La mise en conformité à l’IA Act commence rarement là où les entreprises l’imaginent. Ni par la documentation technique, ni par l’achat d’une plateforme d’audit : par un inventaire honnête des systèmes d’IA déjà en circulation dans l’organisation. Tant que cette cartographie manque, chaque obligation reste une abstraction, puisque personne ne sait à quel outil elle s’applique.
L’inventaire, socle de toute conformité IA Act
Les cabinets spécialisés en conformité IA Act, à l’image d’Eterra Partners, ouvrent leurs missions par cette étape pour une raison structurelle : le règlement européen 2024/1689 raisonne par système, par finalité et par rôle, jamais par entreprise prise en bloc. Deux outils techniquement voisins relèvent de régimes opposés selon ce qu’on leur confie.
Le recensement descend donc au niveau des usages réels :
- les logiciels métiers dont une brique d’IA s’active par défaut
- les API et modèles génératifs appelés par les équipes techniques
- les développements internes, prototypes jamais industrialisés compris
- les fonctions d’IA glissées dans les suites bureautiques et les CRM
- le shadow AI, ces outils que les salariés adoptent sans validation
Ce travail échappe à une direction unique. Le juridique connaît les textes, les métiers connaissent les usages, la DSI connaît les flux de données. Les organisations qui ont déjà mené un cadrage de projet IA en interne disposent souvent d’une bonne part de cette matière, dispersée dans leurs comptes rendus. Un pilote désigné et un tour de table trimestriel produisent une cartographie plus fiable qu’un questionnaire envoyé une fois par an et rempli à moitié.
Pour chaque entrée, quelques colonnes préparent la suite du travail : finalité annoncée par l’éditeur, finalité réelle dans l’entreprise, données d’entrée, personnes affectées, présence ou non d’une décision automatisée, propriétaire métier. Une fiche minimale renseignée vaut mieux qu’un registre parfait jamais terminé.
Le calendrier a bougé, pas les obligations en vigueur
Le paquet de simplification numérique adopté en 2026, entré dans le langage courant sous le nom de digital omnibus, a décalé une partie du volet haut risque, ce qui alimente une lecture fausse : l’idée que le règlement patienterait jusqu’en 2028. Les textes déjà applicables démentent cette lecture.
| Échéance | Ce qui s’applique |
|---|---|
| 2 février 2025 | Interdiction des pratiques inacceptables et obligation d’alphabétisation IA (article 4) |
| 2 août 2025 | Obligations des fournisseurs de modèles à usage général (GPAI) |
| 2 août 2026 | Transparence de l’article 50 : agents conversationnels, deepfakes, contenus générés |
| 2 décembre 2027 | Systèmes à haut risque de l’annexe III : recrutement, crédit, éducation, biométrie |
| 2 août 2028 | IA intégrée aux produits réglementés de l’annexe I : dispositifs médicaux, machines |
Le report du volet haut risque ouvre une fenêtre de préparation, pas une dispense.
Une entreprise qui publie des contenus générés ou exploite un assistant conversationnel relève déjà de l’article 50. Un délai de grâce court jusqu’au 2 décembre 2026 pour le marquage lisible par machine des systèmes génératifs mis sur le marché avant août 2026, sans obligation d’étiqueter rétroactivement les contenus antérieurs.
Fournisseur ou déployeur ? La question qui change tout
Le règlement distingue cinq rôles : fournisseur, déployeur, importateur, distributeur et mandataire. L’entreprise qui achète un outil et l’exploite sous son autorité endosse en général celui de déployeur, avec un jeu d’obligations resserré : respecter les instructions du fournisseur, organiser une supervision humaine réelle, contrôler les données injectées, conserver les journaux, informer les personnes exposées.
La bascule vers le statut de fournisseur se joue sur des gestes anodins en apparence : apposer sa marque sur une solution tierce, la commercialiser sous son propre nom, modifier le système de façon substantielle ou détourner sa finalité initiale. Ce basculement déclenche l’ensemble des exigences de conception : documentation technique, évaluation de conformité, marquage CE, enregistrement dans la base européenne. Beaucoup d’éditeurs qui intègrent un modèle du marché dans leur produit découvrent tardivement de quel côté de la frontière ils se tiennent.
Le rôle se négocie aussi par contrat. Un déployeur obtient de son éditeur la notice d’utilisation, les limites de performance annoncées, l’accès aux journaux, la notification des changements de modèle et la procédure d’incident. Sans ces éléments, la supervision humaine reste un affichage : personne ne juge correctement un résultat qu’il ne sait pas interpréter.
Organiser une supervision humaine reelle
Controler les donnees injectees
Conserver les journaux
Informer les personnes exposees
Vous la commercialisez sous votre nom
Vous modifiez le systeme de facon substantielle
Vous detournez sa finalite initiale
Classer les usages, pas les technologies
Le niveau de risque dépend du contexte d’utilisation, pas de la sophistication du modèle. Un même moteur de scoring change de catégorie selon qu’il trie des tickets de support ou des candidatures.
- Risque inacceptable : notation sociale, manipulation exploitant une vulnérabilité, certaines catégorisations biométriques. Usage prohibé.
- Haut risque : recrutement, évaluation scolaire, accès au crédit ou à un service essentiel, composants de sécurité. Exigences lourdes et continues.
- Risque limité : assistants conversationnels, reconnaissance des émotions, contenus synthétiques. Information des personnes et marquage des sorties.
- Risque minimal : filtres antispam, recommandations sans enjeu, outils de productivité. Aucune exigence spécifique au titre du règlement.
L’immense majorité des usages d’entreprise se loge dans les deux derniers étages. Une nuance mérite attention : la présence d’un salarié qui valide en bout de chaîne ne suffit pas à extraire un système de l’annexe III. L’exclusion existe, elle réclame une analyse écrite et argumentée. Ce classement se documente au même titre qu’il se décide, puisqu’un contrôle porte autant sur la conclusion retenue que sur le raisonnement qui y mène.
Les erreurs qui coûtent le plus cher
Attendre les normes harmonisées du CEN-CENELEC arrive en tête. Ces normes offriront une présomption de conformité, leur retard n’empêche ni de recenser, ni de classer, ni de former. Deuxième réflexe onéreux : estimer que le RGPD couvre déjà le sujet. Les deux textes se superposent sans se recouvrir, l’un encadrant les traitements de données personnelles, l’autre les systèmes eux-mêmes selon leur risque.
Viennent ensuite la charte d’usage rédigée avant toute classification, la confiance placée dans une clause contractuelle promettant un fournisseur « conforme IA Act » et l’alphabétisation IA réduite à un module de sensibilisation générique. L’article 4 exige un niveau proportionné au rôle de chacun et à l’exposition des personnes concernées, avec des preuves à l’appui : supports, parcours, registre des personnes formées.
L’arbitrage économique tranche vite. Les sanctions atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements, 7,5 millions ou 1 % pour des informations trompeuses transmises aux autorités. Face à ces plafonds, les estimations disponibles situent entre 20 000 et 200 000 euros la mise en conformité d’une PME exploitant un système à haut risque. Le calcul penche du côté de l’anticipation, d’autant que le sujet migre déjà des directions juridiques vers les appels d’offres, les due diligences et les comités d’investissement.
