Conformité AI Act pour vos Agents IA — Classification, Documentation et Audit

#L'AI Act en vigueur 2026 — Ce qui s'applique maintenant à vos agents IA

Beaucoup d'entreprises françaises attendent encore que l'AI Act soit « finalisé » avant d'agir. Il est finalisé. Publié au Journal officiel de l'Union européenne le 12 juillet 2024 sous la référence 2024/1689, entré en vigueur le 1er août 2024, il s'applique selon un calendrier précis et non-négociable.

Ce qui est déjà en vigueur au moment où vous lisez ces lignes. Depuis le 2 février 2025 : interdiction totale des pratiques IA jugées inacceptables — social scoring par des autorités publiques ou privées, manipulation psychologique utilisant des techniques subliminales pour altérer le comportement d'une personne à son détriment, systèmes d'identification biométrique à distance en temps réel dans les espaces publics sauf exceptions très encadrées, reconnaissance biométrique des émotions sur le lieu de travail ou dans les établissements d'enseignement (hors usages médicaux ou de sécurité documentés). Depuis août 2025 : obligations applicables aux fournisseurs de modèles IA à usage général (GPAI — GPT-4, Claude 3, Mistral Large, Gemini) : documentation technique du modèle, politique de respect du droit d'auteur, résumé des données d'entraînement, et pour les GPAI à risque systémique (paramètres > 10^25 FLOPs), évaluation adversariale et notification des incidents graves.

Ce qui entre en vigueur le 2 août 2026 : l'essentiel du Règlement — les obligations complètes sur les systèmes IA haut risque (Articles 9 à 15), le code de conduite pour les systèmes risque minimal, et les sanctions plafonnées à 15 M€ ou 3 % du CA pour les manquements haut risque. Et en 2027 : les systèmes IA intégrés dans des produits soumis à d'autres directives d'harmonisation européenne (Règlement Machines, Directive Dispositifs Médicaux, Directive Véhicules).

Champ d'application territorial : large et explicite. L'AI Act s'applique à tout fournisseur ou opérateur dont le système IA est mis sur le marché de l'UE ou utilisé dans l'UE — indépendamment du lieu d'établissement de l'entreprise. Une scale-up californienne dont le produit SaaS est utilisé par des entreprises françaises est soumise à l'AI Act. Un éditeur français qui déploie un agent IA pour ses clients belges est soumis à l'AI Act. Un distributeur qui importe un système IA d'un fournisseur tiers pour le revendre dans l'UE endosse les obligations de l'importateur. La chaîne de responsabilité est fournisseur → importateur → distributeur → opérateur (déployeur), avec des obligations spécifiques à chaque niveau.

Questions à trancher immédiatement pour votre entreprise : est-ce que vos agents IA actuels (ou en développement) traitent des données personnelles dans le cadre d'une décision qui affecte des personnes physiques ? Si oui, ils sont probablement dans le périmètre AI Act. L'audit Nehos qualifie ce point en 5 à 10 jours avec un go/no-go étayé, un dossier de classification et une roadmap de remédiation. Voir le service conformité Nehos pour le périmètre global (AI Act, RGPD, DORA, NIS2 selon secteur).

#La pyramide des risques AI Act — Comment classifier votre agent IA

L'AI Act utilise une logique de classification par niveau de risque, non par technologie. Ce n'est pas « les LLM sont haut risque » — c'est « un LLM utilisé pour scorer des candidatures est haut risque, le même LLM utilisé pour générer des emails marketing est risque limité ». La classification dépend du cas d'usage, pas du modèle.

#Niveau 1 — Risque inacceptable (interdit depuis février 2025)

Quatre catégories bannies sans exception (Article 5). (1) Systèmes d'évaluation ou de classification des personnes physiques sur la base de leur comportement social ou de caractéristiques personnelles — le social scoring, qu'il soit opéré par des autorités publiques ou des acteurs privés. (2) Systèmes exploitant les vulnérabilités liées à l'âge, au handicap ou à la situation sociale pour modifier le comportement d'une personne de manière préjudiciable (manipulation subliminale). (3) Identification biométrique à distance en temps réel dans les espaces publics à des fins répressives, hors exceptions strictes (recherche d'une personne disparue, prévention d'une menace terroriste imminente, poursuite d'un suspect). (4) Reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement, sauf usages médicaux ou de sécurité documentés. Pour un agent IA en entreprise : si votre projet implique l'un de ces quatre usages, il n'y a pas de mise en conformité possible — il faut abandonner le cas d'usage.

#Niveau 2 — Risque haut (Annexe III — obligations complètes dès août 2026)

Huit catégories. Pour chacune, les agents IA typiquement concernés.

A. Identification biométrique et catégorisation : systèmes d'identification biométrique à distance (y compris en différé), systèmes de catégorisation biométrique sur des attributs sensibles (race, origine ethnique, opinions politiques, convictions religieuses, orientation sexuelle). Agents IA concernés : systèmes de contrôle d'accès par reconnaissance faciale, outils de surveillance RH par analyse faciale.

B. Infrastructures critiques : systèmes IA gérant ou opérant des infrastructures critiques (réseaux électriques, eau, transports, communications, finance). Agents IA concernés : agents de monitoring réseau avec prise de décision automatisée, agents de dispatch énergétique, agents de gestion d'incidents industriels.

C. Éducation et formation professionnelle : systèmes déterminant l'accès ou l'admission à un établissement d'enseignement ou à une formation professionnelle, évaluant les apprenants, détectant les comportements prohibés lors d'examens. Agents IA concernés : outils de sélection en formation (LMS avec scoring d'admission), agents de bilan de compétences, systèmes de détection de triche en e-learning.

D. Emploi et gestion des travailleurs : systèmes utilisés pour le recrutement (filtrage et classement des candidatures), l'évaluation des performances, la promotion, le licenciement. C'est la catégorie la plus concernée en entreprise. Agents IA concernés : tout ATS avec scoring IA, assistants mobilité interne avec recommandation de poste, outils de People Analytics décisionnels, agents d'évaluation 360. Voir agents IA RH haut risque pour le détail des obligations sur ce vertical.

E. Accès aux services essentiels : scoring de crédit, évaluation de l'admissibilité à des prestations sociales ou à une assurance, triage médical. Agents IA concernés : modèles de scoring de crédit (fintech, banques), agents d'underwriting assurance, outils de triage aux urgences, agents d'évaluation de l'éligibilité aux aides sociales.

F. Forces de l'ordre : systèmes utilisés par les autorités répressives pour évaluer la probabilité de récidive, la fiabilité d'une preuve, le profil d'une personne. Usage réservé aux autorités publiques — hors périmètre entreprise en général.

G. Migration, asile, contrôle aux frontières : évaluation du risque migratoire, vérification des documents, traitement des demandes d'asile. Hors périmètre entreprise standard.

H. Administration de la justice : systèmes d'aide à la décision judiciaire, résolution de litiges. Agents IA juridiques décisionnels dans ce sens strict — à qualifier au cas par cas. Un agent de recherche jurisprudentielle informatif est généralement risque limité ; un agent produisant un avis décisionnel sur un litige est à qualifier haut risque.

#Niveau 3 — Risque limité (obligations de transparence uniquement)

Chatbots, assistants conversationnels, systèmes de génération de contenu (texte, image, audio, vidéo), deepfakes. Obligation principale : informer l'utilisateur de manière claire qu'il interagit avec un système IA ou qu'un contenu a été généré par IA. Pas d'audit biais obligatoire, pas de documentation Annexe IV, pas d'enregistrement au registre EU IA. Mais attention : si le chatbot prend des décisions ayant un impact significatif (accorder ou refuser un crédit, orienter un patient), il bascule dans le haut risque Annexe III, catégorie E ou autre selon l'usage.

#Niveau 4 — Risque minimal (aucune obligation spécifique)

Filtres anti-spam, systèmes de recommandation de contenus, jeux vidéo à composante IA, outils de productivité bureautique avec IA (suggestion de texte, correcteur). L'AI Act les exclut de toute obligation spécifique, mais les bonnes pratiques volontaires (code de conduite, transparence vis-à-vis des utilisateurs) sont encouragées par la Commission européenne.

#Obligations pour les systèmes IA haut risque — Articles 9 à 15

Six articles fondamentaux. Voici ce que chacun impose concrètement à une entreprise déployant un agent IA.

Article 9 — Système de gestion de la qualité (QMS). Obligation de mettre en place, documenter et maintenir un système de gestion de la qualité couvrant l'ensemble du cycle de vie du système IA : conception, développement, tests, déploiement, surveillance post-marché, gestion des incidents et des non-conformités. Concrètement : une entreprise déployant un agent IA de scoring crédit doit avoir des procédures formalisées pour les évolutions du modèle, les tests de régression, la validation avant mise à jour en production, la gestion des alertes de dérive. Un process Notion ou une documentation Confluence informelle ne suffit pas — il faut un QMS structuré, tracé et auditabl.

Article 10 — Gouvernance des données. Exigences sur les données d'entraînement, de validation et de test : pertinence, représentativité, absence d'erreurs, complétude. Obligation d'examiner les biais possibles et de les atténuer. Traçabilité des datasets utilisés. Concrètement : pour un agent de scoring crédit, les données d'entraînement doivent être représentatives de la population cible (pas de sous-représentation des femmes, des moins de 30 ans, des résidents de certains départements), les métriques de disparate impact doivent être calculées et documentées, les corrections apportées pour rééquilibrer les données doivent être tracées.

Article 11 — Documentation technique (Annexe IV). Obligation de produire et de maintenir à jour la documentation technique complète selon les 8 composants de l'Annexe IV (détaillés dans la section suivante). Cette documentation doit être disponible à tout moment pour les autorités de contrôle nationales (en France : l'ANSSI et l'AMF ont été désignées autorités de surveillance de marché sectorielles pour leurs domaines respectifs). Concrètement : pas de documentation Annexe IV = non-conformité immédiate.

Article 12 — Journalisation automatique (logs). Tout système IA haut risque doit générer automatiquement des logs enregistrant au minimum : les périodes de fonctionnement, les données de référence utilisées, les résultats produits et leur niveau de confiance, les données d'entrée ayant conduit à un résultat spécifique. Ces logs doivent être conservés pendant une durée proportionnée et sécurisés contre toute altération. Concrètement : un agent de triage médical doit loguer chaque décision avec les données d'entrée correspondantes, de façon immutable (signature cryptographique, Postgres pgaudit ou équivalent).

Article 13 — Transparence (déployeur vers utilisateur). Les utilisateurs finaux du système IA haut risque doivent être informés de manière compréhensible de ce que le système fait, de ses limites, du niveau d'exactitude attendu, et des cas d'usage pour lesquels il n'est pas conçu. Cette notice doit être jointe au système. Concrètement : si un agent IA produit un scoring de candidat pour un recruteur, la notice doit indiquer clairement le périmètre du scoring, le taux d'exactitude historique, les biais résiduels documentés et les conditions d'usage recommandées.

Article 14 — Supervision humaine. Les systèmes IA haut risque doivent être conçus pour permettre à des personnes physiques de superviser leur fonctionnement, de comprendre leurs capacités et limitations, de détecter les anomalies ou dérives, d'intervenir ou d'interrompre le système, de ne pas s'appuyer automatiquement sur ses outputs. Concrètement : la supervision humaine n'est pas un discours — c'est une feature UX obligatoire. Un recruteur doit pouvoir voir pourquoi le système a classé un CV, contester cette classification, et documenter sa décision finale indépendamment du scoring IA. Un bouton « désactiver l'IA » ne suffit pas.

Article 15 — Exactitude, robustesse, cybersécurité. Niveau de précision déclaré dans la documentation technique et atteint tout au long du cycle de vie (détection des dérives). Résilience face aux erreurs, aux incohérences des données, aux tentatives d'exploitation (adversarial attacks). Mesures spécifiques pour les systèmes biométriques (robustesse aux tentatives d'usurpation). Voir sécurité OWASP LLM pour le détail des protections applicables aux agents LLM.

#Documentation Annexe IV — Ce que Nehos produit pour vous

L'Annexe IV du Règlement UE 2024/1689 liste les 8 composants obligatoires de la documentation technique d'un système IA haut risque. C'est le document central de votre conformité — celui que vous devrez présenter à l'autorité nationale de contrôle en cas d'audit ou d'incident.

Composant 1 — Description générale et finalité. Description précise du système IA : qu'est-ce qu'il fait, pour qui, dans quel contexte de déploiement, quelle est la décision ou le résultat qu'il produit, quelle est la population affectée par ces décisions. Nehos rédige cette description en s'appuyant sur les ateliers de cadrage projet et les entretiens avec les équipes métier.

Composant 2 — Spécifications de conception et architecture. Architecture détaillée du système : composants techniques (modèles, orchestrateurs, bases vectorielles, connecteurs), flux de données, interfaces avec les systèmes tiers, frontières du système. Nehos documente l'architecture as-deployed avec diagrammes C4 (Context, Container, Component, Code) exportés en format machine-readable.

Composant 3 — Méthodologie d'entraînement, de validation et de test. Description des datasets utilisés (origine, volumes, représentativité, traitement des données manquantes ou aberrantes), des méthodes d'entraînement et de fine-tuning, des métriques de validation (AUC-ROC, F1, NDCG selon le type de tâche), des jeux de test out-of-distribution. Nehos documente également les résultats de l'audit biais initial (métriques Aequitas : disparate impact, equal opportunity, demographic parity).

Composant 4 — Datasets utilisés. Description exhaustive des datasets d'entraînement, de validation et de test : source (propriétaire, public, acheté, synthétique), période de collecte, périmètre géographique et démographique, licence, traitements de pseudonymisation ou d'anonymisation appliqués, conformité RGPD de la collecte initiale. Point critique : beaucoup d'entreprises utilisent des LLM pré-entraînés sur des corpus internet sans avoir de documentation sur ces datasets — l'Article 10 impose au fournisseur du modèle de base de fournir cette documentation, et à l'opérateur de la conserver dans son dossier.

Composant 5 — Changements prévus pendant la durée de vie. Carte des évolutions prévues ou prévisibles du système (mises à jour de modèle, changements de périmètre de données, évolutions de l'interface utilisateur, montées de version de l'infrastructure) et procédure d'évaluation de l'impact de ces changements sur la conformité. Les « changements substantiels » au sens de l'Article 28 peuvent déclencher une nouvelle procédure de conformité — Nehos définit les seuils de déclenchement dans cette section.

Composant 6 — Évaluation des risques et mesures d'atténuation. Analyse des risques spécifiques au système (biais discriminatoires, hallucinations, manipulation, failles de sécurité, erreurs catastrophiques) et des mesures d'atténuation mises en place pour chacun. Niveau de risque résiduel après atténuation. Cette section reprend les résultats de l'audit biais (Aequitas, Fairlearn) et de l'audit sécurité OWASP Top 10 LLM. Voir audit AI Act complet pour le détail de notre méthodologie d'évaluation.

Composant 7 — Normes harmonisées et spécifications communes appliquées. Liste des normes techniques européennes harmonisées et spécifications communes publiées par la Commission européenne appliquées lors du développement et des tests. En l'absence de normes harmonisées publiées pour les systèmes LLM (en cours d'élaboration au CEN/CENELEC, attendues 2026-2027), Nehos documente les bonnes pratiques de référence utilisées (ISO/IEC 42001, NIST AI RMF, OWASP Top 10 LLM).

Composant 8 — Déclaration UE de conformité. Document signé par le représentant légal du fournisseur (ou de l'opérateur qui assume les obligations du fournisseur en vertu de l'Article 25) attestant que le système est conforme à l'AI Act, listant les normes appliquées, portant la date et la référence du dossier technique. Nehos rédige le draft de cette déclaration — la signature finale appartient au dirigeant de l'entreprise.

Nehos livre l'intégralité de ces 8 composants sous forme d'un dossier structuré (format JSON machine-readable + PDF signé), versionné dans un dépôt Git privé, avec un changelog tracé. La Méthode Nehos AI Act Compliance™ décrit en détail notre processus de production documentaire.

#Audit de conformité AI Act Nehos — 5 à 10 jours

L'audit de conformité est le point d'entrée de toute mission. Sa durée — 5 jours pour un périmètre simple (1 à 3 systèmes IA, cas d'usage clairement délimités), 10 jours pour un périmètre complexe (plusieurs systèmes interdépendants, chaîne fournisseur–opérateur multiple, secteur fortement régulé comme la finance ou la santé) — est calibrée pour produire un go/no-go exploitable sans surfacturation de la phase d'audit.

Ce que couvre l'audit Nehos. Inventaire de tous les systèmes IA déployés ou en cours de déploiement dans l'entreprise (entretiens DSI, DPO, directions métier, recueil de la documentation existante). Classification de chaque système sur la pyramide AI Act (haut risque / risque limité / risque minimal / interdit) avec justification réglementaire article par article. Identification des écarts entre la situation actuelle et les obligations applicables à chaque niveau de risque. Production de la roadmap de remédiation avec priorisation par deadline (systèmes haut risque à mettre en conformité avant août 2026 en premier) et estimation de l'effort par gap. Opinion go/no-go de déploiement pour les systèmes en cours de développement : peut-on déployer tel quel, avec des correctifs mineurs, ou faut-il repenser l'architecture du système avant tout déploiement ?

Livrable : rapport d'audit structuré en quatre parties (inventaire, classification, analyse d'écarts, roadmap), format JSON + PDF. Rapport présenté en session de restitution de 3 heures avec DSI, DPO et direction juridique. Premier draft de la note d'information-consultation CSE pour les systèmes IA décisionnels si applicable. Tarif : 9 500 à 18 000 € HT selon le périmètre.

#Les 5 erreurs les plus fréquentes des entreprises françaises face à l'AI Act

Ce sont les points que nous retrouvons systématiquement lors des audits de conformité réalisés depuis 2024.

Erreur 1 — Sous-estimer le périmètre en pensant que l'AI Act ne concerne que les grandes entreprises tech ou les fournisseurs de modèles fondation. L'AI Act s'applique à tout opérateur (déployeur) qui utilise un système IA haut risque dans ses opérations — une ETI de 300 salariés qui utilise un ATS avec scoring IA ou un outil de scoring crédit est pleinement soumise aux Articles 9 à 15 en tant qu'opérateur. Pas de seuil de chiffre d'affaires ou d'effectif pour les obligations haut risque.

Erreur 2 — Confondre risque limité et absence d'obligation. Un chatbot service client est risque limité — mais il a des obligations de transparence obligatoires : informer l'utilisateur qu'il dialogue avec un système IA, ne pas se faire passer pour humain, permettre à l'utilisateur de demander à parler à un humain. Ces obligations sont en vigueur depuis août 2026 (et depuis août 2025 pour les fournisseurs de modèles GPAI). Un chatbot service client déployé sans mention IA est déjà non conforme.

Erreur 3 — Oublier d'informer et consulter le CSE. Le Code du travail français (articles L.2312-38 et L.2312-7) impose une information-consultation obligatoire du Comité Social et Économique avant tout déploiement d'un outil de suivi de l'activité des salariés ou d'un système IA ayant une incidence sur les conditions de travail. Ce n'est pas une obligation AI Act — c'est une obligation de droit social français. Les deux s'appliquent en parallèle. Un déploiement sans consultation CSE préalable expose l'entreprise à un délit d'entrave (article L.2317-1) et à la nullité de la procédure.

Erreur 4 — Penser qu'un fournisseur « conforme AI Act » décharge l'entreprise utilisatrice. L'AI Act distingue les fournisseurs (ceux qui développent ou mettent sur le marché le système IA) et les opérateurs (ceux qui le déploient en entreprise). Même si votre fournisseur SaaS se déclare « AI Act compliant », vous restez opérateur avec vos propres obligations : vérifier que le système est bien adapté à votre cas d'usage, informer vos utilisateurs, maintenir une supervision humaine effective, tenir un registre AI Act, conduire une analyse des risques. En cas d'incident, la responsabilité se partage entre fournisseur et opérateur.

Erreur 5 — Attendre que la réglementation soit « clarifiée ». L'AI Act est publié depuis juin 2024, en vigueur depuis août 2024. Les Annexes III (haut risque) et IV (documentation technique) sont des textes définitifs, pas des projets. Certes, des actes délégués de la Commission européenne viendront préciser certains points — mais les obligations fondamentales sont gravées dans le texte depuis maintenant deux ans. Attendre crée un retard de mise en conformité incompressible : l'audit, la documentation Annexe IV et les correctifs techniques d'un système haut risque prennent 10 à 20 semaines. Avec août 2026 comme échéance, les entreprises qui n'ont pas encore démarré sont en zone rouge.

#Conformité AI Act et RGPD — Les deux s'appliquent cumulativement

L'AI Act et le RGPD ne se substituent pas l'un à l'autre. Ils s'appliquent simultanément, avec des obligations qui se renforcent mutuellement et des sanctions qui s'accumulent.

La DPIA reste obligatoire en parallèle de la documentation Annexe IV AI Act. Un système IA haut risque qui traite des données personnelles devra produire à la fois la documentation Annexe IV AI Act (obligation du Règlement 2024/1689) et une analyse d'impact relative à la protection des données (DPIA — obligation de l'Article 35 RGPD). Ces deux documents ont des objectifs partiellement différents : la documentation Annexe IV porte sur les risques pour les droits fondamentaux et la sécurité des personnes (Article 9 AI Act), la DPIA porte spécifiquement sur les risques pour les droits et libertés des personnes physiques au sens de la protection des données personnelles. Sur un agent de scoring crédit, les deux sont nécessaires et non-substituables.

L'Article 10 AI Act (gouvernance des données d'entraînement) renforce les exigences du RGPD sur la qualité des données. Les données d'entraînement d'un système IA haut risque doivent être pertinentes, représentatives, sans erreurs et complètes — ce qui va au-delà de la simple licéité du traitement RGPD et impose des obligations de qualité et de documentation supplémentaires.

Les décisions automatisées combinent l'Article 22 RGPD et l'Article 14 AI Act. L'Article 22 RGPD donne à toute personne le droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques ou la concernant de manière significative. L'Article 14 AI Act impose la supervision humaine effective pour les systèmes haut risque. Les deux convergent vers la même obligation pratique : pas de décision automatisée finale sur une personne physique sans intervention humaine tracée et contestable.

Sanctions cumulatives potentielles. AI Act Article 99 : jusqu'à 15 M€ ou 3 % du CA mondial pour les manquements aux obligations haut risque. RGPD Article 83(4) : jusqu'à 10 M€ ou 2 % du CA mondial pour les infractions aux obligations du responsable de traitement. RGPD Article 83(5) : jusqu'à 20 M€ ou 4 % du CA mondial pour les violations des principes de base du traitement. Sur la même infraction (par exemple, déploiement d'un agent IA de scoring crédit sans documentation Annexe IV, sans DPIA, avec traitement non conforme de données sensibles), le total théorique peut atteindre 35 à 55 M€ selon la nature des violations. C'est le périmètre complet que couvre l'audit AI Act complet Nehos.

#Méthode Nehos AI Act Compliance™ — De l'audit à la conformité continue

La Méthode Nehos AI Act Compliance™ est un cadre de travail développé depuis 2023, structuré en cinq étapes, applicable à tout type de système IA déployé dans une entreprise soumise à l'AI Act.

Étape 1 — Inventaire et cartographie (J1–J5). Recensement exhaustif des systèmes IA existants et en projet via interviews DSI, DPO, directions métier et analyse de la documentation technique disponible. Cartographie des flux de données entre les systèmes IA et les autres systèmes d'information. Identification des fournisseurs tiers (SaaS, APIs LLM, briques IA embarquées dans des logiciels métier) et de leurs positions contractuelles sur l'AI Act.

Étape 2 — Classification (J5–J10). Application de l'arbre de décision AI Act à chaque système inventorié. Qualification article par article (Annexe III, risque limité, risque minimal, ou pratique interdite Article 5). Documentation de la justification de classification avec références réglementaires précises. Identification des systèmes à la frontière (cas ambigus, co-classification possible selon le déploiement précis).

Étape 3 — Analyse d'écarts et roadmap (J10–J15). Pour chaque système haut risque identifié : analyse des 7 obligations Articles 9–15 et de l'Annexe IV — statut actuel (conforme, partiellement conforme, non conforme), effort estimé pour atteindre la conformité, priorité selon l'échéance applicable. Production de la roadmap consolidée priorisée.

Étape 4 — Production documentaire et correctifs techniques (4–16 semaines). Rédaction de la documentation Annexe IV pour chaque système haut risque. Mise en place ou renforcement des mécanismes de supervision humaine (Article 14), de journalisation (Article 12), et d'audit biais (Article 10). Mise à jour des notices de transparence utilisateur (Article 13). Préparation du dossier d'information-consultation CSE pour les systèmes décisionnels affectant les salariés.

Étape 5 — Conformité continue (récurrent). Audit biais trimestriel automatisé (Aequitas, Fairlearn). Audit AI Act annuel (révision documentation Annexe IV, vérification maintien des obligations Articles 9–15). Veille réglementaire mensuelle (actes délégués Commission, lignes directrices autorités de contrôle). Mise à jour documentaire à chaque évolution substantielle du système (Article 28 AI Act). Le service conformité Nehos détaille les abonnements MCO disponibles.

#ROI mesurable — Cas ETI SaaS RH mise en conformité avant échéance août 2026

Cas client : scale-up HR tech française éditant un ATS SaaS B2B (confidentiel, NDA). 80 000 candidats traités par an pour le compte de ses clients ETI utilisateurs. Module IA de matching et scoring CV déployé depuis 2023 sur stack OpenAI Azure — non conforme AI Act haut risque Annexe III par construction (transfert de données candidat hors UE, absence de documentation Annexe IV, audit biais inexistant, supervision humaine non by design).

Mission Nehos (16 semaines). Audit de classification : confirmation haut risque Annexe III point D (emploi) et analyse d'écarts sur les 7 obligations Articles 9–15. Migration de la stack OpenAI Azure vers Mistral Large 2 auto-hébergé OVHcloud France (garantie de non-transfert hors UE). Production complète de la documentation Annexe IV (8 composants). Mise en place de l'audit biais trimestriel automatisé (Aequitas + Fairlearn) sur les outputs du module scoring. Refonte de l'interface recruteur pour intégrer la supervision humaine by design (Article 14) : affichage des facteurs de scoring, possibilité de contester et de documenter la décision finale du recruteur indépendamment du score IA. Journalisation immutable des décisions via Postgres pgaudit (Article 12). Rédaction de la charte de transparence candidat white-label (Article 13), distribuée aux clients ETI utilisateurs. Enregistrement au registre EU IA.

Investissement total : 280 k€ HT sur 16 semaines. Résultats à 18 mois post-déploiement : conformité AI Act haut risque validée par audit externe indépendant. Zéro contentieux candidat sur les décisions automatisées. Performance du module de matching maintenue (+3 % NDCG vs l'ancien modèle OpenAI). Argument commercial différenciant fort vs concurrents non-conformes lors des renouvellements de contrats ETI (plusieurs clients ont explicitement cité la conformité AI Act dans leur décision de renouvellement). Voir cas clients scale-up HR tech conformité AI Act.

#Tarification — 18 à 90 k€ HT

Deux fourchettes principales selon la classification du système IA et la complexité du périmètre.

Systèmes risque limité (chatbots, assistants conversationnels, générateurs de contenu — obligations de transparence uniquement). Audit de classification + documentation de transparence utilisateur + notice Article 13 : 18 à 35 k€ HT, délai 4 à 8 semaines. Adapté aux entreprises déployant des chatbots service client, des assistants de génération de contenu marketing ou des outils de synthèse documentaire sans dimension décisionnelle.

Systèmes haut risque Annexe III (agents RH, scoring crédit, triage médical, agents juridiques décisionnels, outils de sélection en formation). Audit approfondi + documentation Annexe IV complète (8 composants) + correctifs techniques (supervision humaine, journalisation, audit biais initial et automatisé) + enregistrement registre EU IA + préparation dossier CSE le cas échéant : 45 à 90 k€ HT, délai 10 à 20 semaines selon complexité et nombre de systèmes à mettre en conformité.

Périmètre multi-systèmes ou chaîne fournisseur–opérateur (éditeurs SaaS avec plusieurs modules IA, intégrateurs gérant la conformité pour le compte de leurs clients) : sur devis, généralement 90 à 180 k€ HT selon le nombre de systèmes et la complexité de la chaîne de responsabilité.

MCO conformité continue (abonnement annuel) : 3 500 à 8 000 € HT/an selon le nombre de systèmes surveillés. Comprend audit biais trimestriel automatisé, audit AI Act annuel, veille réglementaire mensuelle, mise à jour documentaire sur évolutions mineures. Estimation précise en 30 minutes : [Réserver un RDV audit AI Act](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe Les agents IA Nehos peuvent être mis en conformité dans le même périmètre projet pour les entreprises souhaitant déployer et mettre en conformité simultanément.