La conformité IA n'est plus une option. Depuis février 2025, le règlement européen AI Act impose à toute entreprise déployant un système d'intelligence artificielle l'obligation de formation (article 4). Les obligations de transparence de l'article 50 s'appliquent à compter du 2 août 2026 et la mise en conformité des systèmes à haut risque de l'annexe III est reportée au 2 décembre 2027. Contrôle humain, supervision humaine, niveau de risque : voici ce que l'AI Act de l'Union européenne impose concrètement à votre organisation.
Qu'est-ce que la conformité IA ? Définition et enjeux pour l'entreprise
Définition : conformité IA vs gouvernance de l'IA
La conformité IA désigne le respect de la conformité réglementaire imposée aux systèmes d'intelligence artificielle : AI Act, RGPD, normes ISO. Son développement repose sur la confiance : les parties prenantes doivent pouvoir vérifier que vos agents respectent les règles en vigueur.
La gouvernance de l'IA va plus loin. Elle couvre aussi l'utilisation responsable des agents en production et l'évaluation continue des risques.
En pratique, les deux dimensions sont indissociables.
Pourquoi la conformité IA est devenue critique en 2026
Le cadre réglementaire de l'IA européen est entré en vigueur de façon progressive depuis 2024. Ce n'est plus une perspective lointaine. Les premières obligations légales sont déjà actives.
Pour les organisations qui déploient des agents IA autonomes en France et en Europe, le risque est immédiat. Le principe « attendre que la réglementation soit totalement appliquée » n'est plus tenable : la formation AI literacy est une obligation légale depuis février 2025. Les lois et règlementations évoluent : il faut utiliser les bons outils pour respecter chaque nouvelle règle.
L'AI Act, RGPD et ISO/IEC 42001 : quels cadres s'appliquent à vous ?
Trois cadres se cumulent pour toute entreprise ou organisation client qui développe ou déploie un système d'intelligence artificielle en Europe. Le besoin de conformité devient triple dès que ces textes se superposent.
Le Règlement européen UE 2024/1689 (AI Act) s'applique au système IA lui-même : sa conception, son développement, son déploiement. Le RGPD s'applique dès que le système traite des données personnelles : il coexiste avec l'AI Act sans le remplacer. L'ISO/IEC 42001, norme volontaire de management de l'IA, offre un référentiel structurant complémentaire pour démontrer une démarche de conformité proactive, notamment vis-à-vis des partenaires et des grands donneurs d'ordre.
La protection des données devient doublement exigeante quand les deux premiers cadres se cumulent sur un même système.
AI Act, RGPD et cadre réglementaire : classification des risques et obligations croisées
Les systèmes IA à risque inacceptable (interdits depuis août 2024)
Certains usages de l'IA sont purement et simplement interdits depuis le 2 août 2024, sans exception. Le niveau de risque « inacceptable » concerne les systèmes d'intelligence artificielle qui portent atteinte aux droits fondamentaux ou à la dignité humaine.
Les pratiques interdites incluent notamment :
- La notation sociale des citoyens par les autorités publiques
- La reconnaissance faciale en temps réel dans les espaces publics (sauf exceptions strictement encadrées)
- Les systèmes de manipulation subliminale ou d'exploitation des vulnérabilités
- Les systèmes d'inférence des émotions sur le lieu de travail ou dans les établissements d'enseignement
Les systèmes IA à haut risque (obligations renforcées, échéance décembre 2027)
Le haut risque est la catégorie la plus exigeante de l'AI Act. Les systèmes concernés opèrent dans des secteurs sensibles où une défaillance peut impacter les droits fondamentaux ou la sécurité des personnes.
Secteurs concernés (liste non exhaustive) :
- Recrutement et gestion des ressources humaines
- Accès aux services essentiels (crédit, assurance, logement)
- Justice et application des lois
- Infrastructures critiques (énergie, eau, transports)
- Santé et dispositifs médicaux
Pour ces systèmes, l'AI Act impose : documentation technique complète, système de gestion des risques continu, supervision humaine effective, journalisation automatique des interactions, déclaration de conformité UE. L'échéance de mise en conformité des systèmes à haut risque de l'annexe III est reportée au 2 décembre 2027 : les amendes atteignent 15 M€ ou 3 % du CA mondial.
Les systèmes IA à risque limité (obligations de transparence)
Les systèmes IA en contact direct avec les utilisateurs (chatbots, agents conversationnels, systèmes génératifs) relèvent du niveau de risque limité. L'obligation principale est la transparence : l'utilisateur doit savoir qu'il interagit avec un système d'intelligence artificielle.
Les contenus générés par IA (textes, images, sons) doivent également être identifiés comme tels. Ce cadre réglementaire s'applique aux entreprises qui déploient des assistants IA, des agents de support client automatisés ou des générateurs de contenu.
Les systèmes IA à risque minimal (autorégulation recommandée)
La grande majorité des outils IA du quotidien relèvent du risque minimal : filtres anti-spam, systèmes de recommandation de contenu, outils de productivité IA sans interaction directe avec des décisions sensibles. Ces systèmes ne sont soumis à aucune obligation légale spécifique de l'AI Act, une bonne nouvelle pour les structures qui en sont au début de leur démarche.
Qui est concerné par l'AI Act ? Fournisseurs, déployeurs, importateurs
L'AI Act distingue quatre rôles avec des obligations légales distinctes. Le fournisseur développe et met sur le marché un système IA. Le déployeur utilise un système IA dans un contexte professionnel : c'est le cas de la majorité des entreprises qui intègrent des outils IA dans leurs workflows. L'importateur et le distributeur ont des obligations plus légères mais réelles.
Concrètement : si vous déployez Copilot, un agent LangGraph ou un assistant IA développé par un prestataire, vous êtes déployeur, avec vos propres obligations concrètes de supervision et de documentation, indépendamment de celles du fournisseur.
Le calendrier AI Act en 5 échéances clés
- Août 2024 : entrée en vigueur des interdictions. Les systèmes IA à risque inacceptable (manipulation, scoring social, reconnaissance faciale en temps réel dans l'espace public) sont interdits sans exception.
- Février 2025 : obligation AI literacy (article 4). Les équipes qui déploient ou utilisent des systèmes d'intelligence artificielle doivent être formées à un niveau adapté à leur rôle.
- 2 août 2026 : obligations de transparence (article 50). Les systèmes en contact direct avec les utilisateurs et les contenus générés par IA doivent être identifiés comme tels.
- Août 2027 : application du règlement UE 2024/1689 aux systèmes IA intégrés dans des produits réglementés.
- 2 décembre 2027 : mise en conformité des systèmes à haut risque de l'annexe III (échéance reportée). Documentation technique, contrôle humain, enregistrement dans la base EU AI Act deviennent obligatoires. Amendes jusqu'à 15 M€ ou 3 % du CA mondial.
Les points de convergence entre AI Act et RGPD
L'AI Act et le RGPD coexistent sans se substituer l'un à l'autre. Un même système IA peut être soumis aux deux simultanément. La convergence principale : tout système d'intelligence artificielle qui traite des données personnelles déclenche à la fois les obligations AI Act (par nature du système) et les obligations RGPD (par traitement des données).
En pratique, les registres de traitement RGPD doivent être mis à jour pour intégrer les SIA déployés. Le cycle de vie du système IA doit être documenté des deux côtés, protection des données incluse.
La protection des données personnelles dans les systèmes IA
Quand un agent IA traite des données personnelles, les 7 principes RGPD s'appliquent intégralement : licéité, minimisation, exactitude, limitation de conservation, intégrité et confidentialité, responsabilité.
Le droit d'opposition aux décisions automatisées (article 22 RGPD) s'applique dès qu'un agent prend une décision fondée uniquement sur un traitement automatisé avec un effet juridique ou significatif sur la personne.
Les obligations spécifiques pour les agents IA qui traitent des données
Les agents IA autonomes cumulent les obligations des deux règlements. Côté AI Act : supervision humaine effective, documentation technique, journalisation des interactions. Côté RGPD : base légale identifiée pour chaque traitement, droits des utilisateurs respectés, sécurité des données garantie.
La difficulté concrète : un agent IA autonome peut traiter des données personnelles à chaque interaction, en temps réel, sans que l'utilisateur en soit toujours conscient. L'intégration de l'IA dans des workflows existants exige une revue complète des registres de traitement. La supervision humaine ne peut pas être théorique : elle doit être architecturée dès la conception du système.
Comment évaluer le niveau de risque de votre système IA ?
Les critères déterminants pour classer votre système
La classification d'un système d'intelligence artificielle selon les niveaux de risque de l'AI Act repose sur 4 critères cumulatifs :
- Le secteur d'usage : recrutement, santé, justice, infrastructure critique → haut risque par défaut
- Le type de décision : automatisée sans intervention humaine → risque plus élevé
- Les données traitées : données biométriques, données de santé, données judiciaires → classification haute
- La population cible : mineurs ou personnes vulnérables → exigences renforcées
La combinaison de ces critères détermine le niveau de risque final. Un même outil peut être à risque minimal dans un contexte et à haut risque dans un autre : le contexte de déploiement prime sur la technologie.
Cartographie des SIA (Systèmes d'Intelligence Artificielle) : méthode et outils
La cartographie des SIA est la première obligation concrète : impossible de se conformer à un règlement si vous ne savez pas quels systèmes vous utilisez. Selon la DGE, 70 % des PME françaises en France n'ont toujours pas de cartographie à ce jour. Cette nouvelle réalité impose à toute organisation de garantir la visibilité sur ses agents en production.
La méthode se déroule en 3 temps : (1) recensement exhaustif de tous les outils IA déployés, y compris les usages non recensés (Copilot, ChatGPT, outils SaaS avec IA intégrée non validés par l'IT), (2) documentation de chaque SIA (fournisseur, type, données traitées, cas d'usage), (3) qualification du niveau de risque selon les critères AI Act.
Évaluer le niveau de risque AI Act de votre système IA en 5 questions
Pour évaluer votre propre niveau de risque, parcourez ces cinq critères. La présence d'une seule réponse « inacceptable » classe le système comme interdit ; une réponse « haut » suffit à le classer en haut risque ; sinon, le système est en risque limité ou minimal.
- Question 1 : décisions affectant des personnes physiques. Si votre système IA prend des décisions qui impactent directement l'accès à un crédit, un emploi, des services essentiels ou la justice, vous êtes en haut risque. Si l'humain valide toujours la décision finale, vous tombez en risque limité. Si le système se contente de recommander ou ne sert qu'à un usage interne de productivité, c'est risque minimal.
- Question 2 : secteur d'activité. Santé, dispositifs médicaux, infrastructures critiques (énergie, eau, transports) → haut risque par défaut. Secteur commercial standard → risque limité. Usage interne entreprise uniquement → risque minimal.
- Question 3 : reconnaissance biométrique, émotionnelle ou comportementale. Reconnaissance faciale en temps réel dans l'espace public → risque inacceptable (interdit). Biométrie ou analyse émotionnelle en contexte professionnel → haut risque. Analyse vocale ou textuelle pour le service client → risque limité. Aucune analyse biométrique → risque minimal.
- Question 4 : génération de contenu diffusé aux utilisateurs. Chatbot, assistant, synthèse vocale ou personnage virtuel visible → risque limité (obligation de transparence). Traitement interne uniquement ou agent automatisé sans interface utilisateur → risque minimal.
- Question 5 : votre rôle vis-à-vis du système. Fournisseur (vous développez et commercialisez) ou déployeur (vous intégrez et utilisez un système tiers) → obligations renforcées, potentiellement haut risque selon contexte. Importateur ou distributeur sur le marché UE → risque limité. Utilisateur final interne sans mise sur le marché → risque minimal.
Le cas particulier des agents IA autonomes et des modèles GPAI
Les agents IA autonomes, ceux qui exécutent des séquences d'actions sans validation humaine intermédiaire, ainsi que les modèles à usage général (GPAI : GPT-4, Gemini, Mistral, Copilot) font l'objet de règles spécifiques dans l'AI Act. L'intelligence embarquée dans ces systèmes peut changer de catégorie de risque selon le contexte dans lequel elle est déployée.
Un agent LangGraph déployé en production pour automatiser des décisions dans un secteur réglementé (RH, finance, santé) peut basculer en catégorie haut risque même si le modèle LLM sous-jacent est classé « usage général ». L'intelligence artificielle générative n'est pas exemptée : la génération générative de contenu à impact décisionnel reste soumise à classification. C'est le contexte de déploiement, non le modèle, qui détermine la classification.
Documentation technique obligatoire selon le niveau de risque
Le niveau de risque détermine précisément le type de documentation technique exigée :
| Niveau de risque | Documents obligatoires |
|---|---|
| Haut risque | Documentation technique (articles 11-16), notice d'utilisation, registre d'événements (logs), déclaration de conformité UE, enregistrement dans la base EU AI Act |
| Risque limité | Information de l'utilisateur sur la nature IA du système |
| Risque minimal | Aucune obligation documentaire spécifique |
Les mesures de protection pour les systèmes haut risque incluent aussi le processus de conformité continu : les documents ne sont pas statiques, ils doivent évoluer avec le système. Tout changement substantiel dans le développement ou le déploiement du système déclenche une réévaluation.
Les 5 étapes de mise en conformité AI Act
Étape 1 : Sensibiliser les équipes et désigner un pilote conformité IA
L'obligation d'AI literacy (article 4 de l'AI Act) est en vigueur depuis février 2025. Toute organisation qui utilise ou déploie un système d'intelligence artificielle doit s'assurer que les personnes concernées disposent du niveau de compétence approprié.
Trois types de profils doivent être formés avec des niveaux adaptés :
- Décideurs (COO, DSI, DPO) : enjeux réglementaires, classifications de risque, gouvernance
- Équipes techniques : exigences techniques AI Act, obligations documentaires, sécurité
- Utilisateurs métier : droits et obligations liés à l'utilisation des outils IA au quotidien
Désignez un pilote conformité IA, pas nécessairement un juriste : plutôt une personne transversale capable de piloter le projet entre les métiers, l'IT et le juridique. La confiance des équipes dans l'utilisation des outils IA passe par cette sensibilisation structurée.
Étape 2 : Cartographier tous vos systèmes IA déployés
Avant d'évaluer les risques, il faut savoir ce que l'on déploie. La cartographie des SIA recense tous les systèmes d'intelligence artificielle utilisés dans l'organisation, y compris ceux que les équipes ont adoptés sans passer par la direction des systèmes d'information.
Incluez dans la cartographie : les outils SaaS avec IA intégrée (Copilot, Salesforce Agentforce, outils de recrutement IA), les agents développés en interne ou par des prestataires, les modèles GPAI utilisés dans vos workflows.
Étape 3 : Classifier les risques et identifier les obligations applicables
Pour chaque SIA recensé, appliquez la grille de classification AI Act : inacceptable, haut risque, risque limité, risque minimal. Ce travail de classification des risques produit une liste priorisée des systèmes qui requièrent une action immédiate.
La majorité des outils SaaS IA du quotidien se retrouveront en risque minimal ou limité, ce qui est généralement une bonne nouvelle. Les systèmes haut risque identifiés concentrent toute l'attention et les ressources de mise en conformité. Chaque client ou utilisateur interne a un besoin de garantir que les agents qui le concernent sont bien classifiés. La classification est aussi l'occasion d'identifier les niveaux de risque qui évoluent avec le contexte d'usage.
Étape 4 : Mettre en œuvre les mesures de protection et la supervision humaine
Pour les systèmes à haut risque, l'AI Act impose 7 exigences techniques cumulatives :
- Système de gestion des risques : identification, analyse et atténuation continue
- Gouvernance des données d'entraînement et de test
- Documentation technique complète et tenue à jour
- Transparence et fourniture d'informations aux déployeurs
- Supervision humaine effective (pas un simple bouton d'arrêt)
- Exactitude, robustesse et cybersécurité du système
- Journalisation automatique des interactions et des décisions (contrôle humain tracé)
La mise en œuvre de ces mesures de protection représente le cœur opérationnel de la mise en conformité. Un audit externe par un prestataire spécialisé est un point de départ utile pour dimensionner la démarche.
Étape 5 : Élaborer un plan d'action et assurer la conformité dans le temps
La conformité AI Act n'est pas un projet one-shot : c'est un cycle de vie. Les obligations évoluent avec la réglementation, avec les mises à jour des systèmes et avec les nouvelles fonctionnalités déployées. Tout changement substantiel dans un système à haut risque déclenche une réévaluation.
Le plan d'action doit intégrer : calendrier de formation AI literacy, procédures de revue des SIA lors de mises à jour majeures, gouvernance continue (revue annuelle minimum), mise à jour des registres RGPD. La mise en œuvre est un effort continu : structurez-le comme un programme, pas comme un projet ponctuel.
Gouvernance native des agents IA : l'approche technique que les DPO ne couvrent pas
Approche juridique seule vs gouvernance technique native : les limites
Le DPO et les juristes spécialisés couvrent la conformité réglementaire documentaire : registres de traitements, DPIA, déclarations de conformité, contrats avec les fournisseurs. En France comme dans toute l'Union européenne, cette démarche est indispensable. Mais l'intelligence de vos équipes techniques est tout aussi nécessaire pour les organisations qui déploient des agents IA autonomes : les documents ne remplacent pas la supervision en temps réel.
La gouvernance technique adresse ce que la documentation ne peut pas gérer en temps réel : le système de gestion des agents actifs, les guardrails qui bloquent les comportements non conformes avant qu'ils ne se produisent, la traçabilité des décisions prises par chaque agent en production. En matière de confiance des parties prenantes et d'utilisation des agents en production, l'intelligence de la plateforme prime sur celle du registre documentaire. C'est précisément ce que les approches purement juridiques ne peuvent pas couvrir.
Traces auditables, kill switch et supervision humaine : les exigences AI Act pour les agents
L'AI Act impose trois exigences que l'approche documentaire seule ne peut pas honorer pour les agents autonomes : (1) la supervision humaine effective, avec la capacité réelle d'intervenir, pas seulement théorique ; (2) la journalisation complète des interactions et des décisions de chaque agent en production ; (3) la traçabilité des modifications de configuration (prompts, outils, périmètre d'action).
Pour un CISO ou un COO, cela se traduit par trois questions pratiques : « Puis-je arrêter cet agent en moins de 5 secondes ? » (kill switch), « Puis-je produire en 24h les traces auditables d'une décision contestée ? » et « Ai-je la liste exhaustive de tous les agents actifs dans mon organisation ? »
3 approches de conformité AI Act : comparatif
| Critère | Approche juridique seule | Outil GRC générique | Gouvernance technique native |
|---|---|---|---|
| Traces auditables en temps réel | Non | Partiel | Natif |
| Kill switch par agent | Non | Non | Intégré |
| Supervision humaine automatisée | Non | Manuelle | Automatique |
| Documentation technique auto-générée | Manuelle | Partielle | Automatique |
| Détection des agents non référencés | Non | Non | Centralisée |
| Couverture des agents en production | Non | Limitée | Oui |
| Alertes anomalies comportement agent | Non | Partiel | Temps réel |
| Déploiement on-premise / sovereign | N/A | Optionnel | Natif |
| Réversibilité vis-à-vis du nuage | N/A | Non | Oui |
| Prise en main sans refonte du SI | Oui | Longue | Oui |
La gouvernance technique native s'appuie sur une plateforme de mise en production et de gouvernance d'agents. La plateforme open source Idun (GPL v3, code public et auditable) en est une : on y branche un agent bâti sur LangGraph ou Google ADK et elle assure traces, kill switch et supervision humaine alignés sur les exigences de l'AI Act.
La plateforme open source Idun : la gouvernance technique en pratique
La plateforme open source Idun est une plateforme de mise en production et de gouvernance d'agents : on y branche un agent bâti sur LangGraph ou Google ADK et elle assure la plomberie de production derrière. Son code est public et auditable, sous licence GPL v3. Elle n'est pas commercialisée.
Fonctionnalités directement alignées sur les exigences AI Act :
- Agent registry : inventaire centralisé de tous les agents déployés (répond à l'obligation de cartographie)
- Policy engine : règles appliquées automatiquement à tous les agents (supervision humaine architecturée)
- Kill switch : arrêt d'urgence en production sans délai
- Observabilité temps réel : logs complets, traces auditables, métriques par agent
- RBAC multi-tenant : contrôle d'accès par rôle, workspace par équipe
Idun Group, cabinet de conseil en IA outillé, mesure l'usage réel de l'IA déjà déployée en entreprise avec son outil, Idun Cockpit. Notre accompagnement ia structure cette démarche autour de la valeur. Un rendez-vous de découverte de 30 minutes permet de cadrer vos priorités les plus urgentes.
Ce qu'Idun Group apporte à une démarche AI Act
L'ensemble des outils IA adoptés par les équipes sans passer par la direction des systèmes d'information est le premier point aveugle de toute démarche de conformité. Des agents IA autonomes peuvent tourner dans votre organisation sans figurer dans aucun registre.
Une démarche de conformité commence par savoir quels outils d'IA l'entreprise utilise, et pour quoi faire. L'audit de l'usage réel de l'IA d'Idun Group y répond pour les outils que l'entreprise met à disposition : Idun Cockpit lit leurs journaux, les entretiens avec les équipes donnent le contexte, et l'inventaire qui en sort sert aussi la démarche de conformité. Les comptes personnels des salariés sur les IA grand public restent hors de ce que nous mesurons ; nous les traitons par la question de l'offre interne. La plateforme open source décrite plus haut n'est pas commercialisée, et aucun produit Idun n'est recommandé dans nos livrables. Un rendez-vous de découverte de 30 minutes avec Idun Group est le premier pas.
