Audit conformité AI Act — Classifier, documenter, sécuriser vos systèmes IA
Le calendrier de l'AI Act s'étale jusqu'en 2027. Sanctions jusqu'à 35 M€ ou 7 % du CA mondial pour les pratiques interdites. Nehos audite vos systèmes IA : inventaire, classification, gap analysis Annexe IV, plan de mise en conformité chiffré. À partir de 3 000 € HT.
Nos clients types
#Pourquoi un audit AI Act maintenant, et pas en 2027
Le Règlement UE 2024/1689 s'applique de façon progressive. Les pratiques interdites (Article 5) sont sanctionnables depuis février 2025, et l'essentiel des obligations applicables aux systèmes IA à haut risque (Annexe III) s'impose à partir du 2 août 2026 à toute entreprise qui les met sur le marché ou en service dans l'UE, sous réserve des ajustements de calendrier en discussion au niveau européen. Beaucoup de directions IT pensent avoir « le temps ». Un audit se prépare plusieurs semaines à l'avance.
Les sanctions sont calibrées par tranches (Article 99, texte officiel) : jusqu'à 35 M€ ou 7 % du CA mondial pour une pratique interdite, jusqu'à 15 M€ ou 3 % pour une violation des obligations haut risque, jusqu'à 7,5 M€ ou 1,5 % pour fourniture d'informations incorrectes aux autorités.
Chaque État membre désigne ses autorités de surveillance ; en France, la CNIL est concernée pour tout ce qui touche aux données personnelles. La CNIL a publié dès janvier 2026 ses lignes directrices et inspecte déjà certains opérateurs RH et fintech.
Les entreprises qui pensent « on verra après les premières sanctions » prennent un risque : une mise en conformité faite dans l'urgence coûte généralement plus cher qu'un audit anticipé.
#Notre audit AI Act 360°
#1. Inventaire complet des systèmes IA
La première étape consiste à recenser tous les systèmes IA en production, en projet ou en « shadow » (déployés par des équipes métier sans validation de la DSI). Il est fréquent que des systèmes actifs n'apparaissent pas dans le registre initial : plugins ChatGPT Enterprise sur Salesforce, Copilot dans GitHub, agents Make/n8n sur la suite Microsoft 365. La dette shadow AI existe dans la plupart des organisations.
Notre approche : entretiens directs avec les directions métier (HR, Sales, Finance, R&D, Communication), exports techniques (audit logs Microsoft Graph, AWS CloudTrail, registres SaaS), questionnaire structuré pour les responsables produit. Output : un registre AI Act exhaustif au format Excel structuré, exploitable par votre DPO.
#2. Classification par niveau de risque
L'AI Act distingue quatre catégories :
- Pratiques interdites (Article 5) : notation sociale, manipulation comportementale, scrapping facial massif, certains usages biométriques temps réel.
- Haut risque (Annexe III) : recrutement et gestion RH, accès à l'éducation, scoring crédit, biométrie, infrastructures critiques, applications de la loi, gestion migratoire, justice, processus démocratiques.
- Risque limité : chatbots, deep fakes — obligation de transparence (l'utilisateur doit savoir qu'il interagit avec une IA ou voit un contenu généré).
- Risque minimal : la majorité des systèmes IA (filtres anti-spam, IA dans les jeux).
À cela s'ajoutent les modèles IA à usage général (GPAI) — typiquement les LLM fondation — avec un régime spécifique pour ceux qui dépassent 10²⁵ FLOPS d'entraînement.
Nous classifions chaque système identifié avec une grille documentée et opposable. Exemple de situation : une entreprise pense que son ATS de classification automatique de CV relève du « risque limité ». L'Annexe III §4(a) le classe haut risque sans ambiguïté. Conséquence : sept obligations supplémentaires (gestion des risques, qualité des données, journalisation, transparence, supervision humaine, robustesse, conformité).
#3. Gap analysis vs Annexe IV
Pour chaque système classifié haut risque, l'Annexe IV liste la documentation technique obligatoire que vous devez tenir à disposition des autorités. Nous comparons l'existant à l'exigence sur 9 axes : description générale, conception détaillée, données d'entraînement, méthodes d'évaluation, mesures de cybersécurité, journal des modifications, indicateurs de performance, supervision humaine, gestion des incidents.
Dans la pratique, la documentation existante est rarement complète au démarrage. Les manques portent surtout sur les datasets (traçabilité, biais, représentativité) et le monitoring post-déploiement.
#4. Documentation technique conforme
Nous fournissons les templates Annexe IV prêts à compléter par vos équipes, plus la mise à jour de votre registre RGPD pour intégrer les traitements IA, et un projet de déclaration de conformité UE signable par votre représentant légal.
#5. Recommandations priorisées et chiffrées
Le rapport final contient un plan d'action chiffré et priorisé (effort jour-homme + coût externe estimé) qui distingue trois temporalités : actions sous 30 jours pour fermer les risques sanctionnables immédiatement, sous 90 jours pour structurer la gouvernance, sous 12 mois pour intégrer la conformité dans le cycle de développement (Compliance by Design).
#Un audit à tarif fixe, des extensions sur devis
#Audit AI Act — 5 jours ouvrés — à partir de 3 000 € HT
Notre format de référence. Inventaire complet (déclarés + shadow), classification par système, gap analysis Annexe IV sur les systèmes haut risque, recommandations priorisées. Livrable : rapport écrit, plan d'action sur tableur, restitution avec DPO, RSSI et référent IA. Idéal pour une PME, une scale-up ou une ETI qui veut savoir où elle en est avant de décider d'une démarche plus large.
#Périmètre plus large — sur devis
Pour les organisations qui opèrent plusieurs systèmes IA dans des secteurs sensibles (banque, santé, RH à fort volume, secteur public), nous ajoutons selon les besoins : accompagnement à la rédaction de la documentation Annexe IV pour les systèmes prioritaires, revue des contrats fournisseurs IA, simulation de contrôle, accompagnement de la validation interne. Le devis est chiffré en 48 h après un RDV de cadrage de 60 minutes.
#Méthode AI Act Compliance Nehos™
Notre cadre méthodologique est documenté en détail sur la page Méthode AI Act Compliance Nehos. Il combine trois apports : une grille de classification annotée par cas concret, une matrice de gap analysis Annexe IV sur 9 axes, et un scoring de maturité conformité IA en 5 niveaux.
#Cas haut risque les plus fréquents
Voici les familles de systèmes haut risque que l'on rencontre le plus souvent :
- Recrutement et gestion RH : ATS avec scoring automatique, tri pré-entretien, classification de CV par adéquation au poste, agents conversationnels d'onboarding, IA de suivi de carrière interne. Risque dominant : biais discriminatoires (genre, origine, âge).
- Scoring crédit et risque : modèles de scoring crédit retail/PME, anti-fraude paiement, calcul de prime d'assurance, KYC enrichi par IA. À coupler avec DORA pour les opérateurs financiers.
- Biométrie sur site : contrôle d'accès biométrique, reconnaissance faciale en environnement non public, détection d'émotions (souvent interdite en pratique).
- Éducation et formation : plateformes d'évaluation continue, IA d'orientation scolaire, proctoring.
- Infrastructures critiques : optimisation de réseau électrique, gestion du trafic ferroviaire, computer vision en site industriel sensible.
- Autres haut risque : justice, gestion migratoire, services publics essentiels.
Les intersections sont fréquentes : un fintech qui opère un scoring crédit IA cumule typiquement AI Act haut risque + DORA + RGPD AIPD + LCB-FT — d'où l'intérêt d'un audit transversal.
Questions & réponses
Questions fréquentes — audit conformité AI Act
Un système IA est classifié haut risque s'il relève de l'Annexe III du Règlement UE 2024/1689. Huit domaines sont concernés : biométrie, infrastructures critiques, éducation, emploi et gestion RH, accès aux services publics et privés essentiels (dont scoring crédit), application de la loi, gestion migratoire, justice et processus démocratiques. Pour ces systèmes, sept obligations s'appliquent : gestion des risques, qualité des données, journalisation, transparence, supervision humaine, robustesse et cybersécurité, conformité documentaire.
Trois niveaux selon l'Article 99. Pratiques interdites (Article 5) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial annuel, le plus élevé des deux. Violation des obligations haut risque ou GPAI : jusqu'à 15 M€ ou 3 %. Fourniture d'informations incorrectes ou incomplètes aux autorités : jusqu'à 7,5 M€ ou 1,5 %. Pour les PME et start-up, le moindre des deux montants s'applique. Chaque État membre désigne ses autorités de surveillance ; en France, la CNIL est concernée pour les données personnelles, l'ANSSI pour la cybersécurité (texte officiel : eur-lex.europa.eu/eli/reg/2024/1689/oj).
La règle pratique : un trio DPO + RSSI + CAIO (ou à défaut un référent IA désigné par la Direction Générale). Le DPO porte la conformité réglementaire et fait le lien avec la CNIL. Le RSSI traite les obligations de cybersécurité et journalisation. Le CAIO ou référent IA assure l'inventaire et la classification des systèmes. Sur les organisations sans CAIO, ce rôle est typiquement porté par un Lead Architect ou un responsable Data. La gouvernance reste sous la responsabilité du représentant légal — c'est lui qui signera la déclaration de conformité UE.
Oui, l'Article 14 du Règlement impose une supervision humaine effective sur tous les systèmes IA haut risque. Cela ne signifie pas qu'un humain doit valider chaque décision en temps réel — la supervision peut être supervisory by design (interface qui permet l'inspection, l'arrêt, l'override). En pratique : interface claire pour comprendre la sortie du système, possibilité d'override avant action irréversible, formation des opérateurs, traçabilité des interventions. Pour un ATS RH, par exemple, un recruteur doit pouvoir voir les critères qui ont mené à un score et y déroger.
Oui, tout opérateur de système IA haut risque doit tenir un registre interne et, pour certains, s'enregistrer dans la base de données UE dédiée. Le registre interne doit contenir au minimum : identification du système, fournisseur, version, finalité, classification AI Act, données d'entraînement principales, mesures de gestion des risques, résultats des évaluations, journal des modifications, supervision humaine prévue, gestion des incidents. Nehos fournit un template tableur conforme à l'Article 12 et à l'Annexe IV.
Trois angles complémentaires. Audit statistique des données : représentativité par sous-population (genre, origine, âge si autorisé, géographie), volume relatif, fraîcheur. Tests de fairness sur les sorties du modèle : disparate impact ratio, equal opportunity, demographic parity selon le cas d'usage. Revue qualitative par un panel diversifié sur des cas frontières. Pour un ATS RH, on mesure typiquement le taux de sélection par sous-population à compétences contrôlées équivalentes. Nehos utilise les outils Fairlearn, AIF360 IBM et des scripts maison auditables.
L'AI Act ne remplace aucun texte — il s'ajoute. Pour un fintech, un système de scoring crédit IA déclenche typiquement : AI Act (haut risque Annexe III §5(b)), DORA (résilience opérationnelle, registre TIC), NIS2 si l'entité est concernée (mesures cyber), RGPD (AIPD obligatoire). Notre méthode AI Act Compliance Nehos™ produit une matrice d'obligations consolidée qui évite les doublons documentaires et identifie les exigences les plus contraignantes (souvent DORA sur la résilience, RGPD sur la finalité, AI Act sur la documentation technique).
Le règlement n'impose pas explicitement un audit annuel généralisé, mais il exige un système de gestion des risques continu et une mise à jour de la documentation à chaque modification substantielle du système. En pratique, nous recommandons un audit complet périodique et un audit ciblé à chaque déploiement majeur. Pour les systèmes haut risque dans des secteurs régulés (banque, santé), un audit annuel devient une bonne pratique défendable en cas de contrôle CNIL.
Les deux options sont possibles. Format one-shot : audit livré, plan d'action remis, vous exécutez en interne. C'est le bon choix si vous avez la maturité interne suffisante. Format accompagnement : nous chiffrons un forfait mensuel ou un projet borné pour exécuter le plan d'action (rédaction de la documentation Annexe IV, mise en place de la gouvernance, formation des équipes, préparation à un contrôle). Le chiffrage se fait sur devis, en 48 h après un premier échange.
Nos rapports ne sont pas des « certifications » au sens juridique : l'AI Act ne prévoit pas (encore) de label officiel pour les auditeurs privés en France. En revanche, ils sont structurés pour être présentables en cas de contrôle : méthodologie documentée, sources réglementaires citées (numéros d'article, considérants), traçabilité des évaluations. Ils montrent une démarche de mise en conformité de bonne foi.
Nous traitons la PI dans le périmètre AI Act : titularité des poids de modèles fine-tunés, droits sur les datasets d'entraînement (Article 4 directive 2019/790 sur le text and data mining), opt-out RAG, marquage des contenus générés (Article 50 AI Act). Pour les déposits de marque ou de brevets sur des innovations IA, nous vous orientons vers des cabinets d'avocats spécialisés en propriété intellectuelle. Notre rôle reste l'audit de conformité — pas la défense contentieuse.
Parlons de votre projet
Un devis chiffré, sans engagement
Décrivez votre besoin en deux minutes : un consultant senior vous répond avec une première estimation et les prochaines étapes.
- Réponse sous 24 h ouvrées
- Sans engagement
- Un consultant senior vous répond