#AI Act en bref : ce qui s'applique à votre entreprise en 2026

L'AI Act — Règlement (UE) 2024/1689 — a été publié au Journal officiel de l'Union européenne le 12 juillet 2024. C'est le premier cadre réglementaire mondial sur l'intelligence artificielle, et il concerne directement toute entreprise qui développe, déploie ou utilise des systèmes IA au sein de l'UE, ou ciblant des utilisateurs européens. Contrairement à une idée reçue encore trop répandue dans les CODIR, il ne s'adresse pas qu'aux éditeurs de logiciels IA. Il s'adresse aussi — et surtout — aux entreprises qui utilisent des outils IA dans leurs opérations quotidiennes.

L'application est progressive, par étapes :

• 2 février 2025 : interdiction immédiate des pratiques IA inacceptables (Art. 5). Cette date est déjà passée. Toute entreprise utilisant des systèmes IA qui tombent dans les catégories prohibées est déjà en infraction.
• 2 août 2025 : entrée en application des obligations pour les systèmes IA à usage général (GPAI), notamment les modèles de fondation et les LLM. Les fournisseurs de modèles (OpenAI, Mistral, Anthropic, Google pour leurs API) sont principalement visés, mais les obligations de documentation se répercutent sur les déployeurs.
• 2 août 2026 : entrée en application complète pour les systèmes IA à haut risque listés à l'Annexe III, avec l'ensemble des obligations de conformité — documentation technique Annexe IV, évaluation de conformité, enregistrement dans la base de données EU, supervision humaine, journalisation, déclaration de conformité UE. C'est l'échéance critique pour la grande majorité des ETI françaises.
• 2 août 2027 : délai de transition pour les systèmes IA intégrés dans des produits soumis à une législation sectorielle existante (dispositifs médicaux, machines, équipements radio).

Fournisseur ou déployeur : une distinction qui change tout. L'AI Act distingue deux rôles fondamentaux. Le fournisseur (provider) est l'entité qui développe un système IA et le place sur le marché ou le met en service — c'est lui qui porte les obligations les plus lourdes : documentation technique, évaluation de conformité, marquage CE, enregistrement EU. Le déployeur est l'entité qui utilise un système IA dans un contexte professionnel — ses obligations sont moins formelles mais non négligeables : formation des équipes (Art. 4), supervision humaine effective, transmission d'informations aux personnes concernées, gestion des incidents. Une ETI qui déploie un agent IA RH acheté auprès d'un éditeur tiers est déployeur ; si elle développe en interne son propre outil IA, elle cumule les rôles de fournisseur et déployeur.

Si vous n'avez pas encore réalisé l'inventaire de vos systèmes IA ni leur classification par niveau de risque, c'est la première action à mener avant même de consulter cette checklist.

#Section 1 — Pratiques interdites & risque minimal : vérification rapide

Cette section couvre les points les plus urgents : les pratiques prohibées depuis le 2 février 2025. Aucune dérogation, aucune période de transition. Si l'un des systèmes en usage dans votre organisation correspond à l'une de ces descriptions, la mise en conformité n'est pas optionnelle.

Pratiques interdites (Art. 5) — applicable depuis le 2 février 2025 :

1. ☐ Aucun système de manipulation subliminale — vérifier qu'aucun outil IA déployé n'utilise des techniques de persuasion imperceptibles agissant sur le comportement des utilisateurs à leur insu, de façon à porter atteinte à leur autonomie de décision.
2. ☐ Aucune exploitation des vulnérabilités de groupes spécifiques — vérifier l'absence de système IA ciblant spécifiquement des personnes en raison de leur âge, de leur handicap ou de leur situation économique pour influencer leur comportement de façon préjudiciable.
3. ☐ Aucun système de notation sociale généralisée — vérifier qu'aucun système IA n'est utilisé pour évaluer ou classer des personnes physiques sur la base de leur comportement social en dehors du contexte pertinent, d'une façon qui mène à des traitements défavorables injustifiés.
4. ☐ Aucune identification biométrique à distance en temps réel dans des espaces publics — vérifier l'absence de tout système de reconnaissance faciale ou biométrique en temps réel dans des espaces accessibles au public (sauf exceptions strictement encadrées pour forces de l'ordre avec autorisation judiciaire).
5. ☐ Aucun système d'inférence des émotions en milieu professionnel ou éducatif — vérifier que les outils RH, de formation ou de surveillance en usage ne comportent pas de fonctionnalité d'inférence des états émotionnels des employés ou des apprenants (sauf exceptions médicales et de sécurité documentées).
6. ☐ Aucun profilage biométrique à des fins sensibles — vérifier que les systèmes IA en usage ne déduisent pas, à partir de données biométriques, des caractéristiques sensibles : appartenance politique, religion, orientation sexuelle, origine raciale ou ethnique.

Systèmes à risque minimal (aucune obligation spécifique, mais bonne pratique recommandée) :

7. ☐ Documentation de base maintenue pour chaque système IA utilisé — même un outil à risque minimal mérite une fiche d'inventaire : fournisseur, usage, données traitées, responsable interne.
8. ☐ Politique de gouvernance IA interne existante et diffusée — toute entreprise utilisant des outils IA, même simples, gagne à formaliser une politique d'usage acceptable avant que le shadow IT IA ne prolifère sans contrôle.

#Section 2 — Risque limité : obligations de transparence (12 points)

Les systèmes IA à risque limité sont ceux qui présentent un risque de manipulation ou de tromperie pour les utilisateurs finaux : chatbots, agents virtuels, outils de génération de contenu IA, systèmes de reconnaissance d'émotions à usage commercial, générateurs de deepfakes. Leurs obligations sont essentiellement des obligations de transparence — informer les utilisateurs qu'ils interagissent avec une IA et que certains contenus sont générés par une machine.

Ces 12 points s'appliquent à toute ETI déployant un outil de ce type, que ce soit en front client (chatbot support, agent commercial virtuel) ou en usage interne (assistant copilote, générateur de contenu marketing).

1. ☐ Mention explicite d'interaction IA — toute interface intégrant un chatbot ou un agent virtuel affiche de façon claire et non ambiguë, dès le premier échange : "Vous interagissez avec un système IA." Cette mention ne doit pas être enfouie dans les CGU ; elle doit être visible au moment de l'interaction.
2. ☐ Signalement des contenus deepfake et IA-générés — tout contenu audio, vidéo ou textuel généré ou significativement modifié par IA est explicitement identifié comme tel, avec une mention visible pour l'utilisateur final.
3. ☐ Absence de manipulation émotionnelle non consentie — les systèmes de recommandation, de personnalisation ou d'engagement déployés n'utilisent pas de techniques d'amplification émotionnelle non explicitement acceptées par l'utilisateur.
4. ☐ Procédure de désengagement vers un humain opérationnelle — tout chatbot ou agent IA accessible aux clients ou aux employés dispose d'une option fonctionnelle de transfert vers un interlocuteur humain ; cette option est testée régulièrement et n'est pas artificiellement difficile à activer.
5. ☐ Consentement enregistré pour les systèmes de personnalisation intensive — si le système IA mémorise les préférences, les comportements ou les historiques de conversation à des fins de personnalisation, le consentement explicite de l'utilisateur est collecté, daté et stocké de façon auditable.
6. ☐ Politique de rétention des données de conversation documentée — la durée de conservation des logs de conversation, des données d'interaction et des historiques IA est définie, documentée et alignée avec la politique RGPD de l'entreprise. Pas de conservation indéfinie par défaut.
7. ☐ Formation des équipes métier sur les obligations de transparence IA — les équipes qui déploient ou utilisent des outils IA à risque limité (marketing, RH, support client, commercial) ont reçu une formation d'au moins deux heures couvrant les obligations de transparence et les bonnes pratiques.
8. ☐ Mentions IA dans les CGU et la politique de confidentialité — les conditions générales d'utilisation et la politique de confidentialité de l'entreprise ont été mises à jour pour mentionner explicitement l'utilisation de systèmes IA, les données collectées lors des interactions et les droits des utilisateurs.
9. ☐ Audit annuel du portefeuille IA à risque limité — la liste des systèmes IA à risque limité en production est révisée au moins une fois par an, avec mise à jour des mentions légales si de nouveaux outils sont déployés.
10. ☐ Point de contact DPO/RSSI identifié pour les questions IA-transparence — un interlocuteur nommé est identifié dans l'organisation pour répondre aux questions relatives aux systèmes IA à risque limité : demandes d'information des utilisateurs, signalements internes, interactions avec la CNIL.
11. ☐ Base légale RGPD documentée pour chaque traitement IA — pour chaque système IA traitant des données personnelles, la base légale du traitement (consentement, intérêt légitime, exécution du contrat) est formalisée dans le registre de traitement du DPO.
12. ☐ Procédure de gestion des droits utilisateurs opérationnelle — conformément à l'Art. 15 RGPD et aux droits reconnus par l'AI Act, une procédure formelle permet d'honorer les demandes d'accès, de rectification et d'opposition relatives aux données traitées par les systèmes IA, dans le délai légal d'un mois.

#Section 3 — Risque élevé Annexe III : obligations renforcées (18 points)

#Quels systèmes IA sont classés haut risque ?

L'Annexe III de l'AI Act liste les catégories de systèmes IA automatiquement qualifiés de haut risque. Contrairement à une lecture simpliste, cette liste touche directement le cœur des opérations de nombreuses ETI françaises :

• Identification biométrique : reconnaissance faciale, vérification d'identité par IA
• Infrastructures critiques : systèmes IA pour la gestion de réseaux d'énergie, eau, transports
• Éducation et formation professionnelle : systèmes d'admission, d'évaluation des compétences, de certification
• Emploi et RH : outils de recrutement automatisé, d'évaluation de performance, de surveillance des employés, d'affectation des tâches — c'est ici que la grande majorité des ETI est concernée
• Services essentiels : scoring de crédit, évaluation du risque d'assurance, systèmes d'allocation d'aides sociales
• Application de la loi : systèmes d'évaluation du risque individuel, de profilage, d'analyse de preuves
• Migration et asile : systèmes d'évaluation des demandes, de vérification d'identité
• Administration de la justice : systèmes d'aide à la décision judiciaire

Si votre entreprise utilise un ATS (Applicant Tracking System) intégrant de l'IA pour scorer les candidatures, un outil de gestion de la performance basé sur des algorithmes, ou un système de scoring client avec des décisions automatisées, vous êtes très probablement en situation de déployeur de système IA à haut risque. La date butoir du 2 août 2026 s'applique directement.

Les 18 points de contrôle :

1. ☐ Classification formelle du niveau de risque documentée — pour chaque système IA en production ou en projet, une analyse de classification formelle a été produite, motivée et archivée. Cette analyse justifie le niveau de risque retenu et est opposable en cas de contrôle.
2. ☐ Documentation technique complète (Annexe IV) rédigée — voir Section 4 de cette checklist. La documentation technique est le document central de conformité pour les systèmes haut risque ; elle doit exister avant la mise en service.
3. ☐ Système de gestion de la qualité (QMS) mis en place — un QMS adapté au contexte du système IA est formalisé, couvrant la conception, le développement, les tests, le déploiement et la surveillance post-marché.
4. ☐ Enregistrement dans la base de données EU AI Act — les systèmes IA haut risque sont enregistrés dans la base de données européenne accessible au public avant leur mise sur le marché ou leur mise en service (Art. 49).
5. ☐ Évaluation de conformité réalisée avant mise en service — selon le type de système, l'évaluation de conformité est réalisée en interne (auto-évaluation) ou par un organisme notifié tiers. Le rapport est archivé et disponible pour les autorités de surveillance.
6. ☐ Supervision humaine effective et documentée — les mécanismes techniques permettant à un opérateur humain de surveiller, d'interrompre et de corriger le système IA sont en place, testés et documentés. Les opérateurs ont reçu la formation adaptée.
7. ☐ Journalisation automatique activée et sécurisée — le système IA génère automatiquement des journaux d'activité horodatés pour toutes ses opérations. Ces journaux sont stockés de façon sécurisée, non altérable, et accessibles en cas d'audit.
8. ☐ Traçabilité complète des décisions automatisées sur 10 ans — chaque décision ou recommandation produite par le système IA est traçable dans un audit trail conservé 10 ans, permettant de reconstituer a posteriori la logique de la décision et les données ayant servi de base.
9. ☐ Tests de robustesse et de précision documentés — des tests de performance, de robustesse aux données hors distribution et de résistance aux attaques adversariales ont été conduits, documentés et intégrés à la documentation technique.
10. ☐ Gouvernance des données d'entraînement documentée — l'origine des données d'entraînement est documentée (provenance, droits d'utilisation, représentativité des populations cibles). Une analyse des biais potentiels a été conduite et ses résultats sont archivés.
11. ☐ Procédure de mise à jour avec évaluation d'impact conformité — toute modification substantielle du système IA (nouveau modèle, nouvelles données d'entraînement, extension du périmètre) déclenche automatiquement une réévaluation de conformité avant déploiement.
12. ☐ Information des déployeurs (si vous êtes fournisseur) — si votre organisation fournit un système IA haut risque à des tiers déployeurs, vous leur avez transmis toutes les informations nécessaires à un usage conforme : instructions d'utilisation, limites du système, obligations de supervision humaine.
13. ☐ Déclaration de conformité UE rédigée (Annexe V) — la déclaration de conformité formelle est rédigée, signée par un représentant légal habilité, et intègre toutes les mentions requises par l'Annexe V de l'AI Act.
14. ☐ Marquage CE apposé si applicable — si le système IA est intégré dans un produit soumis à une autre législation européenne (dispositif médical, machine, équipement radio), le marquage CE a été étendu pour couvrir la composante IA.
15. ☐ Procédure de signalement des incidents sérieux opérationnelle — une procédure formelle est en place pour signaler tout incident sérieux ou dysfonctionnement grave auprès de l'autorité nationale compétente (CNIL en France). Les délais et formats de notification sont connus des équipes responsables.
16. ☐ Plan de continuité d'activité pour les systèmes IA critiques — un PCA/PRA couvrant les scénarios d'indisponibilité ou de défaillance du système IA est documenté, testé et maintenu à jour, particulièrement pour les systèmes dont la défaillance aurait un impact direct sur des décisions à fort enjeu.
17. ☐ Clauses contractuelles AI Act dans les contrats prestataires IA — tous les contrats avec les prestataires qui fournissent ou maintiennent des systèmes IA haut risque comportent des clauses de conformité AI Act : obligations du fournisseur, droits d'audit, responsabilité en cas de non-conformité, procédures de mise à jour réglementaire.
18. ☐ Formation des équipes responsables du déploiement (Art. 4) — les équipes qui déploient et opèrent les systèmes IA haut risque ont reçu une formation spécifique couvrant le fonctionnement du système, ses limites, les procédures de supervision humaine et les obligations réglementaires applicables.

#Section 4 — Documentation technique obligatoire Annexe IV

L'Annexe IV de l'AI Act définit le contenu minimal de la documentation technique obligatoire pour les systèmes IA à haut risque. Cette documentation doit être produite avant la mise en service et maintenue à jour pendant toute la durée de vie du système. Elle est le document central que les autorités de surveillance peuvent demander à tout moment.

Voici les 8 éléments obligatoires et ce qu'ils doivent contenir concrètement :

1. Description générale du système IA Inclut : l'objectif déclaré du système, les cas d'usage prévus et les cas d'usage exclus, les personnes ou groupes susceptibles d'être affectés par le système, les performances attendues et le niveau de précision cible, les versions successives du système et leur historique.

2. Description de l'architecture du système Inclut : un schéma de l'architecture technique (composants logiciels, flux de données, interfaces avec d'autres systèmes), la description de chaque composant et de son rôle, les intégrations avec des systèmes tiers (API, bases de données, services cloud), les technologies et frameworks utilisés, ainsi que les dépendances externes.

3. Spécifications des données d'entraînement, de validation et de test Inclut : l'origine des données (sources, méthodes de collecte, droits d'utilisation), les caractéristiques et le volume des jeux de données, les méthodologies de prétraitement et de nettoyage, l'analyse de représentativité des populations cibles, les mesures prises pour prévenir les biais discriminatoires, et les procédures de gouvernance des données.

4. Description des capacités et des limitations du système Inclut : les performances réelles mesurées (précision, rappel, F1, taux d'erreur selon les sous-groupes), les cas dans lesquels le système peut échouer ou produire des résultats incorrects, les conditions d'utilisation hors périmètre, et les facteurs susceptibles d'affecter les performances (qualité des données en entrée, dérive du modèle, conditions environnementales).

5. Résultats des tests de performance et d'évaluation Inclut : les protocoles de test utilisés, les métriques mesurées, les résultats comparés aux seuils d'acceptation définis, les tests de robustesse (données hors distribution, attaques adversariales), les évaluations de biais sur les sous-groupes protégés par le droit européen, et la date de chaque session de test.

6. Normes harmonisées applicables Inclut : la liste des normes harmonisées européennes (standards EN/ISO) appliquées lors du développement et de l'évaluation, et — si aucune norme harmonisée n'existe pour le cas d'usage concerné — la description des spécifications communes utilisées à la place.

7. Déclaration de conformité UE (Annexe V) La déclaration de conformité complète (voir point 13 de la Section 3) est intégrée à la documentation technique. Elle inclut : l'identification du fournisseur, l'identification du système IA, la liste des réglementations UE auxquelles la conformité est déclarée, le nom et la signature du représentant légal habilité, et la date de la déclaration.

8. Procédures de surveillance post-marché Inclut : le plan de surveillance post-marché définissant les métriques suivies en production, la fréquence des évaluations, les seuils de déclenchement d'une révision de conformité, les procédures de remontée des anomalies et incidents, et le processus de mise à jour de la documentation en cas d'évolution substantielle du système.

#Section 5 — Gouvernance interne : CAIO, registre, DPIA (10 points)

La conformité AI Act n'est pas seulement une affaire de documentation technique. Elle requiert une gouvernance interne structurée, sans laquelle les bonnes pratiques se délitent rapidement dès que les équipes tournent ou que de nouveaux outils IA sont adoptés en dehors des circuits de validation.

1. ☐ Responsable IA (CAIO ou équivalent) désigné — un Chief AI Officer ou un responsable IA est nommé dans l'organigramme officiel, avec un périmètre de mission défini : pilotage du registre IA, interface avec le DPO et le RSSI, formation des équipes, veille réglementaire. Cette désignation est communiquée à l'ensemble de l'organisation.

2. ☐ Registre interne de tous les systèmes IA tenu à jour — un inventaire complet de tous les systèmes IA en production ou en projet est maintenu, couvrant pour chaque outil : le nom du fournisseur, la version, le cas d'usage, le niveau de risque AI Act, le déployeur interne responsable, les données personnelles traitées, et la date de dernière révision.

3. ☐ Politique d'utilisation acceptable de l'IA rédigée et diffusée — une politique interne formalise les règles d'utilisation des outils IA par les collaborateurs : outils autorisés, données qui peuvent ou ne peuvent pas être saisies dans des outils IA tiers, obligations de vérification des sorties IA avant utilisation professionnelle, et procédure de signalement des dysfonctionnements.

4. ☐ DPIA réalisée pour les systèmes IA traitant des données personnelles — conformément à l'Art. 35 du RGPD, une Analyse d'Impact relative à la Protection des Données a été conduite pour tout système IA susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La DPIA est archivée et mise à jour en cas d'évolution substantielle du système.

5. ☐ Comité de gouvernance IA actif — un comité dédié à la gouvernance IA (ou une intégration aux instances existantes — CODIR, comité SI, comité des risques) se réunit a minima trimestriellement pour examiner le portefeuille IA, les incidents, les évolutions réglementaires et les projets en cours de qualification.

6. ☐ Procédure d'évaluation des nouveaux outils IA avant adoption — toute adoption d'un nouvel outil IA (y compris les outils "en mode test" ou en usage individuel) passe par une validation formelle incluant : classification du niveau de risque AI Act, vérification RGPD, qualification du fournisseur, validation DSI et DPO avant déploiement. Le shadow IT IA est tracé et géré.

7. ☐ Formation AI Act dispensée aux équipes concernées — DSI, Compliance, RH, directions métiers utilisant des outils IA ont reçu une formation couvrant les obligations de l'AI Act, le niveau de risque de leurs outils, et leurs responsabilités en tant que déployeurs. La formation est documentée avec les dates, les participants et le contenu.

8. ☐ Clause de due diligence AI Act dans les appels d'offres prestataires tech — tous les appels d'offres pour des prestations de développement logiciel, d'intégration ou de fourniture de solutions SaaS incluent désormais une section AI Act : engagement de conformité du prestataire, documentation technique disponible, obligations contractuelles en cas d'évolution réglementaire.

9. ☐ Intégration de l'AI Act dans l'audit annuel SI / audit fournisseurs — le programme d'audit annuel du système d'information et des fournisseurs critiques intègre un volet AI Act : vérification de la conformité des systèmes IA en production, audit des clauses contractuelles, et évaluation de la maturité des fournisseurs sur les obligations réglementaires IA.

10. ☐ Veille réglementaire AI Act structurée et documentée — un dispositif de veille formalisé couvre les évolutions du cadre AI Act : actes délégués de la Commission européenne, guidelines ENISA, recommandations et lignes directrices de la CNIL (autorité nationale de surveillance), jurisprudence en émergence. Les évolutions identifiées sont analysées et leur impact sur le portefeuille IA est évalué.

#Section 6 — Sanctions : jusqu'à 35M€ ou 7% du CA mondial

L'AI Act n'est pas une réglementation sans dents. Ses sanctions sont calibrées au même niveau que le RGPD — et dans certains cas, elles le dépassent. Elles sont calculées par rapport au chiffre d'affaires mondial consolidé de l'exercice précédent, ce qui implique que les filiales françaises de groupes internationaux sont exposées à des montants potentiellement très significatifs.

Non-respect des interdictions (Art. 5 — pratiques IA inacceptables) : amende pouvant atteindre 35 000 000 € ou 7 % du chiffre d'affaires mondial annuel, le montant le plus élevé des deux étant retenu. C'est le plafond le plus élevé prévu par l'AI Act, reflétant la gravité des violations fondamentales des droits.

Non-conformité pour systèmes IA à haut risque (Annexes II et III) : amende pouvant atteindre 15 000 000 € ou 3 % du CA mondial annuel. Cette catégorie couvre notamment l'absence de documentation technique, le défaut d'évaluation de conformité, l'absence de supervision humaine effective et le non-enregistrement dans la base de données EU.

Fourniture d'informations inexactes, incomplètes ou trompeuses aux autorités de surveillance : amende pouvant atteindre 7 500 000 € ou 1,5 % du CA mondial annuel. Cette disposition vise notamment les déclarations de conformité incorrectes et les réponses mensongères lors d'inspections.

Dispositions spécifiques PME et startups : pour les petites et moyennes entreprises et les startups, les plafonds s'appliquent au niveau le plus bas des deux montants alternatifs (montant fixe ou pourcentage du CA). Cette disposition n'exonère pas les PME de conformité — elle limite simplement l'exposition maximale.

Autorité compétente en France : la CNIL a été désignée comme autorité nationale de surveillance AI Act pour la France. Elle dispose des mêmes pouvoirs d'enquête et de sanction que ceux dont elle dispose en matière de RGPD : accès aux locaux, audits des systèmes, injonctions de mise en conformité, et prononcé des sanctions administratives. Les premières enquêtes formelles dans le cadre AI Act sont anticipées pour 2026–2027.

#Calendrier de mise en conformité 2025–2027

Voici les jalons réglementaires à intégrer dans votre feuille de route de conformité.

2 février 2025 — Interdictions en vigueur : les pratiques IA inacceptables listées à l'Art. 5 sont interdites depuis cette date. Aucune période de grâce. Si vous déployez un outil relevant de l'une des catégories prohibées, vous êtes déjà en infraction. La priorité absolue est de vérifier la Section 1 de cette checklist.

2 août 2025 — Obligations GPAI en vigueur : les fournisseurs de modèles IA à usage général (General Purpose AI) — LLM, modèles de fondation — doivent respecter les obligations de documentation, de transparence et de droit d'auteur. Pour les modèles présentant un "risque systémique" (puissance de calcul supérieure à 10^25 FLOPs), des évaluations de sécurité supplémentaires s'appliquent. Pour les ETI déployeurs, l'impact direct est la vérification de la conformité de leurs fournisseurs de LLM.

2 août 2026 — Entrée en application complète pour les systèmes haut risque (Annexe III) : c'est l'échéance critique. À cette date, tous les systèmes IA haut risque en production doivent être conformes : documentation technique Annexe IV complète, évaluation de conformité réalisée, enregistrement EU, supervision humaine opérationnelle, journalisation active. L'obligation de formation des équipes (Art. 4) entre également en application à cette date.

2 août 2027 — Transition pour les systèmes IA dans des produits existants : les systèmes IA intégrés dans des produits soumis à d'autres législations européennes (dispositifs médicaux de classe I et II, certaines machines, équipements radio) bénéficient d'un délai de transition supplémentaire jusqu'à cette date.

Ce que vous devez faire maintenant : le temps disponible avant le 2 août 2026 est inférieur à trois mois au moment de la publication de cette checklist. Pour une ETI qui n'a pas encore démarré sa mise en conformité, les actions prioritaires sont — dans cet ordre :

1. Réaliser l'inventaire complet de tous les systèmes IA en production et en projet
2. Classer chaque système selon les niveaux de risque AI Act
3. Identifier les systèmes haut risque et déclencher immédiatement la production de la documentation Annexe IV
4. Désigner un responsable IA (CAIO ou équivalent) si ce n'est pas encore fait
5. Engager les démarches de formation des équipes concernées

Notre service de conformité AI Act accompagne les ETI dans cet inventaire et cette priorisation, avec un premier diagnostic réalisable en deux semaines.

#Télécharger la checklist complète

La checklist que vous venez de parcourir existe en version PDF de 6 pages, dans un format optimisé pour une utilisation en réunion de gouvernance, en comité SI ou en audit interne. Le PDF inclut :

• La checklist complète en format coché/décoché — 48 cases à cocher, organisées par section, avec un espace pour les notes et le responsable désigné pour chaque point
• Le tableau des sanctions AI Act — synthèse des montants par catégorie de violation, avec la référence de l'article applicable
• Le calendrier de mise en conformité 2025–2027 — les 4 jalons clés avec les actions correspondantes
• Un template mini-déclaration de conformité pour les systèmes IA à risque limité — un format simplifié pour documenter rapidement vos outils à risque limité sans avoir à produire la documentation Annexe IV complète

Le PDF est immédiatement utilisable tel quel. Il peut être partagé à votre DPO, votre RSSI, votre équipe DSI ou votre comité de direction pour lancer les premières discussions de mise en conformité sur une base structurée.

Si vous souhaitez aller plus loin, notre audit de conformité AI Act permet d'obtenir un état des lieux complet de votre portefeuille IA en deux semaines, avec un rapport priorisé et un plan d'action. Vous pouvez également commencer par notre test de conformité AI Act en ligne, disponible gratuitement et accessible en moins de 10 minutes.