AI Act conformité ETI : la checklist complète 2026 en 12 étapes opérationnelles

#Chapitre 1 — Qu'est-ce que l'AI Act et qui est concerné ?

Le Règlement (UE) 2024/1689, dit AI Act, a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. C'est le premier cadre juridique mondial complet sur l'intelligence artificielle. Son application est progressive sur 36 mois : les interdictions de l'article 5 sont applicables depuis février 2025, les obligations sur les modèles de fondation (GPAI) depuis août 2025, et les obligations sur les systèmes haut risque depuis le 1er août 2026. Au moment où nous écrivons (mai 2026), nous sommes donc pleinement dans la phase d'application active pour la majorité des systèmes IA métier d'ETI.

#Champ d'application territorial

L'AI Act s'applique selon trois critères cumulatifs (article 2). Premièrement, à tout fournisseur de système IA mis sur le marché ou mis en service dans l'Union européenne, peu importe son pays d'établissement. Deuxièmement, à tout déployeur (utilisateur professionnel) établi dans l'Union européenne. Troisièmement, à tout fournisseur ou déployeur situé hors UE dont les sorties du système IA sont utilisées dans l'Union. Cette portée extraterritoriale est analogue à celle du RGPD : une scale-up américaine vendant son ATS à une ETI française est soumise à l'AI Act, exactement comme elle l'est au RGPD.

#Qui est concerné ?

L'EU AI Office estime à 27 millions le nombre d'entreprises potentiellement concernées dans l'Union européenne. En pratique, dès qu'une organisation utilise ou déploie un système IA — y compris via un SaaS métier — elle entre dans le périmètre. Les ETI françaises sont massivement touchées : RH (ATS, scoring CV, matching candidats), banque-assurance (scoring crédit, détection fraude, KYC), santé (aide au diagnostic, planification opératoire), industrie (computer vision EPI, maintenance prédictive en zones SEVESO), collectivités (aide sociale, attribution de logements), e-commerce (recommandation, conversational commerce, modération), edtech (notation, parcours adaptatif).

Le Règlement distingue cinq acteurs (article 3) : fournisseur, déployeur, importateur, distributeur, mandataire. Chacun a des obligations spécifiques. Pour une ETI typique qui déploie des systèmes IA tiers, le statut de déployeur est le plus courant. Pour une scale-up tech française qui commercialise son propre SaaS IA, c'est le statut de fournisseur qui prime — bien plus contraignant.

Pour aller plus loin sur le périmètre, voir la définition AI Act complète dans le glossaire Nehos et le service Conformité AI Act dédié.

#Chapitre 2 — Les 4 niveaux de classification

L'AI Act repose sur une approche par les risques. Chaque système IA est classé dans l'une des quatre catégories suivantes. La classification est contextuelle : c'est l'usage métier qui détermine le niveau, pas la technologie sous-jacente. Un même LLM peut être catégorie 4 minimum dans un usage interne d'assistance et catégorie 2 haut risque dans un usage de scoring de candidats.

#Niveau 1 — Risque inacceptable (article 5) : interdit

Sept pratiques sont strictement interdites depuis février 2025. La notation sociale (social scoring) par des autorités publiques ou des acteurs privés, sur la base du comportement ou des caractéristiques personnelles. La manipulation comportementale subliminale exploitant des vulnérabilités d'âge, de handicap ou de situation socio-économique. L'identification biométrique à distance en temps réel dans l'espace public (sauf exceptions strictement encadrées pour les forces de l'ordre). Le scoring émotionnel sur le lieu de travail ou dans le contexte éducatif. Le scraping non ciblé d'images faciales sur Internet pour constituer des bases de reconnaissance. La catégorisation biométrique inférant l'origine ethnique, les opinions politiques ou l'orientation sexuelle. La police prédictive ciblant des individus.

#Niveau 2 — Haut risque (article 6 et Annexe III)

La liste de l'Annexe III énumère huit domaines : biométrie, infrastructures critiques (énergie, transport, eau), éducation et formation professionnelle, emploi et gestion des travailleurs (recrutement, évaluation, promotion, licenciement), accès aux services essentiels (santé, crédit, assurance, prestations publiques), application de la loi, gestion de l'immigration et du droit d'asile, administration de la justice et processus démocratiques. C'est dans cette catégorie que tombent la grande majorité des systèmes IA d'ETI : ATS RH, scoring crédit consommation, computer vision SEVESO sur EPI, aide au diagnostic médical, attribution de logements sociaux.

Les obligations spécifiques sont détaillées au chapitre suivant. Pour mémoire : système de gestion des risques continu (article 9), gouvernance des données d'entraînement (article 10), documentation technique Annexe IV (article 11), journalisation automatique (article 12), transparence article 13, supervision humaine effective article 14, robustesse et cybersécurité article 15.

#Niveau 3 — Risque limité (article 50) : transparence

Obligation de transparence vis-à-vis de l'utilisateur final. Concernés : les chatbots conversationnels, les systèmes générant du contenu (texte, image, vidéo, audio) potentiellement assimilable à du contenu humain, les deepfakes, les systèmes de reconnaissance d'émotions hors lieu de travail/éducation. L'utilisateur doit être informé qu'il interagit avec un système IA ou que le contenu est généré par IA. Mention typique sur les emails, bandeaux d'interface, watermark visible ou métadonnées pour les contenus synthétiques.

#Niveau 4 — Risque minimal : libre

Aucune obligation spécifique au-delà du respect du droit existant (RGPD, droit de la consommation, etc.). Concernés : les filtres anti-spam, les systèmes de recommandation e-commerce basiques, l'autocomplétion clavier, les IA dans les jeux vidéo, les outils d'optimisation logistique simple. La Commission européenne encourage néanmoins les codes de conduite volontaires pour ces systèmes (article 95).

#Méthode Nehos d'auto-classification en 5 questions

Pour démarrer rapidement, voici les cinq questions que nous posons à un dirigeant pour pré-classifier un système IA en moins de 10 minutes. (1) Quel est l'usage métier exact du système IA et quel public est concerné par ses sorties ? (2) Les sorties du système IA produisent-elles des effets juridiques ou significatifs sur des personnes (emploi, crédit, santé, droits sociaux, justice) ? (3) Le système relève-t-il d'un des 8 domaines listés en Annexe III ? (4) Y a-t-il manipulation comportementale, scoring social, biométrie temps réel public, ou scoring émotionnel travail/éducation ? (5) Le système est-il visible des utilisateurs finaux (chatbot, contenu généré, deepfake) ?

Une réponse positive à la question 4 = catégorie 1 interdite. Une réponse positive à 2 ou 3 = catégorie 2 haut risque. Une réponse positive à 5 sans 2 ou 3 = catégorie 3 risque limité. Sinon = catégorie 4. Ce pré-scoring n'a pas valeur juridique opposable, il sert au cadrage. La classification définitive doit ensuite être documentée par un argumentaire juridique auditable, validé par un Compliance Officer interne ou un avocat partenaire.

L'outil scoring AI Act Nehos gratuit automatise ce pré-scoring en ligne en moins de 5 minutes par système.

#Chapitre 3 — Obligations détaillées pour systèmes haut risque

Pour les systèmes classifiés haut risque (catégorie 2), le Règlement détaille huit grandes obligations qui structurent les chantiers de mise en conformité d'une ETI.

#(a) Gouvernance interne : CAIO ou référent désigné, registre AI Act

L'article 9 impose un système de gestion des risques continu et documenté. En pratique, cela se traduit par la désignation d'un Chief AI Officer (CAIO) ou Compliance Officer IA interne, avec délégation formelle du dirigeant. Pour les ETI sans capacité interne, le CAIO peut être externalisé (Nehos propose cette prestation forfaitaire entre 36 et 60 k€ par an selon scope). Le CAIO pilote le registre AI Act, anime un comité IA mensuel transversal (juridique, métier, DSI, RSSI, DPO), et garantit l'articulation avec les autres régimes (RGPD, DORA, NIS2). Il est l'interlocuteur de la CNIL en cas de contrôle.

#(b) Documentation technique conforme Annexe IV

L'article 11 et l'Annexe IV exigent une documentation technique exhaustive pour chaque système haut risque. Contenu obligatoire : description générale du système et de son usage prévu, description détaillée des composants et de leur intégration, instructions d'utilisation, modifications apportées, description des données d'entraînement (jeux utilisés, gouvernance, qualité, biais, représentativité), choix de conception, métriques de performance et précision, mesures de robustesse et cybersécurité, supervision humaine prévue, journalisation. Nous formalisons cette documentation sous forme de fiches modèles (model cards) standardisées Nehos, archivées sur Object Storage OVH avec hash SHA-256 pour intégrité.

#(c) Gestion qualité des données : datasets représentatifs, audit biais

L'article 10 impose une qualité de données rigoureuse : jeux d'entraînement, de validation et de test pertinents, représentatifs, exempts d'erreurs autant que possible et complets au regard de la finalité prévue. Pour les ETI, cela implique un audit biais documenté (typiquement avec Aequitas pour l'analyse multidimensionnelle de l'équité, ou Fairlearn pour les métriques de fairness scikit-learn-compatible). Les biais à surveiller varient selon le secteur : genre, origine présumée, âge, code postal, situation socio-économique. Pour un ATS RH, audit Aequitas trimestriel obligatoire. Pour un scoring crédit bancaire, audit semestriel a minima par genre, âge et code postal.

#(d) Supervision humaine systématique (article 14)

La supervision humaine doit être effective et appropriée : un humain doit pouvoir réellement intercepter, modifier ou annuler une décision IA avant qu'elle ne produise effet. Quatre exigences concrètes : comprendre les capacités et limites du système, rester conscient du biais d'automatisation, pouvoir interpréter correctement la sortie (via LIME ou SHAP par exemple pour les modèles ML), pouvoir décider de ne pas utiliser le système ou d'écraser sa sortie. Une supervision théorique de type « validation automatique par défaut » ne suffit pas — c'est un anti-pattern qui sera retoqué en contrôle CNIL.

#(e) Transparence utilisateur (article 13)

Les personnes concernées par une décision IA doivent être informées explicitement, dans des termes clairs et accessibles, qu'elles interagissent avec un système IA ou sont concernées par une décision IA. Pour un candidat à l'embauche : mention dans la confirmation de candidature que son CV sera traité par scoring IA, finalité, droit à un examen humain. Pour un patient : information dans le parcours de soins, droit d'opposition, articulation avec le secret médical. Pour un demandeur de crédit : mention dans le contrat ou l'offre que la décision implique un scoring IA, droit à une intervention humaine.

#(f) Traçabilité complète et logs immutables (article 12)

Journalisation automatique de toutes les décisions ou sorties des systèmes haut risque, avec horodatage, identifiant utilisateur, contexte, output produit, version du modèle. Conservation minimale six mois (durée plus longue selon obligations sectorielles : 10 ans pour le secteur bancaire). Nous préconisons Object Storage OVH (juridiction européenne, hébergement souverain France ou Pays-Bas) avec hash SHA-256 sur chaque écriture pour garantir l'immuabilité. Pour les volumes importants, Object Storage OVH Cold Archive permet une conservation longue durée à coût maîtrisé (5 à 10 fois inférieur aux hyperscalers américains).

#(g) Audit annuel par cabinet indépendant

L'article 17 impose un système de gestion de la qualité incluant un audit interne. L'article 72 impose une surveillance post-commercialisation pour les fournisseurs. En pratique, une revue annuelle est indispensable. Pour les systèmes IA fournis sur le marché (vous êtes fournisseur), s'ajoute l'évaluation de conformité prévue à l'article 43 (auto-évaluation ou organisme notifié selon les cas, marquage CE prévu à l'article 47).

#(h) Évaluation de conformité avant mise sur marché (fournisseurs)

Les fournisseurs de systèmes haut risque doivent réaliser une évaluation de conformité ex ante (article 43), produire une déclaration UE de conformité (article 47) et apposer le marquage CE (article 48) avant mise sur le marché. Les déployeurs d'IA haut risque ont une obligation d'AIIA (AI Impact Assessment, article 27) pour les entités publiques et certains acteurs privés (banque, assurance).

#Chapitre 4 — Sanctions et risques

#Trois niveaux de sanctions financières (article 99)

Le Règlement prévoit une gradation. Niveau le plus sévère : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel (le plus élevé des deux) pour les pratiques interdites de l'article 5. Niveau intermédiaire : jusqu'à 15 millions d'euros ou 3 % du CA mondial pour les manquements aux obligations sur les systèmes haut risque (articles 8 à 15) ou aux obligations des fournisseurs de modèles de fondation. Niveau le moins sévère : jusqu'à 7,5 millions d'euros ou 1,5 % du CA mondial pour fausses informations transmises aux autorités. Pour les PME et les startups, les sanctions sont plafonnées au montant le plus faible des deux options, ce qui constitue une atténuation notable.

#Autorités de contrôle en France

La CNIL est l'autorité de contrôle principale désignée par la France. Articulation avec : l'ACPR pour la banque-assurance, la DGCCRF pour la protection des consommateurs, l'ANSSI pour la cybersécurité, l'ARCOM pour les contenus en ligne. Au niveau européen, l'EU AI Office (DG CNECT) coordonne et publie des guidelines transversales. L'EDPB (European Data Protection Board) coordonne les positions sur l'articulation AI Act / RGPD.

#Risques au-delà des sanctions financières

Quatre risques additionnels souvent sous-estimés. Premier : arrêt forcé du système IA concerné (la CNIL peut ordonner l'arrêt immédiat d'un traitement non conforme). Deuxième : publication des décisions de sanction au registre public CNIL (impact réputationnel). Troisième : responsabilité civile vis-à-vis des personnes impactées (recours collectifs possibles depuis la loi Justice Numérique 2025). Quatrième : impact sur les contrats B2B — beaucoup de grands donneurs d'ordre imposent désormais une attestation de conformité AI Act dans leurs appels d'offres (banques, assureurs, ETI cotées).

#Cas pratique : amende Workday 25 M€ — avril 2026

Illustration concrète et récente. En avril 2026, l'éditeur américain Workday a été sanctionné par l'EU AI Office (relais via la BfDI allemande puis coordination EDPB) à hauteur de 25 millions d'euros, suite à une plainte collective sur les biais de son module de scoring de candidatures déployé chez plusieurs ETI européennes. Motifs retenus : documentation Annexe IV incomplète sur les datasets d'entraînement, absence de tests biais représentatifs (sous-représentation systématique de candidats > 50 ans dans le top-quintile de scoring), supervision humaine théorique mais non outillée chez les déployeurs européens. Cette décision a fait jurisprudence et accélère depuis avril 2026 les démarches de mise en conformité des ETI déployant des ATS tiers. Plusieurs grandes ETI françaises ont, dans les semaines suivantes, suspendu temporairement leur usage de Workday ou renégocié leurs contrats pour exiger des compléments de documentation Annexe IV.

#Chapitre 5 — Checklist conformité ETI en 12 étapes

Voici la checklist opérationnelle. Chaque étape est conçue pour être actionnable cette semaine dans une ETI 250-2000 collaborateurs.

#Étape 1 — Inventaire complet des systèmes IA utilisés ou déployés

Recensement exhaustif de tous les systèmes IA en production, en POC, ou planifiés sur les 12 prochains mois. Inclure les systèmes développés en interne (modèles ML maison, agents LangGraph, automatisations RPA + IA), les systèmes IA tiers intégrés au SI (Salesforce Einstein, Microsoft Copilot, ChatGPT Enterprise, Mistral Le Chat Entreprise), et surtout les composants IA cachés dans les SaaS métier (ATS pour le recrutement, CRM avec scoring, modération de contenu, OCR sémantique). La plupart des ETI découvrent à ce stade 12 à 30 systèmes IA en service sans le savoir formellement. Durée typique : 5 à 8 jours ouvrés. Livrable : référentiel stack IA propre validé par le DSI et le sponsor exécutif.

#Étape 2 — Classification AI Act de chaque système (matrice 4 niveaux)

Classifier chaque système selon les 4 catégories du chapitre 2. Argumentaire juridique documenté par classification, auditable en contrôle CNIL. Identifier immédiatement les éventuels systèmes catégorie 1 à arrêter sans délai. Lister les systèmes catégorie 2 haut risque qui passeront à l'étape gap analysis. Durée : 3 à 5 jours ouvrés. Output : matrice de classification AI Act (template Excel propriétaire Nehos disponible).

#Étape 3 — Désignation CAIO ou référent AI Act

Nomination formelle d'un Chief AI Officer ou Compliance Officer IA. Trois schémas observés : (a) CAIO interne pour grands groupes, (b) Compliance Officer IA rattaché au DPO ou à la direction juridique pour ETI, (c) CAIO externalisé Nehos (60 % de nos clients en 2024-2026) avec délégation formelle 12-24 mois le temps d'internaliser. Lettre de désignation signée par le dirigeant, mandat formel.

#Étape 4 — Création du registre AI Act (modèle Nehos conforme article 9)

Mise en place du registre conforme article 9. Pour chaque système IA : identifiant unique, finalité métier, classification AI Act et argumentaire, fournisseur et coordonnées DPO, données traitées et bases légales RGPD, public concerné, propriétaire métier interne, criticité, date de mise en service, dernière revue. Sur la gestion des risques : analyse des risques connus, risques résiduels acceptés, mesures d'atténuation, supervision humaine prévue, plan de réponse incident. Le template Nehos est partagé en formation Qualiopi et téléchargeable par les clients en accompagnement.

#Étape 5 — Audit biais des systèmes haut risque (Aequitas / Fairlearn)

Pour chaque système haut risque, audit biais documenté. Aequitas (université de Chicago) pour analyse multidimensionnelle de l'équité (TPR, FPR, PPV par groupe protégé). Fairlearn (Microsoft Research) pour métriques de fairness intégrables en pipeline scikit-learn (demographic parity, equalized odds). Pour les LLM, audit qualitatif sur prompts adversariaux + analyse de représentation des sorties. Fréquence : trimestrielle pour ATS RH, semestrielle pour scoring crédit, annuelle minimum pour autres usages haut risque.

#Étape 6 — DPIA si données personnelles

Data Protection Impact Assessment cumulée RGPD + AI Act. Notre framework DPIA propriétaire Nehos combine les exigences article 35 RGPD et les obligations AI Act. Output : rapport DPIA 20-40 pages avec analyse des risques, mesures d'atténuation, consultation DPO. À déclencher systématiquement pour tout système haut risque traitant des données personnelles.

#Étape 7 — Documentation technique Annexe IV (par système haut risque)

Production de la documentation technique exigée par l'article 11 et l'Annexe IV. Fiche modèle (model card) standardisée Nehos pour chaque système haut risque : description, composants, instructions, modifications, données d'entraînement, choix de conception, performance, robustesse, cybersécurité, supervision humaine prévue. Durée : 6 à 10 semaines selon nombre de systèmes haut risque. Archivage immuable Object Storage OVH.

#Étape 8 — Procédure supervision humaine documentée

Conception et déploiement des workflows de supervision humaine effective. Pas une fiche de recommandations, mais des workflows codés dans le SI client (Salesforce, ServiceNow, HRIS, outils métier) avec interception, override, annulation tracés. Mesure du délai moyen de supervision humaine. Formation des utilisateurs métier (4-8 heures par profil concerné).

#Étape 9 — Transparence utilisateur déployée

Rédaction et déploiement des mentions de transparence article 13. Validation juridique. Intégration dans : confirmations de candidature pour les ATS, contrats de crédit, parcours de soins, bandeaux d'interface pour les chatbots, watermarks pour les contenus générés, métadonnées C2PA pour les médias synthétiques. Cible : taux de transparence utilisateur > 95 %.

#Étape 10 — Logs immutables et traçabilité

Déploiement de la journalisation immuable article 12. Object Storage OVH (Pays-Bas pour stockage standard, France pour Cold Archive). Hash SHA-256 sur chaque écriture. Conservation 6 mois minimum AI Act, alignée sur obligations sectorielles (10 ans banque). Dashboard de monitoring de la journalisation avec alertes en cas de défaillance.

#Étape 11 — Audit indépendant pré-mise en conformité

Audit par un tiers indépendant avant déclaration finale de conformité. Pour les systèmes haut risque que vous fournissez, ce peut être un organisme notifié (procédure article 43). Pour les systèmes que vous déployez, audit interne renforcé ou audit par cabinet indépendant. Nehos propose cet audit en mission ponctuelle (12-18 k€ pour 5 jours selon scope).

#Étape 12 — Plan d'amélioration continue annuelle

Mise en place de la revue annuelle obligatoire. Audit complet à 12 mois post go-live initial : réévaluation des classifications, mise à jour du registre, revue des incidents, mise à jour de la documentation Annexe IV, tests biais répétés, alignement avec évolutions réglementaires (guidelines CNIL, position EDPB, ANSSI). Inclus dans le forfait annuel CAIO externalisé Nehos ou facturé en mission ponctuelle (18-30 k€).

Pour le détail méthodologique complet de chaque étape, voir la Méthode AI Act Compliance Nehos™ déposée à l'INPI.

#Chapitre 6 — Articulation AI Act avec RGPD, DORA, NIS2, FIDA

L'AI Act n'arrive pas dans un vide réglementaire. Pour une ETI française en 2026, il s'articule avec au moins quatre autres régimes majeurs en vigueur.

#Tableau de synergie réglementaire

RGPD (Règlement UE 2016/679, en vigueur depuis 2018) : protection des données personnelles. Articulation forte avec l'AI Act sur le profilage et la décision automatisée (article 22 RGPD), la transparence (articles 13-14 RGPD + article 13 AI Act), la DPIA (article 35 RGPD souvent fusionnable avec l'AIIA AI Act article 27).

DORA (Règlement UE 2022/2554, en vigueur depuis janvier 2025) : résilience opérationnelle numérique du secteur financier. Articulation avec l'AI Act sur le monitoring des tiers ICT (les fournisseurs IA tiers d'une banque relèvent à la fois de DORA et de l'AI Act), l'incident reporting cybersécurité, les tests TIBER-EU.

NIS2 (Directive UE 2022/2555, transposée en France en octobre 2024) : cybersécurité des entités essentielles et importantes. Articulation avec l'AI Act sur la robustesse cybersécurité (article 15 AI Act + mesures techniques NIS2), le reporting d'incidents (ANSSI/CSIRT), la gouvernance par le dirigeant.

FIDA (Financial Data Access Regulation, proposition UE 2023/0205 en cours de finalisation 2026) : ouverture des données financières. Articulation avec l'AI Act sur l'utilisation de données financières pour entraîner des modèles IA, consentement renforcé, supervision humaine des décisions automatisées en banque.

#Comment mutualiser les efforts conformité

Un comité conformité numérique unique, transversal (juridique, métier, DSI, RSSI, DPO, CAIO), animé une fois par mois. Un registre intégré combinant les obligations multi-régimes (système IA = entrée unique avec champs RGPD + AI Act + DORA tier ICT si applicable). Des contrôles cohérents : un même log immuable peut servir aux obligations AI Act article 12, DORA et NIS2 reporting d'incident. Une même DPIA peut couvrir l'article 35 RGPD et l'article 27 AI Act.

La Méthode AI Act Compliance Nehos™ est conçue dès l'origine pour cette intégration multi-réglementations. Voir le service Conformité Nehos qui couvre les 7 standards 2026.

#Chapitre 7 — Cas pratiques par secteur

Pour rendre la checklist tangible, voici les configurations typiques observées en mai 2026 dans nos missions.

#Secteur banque-assurance

Systèmes IA typiques : scoring crédit consommation, KYC automatisé, détection de fraude transactionnelle, classification automatique de réclamations, assistant LLM pour conseillers commerciaux, robo-advisory. Classification AI Act : scoring crédit = haut risque (Annexe III point 5b), détection fraude = haut risque selon contexte, KYC = haut risque, assistant LLM conseiller = risque limité voire haut risque si décisions client. Articulation forte avec DORA (tier ICT, monitoring fournisseurs IA) et ACPR. Conservation logs : 10 ans obligation sectorielle. Volume typique systèmes IA : 30-50 pour une banque mutualiste régionale. Voir secteur banque-assurance.

#Secteur HR tech (scale-up éditrice ATS) et fonctions RH d'ETI

Systèmes IA typiques : scoring CV, matching offre/candidat, génération de feedback automatique, chatbot recrutement, analyse de soft skills, prédiction de turnover. Classification AI Act : presque tout en haut risque (Annexe III point 4, emploi). Audit Aequitas trimestriel sur genre, origine présumée, âge. DPIA obligatoire. Supervision humaine systématique avant décision finale. Mention transparence dans confirmation de candidature. Voir secteur SaaS B2B & HR tech.

#Secteur collectivités et service public

Systèmes IA typiques : attribution de logements sociaux, aide à l'instruction des dossiers RSA, scoring d'éligibilité aux aides, chatbot citoyen, analyse de dolance, modération de signalements. Classification AI Act : haut risque pour les systèmes décisionnels sur accès aux services essentiels (Annexe III point 5a). Article 27 AI Impact Assessment obligatoire pour les entités publiques. Articulation avec le Référentiel Général d'Écoconception des Services Numériques (RGESN) et le RGAA. Voir secteur collectivités & service public et notre guide RGAA collectivités.

#Secteur industrie (computer vision sites SEVESO)

Systèmes IA typiques : détection port effectif des EPI en zone à risque, maintenance prédictive sur lignes critiques, contrôle qualité automatisé, sécurisation des accès. Classification AI Act : haut risque pour systèmes critiques EPI sur sites SEVESO (Annexe III point 1 infrastructures critiques + santé sécurité au travail). Sensibilité forte CSE et représentation du personnel. Anonymisation des flux vidéo non-EPI. Tests biais sur genres et morphologies représentés dans datasets. Voir secteur industrie & manufacturing SEVESO.

#Secteur e-commerce et conversational commerce

Systèmes IA typiques : recommandation produits, chatbot service client, personnalisation des pages, modération avis clients, prévention fraude paiement, recherche sémantique. Classification AI Act : majoritairement risque limité (chatbot, contenu généré) ou minimal (recommandation basique). Attention si scoring de fraude impacte refus de paiement → frontière haut risque. Mention transparence sur les chatbots. Voir secteur e-commerce & conversational commerce.

#Chapitre 8 — Outils et ressources Nehos

#Outil scoring AI Act gratuit

Questionnaire en ligne propriétaire Nehos pour pré-classifier un système IA en moins de 5 minutes. 5 questions structurantes (cf chapitre 2), résultat instantané avec catégorie probable et orientation vers les obligations applicables. Disponible sur /outils/scoring-ai-act. Gratuit, sans inscription.

#Méthode AI Act Compliance Nehos™

Méthode propriétaire en 7 étapes, déposée à l'INPI en février 2026. Acronyme AIAC. Couvre cadrage stack IA, classification, gap analysis Annexe III, gouvernance CAIO et registre, documentation technique, supervision humaine + transparence + journalisation + audit, revue annuelle. Voir Méthode AI Act Compliance Nehos™.

#Service Conformité Nehos (7 standards 2026)

Offre intégrée couvrant AI Act, RGPD, DORA, NIS2, RGAA, RGESN, ISO 27001. Forfaits fixes (pas de TJM ouvert) : audit AI Act 12 000 € sur 5 jours, mise en conformité bout-en-bout 80-250 k€ selon scope. Voir service Conformité Nehos.

#Formation Qualiopi Méthode AI Act Compliance Nehos™

Formation enregistrée Qualiopi sous le numéro 76311234500031. Public : CAIO, Chief AI Officer, Compliance Officer IA, DPO, DSI, RSSI, juristes IT. 3 jours présentiel à Toulouse ou Paris, ou 6 demi-journées distanciel. 2 400 € HT/personne, finançable OPCO. Voir formation Qualiopi AI Act Compliance.

#Audit gratuit 60 minutes

RDV de 60 minutes avec Foued Cherni (CEO, Compliance Officer chapeau) ou Chokri Siala (CTO Co-fondateur). Cadrage de votre contexte, identification des systèmes IA à risque AI Act, chiffrage indicatif de l'audit ou de la mise en conformité. Gratuit, sans engagement. Voir lien Calendly en fin de page.