Nehos Groupe

L'essentiel sur l'audit AI Act Nehos

Le Règlement UE 2024/1689 — l'AI Act — est entré en application le 1er août 2026. Toute entreprise opérant des systèmes IA dans l'UE doit les inventorier, les classifier par niveau de risque et documenter leur conformité. Les sanctions atteignent 35 M€ ou 7 % du CA mondial pour les pratiques interdites.

L'audit AI Act Nehos couvre l'inventaire complet (déclarés + shadow AI), la classification selon l'Annexe III, la gap analysis vs l'Annexe IV, la documentation technique et un plan d'action priorisé chiffré. Méthode propriétaire AI Act Compliance Nehos™.

Trois formats au tarif fixe : audit express 2-3 jours (à partir de 905 € HT) pour classification + diagnostic court ; audit standard 5-7 jours (à partir de 1 522 € HT) pour diagnostic complet + recommandations ; audit approfondi 10-15 jours (415 k€ HT) avec plan de mise en conformité + accompagnement validation.

47 audits IA livrés depuis 2023 par les compliance officers Nehos, dont 31 audits AI Act dédiés en 2025-2026. Cas types : ATS recrutement, scoring crédit, biométrie sur site, computer vision SEVESO, IA éducative.

Audit conformité AI Act — Classifier, documenter, sécuriser vos systèmes IA

AI Act applicable depuis le 1er août 2026. Sanctions jusqu'à 35 M€ ou 7 % du CA mondial. Nehos audite vos systèmes IA en 2 à 15 jours : inventaire, classification, gap analysis Annexe IV, plan de mise en conformité chiffré.

Adapté à toute taille de structure

Artisan
Startup
PME / TPE
ETI
Grand Groupe

#Pourquoi un audit AI Act maintenant — et pas en 2027

Le 1er août 2026, les principales obligations du Règlement UE 2024/1689 sont devenues effectives. Les pratiques interdites (Article 5) sont sanctionnables depuis février 2025, et les obligations applicables aux systèmes IA à haut risque (Annexe III) s'imposent désormais à toute entreprise qui les met sur le marché ou en service dans l'UE. Beaucoup de directions IT pensaient avoir « le temps ». Elles ne l'ont plus.

Les sanctions sont calibrées par tranches : jusqu'à 35 M€ ou 7 % du CA mondial pour une pratique interdite, jusqu'à 15 M€ ou 3 % pour une violation des obligations haut risque, jusqu'à 7,5 M€ ou 1,5 % pour fourniture d'informations incorrectes aux autorités. La CNIL en France et les autorités équivalentes dans chaque État membre sont les guichets de surveillance. La CNIL a publié dès janvier 2026 ses lignes directrices et inspecte déjà certains opérateurs RH et fintech.

Les entreprises qui pensaient « on verra après les premières sanctions » se retrouvent dans une mauvaise position. Une mise en conformité a posteriori coûte typiquement 2 à 4 fois plus cher qu'un audit anticipé. Nous l'avons mesuré sur les 47 audits IA Nehos livrés depuis 2023.

#Notre audit AI Act 360°

#1. Inventaire complet des systèmes IA

La première étape consiste à recenser tous les systèmes IA en production, en projet ou en shadow (déployés par des équipes métier sans validation DSI). Sur les 31 audits AI Act que nous avons livrés en 2025-2026, en moyenne 38 % des systèmes IA actifs n'apparaissaient pas dans le registre initial du client. Plugins ChatGPT Enterprise sur Salesforce, Copilot dans GitHub, agents Make/n8n sur la suite Microsoft 365 — la dette shadow AI est partout.

Notre approche : entretiens directs avec les directions métier (HR, Sales, Finance, R&D, Communication), exports techniques (audit logs Microsoft Graph, AWS CloudTrail, registres SaaS), questionnaire structuré pour les responsables produit. Output : un registre AI Act exhaustif au format Excel structuré, exploitable par votre DPO.

#2. Classification par niveau de risque

L'AI Act distingue quatre catégories :

  • Pratiques interdites (Article 5) : notation sociale, manipulation comportementale, scrapping facial massif, certains usages biométriques temps réel.
  • Haut risque (Annexe III) : recrutement et gestion RH, accès à l'éducation, scoring crédit, biométrie, infrastructures critiques, applications de la loi, gestion migratoire, justice, processus démocratiques.
  • Risque limité : chatbots, deep fakes — obligation de transparence (l'utilisateur doit savoir qu'il interagit avec une IA ou voit un contenu généré).
  • Risque minimal : la majorité des systèmes IA (filtres anti-spam, IA dans les jeux).

À cela s'ajoutent les modèles IA à usage général (GPAI) — typiquement les LLM fondation — avec un régime spécifique pour ceux qui dépassent 10²⁵ FLOPS d'entraînement.

Nous classifions chaque système identifié avec une grille documentée et opposable. Un cas typique : un client scale-up RH pensait que son ATS de classification automatique de CV était « risque limité ». L'Annexe III §4(a) le classe haut risque sans ambiguïté. Conséquence : 7 obligations supplémentaires (gestion des risques, qualité des données, journalisation, transparence, supervision humaine, robustesse, conformité).

#3. Gap analysis vs Annexe IV

Pour chaque système classifié haut risque, l'Annexe IV liste la documentation technique obligatoire que vous devez tenir à disposition des autorités. Nous comparons l'existant à l'exigence sur 9 axes : description générale, conception détaillée, données d'entraînement, méthodes d'évaluation, mesures de cybersécurité, journal des modifications, indicateurs de performance, supervision humaine, gestion des incidents.

La moyenne sur nos 31 audits AI Act 2025-2026 : 42 % de complétude documentaire en moyenne au démarrage. Les manques portent surtout sur les datasets (traçabilité, biais, représentativité) et le monitoring post-déploiement.

#4. Documentation technique conforme

Nous fournissons les templates Annexe IV prêts à compléter par vos équipes, plus la mise à jour de votre registre RGPD pour intégrer les traitements IA, et un projet de déclaration de conformité UE signable par votre représentant légal.

#5. Recommandations priorisées et chiffrées

Le rapport final contient un plan d'action chiffré et priorisé (effort jour-homme + coût externe estimé) qui distingue trois temporalités : actions sous 30 jours pour fermer les risques sanctionnables immédiatement, sous 90 jours pour structurer la gouvernance, sous 12 mois pour intégrer la conformité dans le cycle de développement (Compliance by Design).

#Trois formats d'audit selon la maturité

#Audit express — 2 à 3 jours — 5 500 € HT

Format ciblé : une dizaine de systèmes IA à classifier, pas de plan de remédiation détaillé. Idéal pour les PME et scale-up qui veulent savoir où elles en sont avant de décider si une démarche plus large est justifiée. Livrable : registre + grille de classification + note de synthèse 10 pages + restitution 90 minutes.

#Audit standard — 5 à 7 jours — 9 500 € HT

Notre format le plus demandé. Inventaire complet (déclarés + shadow), classification par système, gap analysis Annexe IV sur les systèmes haut risque, recommandations priorisées. Livrable : rapport 25-40 pages, plan d'action sur tableur, restitution 2 demi-journées avec DPO/RSSI/CAIO.

#Audit approfondi — 10 à 15 jours — 18 à 28 k€ HT

Pour les ETI et grands comptes opérant plusieurs systèmes IA dans des secteurs sensibles (banque, santé, RH à fort volume, secteur public). Inclut : tout l'audit standard + accompagnement à la rédaction de la documentation Annexe IV pour 2 à 3 systèmes prioritaires + revue des contrats fournisseurs IA + simulation de contrôle CNIL + accompagnement validation interne.

Un devis personnalisé est établi en RDV de cadrage 60 minutes.

#Méthode AI Act Compliance Nehos™

Notre cadre méthodologique est documenté en détail sur la page Méthode AI Act Compliance Nehos. Il combine trois apports : la grille de classification annotée par cas concret (200+ exemples), la matrice gap analysis Annexe IV sur 9 axes, et le scoring de maturité conformité IA en 5 niveaux. La méthode est Qualiopi-formable pour vos équipes internes (cycle de 5 jours).

#Cas haut risque les plus fréquents en 2026

Sur les 31 audits AI Act dédiés livrés en 2025-2026, voici la répartition des systèmes haut risque identifiés :

  • Recrutement et gestion RH (32 %) : ATS avec scoring automatique, tri pré-entretien, classification CV par adéquation poste, agents conversationnels d'onboarding, IA de suivi de carrière interne. Risque dominant : biais discriminatoires (genre, origine, âge).
  • Scoring crédit et risque (21 %) : modèles de scoring crédit retail/PME, anti-fraude paiement, calcul de prime assurance, KYC enrichi par IA. Couplé avec DORA pour les opérateurs financiers.
  • Biométrie sur site (14 %) : contrôle d'accès biométrique, reconnaissance faciale en environnement non public, détection d'émotions (souvent interdite en pratique).
  • Éducation et formation (11 %) : plateformes d'évaluation continue, IA d'orientation scolaire, proctoring.
  • Infrastructures critiques (9 %) : optimisation réseau électrique, gestion trafic ferroviaire, computer vision SEVESO.
  • Autres haut risque (13 %) : justice, gestion migratoire, services publics essentiels.

Les intersections sont fréquentes : un fintech qui opère un scoring crédit IA cumule typiquement AI Act haut risque + DORA + RGPD AIPD + LCB-FT — d'où l'intérêt d'un audit transversal.

Questions & Réponses

Questions fréquentes — audit conformité AI Act

Un système IA est classifié haut risque s'il relève de l'Annexe III du Règlement UE 2024/1689. Huit domaines sont concernés : biométrie, infrastructures critiques, éducation, emploi et gestion RH, accès aux services publics et privés essentiels (dont scoring crédit), application de la loi, gestion migratoire, justice et processus démocratiques. Pour ces systèmes, sept obligations s'appliquent : gestion des risques, qualité des données, journalisation, transparence, supervision humaine, robustesse et cybersécurité, conformité documentaire.
Trois niveaux selon l'Article 99. Pratiques interdites (Article 5) : jusqu'à 560 M€ ou 7 % du chiffre d'affaires mondial annuel, le plus élevé des deux. Violation des obligations haut risque ou GPAI : jusqu'à 240 M€ ou 3 %. Fourniture d'informations incorrectes ou incomplètes aux autorités : jusqu'à 120 M€ ou 1,5 %. Pour les PME et start-up, le moindre des deux montants s'applique. En France, la CNIL est l'autorité de surveillance principale, avec l'ARCOM pour certains aspects et l'ANSSI sur la cybersécurité.
La règle pratique : un trio DPO + RSSI + CAIO (ou à défaut un référent IA désigné par la Direction Générale). Le DPO porte la conformité réglementaire et fait le lien avec la CNIL. Le RSSI traite les obligations de cybersécurité et journalisation. Le CAIO ou référent IA assure l'inventaire et la classification des systèmes. Sur les organisations sans CAIO, ce rôle est typiquement porté par un Lead Architect ou un responsable Data. La gouvernance reste sous la responsabilité du représentant légal — c'est lui qui signera la déclaration de conformité UE.
Oui, l'Article 14 du Règlement impose une supervision humaine effective sur tous les systèmes IA haut risque. Cela ne signifie pas qu'un humain doit valider chaque décision en temps réel — la supervision peut être supervisory by design (interface qui permet l'inspection, l'arrêt, l'override). En pratique : interface claire pour comprendre la sortie du système, possibilité d'override avant action irréversible, formation des opérateurs, traçabilité des interventions. Pour un ATS RH, par exemple, un recruteur doit pouvoir voir les critères qui ont mené à un score et y déroger.
Oui, tout opérateur de système IA haut risque doit tenir un registre interne et, pour certains, s'enregistrer dans la base de données UE dédiée. Le registre interne doit contenir au minimum : identification du système, fournisseur, version, finalité, classification AI Act, données d'entraînement principales, mesures de gestion des risques, résultats des évaluations, journal des modifications, supervision humaine prévue, gestion des incidents. Nehos fournit un template tableur conforme à l'Article 12 et à l'Annexe IV.
Trois angles complémentaires. Audit statistique des données : représentativité par sous-population (genre, origine, âge si autorisé, géographie), volume relatif, fraîcheur. Tests de fairness sur les sorties du modèle : disparate impact ratio, equal opportunity, demographic parity selon le cas d'usage. Revue qualitative par un panel diversifié sur des cas frontières. Pour un ATS RH, on mesure typiquement le taux de sélection par sous-population à compétences contrôlées équivalentes. Nehos utilise les outils Fairlearn, AIF360 IBM et des scripts maison auditables.
L'AI Act ne remplace aucun texte — il s'ajoute. Pour un fintech, un système de scoring crédit IA déclenche typiquement : AI Act (haut risque Annexe III §5(b)), DORA (résilience opérationnelle, registre TIC), NIS2 si l'entité est concernée (mesures cyber), RGPD (AIPD obligatoire). Notre méthode AI Act Compliance Nehos™ produit une matrice d'obligations consolidée qui évite les doublons documentaires et identifie les exigences les plus contraignantes (souvent DORA sur la résilience, RGPD sur la finalité, AI Act sur la documentation technique).
Le règlement n'impose pas explicitement un audit annuel généralisé, mais il exige un système de gestion des risques continu et une mise à jour de la documentation à chaque modification substantielle du système. En pratique, nous recommandons un audit complet tous les 12 à 18 mois et un audit ciblé à chaque déploiement majeur. Pour les systèmes haut risque dans des secteurs régulés (banque, santé), un audit annuel devient une bonne pratique défendable en cas de contrôle CNIL.
Les deux options sont possibles. Format one-shot : audit livré, plan d'action remis, vous exécutez en interne. C'est le choix de 35 % de nos clients audit AI Act qui ont la maturité interne suffisante. Format accompagnement : nous chiffrons un forfait mensuel ou un projet borné pour exécuter le plan d'action (rédaction documentation Annexe IV, mise en place gouvernance, formation équipes, préparation à un contrôle CNIL). Tarif accompagnement type : à partir de 750 €/mois selon scope, ou forfait projet 15 à 111 k€.
Nos rapports ne sont pas des « certifications » au sens juridique — l'AI Act ne prévoit pas (encore) de label officiel pour les auditeurs privés en France. En revanche, nos rapports sont structurés pour être présentables en cas de contrôle : méthodologie documentée, sources réglementaires citées (numéros d'article, considérants), traçabilité des évaluations, signature des compliance officers Nehos. Sur les contrôles CNIL que nos clients ont subis post-audit Nehos (3 cas en 2025-2026), le rapport a été reçu comme une démarche de mise en conformité de bonne foi.
Nous traitons la PI dans le périmètre AI Act : titularité des poids de modèles fine-tunés, droits sur les datasets d'entraînement (Article 4 directive 2019/790 sur le text and data mining), opt-out RAG, marquage des contenus générés (Article 50 AI Act). Pour les déposits de marque ou de brevets sur des innovations IA, nous travaillons en partenariat avec des cabinets d'avocats spécialisés PI (Gide, Bird & Bird, August Debouzy selon dossier). Notre rôle reste l'audit de conformité — pas la défense contentieuse.

Exploration associée

agence IA NehosMéthode AI Act Compliance Nehos™service conformité numérique Nehosconformité AI Act détailléeconseil et stratégie IAdéploiement d'agents IA conformesfine-tuning de LLM souverainsformation AI Act pour vos équipesconformité IA banque et assuranceIA pour les RH et la formationIA pour collectivités et service publicIA industrielle et infrastructures critiquesétude Coût réel d'un agent IA Nehosdéfinition d'un agent IAdéfinition LLMqu'est-ce que le RAGvoir nos cas clients IA conformesagence IA à Paris
Réserver un audit