L’AI Act, règlement européen sur l’IA, fixe vos obligations selon l’usage de chaque système et votre rôle, fournisseur ou déployeur. Nous classons vos usages, traitons d’abord ce qui s’applique déjà, puis préparons la suite sans surdimensionner la conformité.
À jour au
Le règlement vise des usages, pas une technologie : le même modèle peut n’entraîner presque aucune obligation dans un produit et relever du haut risque dans un autre.
Vous le proposez sous votre nom : vous êtes fournisseur du système d’IA, même si le modèle vient d’ailleurs. Vos obligations dépendent de l’usage, pas de qui a entraîné le modèle.
Tri de candidatures, évaluation de solvabilité, notation d’examens : ces usages figurent à l’annexe III et relèvent du haut risque à partir du 2 décembre 2027.
Assistant conversationnel, génération de textes ou d’images : depuis le 2 août 2026, l’article 50 impose d’informer l’utilisateur et de marquer les contenus générés.
Recrutement, support, outils internes : vous êtes déployeur. Les obligations sont plus légères, mais réelles, surtout si l’un de ces outils est à haut risque.
Quatre niveaux : pratiques interdites, haut risque, transparence et risque minimal, où seule la maîtrise de l’IA s’impose. Les modèles à usage général suivent leur propre régime.
Notation sociale, manipulation, reconnaissance des émotions au travail ou à l’école : interdites depuis février 2025. S’y ajoutent, dès le 2 décembre 2026, les systèmes qui génèrent sans consentement des images, vidéos ou sons intimes ou sexuellement explicites d’une personne identifiable, ou des contenus d’abus sexuels sur mineurs.
Gestion des risques, gouvernance des données, documentation technique, journalisation, supervision humaine, robustesse et cybersécurité, système qualité, puis marquage CE et enregistrement.
Signaler qu’on dialogue avec une IA, marquer les contenus générés de façon lisible par machine, indiquer les hypertrucages. Depuis le 2 août 2026 ; d’ici au 2 décembre 2026 pour marquer ceux des systèmes antérieurs.
Favoriser la maîtrise de l’IA par vos équipes et, pour un système à haut risque, suivre sa notice, confier sa supervision à des personnes compétentes, conserver ses journaux au moins six mois.
Un workshop hebdomadaire d’une heure avec votre responsable produit et, si besoin, votre juriste : les décisions de classement s’y prennent ensemble. Entre deux workshops, nous restons à vos côtés en asynchrone.
Fonctionnalités de vos produits, modèles appelés par API, outils internes : nous recensons chaque usage de l’IA, qualifions votre rôle et classons son niveau de risque, justification écrite à l’appui.
Livrables
Registre des systèmes d’IA, classement motivé
Ce qui s’applique déjà passe en premier : pratiques interdites, maîtrise de l’IA, transparence. Le haut risque est planifié ensuite, avant le 2 décembre 2027 ou le 2 août 2028 selon l’annexe.
Livrable
Plan daté pour chaque obligation
Mentions de transparence, marquage des contenus, supervision humaine, journalisation, documentation technique : nous rédigeons, vos équipes intègrent dans le produit et dans leurs processus.
Livrables
Mesures de transparence, documentation technique
Nous relisons le dossier comme une autorité de surveillance le ferait. Pour un système à haut risque : évaluation de conformité, déclaration UE, marquage CE et enregistrement dans la base européenne.
Livrable
Dossier de conformité prêt à présenter
Le prix dépend du nombre de systèmes, de leur niveau de risque et de votre rôle. Nous recommandons d’y adosser ISO 42001 : inventaire, analyses de risques et documentation servent aux deux.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre CTO, votre délégué à la protection des données ou votre responsable IA pilote. Nous classons les usages, rédigeons politiques et procédures, et vérifions le dossier.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Nous tenons l’inventaire, les classements et le suivi des échéances pour vous, en lien avec vos équipes produit, test d’intrusion ou audit technique inclus.
Votre besoin est spécifique
Sur devisaprès un premier échange
AI Act et ISO 42001 menés ensemble, comme nous le recommandons, ou AI Act et CRA pour un produit qui relève des deux règlements.
Durée habituelle
6 à 12 mois selon le nombre de systèmes
Frais en sus
Pour un système à haut risque évalué par un organisme notifié (biométrie, produits réglementés), ses frais sont facturés en sus, directement par lui.
Le règlement sur l’intelligence artificielle (RIA) est entré en vigueur le 1er août 2024. Les pratiques interdites et l’obligation de maîtrise de l’IA s’appliquent depuis le 2 février 2025, les règles sur les modèles à usage général depuis le 2 août 2025, le reste du règlement, dont la transparence, depuis le 2 août 2026. Les deux interdictions ajoutées par l’Omnibus IA s’appliquent à partir du 2 décembre 2026. Le haut risque suit, aux dates fixées par l’Omnibus IA : 2 décembre 2027 pour les usages de l’annexe III, 2 août 2028 pour l’IA intégrée aux produits réglementés de l’annexe I.
Le règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté le haut risque au 2 décembre 2027 et au 2 août 2028, et ouvert aux petites entreprises à moyenne capitalisation la documentation technique simplifiée jusque-là réservée aux PME. La maîtrise de l’IA reste à la charge des fournisseurs et des déployeurs, mais devient une obligation de moyens. À partir du 2 décembre 2026, il interdit les systèmes qui génèrent sans consentement des images, vidéos ou sons intimes ou sexuellement explicites d’une personne identifiable, ou des contenus d’abus sexuels sur mineurs. Enfin, les fournisseurs de systèmes génératifs mis sur le marché avant le 2 août 2026 ont jusqu’au 2 décembre 2026 pour marquer leurs contenus.
Deux voies y mènent. Soit il est un composant de sécurité d’un produit réglementé et évalué par un tiers, comme un dispositif médical (annexe I). Soit son usage figure à l’annexe III : biométrie, infrastructures critiques, éducation, emploi, accès au crédit, à l’assurance santé et vie ou aux prestations publiques, maintien de l’ordre, migrations, justice. Un système de l’annexe III qui n’influence pas sensiblement les décisions peut y échapper, à condition de documenter cette analyse et d’enregistrer le système. S’il établit le profil de personnes, il reste à haut risque.
Si vous proposez sous votre nom un système qui s’appuie sur un modèle tiers appelé par API, vous en êtes le plus souvent fournisseur, avec les obligations qui découlent de son usage ; l’éditeur du modèle répond, lui, des obligations propres aux modèles à usage général. Détourner un système existant vers un usage à haut risque vous en rend aussi fournisseur. Si vous utilisez seulement des outils d’IA, vous êtes déployeur : vous favorisez leur maîtrise par vos équipes et signalez les hypertrucages que vous produisez. Pour un outil à haut risque, comme le tri de candidatures, vous suivez sa notice, confiez sa supervision à des personnes compétentes, informez les salariés concernés et conservez ses journaux au moins six mois.
Ce n’est pas une obligation, et la certification ne vaut pas conformité : ISO/IEC 42001 est une norme internationale volontaire, pas une norme harmonisée du règlement. Nous la recommandons pourtant dès que l’IA est au cœur de votre produit. Son système de management de l’intelligence artificielle organise l’inventaire, l’analyse des risques et des impacts, la documentation et la surveillance que l’AI Act suppose, et les tient à jour à chaque nouveau modèle ou usage : votre conformité devient démontrable, à une autorité comme à un client. Pour un système à haut risque, il faudra compléter : la Commission européenne précise que la norme ne correspond pas au système de gestion de la qualité exigé par le règlement, pour lequel elle a demandé une norme européenne dédiée. Si vous utilisez seulement des outils d’IA, la norme serait surdimensionnée : nous vous le dirons.
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour une pratique interdite, 15 millions ou 3 % pour la plupart des autres obligations, transparence comprise, 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités. En principe, le montant le plus élevé s’applique ; pour les PME, y compris les jeunes pousses, c’est le plus faible. Depuis l’Omnibus IA, les petites entreprises à moyenne capitalisation en bénéficient aussi, hors pratiques interdites.
Non, pour deux raisons. Une partie du règlement s’applique déjà : pratiques interdites, maîtrise de l’IA, transparence. Et le haut risque suppose des choix de conception, sur les données, la journalisation ou la supervision humaine, plus simples à faire avant la mise sur le marché qu’après. Si aucun de vos usages n’est à haut risque, un classement documenté suffit souvent : nous vous le dirons.
Notre recommandation pour l’AI Act : un système de management qui structure votre conformité, la rend démontrable et la tient à jour.
Un système d’IA à haut risque qui respecte le CRA est réputé satisfaire aux exigences de cybersécurité de l’AI Act.
Accès, journaux, fournisseurs, incidents : un système de management certifié couvre une bonne part de la cybersécurité attendue.
Un premier échange gratuit de 30 minutes pour situer vos usages, votre rôle et vos prochaines échéances. Si aucun n’est à haut risque, nous vous le dirons, avec ce que cela vous épargne.