Conformité numérique 2026 — AI Act, DORA, NIS2, RGESN, RGAA, NF525, NF203

#Conformité numérique — quand le calendrier réglementaire devient un calendrier projet

Pendant quinze ans, la conformité numérique s'est résumée à un sujet : le RGPD. Un délégué à la protection des données, un registre de traitements, des bandeaux de consentement, et l'essentiel était couvert. Cette période est terminée. Une DSI européenne doit aujourd'hui composer avec au moins six corpus réglementaires distincts, portés par des autorités différentes, aux calendriers non alignés, et qui touchent tous au même endroit : le code, l'architecture et les contrats fournisseurs.

Le changement de nature est là. L'AI Act, DORA, NIS2 et le Cyber Resilience Act ne demandent pas de produire des documents : ils demandent de modifier des systèmes. Un registre de traitements se rédige. Une supervision humaine sur un système d'IA à haut risque, un test de pénétration fondé sur la menace, une notification d'incident sous 24 heures ou une remédiation d'accessibilité sur un système de composants ne se rédigent pas — ils se développent, se testent et se déploient. C'est précisément pour cela qu'un cabinet juridique seul ne suffit pas, et qu'une agence technique qui ne lit pas les textes ne suffit pas non plus.

Notre position est assumée : nous ne sommes pas avocats, nous sommes intégrateurs. Nous lisons les règlements, nous les traduisons en exigences techniques, nous auditons l'existant, nous implémentons les correctifs dans le code et les processus, et nous outillons le maintien dans le temps. Sur les questions d'interprétation juridique fine, nous travaillons avec vos conseils ou nous vous orientons vers des cabinets spécialisés.

Cette page fait le tour des textes qui s'appliquent réellement en 2026, avec leurs références exactes et leurs échéances. Elle renvoie vers nos pages détaillées : audit AI Act, audit DORA, audit NIS2, audit RGAA, RGESN, audit CSRD, Cyber Resilience Act, European Accessibility Act, NF525, facturation électronique NF203 et transferts de données hors UE.

#Cartographie 2026 : quel texte s'applique à qui

Avant de lancer un chantier, il faut savoir lesquels vous concernent. Beaucoup d'organisations découvrent leur assujettissement à NIS2 ou à l'AI Act six mois trop tard, parce que le déclencheur n'est pas leur secteur d'activité principal mais un critère de taille ou un usage périphérique.

Texte	Référence exacte	Qui est concerné	Échéance clé
AI Act	Règlement (UE) 2024/1689	Fournisseurs et déployeurs de systèmes d'IA mis sur le marché ou utilisés dans l'UE	Interdictions et littératie depuis le 2 février 2025 ; obligations GPAI depuis le 2 août 2025 ; application générale au 2 août 2026
DORA	Règlement (UE) 2022/2554	Entités financières (banques, assurances, entreprises d'investissement, prestataires de services sur crypto-actifs) et leurs prestataires TIC	Applicable depuis le 17 janvier 2025
NIS2	Directive (UE) 2022/2555	Entités essentielles et importantes dans 18 secteurs, au-dessus des seuils de taille	Transposition attendue au 17 octobre 2024 ; mise en œuvre nationale en cours
RGAA 4.1	Art. 47 de la loi n° 2005-102 ; décret n° 2019-768	Secteur public, délégataires de service public, entreprises privées dont le chiffre d'affaires France dépasse 250 M€	En vigueur
European Accessibility Act	Directive (UE) 2019/882	Produits et services grand public : e-commerce, banque, transport de voyageurs, livres numériques	Applicable depuis le 28 juin 2025
RGESN	Loi REEN n° 2021-1485, art. 25 ; référentiel ARCEP 2024	Services numériques publics ; recommandé et souvent exigé en marché public	Référentiel publié en mai 2024
CSRD	Directive (UE) 2022/2464 ; ESRS règlement délégué (UE) 2023/2772	Grandes entreprises et PME cotées, par vagues	Vagues 2 et 3 reportées de deux ans par la directive (UE) 2025/794
Cyber Resilience Act	Règlement (UE) 2024/2847	Fabricants de produits comportant des éléments numériques, y compris logiciels	Notification des vulnérabilités exploitées au 11 septembre 2026 ; application complète au 11 décembre 2027
Facturation électronique	Loi de finances pour 2024, art. 26	Toutes les entreprises assujetties à la TVA en France	Réception obligatoire au 1er septembre 2026 ; émission généralisée au 1er septembre 2027

Deux pièges reviennent systématiquement. Le premier : croire que l'AI Act ne concerne que ceux qui développent de l'IA. Il s'applique aussi au déployeur, c'est-à-dire à toute organisation qui utilise un système d'IA sous sa propre autorité, y compris un outil acheté sur étagère. Le second : croire que NIS2 ne vise que les opérateurs d'importance vitale. Le périmètre a été considérablement élargi par rapport à la directive NIS de 2016, et il attrape beaucoup d'ETI industrielles, de fabricants, de prestataires de services numériques et de gestionnaires de déchets qui ne se pensaient pas concernés.

Pour un premier test rapide, utilisez le quiz de classification AI Act, le test de conformité AI Act par niveau de risque et la checklist DORA et NIS2.

#AI Act — règlement (UE) 2024/1689

#Le calendrier réel, article par article

Le règlement est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'Union européenne du 12 juillet 2024. Son application est échelonnée :

• 2 février 2025 : entrée en application des pratiques interdites (article 5) et de l'obligation de maîtrise de l'IA (article 4), qui impose à tout fournisseur et déployeur de garantir un niveau suffisant de compétence en IA chez les personnes qui opèrent ces systèmes. C'est l'obligation la plus ignorée du texte, et l'une des plus simples à traiter : elle relève de la formation.
• 2 août 2025 : obligations relatives aux modèles d'IA à usage général (chapitre V), mise en place de la gouvernance européenne et nationale, et entrée en vigueur du régime de sanctions.
• 2 août 2026 : application générale du règlement, incluant les systèmes à haut risque relevant de l'annexe III et les obligations de transparence de l'article 50.
• 2 août 2027 : systèmes à haut risque relevant de l'article 6, paragraphe 1, c'est-à-dire ceux intégrés à des produits déjà couverts par la législation d'harmonisation de l'Union ; mise en conformité des modèles à usage général mis sur le marché avant août 2025.

Une réserve d'honnêteté : la Commission a présenté fin 2025 un paquet de simplification numérique qui propose d'ajuster certaines de ces échéances pour les systèmes à haut risque. Tant qu'un texte modificatif n'est pas publié au Journal officiel, le calendrier ci-dessus fait foi. Nous déconseillons fermement de bâtir un plan de mise en conformité sur l'hypothèse d'un report : le travail d'inventaire et de documentation reste utile quelle que soit la date finale.

#Les quatre catégories de risque

Le règlement classe les systèmes en quatre niveaux. Risque inacceptable : pratiques interdites depuis février 2025, notamment la notation sociale par les autorités publiques, l'exploitation des vulnérabilités liées à l'âge ou au handicap, la reconnaissance des émotions sur le lieu de travail et dans l'enseignement, et l'identification biométrique à distance en temps réel dans les espaces accessibles au public, sous réserve d'exceptions strictement encadrées.

Haut risque : la liste de l'annexe III couvre la biométrie, les infrastructures critiques, l'éducation et la formation, l'emploi et la gestion des travailleurs, l'accès aux services essentiels — dont l'évaluation de la solvabilité et la tarification en assurance vie et santé —, les forces de l'ordre, la migration et l'asile, ainsi que l'administration de la justice et les processus démocratiques. C'est ici que se trouvent les obligations lourdes : système de gestion des risques, gouvernance des données d'entraînement, documentation technique, journalisation, transparence vis-à-vis du déployeur, contrôle humain effectif, exactitude, robustesse et cybersécurité, système de gestion de la qualité et évaluation de la conformité.

Risque limité : obligations de transparence de l'article 50. L'utilisateur doit savoir qu'il interagit avec une IA, les contenus générés ou manipulés doivent être identifiables, et les hypertrucages doivent être signalés.

Risque minimal : aucune obligation spécifique au titre du règlement, ce qui n'exempte évidemment pas du RGPD.

#Ce qui coince en pratique

Le point de blocage le plus fréquent n'est ni juridique ni technique : c'est l'inventaire. Une ETI découvre régulièrement, en fin d'audit, des usages d'IA non recensés — assistants intégrés à la suite bureautique, outil de tri de candidatures activé par les RH, module de scoring dans un CRM, agent conversationnel branché par une direction métier sans passer par la DSI. Chacun fait de l'organisation un déployeur au sens du règlement.

Deuxième point de blocage : le contrôle humain. L'article 14 n'exige pas qu'un humain valide chaque décision, mais qu'une personne compétente, disposant du temps et des informations nécessaires, puisse comprendre la sortie du système, l'interpréter, décider de ne pas l'utiliser et interrompre le système. Une case « validé par le manager » sur laquelle personne ne peut réellement s'opposer ne satisfait pas cette exigence.

Troisième point : les sanctions de l'article 99, qui atteignent 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, 15 millions ou 3 % pour la plupart des autres manquements, et 7,5 millions ou 1 % pour la fourniture d'informations inexactes aux autorités.

Notre approche est décrite dans la méthode Nehos AI Act Compliance, avec un traitement dédié pour les systèmes d'IA développés sur mesure sur l'audit AI Act et l'audit de conformité AI Act de l'Agence IA. Pour approfondir : la checklist AI Act complète, les obligations pour une entreprise française et le cas particulier des outils de recrutement, qui relèvent du haut risque.

#DORA — règlement (UE) 2022/2554

DORA est applicable depuis le 17 janvier 2025. Contrairement à l'AI Act, il n'y a plus de délai : le texte produit ses effets, et les autorités de supervision — l'ACPR et l'AMF en France, coordonnées par les autorités européennes de surveillance — collectent déjà les livrables.

Le règlement s'articule autour de cinq piliers. La gestion du risque lié aux technologies de l'information et de la communication exige un cadre documenté, approuvé et revu par l'organe de direction, couvrant l'identification des actifs, la protection, la détection, la réponse et le rétablissement. La gestion des incidents impose une classification harmonisée et un enchaînement de notifications aux autorités pour les incidents majeurs. Les tests de résilience vont du test fonctionnel classique aux tests de pénétration fondés sur la menace, alignés sur le cadre TIBER-EU, exigés au moins tous les trois ans pour les entités désignées. La gestion du risque lié aux prestataires tiers est le pilier le plus structurant en pratique : registre d'information des accords contractuels, clauses contractuelles obligatoires, stratégies de sortie documentées, analyse de concentration. Le partage d'informations sur les cybermenaces reste facultatif mais encouragé.

En pratique, deux sujets consomment l'essentiel de l'effort. Le premier est le registre d'information : il exige de recenser chaque contrat de prestation TIC, d'identifier les fonctions critiques ou importantes qu'ils soutiennent, de cartographier les sous-traitants en chaîne et de renseigner un format normalisé. La difficulté n'est pas réglementaire, elle est documentaire : l'information est éclatée entre les achats, le juridique, la DSI et les métiers. Le second est la stratégie de sortie. Écrire « en cas de défaillance du prestataire, nous migrerons vers une alternative » ne suffit pas : il faut démontrer que la migration est techniquement possible, chiffrée et testée. C'est un sujet d'architecture avant d'être un sujet de contrat, et c'est là que notre travail sur la portabilité des stacks rejoint la conformité.

Un point d'attention pour les éditeurs et prestataires : DORA ne s'arrête pas aux entités financières. Si vous fournissez des services informatiques à une banque ou à un assureur, vos contrats seront renégociés pour intégrer les clauses obligatoires, et vous serez sollicités pour alimenter le registre de vos clients.

Voir l'audit DORA, la checklist DORA pour les fintechs, les cinq obligations IT de DORA et notre page secteur banque, assurance et finance. Lorsque la mise en conformité suppose de reprendre un cœur applicatif ancien, elle croise la modernisation legacy.

#NIS2 — directive (UE) 2022/2555

NIS2 remplace la directive NIS de 2016 et élargit considérablement le périmètre. Dix-huit secteurs sont couverts, répartis entre l'annexe I (secteurs hautement critiques : énergie, transports, banque, marchés financiers, santé, eau, infrastructures numériques, services TIC, administration publique, espace) et l'annexe II (services postaux, gestion des déchets, produits chimiques, denrées alimentaires, fabrication, fournisseurs numériques, recherche).

La qualification dépend ensuite de la taille. Schématiquement, les grandes entreprises des secteurs de l'annexe I deviennent des entités essentielles, soumises à une supervision proactive. Les entreprises moyennes de l'annexe I et les entreprises moyennes et grandes de l'annexe II deviennent des entités importantes, soumises à une supervision réactive, déclenchée par un incident ou un signalement. Les sanctions diffèrent : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, jusqu'à 7 millions ou 1,4 % pour les entités importantes.

L'article 21 fixe dix mesures minimales de gestion des risques : analyse des risques et politique de sécurité, gestion des incidents, continuité d'activité et sauvegardes, sécurité de la chaîne d'approvisionnement, sécurité dans le développement et la maintenance, évaluation de l'efficacité des mesures, hygiène informatique et formation, cryptographie, sécurité des ressources humaines et contrôle d'accès, authentification multifacteur.

L'article 20 mérite une lecture attentive par les directions générales : les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre, suivre une formation dédiée, et peuvent être tenus responsables des manquements. Le sujet cesse d'être délégable au RSSI.

Côté français, la transposition a pris du retard par rapport à l'échéance du 17 octobre 2024. L'ANSSI pilote le dispositif et met à disposition des outils permettant de tester son assujettissement. Notre recommandation opérationnelle : ne pas attendre la publication des textes d'application pour lancer l'analyse de risques et l'authentification multifacteur généralisée. Ces travaux prennent des mois, ils sont utiles indépendamment de la contrainte réglementaire, et ils constituent la partie la plus longue du chemin.

Voir l'audit NIS2, le guide NIS2, entité essentielle ou importante, la définition NIS2 et l'architecture zero trust.

#Accessibilité — RGAA 4.1 et European Accessibility Act

#Ce que le RGAA exige réellement

Le référentiel général d'amélioration de l'accessibilité, dans sa version 4.1, compte 106 critères déclinés en 257 tests, alignés sur le niveau AA des WCAG 2.1 et sur la norme européenne EN 301 549. L'obligation découle de l'article 47 de la loi n° 2005-102 du 11 février 2005 et du décret n° 2019-768 du 24 juillet 2019. Elle vise le secteur public, les délégataires de service public, et les personnes morales de droit privé dont le chiffre d'affaires réalisé en France dépasse 250 millions d'euros.

L'obligation ne se limite pas à rendre le site accessible. Elle impose quatre livrables souvent oubliés : la mention du niveau de conformité sur la page d'accueil, une déclaration d'accessibilité publiée et à jour, un schéma pluriannuel de mise en accessibilité couvrant au plus trois ans et accompagné de plans d'action annuels, et un dispositif permettant à un usager de signaler un défaut d'accessibilité. L'ARCOM contrôle et peut prononcer une amende administrative pouvant atteindre 50 000 euros par service en ligne, renouvelable en cas de non-régularisation.

Une remarque de praticien : l'audit de conformité RGAA se fait sur un échantillon de pages représentatif défini par la méthodologie officielle, pas sur l'intégralité du site. Les outils automatisés détectent une part minoritaire des critères — l'essentiel du travail est manuel, au clavier et au lecteur d'écran. Méfiez-vous d'un prestataire qui annonce un audit RGAA complet en deux jours à partir d'un scan.

#European Accessibility Act

La directive (UE) 2019/882 est applicable depuis le 28 juin 2025. Elle change la donne parce qu'elle sort l'accessibilité numérique du seul champ public : elle vise les produits et services destinés aux consommateurs, notamment le commerce électronique, les services bancaires aux consommateurs, les livres numériques, les services de communications électroniques et les services de transport de voyageurs. En France, la transposition est portée par l'ordonnance n° 2023-859 du 6 septembre 2023. Les microentreprises fournissant des services bénéficient d'une exemption, et des périodes transitoires s'appliquent à certains contrats et équipements préexistants.

Concrètement, un site marchand qui n'était soumis à aucune obligation d'accessibilité avant juin 2025 l'est désormais. C'est le principal angle mort que nous rencontrons chez les acteurs du commerce et du retail.

#Le coût de la remédiation tardive

Corriger l'accessibilité après la mise en ligne coûte structurellement plus cher que de la construire dans le système de composants. Les défauts les plus fréquents — contraste insuffisant, alternatives textuelles absentes, formulaires sans libellés associés, pièges au clavier, composants personnalisés sans rôle ARIA correct — sont des défauts de composants, pas de pages. Corrigés à la source, ils se règlent une fois. Corrigés après coup, ils se paient autant de fois qu'il y a de pages.

Voir l'audit RGAA, l'European Accessibility Act, le guide RGAA pour les collectivités, RGAA ou WCAG, notre méthode d'audit d'accessibilité et notre propre déclaration d'accessibilité.

#Empreinte environnementale — RGESN et CSRD

#RGESN

Le référentiel général d'écoconception de services numériques trouve sa base dans l'article 25 de la loi REEN n° 2021-1485 du 15 novembre 2021. La version publiée par l'ARCEP en mai 2024, élaborée avec l'ARCOM, l'ADEME, la DINUM et la CNIL, compte 78 critères répartis en neuf thématiques : stratégie, spécifications, architecture, expérience et interface utilisateur, contenus, front-end, back-end, hébergement et algorithmie. La version initiale publiée par la DINUM en 2022 en comptait 79, ce qui explique les écarts de chiffrage qu'on croise encore dans la documentation.

Sa portée juridique est plus douce que celle des règlements européens : le référentiel fonctionne par déclaration d'écoconception. Son effet pratique est réel dans deux situations. Dans la commande publique, où il apparaît de plus en plus souvent comme critère d'évaluation des offres — un dossier faible sur ce volet perd des points. Et pour les communes et intercommunalités de plus de 50 000 habitants, tenues d'élaborer une stratégie numérique responsable au titre de la même loi.

Les critères les plus discriminants dans nos audits sont rarement exotiques : dimensionnement et format des médias, absence de lecture automatique de vidéo, mise en cache, sobriété des polices et des scripts tiers, durée de conservation des données, et surtout la capacité à documenter des choix d'architecture. Les mêmes optimisations servent la performance et l'accessibilité — c'est le meilleur exemple de convergence entre référentiels.

Voir notre offre RGESN, le calculateur d'empreinte carbone d'un site, l'audit RGAA et RGESN gratuit, notre étude sur l'état de conformité RGESN des collectivités et l'écoconception numérique.

#CSRD

La directive (UE) 2022/2464 impose un rapport de durabilité normalisé, dont le contenu est fixé par les normes ESRS du règlement délégué (UE) 2023/2772. La transposition française repose sur l'ordonnance n° 2023-1142 du 6 décembre 2023. Le calendrier initial par vagues a été modifié : la directive (UE) 2025/794 du 14 avril 2025, dite « stop the clock », a reporté de deux ans l'entrée dans le dispositif des deuxième et troisième vagues, tandis qu'une révision des seuils et du contenu des normes restait en discussion au niveau européen. Là encore, vérifiez l'état du texte avant de figer un planning.

Pourquoi une agence technique s'intéresse-t-elle à la CSRD ? Parce que le rapport de durabilité est avant tout un problème de données. Il faut collecter des indicateurs auprès de dizaines de systèmes internes et de fournisseurs, tracer leur origine, garantir leur auditabilité, et produire un rapport balisé en XBRL. Les organisations qui traitent la CSRD dans un tableur reproduisent chaque année le même travail et échouent au premier contrôle de traçabilité. Construire une chaîne de collecte, un référentiel d'indicateurs et un socle de restitution est un projet de développement, pas un projet de reporting.

Voir l'audit CSRD, le guide CSRD pour les ETI, automatiser le reporting ESG, la définition CSRD et les normes ESRS.

#Les textes qu'on oublie : CRA, facturation électronique, NF525, transferts de données

Le Cyber Resilience Act — règlement (UE) 2024/2847. Entré en vigueur le 10 décembre 2024, il impose des exigences de cybersécurité aux produits comportant des éléments numériques, catégorie qui inclut les logiciels commercialisés. Deux échéances : la notification des vulnérabilités activement exploitées et des incidents graves devient obligatoire le 11 septembre 2026, et l'application complète intervient le 11 décembre 2027. Pour un éditeur de logiciel, cela signifie une politique de divulgation coordonnée, une nomenclature des composants logiciels, une durée de support définie et des mises à jour de sécurité pendant toute cette durée. C'est le texte le plus sous-estimé du corpus actuel chez les éditeurs français. Voir notre page CRA et la définition du Cyber Resilience Act.

La facturation électronique. L'article 26 de la loi de finances pour 2024 fixe l'obligation de réception des factures électroniques pour toutes les entreprises assujetties à la TVA au 1er septembre 2026, avec l'obligation d'émission pour les grandes entreprises et les ETI à la même date, puis pour les PME et micro-entreprises au 1er septembre 2027. Le dispositif repose sur des plateformes de dématérialisation partenaires immatriculées par l'administration fiscale, le portail public étant recentré sur l'annuaire et la concentration des données de transaction. Côté système d'information, l'impact est concret : formats normalisés, cycle de vie des factures, gestion des statuts, réconciliation avec l'ERP. Voir NF203 et facturation électronique, le dossier Chorus Pro et PDP et la définition des PDP.

NF525. L'obligation de certification des logiciels de caisse découle de l'article 286-I-3° bis du code général des impôts, applicable depuis le 1er janvier 2018, sous peine d'une amende de 7 500 euros par logiciel non conforme. Évolution importante : la loi de finances pour 2025 a supprimé la possibilité de justifier la conformité par une attestation de l'éditeur, ne laissant subsister que le certificat délivré par un organisme accrédité. Les commerces et restaurateurs équipés d'une caisse simplement « attestée » doivent donc basculer. Voir notre page NF525, le dossier caisse certifiée et le secteur food et restauration.

Transferts de données et souveraineté. Le RGPD reste le socle, et la question des transferts hors Union européenne n'est pas refermée. La décision d'adéquation du 10 juillet 2023 encadrant les transferts vers les États-Unis a résisté à un premier recours devant le Tribunal de l'Union européenne, mais la portée extraterritoriale du droit américain continue de poser un problème d'analyse de risque, en particulier lorsque des données sensibles ou stratégiques sont hébergées chez un fournisseur soumis à ce droit. Notre réponse technique est la portabilité et l'hébergement souverain, avec la qualification SecNumCloud quand le contexte l'exige. Voir Schrems et RGPD strict, la souveraineté numérique, le framework Stack Souveraine, le Cloud Act et la double conformité RGPD et AI Act.

#Le vrai sujet : faire converger les chantiers au lieu de les empiler

L'erreur d'organisation la plus coûteuse que nous observons consiste à ouvrir un chantier par texte, avec un pilote différent, un prestataire différent et un calendrier différent. Six chantiers en silo produisent six fois le même travail d'inventaire, six cartographies incompatibles et un budget qui explose sans que le niveau de conformité réel progresse à proportion.

Or ces textes se recoupent largement. L'inventaire des actifs et des flux de données sert à la fois au RGPD, à NIS2, à DORA et à l'AI Act. La cartographie des fournisseurs sert à DORA, à NIS2 et à la chaîne d'approvisionnement du CRA. Le durcissement de l'authentification et la journalisation servent NIS2, DORA et l'exigence de traçabilité des systèmes d'IA à haut risque. La discipline de performance et de sobriété sert le RGESN, les Core Web Vitals et l'expérience utilisateur. L'accessibilité intégrée au système de composants sert le RGAA et l'European Accessibility Act simultanément.

Notre principe de travail est donc de construire un socle unique : un inventaire des systèmes, des traitements, des modèles d'IA et des prestataires, tenu au même endroit, avec un identifiant stable par actif. Chaque exigence réglementaire vient ensuite s'y accrocher comme un attribut, et non comme un nouveau référentiel. C'est ce qui permet, lorsqu'un nouveau texte arrive, d'ajouter une colonne plutôt que de relancer un audit complet.

Ce socle a une deuxième vertu : il rend la conformité démontrable. Face à une autorité, la question n'est pas « êtes-vous conforme » mais « pouvez-vous le prouver, avec des éléments datés et tracés ». Une documentation générée depuis le système, versionnée et horodatée vaut mieux qu'un classeur de présentations produites la veille du contrôle.

Pour les organisations qui découvrent le sujet, notre page conseil et stratégie digitale décrit l'étape de cadrage amont, et l'audit de conformité de site constitue le point d'entrée le plus rapide.

#Notre méthode : audit, mise en conformité, maintien

#Phase 1 — Audit et qualification (1 à 3 semaines selon le périmètre)

Détermination des textes applicables, inventaire des systèmes, des traitements et des usages d'IA, classification par niveau de risque, analyse d'écart par rapport à chaque exigence. Pour les volets techniques — accessibilité, écoconception, sécurité applicative —, l'audit combine outillage automatisé et vérification manuelle sur un échantillon représentatif. Livrable : un rapport d'écarts, chacun rattaché à un article précis du texte concerné, avec une évaluation de criticité et d'effort.

Nous refusons de produire un rapport qui se contente de lister des non-conformités sans indiquer comment les corriger. Un audit qui ne dit pas quoi faire ensuite est un document, pas un livrable.

#Phase 2 — Plan de mise en conformité (3 à 5 jours)

Priorisation par criticité réglementaire, exposition au risque et effort. Séparation explicite entre ce qui doit être traité avant une échéance datée, ce qui relève d'un chantier structurel et ce qui peut attendre. Identification des convergences entre textes pour ne pas payer deux fois le même travail. Validation avec la direction juridique, le DPO et le RSSI selon les cas.

#Phase 3 — Mise en conformité (4 à 24 semaines selon le périmètre)

Pour les exigences techniques, ce sont des développements : correction des composants d'interface, journalisation, contrôle d'accès, chiffrement, authentification multifacteur, chaîne de collecte de données, mécanismes de supervision humaine, adaptation des formats de facture. Pour les exigences de processus, ce sont des procédures, de la documentation et de la formation : politique de gestion des incidents, procédure de notification, gouvernance de l'IA, schéma pluriannuel d'accessibilité, registre des prestataires.

Nous travaillons systématiquement avec vos équipes internes plutôt qu'à leur place. La conformité doit survivre à la fin de notre mission.

#Phase 4 — Validation et préparation des dossiers

Contre-audit pour vérifier les corrections, production des déclarations et documentations exigées, préparation du dossier lorsqu'un organisme certificateur ou une autorité intervient. Nous préparons le dossier ; nous ne sommes pas l'organisme qui certifie.

#Phase 5 — Maintien dans le temps

C'est la phase que la plupart des organisations oublient de budgéter, et c'est celle qui détermine si la conformité tient. Elle comprend la veille sur l'évolution des textes et des référentiels, les audits périodiques, la vérification de non-régression à chaque livraison — un composant modifié peut casser une conformité d'accessibilité en une journée —, et l'actualisation des inventaires quand un nouveau système ou un nouvel usage d'IA apparaît.

#Ce qu'on fait, ce qu'on ne fait pas

Ce que nous faisons. L'audit technique et organisationnel sur les textes listés ci-dessus. La traduction des exigences réglementaires en spécifications exploitables par une équipe de développement. L'implémentation des correctifs dans le code, quelle que soit la technologie en place. La conception des socles de données nécessaires à la traçabilité. La formation des équipes internes, y compris sur l'obligation de maîtrise de l'IA. L'accompagnement du volet conformité en marché public.

Ce que nous ne faisons pas. Le conseil juridique et l'interprétation contentieuse des textes : c'est le métier des avocats, et nous travaillons avec les vôtres. La certification elle-même : nous préparons les dossiers, les organismes accrédités certifient. Le dépôt de déclarations en votre nom : vous restez juridiquement responsable de vos publications. Les certifications de sécurité relevant de démarches spécialisées longues, comme ISO 27001 ou PCI-DSS de niveau 1, pour lesquelles nous orientons vers des partenaires.

Nous ne promettons pas non plus une conformité « garantie » : l'interprétation des textes évolue, les référentiels sont mis à jour, et l'appréciation finale appartient aux autorités. Ce que nous nous engageons à livrer, c'est un état documenté, démontrable et défendable, avec les écarts résiduels identifiés et assumés plutôt que dissimulés.

Un dernier point. Aucun de ces textes ne demande quelque chose d'absurde. Savoir quels systèmes on exploite, qui accède à quoi, comment on réagit à un incident, comment on rend un service utilisable par une personne handicapée : ce sont des marqueurs d'une organisation qui maîtrise son système d'information. Les projets de conformité que nous menons finissent presque toujours par améliorer des choses que personne n'avait mises au budget. C'est le seul argument qui rende ces chantiers supportables.

Voir aussi notre charte éthique sur l'IA, le secteur collectivités et service public, le secteur RH et formation et notre offre de développement sur mesure lorsque la mise en conformité suppose de reprendre le produit lui-même.

#FAQ — conformité numérique

Par quel texte commencer si nous n'avons rien fait ? Par l'inventaire, pas par un texte. Recensez les systèmes, les traitements de données, les usages d'IA et les prestataires informatiques. Ce travail sert simultanément le RGPD, NIS2, DORA, l'AI Act et le CRA. Ensuite seulement, qualifiez les textes applicables et regardez les échéances datées. Commencer par le texte le plus médiatisé conduit régulièrement à traiter en priorité une obligation qui ne vous concerne pas.

L'AI Act s'applique-t-il si nous utilisons seulement des outils du commerce ? Oui. Le règlement distingue le fournisseur, qui met le système sur le marché, et le déployeur, qui l'utilise sous sa propre autorité. Utiliser un assistant intégré à une suite bureautique, un module de tri de candidatures ou un outil de scoring vous place dans la catégorie des déployeurs, avec des obligations propres — inventaire, transparence envers les personnes concernées, contrôle humain lorsque le système est à haut risque, et maîtrise de l'IA chez les utilisateurs.

Sommes-nous concernés par NIS2 ? La réponse dépend de deux critères cumulatifs : votre secteur figure-t-il aux annexes I ou II de la directive, et franchissez-vous les seuils de taille. Un fabricant industriel de 300 personnes, un prestataire de services informatiques ou un gestionnaire de déchets peuvent être concernés alors qu'ils ne se percevaient pas comme des acteurs critiques. Le raccourci « nous ne sommes pas un opérateur d'importance vitale, donc nous ne sommes pas concernés » est faux depuis NIS2. Notre checklist DORA et NIS2 permet un premier tri.

Quelle différence entre le RGAA et l'European Accessibility Act ? Le RGAA est le référentiel technique français qui décline les WCAG et sert de méthode d'évaluation. L'European Accessibility Act est une directive européenne qui étend l'obligation d'accessibilité à des produits et services destinés aux consommateurs, y compris dans le secteur privé, depuis le 28 juin 2025. En pratique, les exigences techniques convergent : un service conforme au niveau AA des WCAG couvre l'essentiel des deux.

Combien de temps faut-il pour une mise en conformité ? Cela dépend entièrement de l'écart de départ et du périmètre. Un audit se mène en une à trois semaines. La remédiation d'accessibilité sur un système de composants existant se compte en semaines ; la construction d'un cadre de gestion du risque TIC conforme à DORA ou d'une gouvernance de l'IA se compte en mois. La partie la plus longue est presque toujours l'inventaire et la collecte d'informations chez les fournisseurs, pas le développement.

Faut-il un DPO, un responsable IA et un RSSI distincts ? Les textes n'imposent pas trois personnes. Ils imposent que les responsabilités soient attribuées, documentées et exercées avec les moyens nécessaires. Dans une ETI, une même personne peut porter plusieurs casquettes à condition que le temps et la compétence suivent. Ce qui ne fonctionne pas, c'est la nomination symbolique sans mandat ni budget. Voir DPO et CNIL.

Que risque-t-on concrètement en cas de manquement ? Les plafonds sont élevés — jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites par l'AI Act, jusqu'à 10 millions ou 2 % pour les entités essentielles au titre de NIS2, jusqu'à 50 000 euros par service en ligne pour l'accessibilité. Mais dans notre expérience, le risque le plus tangible à court terme n'est pas l'amende : c'est l'éviction d'un appel d'offres, le blocage d'un contrat par la direction des achats d'un grand compte, ou la clause de conformité qu'un client financier vous impose au titre de DORA.

Travaillez-vous avec des avocats ? Oui, en complémentarité. Nous prenons en charge la traduction technique et l'implémentation ; le conseil juridique, l'analyse contentieuse et la négociation contractuelle relèvent de vos conseils. Nous préférons le dire clairement plutôt que de laisser croire qu'une agence technique peut se substituer à un cabinet.

Pouvez-vous intervenir sur un système que vous n'avez pas développé ? Oui, c'est le cas le plus fréquent. Nous auditons et corrigeons sur les technologies en place. Lorsque l'existant est trop dégradé pour être mis en conformité à coût raisonnable, nous le disons et nous chiffrons l'alternative, en nous appuyant sur la modernisation legacy plutôt qu'en empilant des correctifs sur une base condamnée.