Audit de conformité IA : les deux questions qui décident du périmètre
Fournisseur ou déployeur, et dans quelle catégorie de risque : ces deux réponses déterminent toutes les obligations. Les traiter en dernier fait recommencer l'audit.
Un audit de conformité IA vérifie qu'un système répond aux obligations qui lui sont applicables — et la première question à trancher n'est pas technique : quel rôle jouez-vous, et dans quelle catégorie de risque tombe le système ? Ces deux réponses déterminent tout le reste. Les traiter en dernier est l'erreur qui fait recommencer les audits.
Les deux questions qui décident du périmètre
Êtes-vous fournisseur ou déployeur ? Le règlement (UE) 2024/1689 distingue celui qui développe et met sur le marché un système d'IA de celui qui l'utilise sous sa propre autorité. Les obligations ne sont pas les mêmes, et une organisation peut être les deux selon les systèmes.
Le piège courant : intégrer un modèle tiers dans un produit qu'on commercialise, en se croyant simple utilisateur. Selon ce que vous en faites et sous quelle marque vous le diffusez, vous pouvez être considéré comme fournisseur — avec les obligations qui vont avec.
Dans quelle catégorie de risque le système tombe-t-il ? Le règlement en définit quatre : risque inacceptable (interdit), haut risque, risque limité (obligations de transparence), risque minimal (pas d'obligation spécifique).
L'écrasante majorité des usages d'entreprise relève du risque limité ou minimal. Le haut risque concerne des domaines énumérés — recrutement, accès à l'éducation, services essentiels, application de la loi, entre autres. Se déclarer à haut risque par prudence coûte cher pour rien ; l'ignorer à tort coûte beaucoup plus. C'est le premier travail d'un audit de conformité, et il se documente.
Ce que l'audit vérifie ensuite
Une fois le rôle et la catégorie établis, le contrôle porte sur des points précis. Pour un système à haut risque déployé, les principaux sont :
| Point contrôlé | Base | Ce qu'on regarde |
|---|---|---|
| Documentation technique | Art. 11 et Annexe IV | Existe-t-elle, est-elle à jour, décrit-elle le système réel ? |
| Gouvernance des données | Art. 10 | Provenance, pertinence, examen des biais |
| Journalisation | Art. 12 | Enregistrement automatique des événements sur la durée de vie |
| Supervision humaine | Art. 14 | Effective : comprendre, contredire, interrompre |
| Conservation des journaux | Art. 19 et 26 | Au moins six mois |
| Surveillance après déploiement | Art. 72 | Plan actif et documenté |
| Littératie IA des utilisateurs | Art. 4 | Niveau suffisant, applicable depuis février 2025 |
L'article 4 est celui qu'on découvre le plus tard. Il ne dépend pas de la catégorie de risque : il s'applique à toute organisation qui déploie des systèmes d'IA, et il porte sur les personnes, pas sur la technique.
Les trois constats qui reviennent
La documentation décrit un système qui n'existe plus. Écrite au moment du projet, jamais reprise depuis trois changements de version. C'est le constat le plus fréquent, et le plus simple à corriger une fois qu'on a désigné quelqu'un pour la tenir.
La supervision humaine est nominale. Une personne est désignée dans l'organigramme ; elle valide deux cents recommandations par jour sans capacité réelle d'arbitrage. Le texte demande une supervision effective, ce qui suppose du temps, de la compétence et un pouvoir d'interruption réel.
Les journaux existent mais ne prouvent rien. Ils enregistrent qu'une réponse a été produite, pas laquelle, ni sur quelle version du modèle, ni ce que l'humain en a fait. Une trace qui ne permet pas de reconstituer n'est pas une preuve.
Conformité et RGPD : deux textes, un seul travail
Un système d'IA qui traite des données personnelles relève des deux réglementations. Elles ne se recouvrent pas, mais elles partagent l'essentiel de la matière : registre, base légale, minimisation, durées de conservation, information des personnes, analyse d'impact.
En pratique, une organisation qui tient correctement son registre RGPD a déjà fait une part substantielle du travail. Traiter les deux dans un même exercice évite de produire deux documentations qui divergeront.
Ce qu'un audit de conformité ne fait pas
Il ne délivre pas de certification. Aucun audit de cabinet ne rend un système conforme par lui-même. Il constate, documente et donne un plan de remédiation ; la conformité se démontre par ce qui est fait ensuite.
Il ne remplace pas une analyse juridique. Sur un cas limite de classification — un système à la frontière du haut risque — l'avis d'un juriste spécialisé reste nécessaire. L'audit prépare le dossier, il ne tranche pas le droit.
Il ne fige pas la situation. Un système qui change de modèle, de source de données ou d'usage sort du périmètre audité. C'est la raison pour laquelle la surveillance après déploiement figure dans le texte.
Questions fréquentes
Qui est concerné par l'AI Act ? Toute organisation qui développe, met sur le marché ou utilise un système d'IA dans l'Union, y compris établie hors de l'UE si le système y est utilisé. L'étendue des obligations dépend du rôle — fournisseur ou déployeur — et de la catégorie de risque.
Mon système est-il à haut risque ? Le haut risque correspond à des domaines énumérés par le règlement : recrutement et gestion des travailleurs, accès à l'éducation, services essentiels publics et privés, application de la loi, migration, justice, entre autres, ainsi que les systèmes servant de composant de sécurité d'un produit réglementé. La majorité des usages d'entreprise n'en relève pas — mais la vérification se documente plutôt qu'elle ne se présume.
Quand les obligations s'appliquent-elles ? Par paliers, et le calendrier a été modifié en cours de route. Les interdictions et l'obligation de littératie IA de l'article 4 s'appliquent depuis février 2025. Les obligations de transparence de l'article 50 — signaler qu'on parle à un chatbot, signaler un contenu généré — s'appliquent depuis le 2 août 2026. En revanche, le règlement (UE) 2026/1744 dit « omnibus numérique », en vigueur depuis le 27 juillet 2026, a reporté les obligations lourdes des systèmes à haut risque : au 2 décembre 2027 pour ceux de l'annexe III, au 2 août 2028 pour l'IA intégrée à des produits déjà réglementés (annexe I). Le report déplace la date d'exigibilité, il ne réduit pas le travail à faire.
Combien de temps prend un audit de conformité IA ? Pour un système, quelques semaines : l'essentiel du travail consiste à rassembler et vérifier ce qui existe déjà. Pour un parc de systèmes dont personne ne tient le registre, comptez plusieurs mois — et la difficulté est organisationnelle avant d'être juridique.
Que se passe-t-il en cas de non-conformité ? Le règlement prévoit des sanctions administratives dont les plafonds varient selon la nature du manquement, les plus élevés portant sur les pratiques interdites. Au-delà de l'amende, l'exposition réelle pour la plupart des organisations est l'obligation de suspendre un système en production.
