Étape 8 — Mettre en place la surveillance continue

La conformité IA est vivante, à l'image des modèles eux-mêmes. Journalisez les usages, surveillez les performances et les dérives, prévoyez un dispositif de signalement et une revue périodique, et corrigez lorsque le comportement du système évolue.

Cette boucle d'amélioration continue est aussi ce qui rapproche l'AI Act de la norme ISO 42001 : bâtir l'un facilite grandement l'autre.

• Journalisez et supervisez le fonctionnement des systèmes.
• Signalez les incidents graves aux autorités compétentes.
• Réévaluez la classification et les mesures à chaque évolution.

Les erreurs fréquentes à éviter

• Croire que l'AI Act ne concerne que les éditeurs d'IA : les entreprises utilisatrices sont aussi des « déployeurs » avec des obligations propres.
• Ignorer les IA embarquées dans les logiciels métiers et les usages spontanés d'IA génératives par les équipes.
• Reporter la littératie IA, alors qu'elle est exigible tôt et simple à mettre en œuvre.
• Sous-estimer le lien avec le RGPD : la plupart des systèmes d'IA traitent aussi des données personnelles.
• Traiter l'AI Act et l'ISO 42001 séparément, et refaire deux fois le même travail de gouvernance.
• Négliger la documentation technique, pourtant au cœur des obligations « haut risque ».
• Attendre 2026-2027 pour agir, alors que la préparation des systèmes à haut risque est longue.

Comment Data Comply One vous accompagne

Data Comply One propose un module dédié à l'AI Act : registre des systèmes d'IA, classification par niveau de risque, bibliothèque de modèles documentaires (charte d'usage, notice d'utilisation, documentation technique annexe IV, contrat fournisseurs, gestion des incidents, FRIA/AIDF, supervision humaine, tests de robustesse) et suivi des obligations dans le temps.

Ces modèles sont conçus pour des néophytes : explicités pas à pas et adaptables à tous vos scénarios. Vous gagnez des semaines de travail et évitez l'erreur d'interprétation.

Deux modes s'offrent à vous : gérer votre conformité IA vous-même avec le logiciel, ou l'externaliser à nos experts qui la pilotent pour vous directement sur la plateforme. Notre offre de formation IA embarque vos équipes sur la littératie exigée par le règlement, et nos experts articulent votre conformité IA avec le RGPD pour éviter les doublons. La démarche est naturellement alignée avec la norme ISO 42001 pour ceux qui visent, à terme, une certification.

Où en êtes-vous ? ·