Coût de la mise en conformité AI Act : budget détaillé par niveau de risque

#Pourquoi budgéter la conformité AI Act maintenant

Le Règlement (UE) 2024/1689 sur l'intelligence artificielle impose des obligations progressives depuis août 2024. Les interdictions de systèmes à risque inacceptable sont en vigueur depuis février 2025. Les obligations pour les modèles GPAI s'appliquent depuis août 2025. Et le 2 août 2026, les obligations complètes pour les systèmes à haut risque deviennent pleinement applicables.

Pour les DSI et directions générales, la question n'est plus de savoir si la conformité est nécessaire, mais combien elle va coûter et comment planifier les dépenses sur les prochains mois.

Les écarts sont significatifs selon la maturité documentaire existante : une entreprise disposant déjà d'un registre RGPD bien tenu réduit son effort de conformité AI Act par rapport à une organisation partant de zéro.

---

#Les 5 postes de dépense de la conformité AI Act

Avant de détailler les fourchettes par niveau de risque, il faut comprendre la structure de coûts. Cinq postes concentrent l'essentiel du budget.

#1. Audit de classification et cartographie

La première étape consiste à inventorier tous les systèmes IA utilisés dans l'entreprise et à les classer selon les quatre niveaux de risque AI Act. Ce travail est souvent sous-estimé : les entreprises utilisent souvent plus de systèmes IA qu'elles ne le pensent, une fois les outils SaaS intégrant de l'IA pris en compte.

Ce que couvre ce poste :

• Entretiens avec les directions métier pour identifier les outils IA (RH, finance, commercial, production)
• Analyse des contrats fournisseurs pour identifier les composants IA intégrés
• Classification de chaque système selon l'Annexe III du Règlement
• Identification des rôles (fournisseur, déployeur, importateur) pour chaque système
• Livrable : cartographie complète avec profil de risque par système

Ce qui fait varier le coût : le nombre de systèmes et la complexité de l'organisation. Notre audit de conformité AI Act démarre à 3 000 € HT.

#2. Documentation technique réglementaire

C'est le poste le plus lourd. L'article 11 de l'AI Act impose aux fournisseurs de systèmes à haut risque un dossier technique complet. Pour les déployeurs, la documentation porte sur les procédures d'utilisation, la supervision humaine et la journalisation.

Ce que couvre ce poste :

• Rédaction de la documentation technique (architecture, données d'entraînement, métriques de performance)
• Constitution du système de management de la qualité (QMS)
• Rédaction de l'analyse d'impact sur les droits fondamentaux (AIDF)
• Préparation de la déclaration de conformité UE
• Mise à jour des AIPD RGPD existantes pour intégrer le volet AI Act

Ce qui fait varier le coût : le nombre de systèmes à haut risque. Le coût unitaire baisse à partir du second système audité dans la même organisation, grâce à la mutualisation des éléments de gouvernance.

#3. Évaluation de conformité

Selon la catégorie du système (Annexe III), l'évaluation peut être auto-évaluée ou nécessiter l'intervention d'un organisme notifié tiers. Les systèmes biométriques et certains dispositifs médicaux IA requièrent systématiquement un audit tierce partie.

Ce que couvre ce poste :

• Auto-évaluation de conformité avec grille structurée
• Préparation du dossier pour l'organisme notifié (si requis)
• Honoraires de l'organisme notifié pour l'évaluation tierce partie
• Tests de robustesse, d'exactitude et de non-discrimination
• Enregistrement dans la base de données EU AI

Ce qui fait varier le coût : l'auto-évaluation coûte du temps de travail ; l'évaluation par un organisme notifié s'ajoute et se facture selon le barème de l'organisme retenu.

#4. Infrastructure de monitoring et surveillance post-déploiement

L'AI Act impose une surveillance continue des systèmes à haut risque après leur mise en production. Ce n'est pas un coût ponctuel mais une charge récurrente.

Ce que couvre ce poste :

• Mise en place des outils de monitoring des performances et des biais
• Configuration des alertes de dérive (data drift, model drift)
• Mise en place de la journalisation des décisions automatisées
• Procédures d'incident reporting (délais courts prévus par l'article 73 du Règlement)
• Tableau de bord de conformité pour la direction

Ce qui fait varier le coût : un investissement initial, puis une maintenance annuelle récurrente. Notre maintenance logicielle démarre à 750 €/mois.

#5. Formation et gouvernance

La mise en conformité ne tient pas sans appropriation par les équipes. Ce poste couvre la formation des utilisateurs et la mise en place des processus de gouvernance pérennes.

Ce que couvre ce poste :

• Formation des équipes métier (DRH, DSI, juridique, directions opérationnelles)
• Rédaction de la politique d'usage IA interne
• Mise en place du comité de gouvernance IA
• Intégration des clauses AI Act dans les contrats fournisseurs
• Processus de validation pré-déploiement pour les nouveaux systèmes IA

Ce qui fait varier le coût : la taille de l'organisation et le nombre de profils à former.

---

#Grille tarifaire par niveau de risque

Voici les chantiers à prévoir par niveau de risque AI Act. Le budget se chiffre sur devis, après le cadrage d'un premier échange.

#Risque minimal : pas d'obligation AI Act spécifique

Les systèmes à risque minimal (filtres anti-spam, recommandation de contenu non sensible, outils bureautiques IA) ne génèrent aucune obligation AI Act directe. Le seul coût est celui de l'audit de classification qui confirme le niveau de risque.

#Risque limité : obligations de transparence

Les chatbots, systèmes de génération de contenu et deepfakes doivent informer les utilisateurs qu'ils interagissent avec une IA. Le chantier est modéré.

Cas typique : une ETI qui déploie un chatbot client basé sur un LLM commercial doit documenter l'information des utilisateurs et vérifier que le système la fournit bien à chaque conversation.

#Risque élevé : obligations maximales

C'est ici que les budgets deviennent significatifs. Les systèmes RH (ATS, scoring candidatures), de crédit (scoring solvabilité), médicaux (aide au diagnostic) ou de sécurité génèrent des obligations complètes.

Avec plusieurs systèmes à haut risque, le budget total tient compte de la mutualisation des éléments de gouvernance entre systèmes.

#Cas particulier : GPAI (modèles d'IA à usage général)

Si votre entreprise développe et distribue un modèle d'IA à usage général (LLM propriétaire, modèle de vision), les obligations spécifiques GPAI (articles 51-56) génèrent des coûts additionnels.

---

#Coût de la non-conformité : ce que vous risquez

Le calcul économique de la conformité ne se limite pas au budget d'investissement. Il faut le comparer aux sanctions encourues.

#Sanctions administratives AI Act

Trois paliers de sanctions sont prévus par le Règlement :

Les sanctions sont proportionnées au chiffre d'affaires : pour une ETI, le plafond de 3 % du CA mondial prévu pour les obligations des systèmes à haut risque représente un montant très supérieur au coût d'une mise en conformité méthodique. Le calcul est à faire avec votre propre chiffre d'affaires.

#Risques indirects

Au-delà des sanctions financières, la non-conformité expose l'entreprise à :

• Interdiction de mise sur le marché du système IA non conforme, ce qui peut paralyser un processus métier critique
• Atteinte réputationnelle : les sanctions AI Act sont publiques et les registres de la base de données EU AI sont consultables
• Contentieux salariés et candidats pour les systèmes RH non conformes : les décisions prises par un système IA non conforme peuvent être contestées individuellement
• Résiliation de contrats clients comportant des clauses de conformité réglementaire

---

#Calendrier budgétaire : planifier les dépenses sur 12 mois

Pour une entreprise qui lance sa mise en conformité en juin 2026 avec l'échéance du 2 août 2026 pour les systèmes à haut risque, voici un calendrier réaliste.

#Phase 1 — Mois 1-2 : audit et cartographie

• Inventaire des systèmes IA
• Classification par niveau de risque
• Gap analysis réglementaire
• Priorisation des systèmes à traiter en premier

#Phase 2 — Mois 3-5 : documentation et conformité

• Rédaction de la documentation technique pour les systèmes prioritaires
• Constitution du QMS
• Réalisation des AIDF
• Préparation des évaluations de conformité

#Phase 3 — Mois 6-8 : implémentation technique

• Mise en place du monitoring post-déploiement
• Configuration de la journalisation
• Tests de robustesse et de non-discrimination
• Enregistrement dans la base de données EU AI

#Phase 4 — Mois 9-12 : gouvernance et pérennisation

• Formation des équipes
• Mise en place du comité de gouvernance IA
• Intégration des processus dans le fonctionnement courant
• Premier cycle de revue annuelle

Pour les entreprises qui démarrent tardivement (après avril 2026), un programme accéléré en 8 semaines est possible mais implique une mobilisation intensive des équipes internes et un accompagnement externe plus soutenu.

---

#Accompagnement Nehos : conformité AI Act

Nous commençons par un audit de conformité AI Act, à partir de 3 000 € HT. Il donne la cartographie de vos systèmes, leur niveau de risque et un plan d'action priorisé. La suite (documentation, évaluation, monitoring, gouvernance) est chiffrée sur devis en 48 h, selon l'ampleur du parc IA et les obligations applicables.

#Niveau 1 — Audit et cartographie

Pour qui : PME avec quelques systèmes IA à risque limité ou minimal.

• Audit de classification complet de tous les systèmes IA
• Cartographie des risques avec profil réglementaire par système
• Documentation des obligations de transparence
• Mise à jour du registre RGPD pour intégrer le volet IA
• Modèles de clauses contractuelles AI Act pour les fournisseurs
• Livrable : rapport de conformité + plan d'action priorisé

#Niveau 2 — Dossier de conformité complet

Pour qui : ETI avec un ou plusieurs systèmes IA à haut risque.

• Tout le niveau 1
• Documentation technique article 11 pour chaque système à haut risque
• Rédaction du QMS (système de management de la qualité)
• Analyse d'impact sur les droits fondamentaux (AIDF)
• Préparation à l'évaluation de conformité (auto-évaluation ou dossier pour organisme notifié)
• Spécifications techniques pour l'infrastructure de monitoring
• Formation pour le comité de direction et les équipes opérationnelles
• Livrable : dossier de conformité complet prêt à présenter aux autorités

#Niveau 3 — Programme de conformité IA complet

Pour qui : ETI et grands comptes avec de nombreux systèmes à haut risque ou des systèmes GPAI.

• Tout le niveau 2
• Documentation de tous les systèmes IA (haut risque, limité, minimal)
• Accompagnement à l'enregistrement dans la base de données EU AI
• Mise en place opérationnelle du monitoring post-déploiement
• Rédaction de la politique d'usage IA interne complète
• Constitution et animation du premier comité de gouvernance IA
• Accompagnement contractuel avec les fournisseurs IA (revue des clauses)
• Support après livraison pour les mises à jour réglementaires
• Livrable : programme de conformité IA complet avec gouvernance pérenne

Le cadrage initial se fait lors d'un premier échange, puis un devis détaillé suit sous 48 heures.

---

---

#Optimiser le budget : 5 leviers pour réduire les coûts

La conformité AI Act n'est pas un gouffre financier si elle est abordée méthodiquement. Voici les cinq leviers que nous recommandons.

#1. Mutualiser avec la conformité RGPD existante

Si votre registre de traitement RGPD est bien tenu et vos AIPD à jour, une part importante du travail documentaire AI Act est déjà faite. Les deux cadres partagent la même logique de responsabilité proactive. Demandez un audit conjoint RGPD + AI Act plutôt que deux démarches séparées.

#2. Prioriser les systèmes à haut risque

Ne traitez pas tous les systèmes IA en même temps. Commencez par ceux classés à haut risque (scoring RH, crédit, médical) qui concentrent les obligations les plus lourdes et les sanctions les plus élevées. Les systèmes à risque limité et minimal peuvent être traités dans un second temps.

#3. Exiger la documentation fournisseur

Si vous êtes déployeur d'un système IA acheté ou loué, la documentation technique est de la responsabilité du fournisseur. Exigez contractuellement la fourniture de la déclaration de conformité UE, de la documentation technique et des instructions d'utilisation. Cela réduit nettement votre budget propre sur le poste documentation.

#4. Automatiser le monitoring

Les outils open source de monitoring IA (MLflow, Evidently, Whylabs) permettent de réduire le coût de l'infrastructure de surveillance post-déploiement. Le coût d'intégration est inférieur à celui d'un développement sur mesure.

#5. Former en interne pour la maintenance

L'accompagnement externe est indispensable pour la mise en conformité initiale, mais la maintenance annuelle peut être internalisée après formation. Prévoyez une journée de formation pour le DPO et le responsable IA interne sur les procédures de mise à jour documentaire.

---

#Ce que Nehos livre concrètement

Chaque mission de conformité AI Act produit des livrables tangibles et exploitables.

Cartographie des systèmes IA : document structuré listant chaque système IA identifié, son fournisseur, son niveau de risque AI Act, les données traitées, la base légale RGPD associée et les obligations applicables.

Dossier de documentation technique (systèmes à haut risque) : architecture du système, description des données d'entraînement, métriques de performance documentées, limitations et scénarios de défaillance, mesures de supervision humaine, instructions d'utilisation pour les déployeurs.

Rapport de gap analysis : écarts identifiés entre la situation actuelle et les obligations réglementaires, classés par criticité et accompagnés d'estimations d'effort de remédiation.

Plan de monitoring : spécifications techniques pour l'infrastructure de surveillance post-déploiement, incluant les métriques à suivre, les seuils d'alerte et les procédures d'incident reporting.

Kit de gouvernance IA : politique d'usage interne, modèle de registre des systèmes IA, template de comité de gouvernance, clauses contractuelles types pour les fournisseurs.

Tous les livrables sont fournis en formats exploitables (documents Word structurés, tableurs de suivi, templates Notion ou Confluence selon vos outils) et peuvent être directement présentés aux autorités de surveillance en cas de contrôle.

Photos : Towfiqu barbhuiya, Kampus Production sur Pexels.