Conformité à l’AI Act de l’UE : le guide de mise en œuvre pour les entreprises

La législation européenne sur l'IA (EU AI Act) n'est plus un projet à venir. Elle est désormais une réalité. L'interdiction des systèmes d'IA à risque inacceptable est applicable depuis le 2 février 2025. Les obligations relatives aux modèles d'IA à des fins générales sont entrées en vigueur le 2 août 2025. Enfin, l'ensemble des exigences relatives aux systèmes à haut risque — gestion des risques, documentation technique, contrôle humain, évaluation de la conformité — prendra effet le 2 août 2026.[1] C’est-à-dire dans quatre mois.

Pour les équipes chargées de la conformité au sein des entreprises, le défi ne consiste pas à comprendre la réglementation de manière abstraite. Il s'agit de l'opérationnaliser sur des dizaines, voire des centaines de systèmes d'IA, chacun présentant des profils de risque, des fournisseurs et des contextes de déploiement différents. Le volume de commentaires juridiques sur la loi est considérable ; les guides de mise en œuvre pratique sont, quant à eux, encore rares.

Ce guide comble cette lacune. Il propose une approche structurée de la conformité à la législation européenne sur l'IA pour les équipes d'entreprise, couvrant la classification des risques, les obligations associées à chaque niveau, le calendrier d'application et un plan d'action séquencé pour les mois à venir.

Le calendrier d'application

Le règlement est entré en vigueur le 1er août 2024, mais les obligations sont échelonnées en plusieurs étapes. Comprendre quelles obligations sont déjà actives et lesquelles approchent constitue le point de départ de tout programme de conformité.

Le « Digital Omnibus » proposé en novembre 2025 prolongerait l'échéance de l'annexe III pour le haut risque jusqu'en décembre 2027 et celle de l'annexe I pour les produits intégrés jusqu'en août 2028.[2] Toutefois, ces propositions ne sont pas encore adoptées — les négociations en trilogue entre le Parlement, le Conseil et la Commission sont en cours et l'issue reste incertaine. Les entreprises doivent planifier leur conformité pour la date d'août 2026 et considérer toute prolongation comme une simple marge de sécurité, et non comme une référence.

Classification des risques : quelle est la catégorie de chaque système d'IA ?

L'architecture réglementaire de la loi repose sur un système de classification des risques à quatre niveaux. Chaque système d'IA développé, acheté ou déployé par une entreprise doit être classé selon ces niveaux.

Risque inacceptable : pratiques interdites (article 5)

Huit catégories d'utilisation de l'IA sont purement et simplement interdites, sous peine d'amendes pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial.[3] Les plus pertinentes pour les entreprises sont :

• La reconnaissance des émotions sur le lieu de travail ou dans l'enseignement — Systèmes d'IA qui déduisent les états émotionnels des employés ou des étudiants, sauf à des fins de sécurité ou médicales.

• La catégorisation biométrique selon des attributs sensibles — Systèmes qui catégorisent les individus par race, opinions politiques, affiliation syndicale, croyances religieuses, vie sexuelle ou orientation sexuelle à l'aide de données biométriques.

• La notation sociale (social scoring) — Systèmes utilisés par les autorités publiques pour évaluer les individus au fil du temps sur la base de leur comportement social, entraînant un traitement disproportionné.

• La manipulation subliminale — IA utilisant des techniques sous le seuil de la conscience pour altérer le comportement d'une manière susceptible de causer un préjudice important.

Action pour l'entreprise : auditez immédiatement tous vos systèmes d'IA pour évaluer leur proximité avec ces catégories. Les outils de RH utilisant l'analyse des émotions, les systèmes biométriques et les outils de notation comportementale requièrent une attention particulière. Si un système ne peut être clairement distingué d'une pratique interdite, interrompez-le ou concevez-le à nouveau. Cette obligation est exécutoire depuis février 2025.

Haut risque : l'obligation centrale de conformité

La classification « haut risque » est déclenchée par deux voies.[4]

Voie 1 - Composants de sécurité (article 6, paragraphe 1) : Systèmes d'IA qui constituent un composant de sécurité de produits déjà réglementés par la législation sectorielle de l'UE (dispositifs médicaux, machines, aviation, automobile, équipements sous pression et autres listés à l'annexe I), lorsque ces produits requièrent une évaluation de conformité par un tiers.

Voie 2 - Systèmes autonomes de l'annexe III (article 6, paragraphe 2) : Systèmes d'IA déployés dans huit catégories de cas d'usage sensibles :

Une nuance importante : en vertu de l'article 6, paragraphe 3, un fournisseur peut déterminer qu'un système relevant d'une catégorie de l'annexe III ne présente en réalité pas de risque significatif, à condition que le système soit utilisé pour un besoin procédural restreint, qu'il n'influence pas les décisions de fond ou que le risque soit manifestement négligeable compte tenu du contexte. Le fournisseur doit alors notifier l'autorité nationale de surveillance du marché compétente et enregistrer cette auto-déclaration dans la base de données de l'UE avant qu'elle ne prenne effet. Il ne s'agit pas d'une exemption de risque, mais d'une allégation documentée et vérifiable qui doit pouvoir résister à l'examen de l'organisme de réglementation.

Risque limité : obligations de transparence (article 50)

Les systèmes qui interagissent directement avec des personnes physiques mais n'entrent pas dans les catégories à haut risque doivent respecter des exigences de transparence à compter d'août 2026 :

• Les chatbots et l'IA conversationnelle doivent indiquer clairement à l'utilisateur qu'il interagit avec un système d'IA.

• Les contenus de type « deepfake » doivent être étiquetés comme générés ou manipulés par l'IA.

• Les textes générés par l'IA sur des questions d'intérêt public requièrent une mention de transparence.

• Les systèmes de reconnaissance des émotions et de catégorisation biométrique doivent en informer les personnes concernées.

Risque minimal : aucune obligation obligatoire

Les systèmes d'IA qui n'entrent dans aucune des catégories ci-dessus (filtres anti-spam, moteurs de recommandation, correcteurs grammaticaux basés sur l'IA, IA dans les jeux vidéo) ne comportent aucune obligation réglementaire impérative. L'adoption de codes de conduite volontaires en vertu de l'article 95 est encouragée, mais non requise.

Obligations pour le haut risque : ce que la conformité exige concrètement

Pour les systèmes d'IA classés comme étant à haut risque, la loi impose sept catégories d'exigences obligatoires à travers les articles 9 à 15. Il ne s'agit pas de principes abstraits, mais d'obligations spécifiques et vérifiables, assorties d'exigences strictes en matière de documentation.

Gestion des risques (article 9)

Établir un processus continu de gestion des risques — il ne s'agit pas d'une évaluation ponctuelle, mais d'un cycle continu tout au long du cycle de vie du système d'IA. Ce processus doit identifier et analyser les risques prévisibles pour la santé, la sécurité et les droits fondamentaux ; estimer et évaluer ces risques ; adopter des mesures d'atténuation (la conception devant primer sur les contrôles opérationnels) ; et tester le système par rapport au plan de gestion des risques avant son déploiement. Les risques résiduels doivent être documentés et communiqués aux utilisateurs.

Gouvernance des données (article 10)

Les ensembles de données d'entraînement, de validation et de test doivent être pertinents, représentatifs, exempts d'erreurs et suffisamment complets. Les pratiques de gouvernance des données doivent couvrir la collecte, l'étiquetage, le traitement et la conservation. Des procédures de détection et de correction des biais sont requises, et les données personnelles doivent être traitées conformément au RGPD.

Documentation technique (article 11 et annexe IV)

Rédiger une documentation technique complète avant la mise sur le marché du système. L'annexe IV précise les éléments à inclure : description et objectif du système, spécifications de conception, méthodologie d'entraînement et caractéristiques des données, indicateurs de performance, procédures de test, limites connues, mesures de cybersécurité et plan de surveillance après mise sur le marché. Cette documentation doit être régulièrement mise à jour et tenue à la disposition des autorités sur demande.

Conservation des enregistrements (article 12)

Les systèmes à haut risque doivent intégrer des capacités de journalisation automatique, enregistrant les événements pertinents pour identifier les risques d'incidents et les modifications substantielles tout au long de la durée de vie du système. Les utilisateurs doivent conserver ces journaux pendant au moins six mois. Pour les systèmes d'IA agentielle opérant via des chaînes de raisonnement multi-étapes, cette exigence de journalisation est particulièrement exigeante — et essentielle.

Transparence (article 13)

Les fournisseurs doivent fournir des notices d'utilisation permettant aux utilisateurs de comprendre les capacités du système, ses limites, ses mesures de précision, sa finalité et les mesures de contrôle humain requises. Ces instructions doivent être compréhensibles pour une personne ne disposant pas de connaissances spécialisées en IA.

Contrôle humain (article 14)

Les systèmes doivent être conçus pour permettre un contrôle humain effectif — ce qui signifie que les humains doivent pouvoir comprendre les résultats du système, intervenir ou interrompre le fonctionnement, ignorer ou annuler les résultats, et empêcher le système de passer outre les décisions humaines sans autorisation préalable. Les fournisseurs conçoivent cette capacité ; les utilisateurs désignent et forment le personnel qualifié pour l'exercer.

Précision, robustesse et cybersécurité (article 15)

Les systèmes doivent maintenir des niveaux de précision déclarés tout au long de leur cycle de vie, résister aux erreurs et aux incohérences des données d'entrée, résister aux tentatives de manipulation (attaques adverses) et respecter les normes de cybersécurité applicables.

Au-delà des articles 9 à 15, les fournisseurs doivent également mettre en place un système de gestion de la qualité (article 17), se soumettre à une évaluation de la conformité (article 43), établir une déclaration de conformité UE (article 47), apposer le marquage CE (article 48), enregistrer le système dans la base de données de l'UE (article 71), mettre en œuvre un suivi après mise sur le marché (article 72) et signaler les incidents graves sous 15 jours (article 73).

La distinction entre Fournisseur et Déployeur

La loi répartit les obligations différemment selon que l'organisation est qualifiée de fournisseur (qui développe ou fait développer le système d'IA) ou de déployeur (qui l'utilise dans un cadre professionnel).[5]

La charge la plus lourde incombe aux fournisseurs : conformité totale avec les articles 9 à 15, évaluation de la conformité, documentation et surveillance après mise sur le marché. Les déployeurs, quant à eux, doivent utiliser les systèmes conformément aux instructions du fournisseur, confier le contrôle humain à du personnel qualifié, conserver les journaux d'activité, en informer les personnes concernées et signaler les incidents.

La frontière critique : une entreprise qui prend un système d'IA tiers et le modifie substantiellement, change sa finalité initiale ou le met sur le marché sous sa propre marque devient un fournisseur au sens de l'article 25 et assume toutes les obligations associées. L'ajustement fin (fine-tuning) d'un modèle de fondation pour un nouveau cas d'usage peut, par exemple, franchir ce seuil. Les organisations doivent cartographier chaque système d'IA au regard de cette distinction et documenter leur décision.

Pour les systèmes d'IA de tiers, un audit préalable (due diligence) de la part du déployeur est indispensable. Exigez la documentation confirmant la classification des risques du système et son état de conformité. Mettez à jour les contrats avec vos prestataires pour encadrer le signalement des incidents, la conservation des journaux, les modalités de contrôle humain et la répartition des responsabilités. Si un fournisseur n'est pas en mesure de fournir la documentation adéquate, cela représente un risque de conformité majeur.

Un scénario fréquent et sous-estimé : les grands fournisseurs de SaaS (Salesforce, ServiceNow, Workday, etc.) intègrent de plus en plus de fonctionnalités d'IA susceptibles d'être qualifiées de « haut risque » dans les catégories liées à l'emploi ou aux services essentiels, tout en refusant parfois de fournir la documentation de conformité requise. Dans cette situation, le déployeur ne peut pas externaliser ses obligations au titre de l'article 26. Les déployeurs doivent alors mener leur propre évaluation de la fonctionnalité d'IA, en restreindre l'usage à des contextes exempts de haut risque, ou en suspendre l'utilisation jusqu'à l'obtention de la documentation requise. Il s'agit d'un risque d'approvisionnement important qui doit être évalué avant le renouvellement des contrats. Enzai cartographie les obligations des fournisseurs et déployeurs au sein de vos infrastructures d'IA, y compris les configurations complexes associant modèles de fondation et systèmes à haut risque.

Obligations relatives aux modèles de GPAI

De nombreux systèmes d'IA d'entreprise sont construits sur des modèles d'IA à des fins générales (GPAI) — des modèles de fondation d'Anthropic, OpenAI, Google, Meta et d'autres. La loi impose des obligations distinctes aux fournisseurs de modèles de GPAI en vertu des articles 51 à 56, applicables depuis août 2025.[6]

Tous les fournisseurs de GPAI doivent tenir à jour leur documentation technique, fournir aux intégrateurs en aval des informations suffisantes pour leur permettre de se conformer à leurs propres obligations, mettre en œuvre une politique de respect du droit d'auteur et publier un résumé du contenu utilisé pour l'entraînement.

Les modèles franchissant le seuil du risque systémique (puissance de calcul cumulée pour l'entraînement supérieure à 10^25 FLOPs, ou désignés comme tels par la Commission en raison de leurs capacités avérées) sont soumis à des obligations supplémentaires : tests adverses, évaluation et atténuation des risques, signalement des incidents graves au Bureau européen de l'IA et protections accrues en matière de cybersécurité.

Le code de bonnes pratiques pour l'IA à des fins générales, validé en août 2025, offre une voie vers la conformité et instaure une présomption de conformité pour ses signataires.[7] Le Bureau européen de l'IA dispose d'un pouvoir de surveillance exclusif sur les modèles de GPAI, indépendamment des autorités nationales de surveillance.

Pour les entreprises déployant des agents et des applications basés sur des modèles de GPAI tiers, la conséquence pratique est une conformité multiniveau : le fournisseur du modèle assume les obligations liées à la GPAI, tandis que l'organisation qui déploie l'application assume les obligations liées au haut risque pour la couche applicative. Il est essentiel de délimiter clairement où s'arrêtent les responsabilités de l'un et où commencent celles de l'autre.

Sanctions et application de la loi

Le cadre de sanctions est particulièrement dissuasif et structuré par paliers.[8]

L'application de la législation est décentralisée. Les autorités nationales de surveillance du marché gèrent la conformité des systèmes à haut risque. Le Bureau européen de l'IA gère la conformité des modèles de GPAI. Les autorités de protection des droits fondamentaux (qui peuvent être les autorités de protection des données dans certains États membres) traitent les cas d'utilisation d'IA à haut risque par les autorités publiques.

Les critères de détermination des amendes tiennent compte de la nature et de la gravité de l'infraction, de son caractère intentionnel ou négligent, de la taille de l'organisation, de sa coopération avec les autorités et des mesures prises pour atténuer le préjudice.

Un plan d'action séquencé

À l'approche de la date limite d'août 2026, les entreprises ont besoin d'une démarche structurée. Enzai recommande le séquençage suivant, fondé sur notre collaboration avec les directions de la conformité des entreprises qui s'adaptent à cette réglementation.

Phase 1 : Actions immédiates (obligations déjà applicables)

Désignez un responsable de la conformité IA par intérim pour piloter les actions de la phase 1 et commencer à définir le programme global. Ces actions immédiates nécessitent une personne dotée de l'autorité et des ressources nécessaires.

Auditez les risques de pratiques interdites. L'article 5 est applicable depuis février 2025. Examinez tous les systèmes d'IA pour évaluer leur proximité avec les catégories interdites, en particulier la reconnaissance des émotions sur le lieu de travail, la catégorisation biométrique et la notation comportementale.

Déployez la formation à l'IA. L'article 4 exige que le personnel participant à l'exploitation des systèmes dispose d'une formation et d'une culture de l'IA suffisantes. Documentez ces programmes et conservez-en les preuves d'exécution.

Évaluez votre exposition aux modèles GPAI. Si votre organisation développe ou ajuste des modèles de fondation, assurez-vous du respect des obligations des articles 51 à 56, actives depuis août 2025.

Phase 2 : Structuration des fondations (dès maintenant jusqu'au deuxième trimestre 2026)

Mettez en place la structure de gouvernance. Nommez un parrain exécutif de la conformité IA, attribuez la responsabilité des systèmes à haut risque au niveau produit et réunissez un groupe de gouvernance de l'IA transversal regroupant les affaires juridiques, la technologie, la sécurité, les achats et les ressources humaines. Sans cette structure decisionnelle, les étapes d'inventaire et de classification à venir manqueront de légitimité pour exiger les informations nécessaires auprès des différentes entités opérationnelles. Les arbitrages de budget et d'outillage doivent être réalisés à cette étape — répertorier et classifier à l'échelle de l'entreprise requiert généralement des outils dédiés ou un processus d'évaluation encadré.

Établissez un inventaire complet des IA. Répertoriez chaque système d'IA développé, acheté ou déployé par l'organisation — y compris le « shadow AI », les IA intégrées dans les plateformes d'éditeurs et les outils SaaS dotés de fonctionnalités d'IA. Enregistrez leur finalité, leurs flux de données, leur contexte de déploiement et leur propriétaire métier. Le module d'inventaire d'IA d'Enzai permet une découverte automatisée à travers vos environnements cloud et intégrations SaaS, réduisant ainsi l'effort manuel qui mobilise habituellement la majeure partie de cette phase — découvrez son fonctionnement.

Classifiez chaque système. Évaluez chaque système répertorié au regard des niveaux de risque officiels. Documentez la justification de chaque classification : ce document constitue en soi un livrable de conformité essentiel.

Phase 3 : Chantier de conformité (T2-T3 2026)

Pour chaque système à haut risque, constituez le dossier de conformité requis :

• Documentation de gestion des risques (article 9)

• Procédures de gouvernance des données (article 10)

• Documentation technique conforme à l'annexe IV (article 11)

• Mise en œuvre de la journalisation automatique (article 12)

• Notice et instructions d'utilisation (article 13)

• Cadre de contrôle humain — identification des personnes chargées de la supervision, modalités d'intervention et enregistrement de ces interventions (article 14)

• Évaluation de la conformité (article 43) — évaluation interne pour les points 2 à 8 de l'annexe III lorsque des normes harmonisées s'appliquent ; évaluation par un organisme notifié pour l'identification biométrique à distance (point 1(a)) et pour toute catégorie sans norme harmonisée publiée. Consultez le registre des normes harmonisées de la Commission avant de finaliser votre démarche d'évaluation.

Mettez à jour les contrats avec vos tiers. Pour les systèmes d'IA de prestataires, vérifiez que les contrats régissent les droits d'accès à la documentation, le signalement des incidents, la rétention des journaux et le partage des responsabilités selon l'article 25.

Préparez les mentions de transparence. Auditez les systèmes d'IA en contact avec les clients et les collaborateurs pour respecter les exigences de l'article 50 (affichage clair des chatbots, marquage des deepfakes, signalement de la reconnaissance d'émotions).

Phase 4 : Validation et mise en service (T3 2026)

Réalisez une analyse d'impact sur les droits fondamentaux lorsque l'article 27 l'exige — obligatoire pour les organismes publics et recommandée pour les déployeurs privés exploitant des IA à haut risque dans des contextes à fort impact.

Établissez des procédures de gestion des incidents. Adaptez vos cycles de réponse aux incidents de sécurité pour intégrer les spécificités de l'IA : notification sous 15 jours pour les incidents graves ou entraînant un décès, notification sous 72 heures pour les violations de données personnelles, et identification de l'autorité nationale compétente dans chaque État membre.

Enregistrez les systèmes à haut risque dans la base de données de l'UE avant leur mise en service (article 71).

Finalisez l'évaluation de conformité et publiez la déclaration de conformité UE (article 47) avec apposition du marquage CE (article 48) pour les systèmes destinés à être mis sur le marché.

Perspectives d'avenir

La législation européenne sur l'IA constitue la réglementation sur l'IA la plus complète au monde. Sa mise en œuvre progressive offre un calendrier clair aux entreprises, mais le périmètre de conformité s'avère particulièrement vaste — couvrant la documentation technique, la gestion des risques, la gouvernance de données, le contrôle humain, la transparence et le suivi post-déploiement pour potentiellement des centaines de systèmes d'IA.

Les entreprises les mieux armées sont celles qui structurent leur gouvernance dès aujourd'hui, plutôt que de traiter la conformité comme un exercice ponctuel. Les obligations issues du règlement s'inscrivent dans la durée : la gestion des risques doit être continue, la surveillance active et la documentation actualisée. L'intégration de la conformité au cœur des cycles de développement, de déploiement et de suivi de vos projets d'IA est le seul modèle viable à long terme.

Chez Enzai, notre plateforme fournit l'infrastructure opérationnelle pour structurer votre conformité à l'EU AI Act : inventaire centralisé de vos IA, classification automatisée des risques selon les critères du texte, documentation structurée pour les articles 9 à 15, suivi continu et gestion des preuves prête pour l'audit. Pour les organisations préparant l'échéance d'août 2026, réservez une présentation pour découvrir comment notre plateforme s'aligne sur les exigences de la législation.

Enzai est la plateforme leader en matière de gouvernance de l'IA pour les entreprises, spécialement conçue pour aider les organisations à passer de politiques abstraites à une supervision opérationnelle. Notre plateforme de gestion des risques d'IA fournit l'infrastructure spécialisée nécessaire pour administrer la gouvernance de l'IA agentielle, maintenir un inventaire complet des IA et garantir la conformité à l'EU AI Act. En automatisant les processus complexes, Enzai permet aux entreprises d'accélérer l'adoption de l'IA en toute sécurité, tout en restant alignées sur les normes mondiales telles que ISO 42001 et NIST.

Références

[1] Règlement (UE) 2024/1689 du Parlement européen et du Conseil, articles 113 et 114 (dates d'entrée en vigueur et d'application). Journal officiel de l'Union européenne, série L, 12 juillet 2024.

[2] Commission européenne, « Digital Omnibus on AI » (COM(2025) 871), 26 novembre 2025. Propositions de prolongation des échéances des annexes III et I, sous réserve de la disponibilité de normes harmonisées.

[3] Règlement (UE) 2024/1689, article 5 (Pratiques d'IA interdites) et article 99 (Sanctions).

[4] Règlement (UE) 2024/1689, article 6 (Règles de classification pour les systèmes d'IA à haut risque) et annexe III.

[5] Règlement (UE) 2024/1689, articles 16 (Obligations des fournisseurs), 26 (Obligations des déployeurs) et 25 (Autres acteurs de la chaîne de valeur de l'IA).

[6] Règlement (UE) 2024/1689, chapitre V, articles 51 à 56 (Obligations relatives aux modèles d'IA à des fins générales).

[7] Code de bonnes pratiques pour l'IA à des fins générales, validé par la Commission européenne et le Comité de l'IA, 1er août 2025.

[8] Règlement (UE) 2024/1689, article 99 (Sanctions).