Checklist de conformité
Checklist conformité EU AI Act : guide pratique en 10 étapes pour les déployeurs d'IA (2026)
Le règlement IA de l'UE est la première réglementation complète sur l'IA au monde. L'application a déjà commencé — les pratiques interdites et les obligations de littératie IA (Article 4) sont applicables depuis le 2 février 2025. L'application intégrale des exigences relatives aux systèmes à haut risque débute le 2 août 2026. Cette checklist se concentre sur ce que les entreprises <em>utilisant</em> des outils IA (déployeurs) doivent faire — et non les organisations qui les construisent.
À qui s'applique l'EU AI Act ?
Le règlement IA de l'UE distingue trois rôles principaux. Les fournisseurs (providers) développent et mettent sur le marché des systèmes IA. Les déployeurs utilisent un système IA sous leur autorité dans le cadre d'une activité professionnelle. Les distributeurs mettent un système IA à disposition sur le marché sans le modifier. La grande majorité des entreprises européennes sont des déployeurs.
Le règlement s'applique dès qu'un seul utilisateur situé dans l'UE utilise votre système IA. Il s'applique également aux entreprises non européennes dont les systèmes IA affectent des individus situés dans l'UE. En pratique, cela signifie que toute entreprise mondiale ayant des clients, employés ou utilisateurs en Europe est concernée.
La plupart des usages IA en entreprise — ChatGPT, Claude, Microsoft Copilot, Gemini — relèvent des catégories risque limité ou risque minimal. Mais cela ne signifie pas l'absence d'obligations : la littératie IA (Article 4), la gestion des risques et la transparence s'appliquent dans tous les cas.
Timeline critique
2 février 2025
Déjà en vigueur
Pratiques interdites applicables + obligations de littératie IA (Article 4). Si vous n'avez pas commencé, vous êtes déjà en retard.
2 août 2025
Obligations pour les modèles IA à usage général (GPAI)
Les fournisseurs de modèles de fondation (GPT-4, Claude, Gemini...) doivent se conformer. Cela affecte les déployeurs via leurs contrats fournisseurs.
2 août 2026
Application intégrale des systèmes à haut risque
Toutes les exigences relatives aux systèmes IA à haut risque entrent en application. Évaluations de conformité, enregistrement dans la base de données UE, procédures de signalement des incidents.
2 août 2027
Délai étendu pour certains systèmes à haut risque existants
Délai supplémentaire accordé pour les systèmes à haut risque déjà en service avant le 2 août 2026, sous conditions.
La checklist en 10 points
Inventorier tous les outils IA
Vous ne pouvez pas gérer ce que vous ne voyez pas. L'inventaire couvre à la fois les outils approuvés par l'entreprise et le shadow AI utilisé sans validation IT. Pour chaque outil, documentez : qui l'utilise, à quelle fréquence, dans quel département, et quelles catégories de données sont traitées.
Noxys découvre automatiquement 15+ plateformes IA via une extension navigateur déployée en quelques minutes. Aucune modification d'infrastructure requise.
Classifier par niveau de risque
Le règlement IA de l'UE définit quatre niveaux de risque. Les pratiques interdites comprennent la notation sociale, la catégorisation biométrique à distance, la manipulation subliminale — interdites sans exception. Les systèmes à haut risque incluent la notation de crédit, le recrutement automatisé, les dispositifs médicaux, l'application de la loi. Le risque limité concerne les chatbots et la reconnaissance des émotions — obligations de transparence. Le risque minimal regroupe les filtres anti-spam et les jeux assistés par IA — aucune obligation spécifique.
Déterminer votre rôle
Le périmètre de vos obligations dépend de votre rôle dans la chaîne de valeur IA. Le fournisseur construit ou entraîne le système IA. Le déployeur utilise un système IA sous sa propre autorité dans un contexte professionnel — c'est le rôle de la majorité des entreprises. Le distributeur met le système IA à disposition sur le marché sans modification substantielle.
Une même organisation peut être simultanément fournisseur pour certains systèmes (IA interne développée maison) et déployeur pour d'autres (ChatGPT Enterprise, Microsoft Copilot). Chaque système doit être analysé indépendamment.
Mettre en place la littératie IA (Art. 4)
L'Article 4 est applicable depuis le 2 février 2025. Il exige que les organisations s'assurent que le personnel utilisant des systèmes IA dispose d'un niveau suffisant de littératie IA. La Commission européenne a confirmé qu'il n'existe pas de format de formation obligatoire — chaque organisation doit déterminer ce qui constitue un niveau suffisant en fonction de son contexte.
En pratique, la première étape est de savoir quels outils sont utilisés. Vous ne pouvez pas assurer la littératie IA autour d'outils que vous ne connaissez pas. La découverte du shadow AI est donc le point de départ naturel de la conformité à l'Article 4. Le Bureau de l'IA maintient un répertoire de pratiques de littératie IA que les organisations peuvent consulter.
Noxys fournit un inventaire complet des outils IA utilisés dans votre organisation, ce qui constitue la base documentaire pour justifier vos efforts de littératie IA.
Documenter les évaluations de risque (Art. 9)
L'Article 9 exige un système de gestion des risques établi et maintenu tout au long du cycle de vie du système IA. Pour un déployeur, cela implique une surveillance continue du risque par outil et par interaction — et non une simple évaluation ponctuelle annuelle.
La documentation doit couvrir : l'identification des risques résiduels, les mesures d'atténuation mises en place, la surveillance continue et les résultats de tests périodiques. Pour les systèmes à haut risque, cette documentation devient obligatoire et doit être tenue à la disposition des autorités de surveillance.
Noxys fournit un scoring de risque automatisé par interaction, avec classification des données sensibles (DCP, IBAN, identifiants) détectées dans les prompts.
Assurer la transparence et l'auditabilité (Art. 13)
L'Article 13 exige que les systèmes IA à haut risque soient conçus pour être suffisamment transparents. Pour un déployeur, cela se traduit par la tenue d'une piste d'audit immuable des interactions IA : qui a utilisé quel outil, quand, avec quelle classification des données impliquées.
La piste d'audit doit être intégrée et non altérable. Elle doit permettre une reconstruction fidèle de l'historique des interactions pour répondre aux demandes d'audit réglementaire ou aux enquêtes internes en cas d'incident.
Mettre en place des contrôles de supervision humaine (Art. 14)
L'Article 14 exige que les systèmes IA soient conçus pour permettre une supervision humaine effective. Les organisations doivent mettre en place des contrôles permettant aux humains d'examiner, d'intervenir et de neutraliser les décisions de l'IA. En pratique, cela signifie disposer d'un moteur de politique configurable : bloquer, encadrer ou journaliser par département.
Les administrateurs doivent pouvoir examiner les interactions individuelles, déclencher des alertes, et neutraliser des comportements IA non conformes en temps réel. La supervision humaine ne peut pas être purement rétrospective — elle doit être opérationnelle au moment où les interactions se produisent.
Nommer un responsable conformité IA
La conformité au règlement IA de l'UE nécessite une responsabilité clairement assignée. Ce rôle peut être assuré par un DPO existant, un RSSI, un responsable conformité, ou un rôle dédié. L'essentiel est que cette personne dispose d'une visibilité opérationnelle sur les usages IA de l'organisation.
Le responsable conformité IA doit avoir accès aux tableaux de bord d'usage IA, aux rapports d'incidents, aux évaluations de risque, et doit être en mesure de répondre aux demandes des autorités de surveillance nationales (en France, l'autorité de surveillance IA sera coordonnée avec la CNIL).
Mettre à jour les contrats fournisseurs
Vos fournisseurs IA (OpenAI, Anthropic, Microsoft, Google...) sont des sous-traitants au sens du RGPD et potentiellement des fournisseurs au sens du règlement IA de l'UE. Vos contrats doivent inclure des accords de traitement des données (DPA) à jour, une vérification de la conformité RGPD et de la résidence des données, et une garantie d'exclusion de l'utilisation de vos données pour l'entraînement des modèles.
Vérifiez que les accords commerciaux standards de vos fournisseurs incluent les clauses nécessaires. Beaucoup ne le font pas par défaut — ChatGPT Team et Enterprise ont des DPA distincts des comptes gratuits, par exemple. La résidence des données en Europe peut nécessiter des tiers spécifiques (Azure EU, Google Cloud EU...).
Préparer la documentation réglementaire
Pour les systèmes à haut risque, des évaluations de conformité formelles sont requises avant le déploiement. Certains systèmes doivent être enregistrés dans la base de données UE des systèmes IA à haut risque. Des procédures de signalement des incidents doivent être établies et testées. Cette documentation doit être maintenue à jour et disponible sur demande des autorités de surveillance.
Même si votre usage principal IA est de risque limité ou minimal, préparer cette infrastructure documentaire maintenant vous permet d'absorber plus facilement les futures obligations si votre usage de l'IA évolue vers des cas à haut risque.
Les amendes
Les sanctions prévues par le règlement IA de l'UE sont structurées selon trois paliers de gravité. Le montant applicable est le plus élevé entre le plafond absolu en euros et le pourcentage du chiffre d'affaires mondial.
| Amende maximale | Infraction |
|---|---|
| 35 M EUR ou 7 % du CA | Utilisation de pratiques IA interdites (notation sociale, manipulation subliminale, catégorisation biométrique non autorisée...) |
| 15 M EUR ou 3 % du CA | Non-conformité aux obligations relatives aux systèmes IA (gestion des risques, transparence, supervision humaine, littératie IA...) |
| 7,5 M EUR ou 1 % du CA | Fourniture d'informations incorrectes, incomplètes ou trompeuses aux autorités de surveillance |
Note : pour les PME et les start-ups, les plafonds peuvent être réduits. Les autorités nationales disposent d'un pouvoir d'appréciation dans l'application des sanctions.
Focus Article 4 : la littératie IA
L'Article 4 est l'obligation la plus immédiate pour les déployeurs, étant applicable depuis février 2025. Il stipule que les fournisseurs et les déployeurs d'IA doivent prendre des mesures pour s'assurer que leur personnel dispose d'un niveau suffisant de littératie IA.
Ce que dit la Commission européenne
La Commission européenne a confirmé qu'il n'existe pas d'approche unique obligatoire pour la littératie IA. Pas de module de formation spécifique requis, pas de durée minimale, pas de certification obligatoire. L'obligation est de résultat — vous devez démontrer que votre personnel dispose d'un niveau suffisant de compréhension de l'IA — et non de moyens.
Interprétation pratique
En l'absence de format prescrit, les régulateurs évalueront vos efforts de bonne foi. La documentation est donc essentielle : inventaire des outils IA utilisés, programmes de sensibilisation mis en place, politiques d'usage acceptable diffusées. La découverte du shadow AI n'est pas seulement une question de sécurité — c'est aussi votre premier élément de preuve pour l'Article 4.
Le Bureau de l'IA (EU AI Office) maintient un répertoire des pratiques de littératie IA que les organisations peuvent utiliser comme référence et documentation supplémentaire de leurs efforts de conformité.
Lien direct avec Noxys : l'inventaire automatique des outils IA constitue votre documentation de base pour l'Article 4. Savoir quels outils sont utilisés, par qui et dans quel contexte est la condition préalable à tout programme de littératie IA crédible.
Commencez votre mise en conformité
Découvrez en quelques minutes quels outils d'IA circulent dans votre organisation. Commencez sur le palier découverte gratuit. Sans carte bancaire.
FAQ
Mon entreprise n'est pas dans l'UE — suis-je concerné ?
Oui, si vos systèmes IA traitent des données ou produisent des résultats affectant des individus situés dans l'UE. Le règlement s'applique en fonction de l'impact sur les personnes dans l'UE, pas seulement de l'emplacement de votre siège social. Si vous avez des employés, clients ou utilisateurs en Europe, le règlement s'applique probablement à vous.
Les outils gratuits comme ChatGPT sont-ils couverts ?
Oui. Le règlement IA de l'UE s'applique indépendamment du modèle commercial de l'outil. Un compte ChatGPT gratuit utilisé dans un contexte professionnel est soumis aux mêmes obligations qu'une licence enterprise. La distinction pertinente est l'usage professionnel (déployeur) versus usage purement personnel, et non gratuit versus payant.
Quelles sont les premières étapes pour un RSSI ?
Le point de départ est la visibilité. Vous devez d'abord découvrir quels outils IA sont réellement utilisés (shadow AI). Ensuite, publiez une politique d'usage acceptable claire. Enfin, mettez en place des contrôles techniques (détection PII, blocage de plateformes à haut risque) pour faire appliquer cette politique. La conformité n'est pas seulement un exercice juridique, c'est un défi opérationnel.