Nehos Groupe

L'essentiel sur la Méthode AI Act Compliance Nehos™

La Méthode AI Act Compliance Nehos™ (acronyme AIAC) est notre méthode propriétaire pour mettre en conformité un parc de systèmes IA avec le Règlement UE 2024/1689 (AI Act), entré en application le 1er août 2026. Sept étapes du cadrage stack IA à la revue annuelle. Marque déposée à l'INPI en février 2026. Méthode enseignée en formation Qualiopi (n° 76311234500031). Pensée pour les ETI, banques mutualistes, assureurs, scale-ups HR tech et industriels SEVESO.

Sept étapes : (1) cadrage stack IA et inventaire exhaustif, (2) classification AI Act par niveau de risque (interdit, haut risque, risque limité, minimal), (3) gap analysis vs Annexe III pour les systèmes haut risque, (4) gouvernance interne CAIO et registre AI Act, (5) documentation technique conforme Annexe IV, (6) supervision humaine + transparence + journalisation + audit, (7) revue annuelle conformité. Chaque étape a des livrables documentés, une durée fixe et des KPIs mesurables.

Sanctions encourues en cas de non-conformité : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages interdits (article 5), jusqu'à 15 millions d'euros ou 3 % du CA pour les manquements haut risque, jusqu'à 7,5 millions d'euros ou 1,5 % du CA pour fausses informations aux autorités. Première autorité de contrôle française : la CNIL, en articulation avec l'ACPR pour la banque-assurance et la DGCCRF pour la protection des consommateurs.

Différence vs cabinets juridiques pur conseil (Bird & Bird, Gide, De Gaulle Fleurance) : on est intégrateur tech qui maîtrise les référentiels et qui livre du code conforme. On déploie nous-mêmes les contrôles (journalisation immuable Object Storage OVH, supervision humaine intégrée aux workflows métier, dashboards de conformité), pas que des slides de recommandations. Pour le contentieux pur, on travaille en complémentarité avec ces cabinets. Pour aller plus loin, voir le [service Conformité Nehos](/services/conformite).

Méthode AI Act Compliance Nehos™ — Conformité IA bout-en-bout, pas en rattrapage

L'AI Act (Règlement UE 2024/1689) est entré en application le 1er août 2026. Sanctions jusqu'à 35 M€ ou 7 % du CA mondial. Notre méthode propriétaire en 7 étapes — classification, gouvernance, documentation, supervision humaine, audit — déposée à l'INPI en février 2026, enseignée en formation Qualiopi.

Adapté à toute taille de structure

Artisan
Startup
PME / TPE
ETI
Grand Groupe

#Méthode AI Act Compliance Nehos™ : notre approche

Le Règlement (UE) 2024/1689 dit AI Act a été publié au Journal officiel de l'Union européenne le 12 juillet 2024 et est entré en vigueur le 1er août 2024. Son application est progressive : interdictions (article 5) applicables depuis février 2025, obligations modèles de fondation depuis août 2025, et obligations systèmes haut risque applicables depuis le 1er août 2026. Les sanctions sont sévères — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les usages interdits, jusqu'à 15 millions d'euros ou 3 % du CA pour les manquements sur les systèmes haut risque, jusqu'à 7,5 millions d'euros ou 1,5 % du CA pour les fausses informations transmises aux autorités. Première autori

Acronyme interne : AIAC.

#Les principes fondateurs

#Classification des risques en premier

Avant toute action, on classe chaque systeme IA selon les 4 niveaux du reglement (UE) 2024/1689 : inacceptable, haut risque, risque limite, risque minimal. Cette classification determine les obligations applicables.

#Priorisation par risque business

On ne traite pas tous les sujets de conformite avec la meme urgence. Les systemes haut risque avec des echeances proches sont traites en priorite. Les systemes a risque minimal peuvent attendre.

#Documentation comme livrable

La conformite AI Act repose sur la documentation : registre des systemes IA, evaluations de conformite, logs d'audit, preuves de supervision humaine. Chaque etape produit de la documentation reglementaire utilisable en cas de controle.

#Veille reglementaire integree

Le cadre AI Act evolue avec les normes harmonisees et les lignes directrices de la Commission. La methode inclut une veille trimestrielle pour ajuster le plan de conformite en fonction des nouvelles exigences.

#En pratique : comment ca se passe

La methode se deroule en 7 etapes documentees, chacune avec des livrables precis, une duree fixe et des KPIs mesurables.

#Etape 1 : Cadrage stack IA et inventaire exhaustif

Première étape. On inventorie l'ensemble des systèmes IA déployés en production, en POC ou planifiés dans les 12 prochains mois. Cela inclut les systèmes développés en interne (modèles ML maison, agents IA, automatisations LangGraph), les systèmes IA tiers intégrés au SI (Salesforce Einstein, Microsoft Copilot, ChatGPT Enterprise, Mistral Le Chat Entreprise, etc.), les composants IA embarqués dans des logiciels SaaS métier (ATS pour le recrutement, CRM avec scoring, outils de modération de conte

Duree : 5 à 8 jours ouvrés selon taille du parc applicatif

Objectifs :

  • Inventorier exhaustivement les systèmes IA déployés, en POC ou planifiés sur 12 mois
  • Identifier les composants IA cachés dans les SaaS métier (souvent oubliés)
  • Documenter fournisseur, finalité, données, volume, public concerné, criticité
  • Aligner DSI, juridique et sponsor exécutif sur le périmètre d'analyse

Livrables :

  • Référentiel stack IA propre (Excel propriétaire Nehos, modèle conforme article 9)
  • Cartographie des flux de données IA dans le SI
  • Note de cadrage 6-10 pages signée DSI et sponsor exec
  • Liste des fournisseurs IA tiers avec coordonnées DPO

KPIs :

  • 100 % des systèmes IA inventoriés (cible : 25-50 systèmes pour une ETI 500-2000 collabs)
  • 100 % des SaaS métier audités pour composants IA cachés
  • Référentiel validé par DSI signataire
  • Coordonnées DPO obtenues pour chaque fournisseur IA tiers

#Etape 2 : Classification AI Act par niveau de risque

À partir de l'inventaire, on classifie chaque système IA selon les quatre catégories définies par le Règlement UE 2024/1689. Catégorie 1 — risque inacceptable (article 5) : interdit. Cas typiques : notation sociale, manipulation comportementale, identification biométrique en temps réel dans l'espace public, scoring émotionnel sur le lieu de travail ou en éducation. Catégorie 2 — haut risque (article 6 et Annexe III) : utilisation dans les RH (recrutement, évaluation, promotion), le scoring crédi

Duree : 3 à 5 jours ouvrés

Objectifs :

  • Classifier chaque système IA dans une des 4 catégories AI Act
  • Documenter l'argumentaire juridique de classification (auditable)
  • Identifier les systèmes interdits à arrêter immédiatement (catégorie 1)
  • Identifier les systèmes haut risque qui passent à l'étape gap analysis

Livrables :

  • Matrice de classification AI Act par système (template propriétaire Nehos)
  • Argumentaire juridique par classification (auditable CNIL)
  • Liste des systèmes interdits avec plan d'arrêt immédiat
  • Liste des systèmes haut risque entrant en étape 3

KPIs :

  • 100 % des systèmes IA classifiés (pas de 'à voir plus tard')
  • Argumentaire juridique documenté par classification
  • Validation par Compliance Officer interne ou avocat partenaire
  • Plan d'arrêt notifié pour systèmes interdits (article 5)

#Etape 3 : Gap analysis vs Annexe III pour systèmes haut risque

Pour chaque système classifié haut risque (catégorie 2), on conduit une analyse d'écart détaillée vs les obligations des articles 8 à 15 du Règlement UE 2024/1689 et de l'Annexe III. Sept dimensions évaluées : (1) système de gestion des risques (article 9), (2) qualité, pertinence et représentativité des données d'entraînement et de test (article 10), (3) documentation technique Annexe IV (article 11), (4) journalisation automatique des événements (article 12), (5) transparence et information de

Duree : 10 à 20 jours ouvrés selon nombre de systèmes haut risque

Objectifs :

  • Évaluer chaque système haut risque sur les 7 dimensions des articles 8 à 15
  • Documenter factuellement chaque non-conformité (pas en mode déclaratif)
  • Chiffrer le coût et le délai de remédiation par non-conformité
  • Prioriser les chantiers de remédiation selon risque et effort

Livrables :

  • Rapport de gap analysis par système haut risque (15-25 pages)
  • Matrice de remédiation chiffrée et priorisée (Excel propriétaire)
  • Plan de mise en conformité 6-12 mois validé sponsor exec
  • Devis détaillé de chantiers de remédiation tech

KPIs :

  • 100 % des 7 dimensions articles 8-15 évaluées par système
  • 100 % des non-conformités documentées factuellement
  • Chiffrage coût et délai par remédiation
  • Plan validé par sponsor exec et DSI

#Etape 4 : Gouvernance interne CAIO et registre AI Act

Mise en place de la gouvernance interne IA conforme AI Act. Première brique : désignation d'un Chief AI Officer (CAIO) ou Compliance Officer IA interne, avec délégation formelle du dirigeant. Pour les organisations sans capacité interne, Nehos peut assurer cette fonction en mode CAIO externalisé. Deuxième brique : mise en place du registre AI Act propriétaire (template Nehos conforme article 9 du Règlement). Le registre contient pour chaque système IA : identifiant unique, classification, propri

Duree : 4 à 6 semaines (parallélisable avec étape 5)

Objectifs :

  • Désigner un CAIO interne ou externalisé Nehos avec délégation formelle
  • Mettre en place le registre AI Act conforme article 9 (template Nehos)
  • Instaurer un comité IA mensuel transversal
  • Diffuser la politique IA interne et former les équipes concernées

Livrables :

  • Lettre de désignation CAIO (modèle Nehos juridiquement validé)
  • Registre AI Act propriétaire Nehos initialisé et peuplé
  • Politique IA interne (charte + procédures, 20-40 pages)
  • Programme de formation équipes (modules 4-8h selon profil)

KPIs :

  • CAIO désigné avec délégation formelle signée
  • Registre AI Act peuplé sur 100 % des systèmes inventoriés
  • Comité IA mensuel opérationnel avec compte-rendus tracés
  • Taux de formation équipes concernées > 90 %

#Etape 5 : Documentation technique Annexe IV

Production de la documentation technique exigée par l'article 11 et l'Annexe IV du Règlement UE 2024/1689 pour chaque système haut risque. Contenu minimal exigé : description générale du système IA et de son usage prévu, description détaillée des composants et de leur intégration, instructions d'utilisation, description des modifications apportées au système, description des données d'entraînement (jeux utilisés, gouvernance, qualité, biais, représentativité), description des choix de conception

Duree : 6 à 10 semaines selon nombre de systèmes haut risque

Objectifs :

  • Produire la documentation technique Annexe IV pour chaque système haut risque
  • Standardiser via fiches modèles (model cards) Nehos versionnées
  • Auditer et compléter la documentation fournie par les éditeurs tiers
  • Archiver durablement sur stockage souverain avec immutabilité

Livrables :

  • Fiches modèles complètes par système haut risque (template Nehos)
  • Documentation données d'entraînement et tests de biais
  • Documentation choix de conception et architecture
  • Archive immuable sur Object Storage OVH (Pays-Bas / France)

KPIs :

  • 100 % des systèmes haut risque documentés Annexe IV
  • Fiches modèles versionnées et traçables
  • Tests de biais documentés (Aequitas, Fairlearn ou équivalent)
  • Archivage immuable validé (intégrité par hash)

#Etape 6 : Supervision humaine, transparence, journalisation, audit

Implémentation opérationnelle des contrôles prévus par les articles 12 à 15 du Règlement. Article 12 — journalisation automatique : toutes les décisions ou outputs des systèmes haut risque sont journalisés avec horodatage, identifiant utilisateur, contexte, output produit. Conservation minimale six mois (durée plus longue selon obligations sectorielles, ex. dix ans pour le secteur bancaire). Article 13 — transparence : information claire de l'utilisateur final qu'il interagit avec ou est concern

Duree : 8 à 16 semaines (parallélisable avec étape 5)

Objectifs :

  • Implémenter la journalisation immuable des décisions IA (article 12)
  • Garantir la transparence vis-à-vis des utilisateurs finaux (article 13)
  • Concevoir une supervision humaine opérationnelle, pas théorique (article 14)
  • Tester la robustesse et la cybersécurité en continu (article 15)

Livrables :

  • Système de journalisation immuable opérationnel (Object Storage + hash)
  • Mentions de transparence intégrées aux interfaces utilisateur
  • Workflows de supervision humaine outillés (interception, override, annulation)
  • Tests de robustesse, biais et adversariaux documentés

KPIs :

  • Logs immuables sur 100 % des décisions IA haut risque
  • Taux de transparence utilisateur > 95 % (mention présente)
  • Délai moyen de supervision humaine mesuré
  • Tests biais (Aequitas/Fairlearn) trimestriels documentés

#Etape 7 : Revue annuelle de conformité

Audit annuel obligatoire dans la méthode. Douze mois après le go-live de la mise en conformité initiale, on conduit un audit complet : réévaluation de la classification AI Act de chaque système (les usages métier évoluent, les classifications aussi), mise à jour du registre AI Act, revue des incidents survenus dans l'année et de leur traitement, revue de la documentation Annexe IV et mise à jour si évolution du système, tests de biais répétés (Aequitas, Fairlearn), revue de la supervision humain

Duree : Continue (audit annuel structuré sur 4 à 6 semaines)

Objectifs :

  • Réévaluer la classification AI Act de chaque système (évolution usages)
  • Mettre à jour le registre AI Act et la documentation Annexe IV
  • Auditer les incidents survenus et leur traitement
  • Aligner avec évolutions réglementaires CNIL/EDPB/ANSSI

Livrables :

  • Rapport d'audit annuel AI Act (20-40 pages)
  • Registre AI Act mis à jour avec changements tracés
  • Documentation Annexe IV mise à jour pour systèmes modifiés
  • Plan d'action correctif pour année suivante

KPIs :

  • Audit annuel délivré dans les 12 mois suivants la mise en conformité initiale
  • 100 % des systèmes réévalués sur leur classification
  • Évolutions réglementaires intégrées au registre
  • Plan d'action correctif validé par CODIR

#Resultats typiques

#Scale-up HR tech série B — ATS conformité AI Act en 16 semaines

Scale-up HR tech française série B, 140 collaborateurs, éditrice d'un ATS (Applicant Tracking System) avec scoring IA des candidatures. Système classifié haut risque AI Act (Annexe III point 4, emploi). Audit Méthode AI Act Compliance Nehos™ lancé en septembre 2024 sur un parc de 8 systèmes IA, dont 3 classifiés haut risque (scoring CV, matching offre/candidat, génération de feedback automatique).

#Fintech série B — Mise en conformité DORA + AI Act en 14 semaines

Fintech française série B, 120 collaborateurs, soumise au règlement DORA en vigueur depuis janvier 2025 ET à l'AI Act. Particularité : double conformité à conduire en parallèle. Premier devis reçu d'un cabinet de conseil juridique pur : 22 mois et 7200 k€. Nehos sollicité en parallèle, audit AI Act Compliance et ROI-First IA mené conjointement en septembre 2024. POC chiffré sur 1 BU prioritaire (pa

#Banque mutualiste régionale — 1 200 conseillers, déploiement IA zéro incident 18 mois

Banque mutualiste française régionale, 1 200 conseillers commerciaux en agences, assistant IA déployé sur leur scoring crédit consommation (classifié haut risque AI Act, Annexe III point 5b). Méthode AI Act Compliance Nehos™ appliquée dès la phase POC en parallèle de la Méthode Nehos ROI-First IA™. Supervision humaine systématique sur décisions crédit > 240 k€ (workflow d'interception conseiller ob

#ETI manufacturing 600 collaborateurs — Computer vision EPI sur sites SEVESO

ETI industrielle française, 600 collaborateurs, 4 sites de production dont 2 classés SEVESO seuil haut. Déploiement d'un système de computer vision pour détecter le port effectif des EPI (équipements de protection individuelle) en zone à risque. Système classifié haut risque AI Act (Annexe III point 7, infrastructures critiques + santé et sécurité au travail). Particularité : sensibilité forte côt

#Positionnement vs le marche

La Méthode AI Act Compliance Nehos™ se distingue des approches des cabinets juridiques pur conseil (Bird & Bird, Gide Loyrette Nouel, De Gaulle Fleurance & Associés, August Debouzy, Latham & Watkins) sur cinq points concrets mesurables. Premier point : intégration juridique + tech. Les cabinets juridiques cités sont d'excellents partenaires pour l'analyse juridique pure, la rédaction de notes de positions, la défense contentieuse ACPR ou CNIL. Mais ils ne déploient pas les contrôles techniques. Conséquence pratique : leur livrable est typiquement une note de 30-80 pages avec un plan de recomma

#Outils et stack utilises

  • Registre AI Act propriétaire Nehos (template conforme article 9 du Règlement UE 2024/1689)
  • Framework DPIA propriétaire Nehos (Data Protection Impact Assessment cumulé RGPD + AI Act)
  • Aequitas et Fairlearn pour les tests de biais et d'équité algorithmique
  • LIME et SHAP pour l'explicabilité des modèles de machine learning
  • Journalisation immuable Object Storage OVH (Pays-Bas et France) avec hash SHA-256
  • Dashboard conformité Notion + Tableau pour le pilotage CAIO et comité IA
  • Tableurs propriétaires Nehos (matrice de classification, matrice de gap analysis, matrice de remédiation)
  • LangSmith pour le tracing et la journalisation des appels LLM en production
  • Mistral (souverain France) pour les composants IA en secteur régulé banque-assurance-santé
  • Linear et Notion pour le pilotage projet de mise en conformité
  • Lucidchart et Miro pour les cartographies de flux de données IA
  • Object Storage OVH Cold Archive pour la conservation longue durée (5-10 ans selon secteur)

#Pour qui est concue cette methode

  • ETI francaises 250-2 000 collaborateurs avec un budget projet de 50 a 500 k euros
  • Scale-ups serie B-D avec une ambition de transformation mais pas encore d'equipe interne mature
  • Grands comptes sur un perimetre isole avant deploiement transverse
  • Collectivites territoriales qui cadrent un projet avant appel d'offres public

La methode est applicable en autonomie (formation Qualiopi disponible) ou avec l'accompagnement Nehos. Reservez un creneau decouverte pour evaluer la pertinence dans votre contexte.

Questions & Réponses

Questions fréquentes sur la Méthode AI Act Compliance Nehos™

La classification repose sur l'analyse du contexte d'usage, pas seulement de la technologie. Quatre catégories selon le Règlement UE 2024/1689. Catégorie 1 — risque inacceptable (article 5) : interdit. Cas types : notation sociale, manipulation comportementale, identification biométrique en temps réel dans l'espace public, scoring émotionnel sur le lieu de travail ou en éducation. Catégorie 2 — haut risque (article 6 et Annexe III) : RH (recrutement, évaluation), scoring crédit, éducation, santé, infrastructures critiques, certains usages secteur public, application de la loi. Catégorie 3 — risque limité (article 50) : chatbots, contenu généré par IA, deepfakes — obligation de transparence. Catégorie 4 — risque minimal : filtres anti-spam, recommandations basiques, autocomplétion. Le même modèle technique peut tomber dans des catégories différentes selon l'usage métier — un LLM utilisé en assistant interne est catégorie 4 minimum, le même LLM utilisé pour scorer des candidats à l'embauche devient catégorie 2 haut risque. Notre méthode documente la classification avec un argumentaire juridique auditable en cas de contrôle CNIL.
Le Règlement UE 2024/1689 prévoit trois niveaux de sanctions financières. Niveau le plus sévère : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel (le plus élevé des deux) pour les usages interdits définis à l'article 5. Niveau intermédiaire : jusqu'à 15 millions d'euros ou 3 % du CA mondial pour les manquements aux obligations sur les systèmes haut risque (articles 8 à 15) ou aux obligations des fournisseurs de modèles de fondation. Niveau le moins sévère : jusqu'à 7,5 millions d'euros ou 1,5 % du CA mondial pour fausses informations transmises aux autorités. En France, l'autorité de contrôle principale est la CNIL, en articulation avec l'ACPR pour la banque-assurance, la DGCCRF pour la protection des consommateurs et l'ANSSI pour la cybersécurité. À ces sanctions financières s'ajoutent des sanctions d'image (publication des décisions), l'arrêt forcé du système IA concerné et la responsabilité civile vis-à-vis des personnes impactées.
Les obligations sont applicables depuis le 1er août 2026 pour la majorité des systèmes haut risque. Il n'y a plus de délai officiel : nous sommes en application. Pour une ETI avec 5-15 systèmes IA dont 2-3 haut risque, la durée typique d'une mise en conformité complète Nehos est de 16 à 28 semaines (4 à 7 mois), parallélisable avec l'exploitation normale. Si vous n'avez encore rien fait à date, l'urgence est réelle : un contrôle CNIL ou ACPR peut intervenir à tout moment. Notre recommandation pratique : démarrer par l'inventaire stack IA et la classification (étapes 1 et 2 de la méthode) dans le mois en cours, c'est moins de 15 jours ouvrés cumulés, ça vous donne une vision claire du risque réel et ça permet de planifier la suite. Les étapes 3 à 6 de remédiation et de documentation peuvent ensuite s'étaler sur 4 à 6 mois selon le scope.
Aucun de ces profils ne peut le faire seul. La classification AI Act demande une expertise croisée : juridique pour interpréter le Règlement UE 2024/1689, métier pour qualifier l'usage réel et le public concerné, technique pour comprendre la nature exacte du système IA, DPO pour articuler avec le RGPD, RSSI pour les aspects cybersécurité de l'article 15. Dans la pratique, on observe trois schémas qui fonctionnent. Schéma 1 (grand groupe) : un Chief AI Officer interne pilote, avec un comité IA mensuel transversal. Schéma 2 (ETI) : un Compliance Officer IA est nommé (souvent rattaché au DPO ou à la direction juridique), avec mandat formel. Schéma 3 (scale-up ou ETI sans capacité interne) : CAIO externalisé Nehos, avec délégation formelle du dirigeant pour 12 à 24 mois, le temps d'internaliser. C'est l'option choisie par 60 % de nos clients en 2024-2025. Voir [service Conseil & stratégie digitale](/services/conseil-strategie-digitale) pour le CAIO externalisé.
L'article 14 du Règlement UE 2024/1689 impose une supervision humaine effective et appropriée pour les systèmes IA haut risque. 'Effective' veut dire opérationnelle, pas théorique : il faut qu'un humain puisse réellement intercepter, modifier ou annuler une décision IA avant qu'elle ne produise effet. Quatre exigences concrètes. (1) Comprendre les capacités et limites du système IA. (2) Rester conscient de la tendance à se reposer automatiquement sur la sortie IA (biais d'automatisation). (3) Pouvoir interpréter correctement la sortie. (4) Pouvoir décider de ne pas utiliser le système ou d'écraser sa sortie. En pratique, ça impose de concevoir des workflows métier où la décision IA arrive comme une suggestion en interface utilisateur avec un délai de validation humaine minimal, où l'utilisateur a accès aux éléments d'explication (via LIME/SHAP par exemple), et où l'override est tracé. Une simple ligne 'décision IA validée automatiquement' au bas d'un email ne suffit pas — c'est un anti-pattern qui sera retoqué en contrôle.
L'article 13 du Règlement impose la transparence vis-à-vis des personnes concernées par une décision IA. Pour un candidat à l'embauche : information explicite (typiquement dans la confirmation de candidature) que son CV ou son profil sera traité par un système IA, finalité du traitement (scoring, matching, présélection), droit à demander un examen humain de la décision finale, coordonnées de contact pour exercer ce droit. Pour un patient : information dans le parcours de soins que tel diagnostic ou telle aide à la décision est assisté par IA, droit d'opposition encadré, articulation avec le secret médical. La rédaction est cadrée par les guidelines de l'EDPB (European Data Protection Board) et par les positions de la CNIL. En pratique, on rédige ces mentions au moment de la mise en conformité, avec validation juridique. Pour les systèmes B2B où l'IA décide d'octroi crédit, scoring entreprise, recouvrement, la transparence vise le décideur côté entreprise cliente, pas le particulier.
Le Règlement UE 2024/1689 n'impose pas explicitement un audit annuel pour tous les systèmes haut risque, mais il impose le maintien de la conformité dans la durée. Article 9 : système de gestion des risques continu sur toute la durée de vie du système. Article 17 : système de gestion de la qualité incluant un audit interne. Article 72 : surveillance post-commercialisation pour les fournisseurs de systèmes haut risque. En pratique, ces obligations rendent une revue annuelle indispensable. Notre méthode l'intègre comme étape 7 obligatoire. Pour les systèmes IA classifiés haut risque par leur fournisseur (vous êtes utilisateur), l'audit est interne ; pour les systèmes que vous fournissez sur le marché (vous êtes fournisseur), s'ajoute l'évaluation de conformité prévue à l'article 43 (auto-évaluation ou organisme notifié selon les cas). Voir [service Conformité AI Act](/glossaire/ai-act) pour la prestation annuelle dédiée.
L'article 9 du Règlement impose un système de gestion des risques continu et documenté. Notre registre AI Act propriétaire Nehos s'appuie sur cette obligation et la complète avec les éléments de traçabilité utiles en contrôle CNIL ou ACPR. Contenu minimal recommandé. Pour chaque système IA : identifiant unique, finalité métier, classification AI Act et argumentaire, fournisseur et coordonnées DPO, données traitées et bases légales RGPD, public concerné, propriétaire métier interne, criticité, date de mise en service et de dernière revue. Sur la gestion des risques : analyse des risques connus, risques résiduels acceptés, mesures d'atténuation, supervision humaine prévue, plan de réponse en cas d'incident. Sur les incidents : journal des incidents (incident reporting), analyse causale, corrections apportées, notifications aux autorités le cas échéant. Sur les évolutions : journal des modifications du système, évaluations de l'impact des modifications. Pour les fournisseurs de systèmes haut risque, s'ajoutent les déclarations UE de conformité (article 47) et le marquage CE.
Trois régimes simultanés qui se chevauchent partiellement. DORA (entré en application en janvier 2025) impose résilience opérationnelle IT, monitoring tiers ICT (donc fournisseurs IA tiers), incident reporting cybersécurité, tests TIBER-EU. NIS2 (transposé en France en octobre 2024) impose analyse de risques cybersécurité, mesures techniques (MFA, segmentation, sauvegardes), reporting d'incidents aux ANSSI/CSIRT, gouvernance par le dirigeant. AI Act (en application progressive depuis 2024) impose les obligations détaillées sur les systèmes IA. Articulation pratique : un système IA tiers utilisé en banque (par exemple un assistant LLM pour les conseillers commerciaux) cumule DORA tier ICT + AI Act haut risque si scoring crédit + NIS2 si l'entité est essentielle. Notre méthode mutualise la documentation et la gouvernance : un seul comité de conformité numérique transversal, un registre intégré, des contrôles cohérents. On évite la multiplication des comités et la fatigue de gouvernance. Voir [service Conformité](/services/conformite) qui couvre les 7 standards 2026.
Oui, sur le volet technique et documentaire. Si vous recevez une demande CNIL (mise en demeure, demande d'éléments) ou ACPR (sur le volet conformité opérationnelle), nous intervenons en mode urgence pour : produire ou compléter la documentation Annexe IV demandée, reconstituer l'argumentaire de classification AI Act, fournir les preuves de supervision humaine et de journalisation, préparer les éléments factuels que votre avocat utilisera dans sa réponse. Nous ne sommes pas avocats — la défense juridique pure et la rédaction de mémoires en réponse restent du ressort de votre cabinet d'avocats partenaire (typiquement Bird & Bird, De Gaulle Fleurance, ou Gide pour les contentieux les plus lourds). En pratique, nous travaillons en binôme avec l'avocat dès la réception de la demande. Délai d'intervention typique : 48 à 72 heures pour le cadrage, 2 à 4 semaines pour la production des éléments techniques.
Trois raisons pratiques. (1) Souveraineté des données : les logs de journalisation contiennent des données potentiellement sensibles (décisions individuelles, données comportementales, identifiants utilisateurs). Les héberger hors UE expose à des transferts internationaux complexes et à la jurisprudence Schrems II. Choix Nehos : Object Storage OVH (Pays-Bas pour les régions de stockage standard, France pour Cold Archive), juridiction européenne pure. (2) Conservation longue durée à coût maîtrisé : selon le secteur, les logs doivent être conservés 6 mois (minimum AI Act) à 10 ans (obligations sectorielles banque/assurance). Le Cold Archive OVH propose une tarification 5 à 10 fois inférieure aux solutions hyperscalers américaines. (3) Réversibilité : en cas de changement de fournisseur, la sortie des données est documentée et chiffrée. Pour les clients qui imposent une exigence Hébergeur de Données de Santé (HDS), nous travaillons avec des opérateurs certifiés HDS dédiés en plus du stockage standard.
Oui, formation Qualiopi enregistrée en décembre 2024 (n° 76311234500031). Public cible : CAIO, Chief AI Officer, Compliance Officer IA, DPO, DSI, RSSI, responsables juridiques numériques. Format : 3 jours en présentiel à Toulouse ou Paris (selon promotion), ou 6 demi-journées en distanciel. Prix : à partir de 1 346 € HT/personne, finançable OPCO (Atlas, AKTO, Akto, OPCO Mobilités selon secteur). Programme : les 7 étapes de la méthode, exercices pratiques de classification AI Act sur des cas concrets, utilisation du registre AI Act propriétaire Nehos, atelier rédaction de fiches modèles Annexe IV, simulation de contrôle CNIL. Animée par Foued Cherni (CEO) et un consultant senior conformité Nehos en alternance. Pour les équipes complètes (3+ personnes), formation intra-entreprise sur site possible, devis sur demande. Calendrier sur la page formations Nehos.

Exploration associée

service Conformité Nehos (7 standards 2026)service Conformité AI Act dédiéservice Agents IA Nehos (conformité by design)service Expertise & Formation QualiopiConseil & stratégie digitale (CAIO externalisé)souveraineté numérique stack France (OVH, Mistral)Méthode Nehos ROI-First IA™ (complémentaire AI Act)toutes les méthodes propriétaires Nehossecteur banque-assurance (DORA + AI Act + ACPR)secteur collectivités & service publicdéfinition AI Act (Règlement UE 2024/1689)outil audit conformité gratuit en ligneFoued Cherni (CEO, Compliance Officer chapeau)Chokri Siala (CTO Co-fondateur, expertise tech conformité)Agence IA Nehos (déploiement IA conforme)
Réserver un audit