Nehos Groupe

L'essentiel sur l'audit AI Act et la mise en conformité

L'AI Act (Règlement UE 2024/1689) est en application complète pour les systèmes haut risque à compter du 2 août 2026. Sanctions : jusqu'à 560 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 99) à partir de 3,8 M€ ou 3 % pour les manquements haut risque. Concerne aussi les déployeurs (« utilisateurs professionnels »), pas seulement les fournisseurs de modèles.

Notre audit Nehos dure 1 à 2 jours pour à partir de 1 522 € fixe. Output : inventaire exhaustif des systèmes IA, classification en 4 niveaux (interdit, haut risque, risque limité, risque minimal), gap analysis Annexe III si haut risque, plan d'action chiffré sur 12 à 26 semaines. Méthode propriétaire AI Act Compliance Nehos™ en 7 étapes.

Si haut risque (RH/recrutement, scoring crédit, biométrie, justice prédictive, infrastructure critique, aide sociale automatique, scoring solvabilité assurance vie) : mise en conformité de 12 à 26 semaines, budget à partir de 51 k€ HT selon nombre de systèmes. Livrables : DPIA, documentation Annexe IV, registre AI Act, charte gouvernance interne, désignation CAIO et comité éthique, formation Qualiopi des équipes.

L'AI Act s'articule avec le RGPD (CNIL), DORA (ACPR pour banque, AMF pour finance), NIS2 (ANSSI), réglementations sectorielles. On le traite en cohérence, pas en silo. On n'est pas avocat — pour les contentieux ou interprétations litigieuses, on travaille en co-prestation avec Bird & Bird, De Gaulle Fleurance, Lexing.

Audit AI Act conformité Règlement UE 2024/1689

Audit AI Act + mise en conformité Règlement UE 2024/1689. Classification 4 niveaux, Annexe III, DPIA, registre AI Act, CAIO. Audit à partir de 1 522 € fixe. Méthode AI...

Adapté à toute taille de structure

Artisan
Startup
PME / TPE
ETI
Grand Groupe

#1. Pourquoi un audit AI Act maintenant

L'AI Act (Règlement UE 2024/1689) est entré en vigueur le 2 février 2025 avec une application progressive sur 24 mois. Échéance critique : 2 août 2026 pour les systèmes classés haut risque (Annexe III). À cette date, votre organisation doit pouvoir prouver, document à l'appui, que chaque système IA déployé est classifié, documenté, supervisé, journalisé, et que vous avez une gouvernance interne capable d'auditer la chaîne (CAIO ou Compliance Officer IA, comité éthique, processus de revue annuelle).

Sanctions du Règlement (article 99) : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites (article 5 — notation sociale, manipulation comportementale, identification biométrique temps réel dans l'espace public hors exceptions). 15 M€ ou 3 % du CA mondial pour les manquements aux obligations des systèmes haut risque (articles 8-15) ou aux obligations des fournisseurs de modèles d'IA à usage général. 7,5 M€ ou 1 % pour les obligations de transparence (article 50, deepfakes, chatbots). Ces sanctions sont applicables aux deux parties : fournisseur de modèles (Mistral, OpenAI, Anthropic, Microsoft) et déployeur — si vous achetez Copilot pour faire du scoring RH, vous êtes responsable de la classification haut risque, pas Microsoft.

Notre approche : un audit 1-2 jours suffit pour cartographier un parc IA d'une ETI (jusqu'à 30 systèmes / agents / modèles fine-tunés). Pour un grand groupe avec plus de 50 systèmes IA, on prévoit 3 à 5 jours d'audit. Le livrable est exploitable immédiatement par la direction juridique, le DPO et le RSSI.

#2. Méthode AI Act Compliance Nehos™

Méthode propriétaire déposée à l'INPI en février 2026, enseignée en formation Qualiopi sous l'organisme KBC Solutions SAS (identifiant 76311234500031). Sept étapes documentées dans la fiche méthode complète :

  1. Cadrage stack IA et inventaire exhaustif — Tous les systèmes IA en production, POC, ou planifiés sur 12 mois. Y compris les outils achetés sur étagère (Copilot, ChatGPT Enterprise, Claude for Work, Notion AI, Salesforce Einstein). C'est l'étape sous-estimée : 70 % des systèmes IA d'une ETI sont des SaaS achetés sur étagère, jamais inventoriés.

  2. Classification AI Act par niveau de risque — Application de la grille à chaque système. Interdit (article 5), haut risque (article 6 + Annexe III), risque limité (article 50 — obligation de transparence pour chatbots et deepfakes), risque minimal (filtres spam, recommandation produit grand public). La classification haut risque dépend d'usages métier listés à l'Annexe III : RH (recrutement, évaluation, promotion, licenciement), scoring crédit (article 6 §1 b), accès à l'éducation, prestations sociales essentielles, infrastructures critiques, justice prédictive, contrôle migratoire, identification biométrique.

  3. Gap analysis vs Annexe III + articles 8-15 — Pour chaque système haut risque, comparaison ligne à ligne avec : gestion des risques continue (art. 9), gouvernance des données (art. 10 — qualité, biais, données représentatives), documentation technique Annexe IV (art. 11), journalisation immuable (art. 12), transparence vis-à-vis du déployeur (art. 13), supervision humaine (art. 14), exactitude robustesse cybersécurité (art. 15).

  4. Gouvernance interne, CAIO, registre AI Act — Désignation d'un Chief AI Officer ou Compliance Officer IA (article 26 §7 pour les déployeurs). Mise en place du registre AI Act propriétaire (article 9) : nomenclature interne des systèmes, leurs classifications, leurs propriétaires métier, leurs DPIA, leurs revues. Si vous êtes un déployeur public ou >50 M€ CA en banque/finance, le CAIO devient une obligation de fait — pas optionnelle.

  5. Documentation technique Annexe IV — Pour chaque système haut risque : description, méthode d'entraînement, données utilisées, performance, biais identifiés et mitigés, instructions utilisateur. C'est cette documentation que produit le fournisseur — mais en tant que déployeur, vous devez l'exiger contractuellement et l'archiver.

  6. Supervision humaine, transparence, audit indépendant — Implémentation des contrôles techniques + organisationnels : human in the loop sur les décisions haut risque (art. 14), affichage utilisateur (art. 13 + 50), journalisation immuable sur 6 mois minimum (art. 12), audit indépendant annuel pour les systèmes haut risque.

  7. Revue annuelle conformité — Audit annuel obligatoire, mise à jour du registre, réévaluation des classifications (un système peut basculer de risque limité à haut risque selon ses usages), alignement avec les évolutions CNIL/EDPB et les guidelines de l'AI Office.

#3. Cas d'usage haut risque — où on intervient le plus

  • Scoring crédit / solvabilité (banque, fintech, assurance vie) : article 6 §1 b de l'Annexe III. Mise en conformité combinée DORA pour les banques (sous régulation ACPR / EBA) — on traite les deux en une seule mission (voir audit DORA).
  • Recrutement IA / scoring CV / évaluation collaborateurs : Annexe III §4. Forte demande HR tech post-2024 (Talentsoft, Workday, ATS internes). Voir secteur RH & Formation.
  • Computer vision sécurité, biométrie, identification dans espace public : article 5 (interdictions sauf exceptions) et Annexe III §1. Cases collectivités + retail (anti-vol).
  • Justice prédictive, contentieux assisté IA : Annexe III §8. Très peu de déploiements en France, mais sujet émergent côté professions réglementées.
  • Aide sociale automatique, attribution prestations : Annexe III §5. Sujet collectivités + Pôle emploi / France Travail / CAF. Voir secteur Collectivités.
  • Assistants IA conversationnels B2C en banque-assurance : si l'assistant influence l'éligibilité à un service (crédit, contrat assurance), classification haut risque probable.
  • Pilotage industriel + maintenance prédictive énergie : Annexe III §2 (infrastructures critiques). Voir secteur Énergie & Industrie.

#4. Livrables de la mission Nehos

  1. Classification documentée — Tableau de chaque système IA avec sa catégorie AI Act, justification réglementaire (article + alinéa), niveau de criticité, propriétaire métier interne.
  2. Documentation technique Annexe IV — Trame éditable par système haut risque. On la rédige avec les équipes data/IA, on ne se contente pas de fournir un template.
  3. Registre AI Act (article 9) — Format propriétaire Nehos compatible export CSV / API, prêt à présenter en audit autorité. Versioning Git, audit trail immuable.
  4. DPIA AI Act haut risque — Analyse d'impact spécifique IA, complémentaire au DPIA RGPD. Couvre biais, supervision humaine, robustesse, scénarios de défaillance.
  5. Plan de supervision humaine — Pour chaque système haut risque : qui supervise, quand, comment, escalade en cas de décision contestée par l'utilisateur final. Indispensable à l'article 14.
  6. Charte de gouvernance interne — Désignation CAIO + comité éthique IA (juridique, DPO, RSSI, métier, science). Format charte signée par la direction.
  7. Formation équipes Qualiopi — Session 1 à 3 jours sur l'AI Act et les obligations internes. Organisme KBC Solutions SAS (Qualiopi). Finançable OPCO.

#5. Tarification transparente

  • Audit AI Act 1-2 jours : 9 500 € HT fixe pour parc IA jusqu'à 30 systèmes. Au-delà, devis personnalisé.
  • Mise en conformité haut risque, 1 à 3 systèmes : 60 à 90 k€ HT, 12 à 16 semaines.
  • Mise en conformité haut risque, 4 à 10 systèmes (typique ETI banque/assurance/HR tech) : 90 à 180 k€ HT, 18 à 26 semaines.
  • MCO conformité (audit annuel + maintien registre + veille) : forfait 18-36 k€/an selon scope.
  • Formation Qualiopi équipes (3 j) : 9 800 € HT pour 12 personnes, finançable OPCO.

Tous nos devis sont signés Comex + DPO + RSSI côté client avant démarrage. Pas de surfacturation, pas de dérive scope.

#6. Articulation avec les autres réglementations

  • RGPD (CNIL) — Le DPIA AI Act vient compléter le DPIA RGPD, ne le remplace pas. On les produit en cohérence, avec une trame unifiée.
  • DORA (Règlement UE 2022/2554) — Pour banque et fintech sous régulation ACPR / EBA. AI Act et DORA se croisent sur la résilience opérationnelle et le monitoring tiers ICT (votre fournisseur d'IA = tiers ICT critique). Voir audit DORA dédié.
  • NIS2 (Directive UE 2022/2555) — Cybersécurité entités essentielles + importantes. La résilience des systèmes IA haut risque (article 15 AI Act) recoupe les exigences NIS2 monitoring + reporting incident. Voir audit NIS2.
  • Sectorielles — ACPR (banque-assurance), AMF (marchés financiers), CNIL (data, secteur public), DGCCRF (consommation), ARS (santé). Chaque autorité publie ou prépare ses guidelines d'application AI Act.
  • RGAA accessibilité numérique — Si votre système IA produit des interfaces publiques (collectivités), vérification RGAA 4.1 nécessaire en parallèle. Voir audit RGAA.

#7. Pourquoi Nehos sur ce dossier

On n'est pas avocat — on est intégrateur tech qui maîtrise les référentiels et qui livre des artefacts conformes (documentation Annexe IV, registre, code de supervision humaine, intégrations monitoring DORA-compatible). Notre Compliance Officer chapeau (Foued Cherni, CEO) coordonne la mission. Co-référent technique : Chokri Siala, CTO. Pour la consultation juridique pure (interprétation d'un article, contentieux ARCOM/CNIL/AI Office), on travaille en co-prestation avec Bird & Bird, De Gaulle Fleurance, Lexing. Vous obtenez la cohérence intégration tech + référentiel + juridique sans avoir à coordonner trois prestataires.

Démarrage en standard : 2 semaines après devis signé. Audit livrable sous 3 semaines après démarrage.

Questions & Réponses

Questions fréquentes — Audit AI Act et mise en conformité

Toutes les organisations qui *fournissent* ou *déploient* un système IA dans l'Union européenne — y compris si elles sont basées hors UE. Trois statuts clés du Règlement UE 2024/1689 : fournisseur (article 3 §3, met sur le marché un système IA), déployeur (article 3 §4, utilise un système IA dans son activité professionnelle), importateur/distributeur. Concrètement : si vous utilisez Copilot Microsoft pour faire du tri de CV, vous êtes déployeur d'un système haut risque (Annexe III §4) et la responsabilité juridique vous incombe — pas à Microsoft. C'est le déclic qui prend la plupart des dirigeants de cours.
Application progressive sur 24 mois. **2 février 2025** : interdictions article 5 (notation sociale, manipulation, biométrie temps réel dans espace public) — déjà en vigueur. **2 août 2025** : obligations applicables aux modèles d'IA à usage général (GPAI) et désignation des autorités nationales compétentes. **2 août 2026** : application complète des obligations haut risque (Annexe III, articles 8-15) — c'est l'échéance critique. **2 août 2027** : obligations pour les systèmes haut risque listés à l'Annexe I (jouets, dispositifs médicaux, véhicules) — produits soumis à harmonisation.
L'AI Act traite des systèmes d'intelligence artificielle quel que soit leur usage (avec ou sans données personnelles). Le RGPD traite des traitements de données à caractère personnel (avec ou sans IA). Les deux se croisent : si votre système IA traite des données personnelles, vous êtes soumis aux **deux**. En pratique : DPIA AI Act + DPIA RGPD, registre AI Act (article 9) + registre RGPD (article 30). Notre méthode produit les artefacts en cohérence pour éviter le double travail. La CNIL est l'autorité référente sur le volet données, l'AI Office européen + autorités nationales (en France probablement DGE + CNIL co-saisies) sur le volet IA.
**12 à 26 semaines** selon le nombre de systèmes IA classés haut risque, leur complexité, et la maturité de votre gouvernance. 1 à 3 systèmes simples (ex : assistant IA bien périmé) : 12-16 semaines, budget à partir de 51 k€ HT. 4 à 10 systèmes (typique ETI banque, assurance, HR tech, fintech) : 18-26 semaines, budget 221 k€ HT. Ce délai inclut : audit initial 1-2 jours, classification 1 semaine, gap analysis Annexe III 2-3 semaines, production documentation Annexe IV + DPIA AI Act 4-8 semaines, implémentation supervision humaine + journalisation 4-8 semaines, formation équipes Qualiopi 1 semaine, validation finale. Pour respecter l'échéance 2 août 2026, démarrage idéal avant mars 2026.
Trois niveaux gradués par l'article 99 du Règlement. **Niveau 1** : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial (le plus élevé des deux) pour les pratiques interdites article 5 — notation sociale, manipulation comportementale exploitant vulnérabilités, identification biométrique temps réel dans espace public hors exceptions strictes. **Niveau 2** : jusqu'à 15 M€ ou 3 % du CA mondial pour les manquements obligations haut risque (articles 8-15) et les obligations applicables aux modèles GPAI. **Niveau 3** : jusqu'à 7,5 M€ ou 1 % du CA mondial pour la transmission d'informations incorrectes aux autorités. Ces plafonds sont applicables au groupe consolidé pour les entreprises, ce qui peut donner des montants vertigineux pour un grand groupe industriel.
Le Règlement n'impose pas explicitement un CAIO, mais l'**article 26 §7** oblige les déployeurs de systèmes haut risque qui sont des autorités publiques ou des entités exerçant des activités d'intérêt public à désigner une personne responsable. En pratique, devient quasi-obligatoire dès lors que : vous êtes un déployeur public (collectivité, État, opérateur de service public), une banque ou assurance >49,6 M€ CA, une HR tech avec plusieurs systèmes haut risque, ou une organisation avec plus de 5 systèmes IA en production. Le CAIO peut être un Compliance Officer existant à qui on ajoute le périmètre AI Act, ou un poste dédié. Notre reco : en ETI, un Compliance Officer IA cumulant DPO + AI Act fonctionne très bien si bien dimensionné.
Oui, sur le volet documentation et préparation de dossier. On produit l'ensemble des artefacts conformes (registre article 9, documentation technique Annexe IV, DPIA AI Act, plan supervision humaine), on prépare les éléments de réponse aux questionnaires autorités (CNIL, ACPR, autorité nationale IA française quand elle sera désignée — vraisemblablement DGE en collaboration CNIL). On vous accompagne en présentation orale si l'autorité demande une audition. On *n'est pas* avocat, donc pour le contentieux ou la défense juridique en cas de procédure contradictoire, on coordonne avec nos partenaires Bird & Bird ou De Gaulle Fleurance en co-prestation. Cette articulation tech + juridique fonctionne bien — on l'a déjà éprouvée sur des dossiers DORA côté ACPR.
On traite ces référentiels en cohérence, pas en silo. **AI Act + RGPD** : DPIA unifié (un seul document avec sections AI Act et sections RGPD), registre commun. **AI Act + DORA** (banque, assurance, fintech sous ACPR/EBA) : monitoring tiers ICT (DORA article 28) inclut vos fournisseurs IA. Audit AI Act + audit DORA combinés sont fréquents — voir [audit DORA dédié](/services/conformite/audit-dora). **AI Act + NIS2** : la résilience des systèmes IA haut risque (article 15) recoupe le monitoring NIS2. Voir [audit NIS2](/services/conformite/audit-nis2). Pour la banque mutualiste qu'on a accompagnée en 2025, on a livré audit AI Act + DORA + NIS2 en une seule mission 18 semaines — économie estimée 35 % vs missions séparées.

Exploration associée

Conformité numérique Nehos — pilier servicesMéthode AI Act Compliance Nehos™ en 7 étapesaudit AI Act dédié Agence IAaudit DORA dédiéaudit NIS2audit RGAA accessibilitédéfinition AI Actdéfinition DPIAdéfinition DORA Actdéfinition NIS2secteur Banque, Assurance & Financesecteur Collectivités & Service Publicsecteur RH & Formationsecteur Énergie & IndustrieAI Act : obligations concrètes pour chaque entreprise françaiseDORA Act : 5 obligations IT en vigueur depuis janvier 2025Facturation électronique 2026 : Chorus Pro, PDP, NF203
Réserver un audit