Checklist de conformité AI Act
Vous savez que l'AI Act vous concerne, mais vous ne savez pas par où commencer. Voici la checklist concrète, dans le bon ordre : 10 points à cocher pour être en règle, du plus urgent au plus technique. La plupart des entreprises couvrent l'essentiel avec les trois premiers. On vous montre lesquels.
À quoi sert une checklist de conformité AI Act ?
Une checklist de conformité AI Act traduit un règlement de 100 pages en actions concrètes à cocher. Elle vous évite de vous noyer dans le texte juridique et vous fait avancer dans le bon ordre : d'abord l'obligation la plus large et la plus urgente, la formation, puis les points plus techniques selon votre exposition.
Le règlement européen sur l'IA impressionne par sa longueur. Résultat : beaucoup de dirigeants le repoussent, faute de savoir quoi faire concrètement.
Cette liste renverse la logique. Au lieu de partir du texte, on part de votre situation : qui utilise l'IA chez vous, pour quoi, et avec quel niveau de risque.
Bonne nouvelle d'entrée de jeu : pour la majorité des PME et des cabinets, la conformité tient en quelques actions simples. Le gros morceau, la formation des équipes, se finance largement. Découvrez notre page dédiée à la formation IA obligatoire liée à l'AI Act pour le cadre complet.
Point 1 : avez-vous cartographié vos usages de l'IA ?
Premier réflexe : recenser qui utilise quels outils d'IA, et pour quelles tâches. Sans cette photo, impossible de savoir quelles obligations s'appliquent. Un simple tableau (collaborateur, outil, usage, données traitées) suffit à poser les bases de votre conformité.
En pratique, ça coince souvent ici : l'IA est déjà partout, mais de façon informelle. Un commercial qui rédige ses e-mails avec ChatGPT, une assistante qui résume des comptes-rendus, un RH qui trie des CV avec un outil en ligne.
Listez ces usages, même les officieux. Notez surtout ceux qui touchent des données personnelles ou des décisions sur des personnes : ce sont eux qui demandent le plus d'attention.
Comptez une à deux heures pour une PME. C'est le socle de tout le reste.
Point 2 : vos équipes sont-elles formées à l'IA ?
C'est l'obligation phare et la plus répandue. Depuis le 2 février 2025, l'article 4 impose de garantir un niveau suffisant de maîtrise de l'IA (« AI literacy ») chez tous les collaborateurs qui l'utilisent. Une action de sensibilisation ou de formation dédiée couvre ce point.
Cette obligation touche presque tout le monde. Dès qu'une équipe se sert d'un outil d'IA au travail, l'employeur doit s'assurer qu'elle sait ce qu'elle fait : ses limites, ses risques, les bonnes pratiques.
Contrairement aux idées reçues, la loi n'exige pas un diplôme. Elle exige une montée en compétence adaptée aux rôles de chacun. Une demi-journée de sensibilisation peut suffire pour des utilisateurs occasionnels.
C'est aussi le point le plus simple à traiter et le mieux financé. Nos formations sont certifiées Qualiopi et finançables par l'OPCO — jusqu'à 100 % pour les PME — et par le FNE-Formation, cumulables. La conformité et la montée en compétence, d'une pierre deux coups.
Point 3 : avez-vous une charte d'usage interne de l'IA ?
Une charte IA fixe les règles du jeu : quels outils sont autorisés, quelles données ne jamais y coller, quand une validation humaine est obligatoire. Elle formalise votre démarche, protège l'entreprise et prouve votre bonne foi en cas de contrôle. Deux à trois pages suffisent.
Une charte n'a pas besoin d'être un pavé juridique. Elle doit être lue et comprise, donc courte et concrète.
Les rubriques utiles : outils validés, interdictions claires (données clients confidentielles, secrets industriels), obligation de relire toute production, rappel de la responsabilité humaine finale.
Diffusez-la, faites-la signer, mettez-la à jour. Notre guide pour rédiger une charte IA interne détaille chaque section avec des exemples prêts à adapter.
Point 4 : identifiez-vous vos systèmes à haut risque ?
Certains usages basculent en catégorie « haut risque » : tri automatisé de candidatures, scoring de clients, biométrie, décisions d'accès à des services essentiels. Ces systèmes relèvent d'obligations renforcées applicables au 2 août 2026. Repérez dès maintenant si vous en utilisez.
Beaucoup d'entreprises se croient hors périmètre à tort. Un logiciel qui présélectionne des candidatures selon des critères peut basculer dans le haut risque, même s'il vient d'un éditeur du marché.
Le test simple : est-ce que l'IA automatise ou influence fortement une décision qui affecte une personne (embauche, crédit, accès à un service) ? Si oui, creusez.
La plupart des PME n'ont aucun système à haut risque. Mais mieux vaut le vérifier que le supposer.
Point 5 : vos usages d'IA respectent-ils le RGPD ?
L'AI Act ne remplace pas le RGPD, il s'ajoute à lui. Dès qu'un outil d'IA traite des données personnelles, les règles habituelles s'appliquent : base légale, minimisation, information des personnes, choix d'outils hébergeant correctement les données. Ce sont deux volets à traiter ensemble.
Le point sensible : les données que vos équipes saisissent dans les outils grand public. Un e-mail client collé dans un chatbot en ligne peut partir sur des serveurs hors Union européenne.
Vérifiez où sont hébergées les données, ce que l'éditeur en fait, et si une version « entreprise » plus protectrice existe. Nos formations traitent la sécurité et le RGPD des usages d'IA en pratique.
Ce point rejoint la charte : les interdictions de saisie doivent y figurer noir sur blanc.
Point 6 : gardez-vous un humain dans la boucle ?
La supervision humaine est un principe central de l'AI Act. Aucune décision importante sur une personne ne doit être prise par l'IA seule. Concrètement : une validation humaine obligatoire sur les actions sensibles (embauche, refus, envoi, dépense) et le droit de contester une décision automatisée.
L'idée est simple : l'IA propose, l'humain décide. Ce garde-fou protège vos clients et vos salariés, et il vous protège vous.
En pratique, cela veut dire documenter qui valide quoi. Pas besoin d'usine à gaz : un principe clair, appliqué, suffit.
C'est aussi une bonne pratique de qualité, indépendamment de la loi. Une IA non supervisée finit toujours par produire une erreur au mauvais moment.
Point 7 : tenez-vous un registre de vos systèmes d'IA ?
Documenter, c'est prouver. Tenez un registre simple de vos usages d'IA : outil, finalité, données, responsable, date de mise en service. Ce document sert de preuve de votre démarche et facilite tout contrôle ou audit. C'est l'extension vivante de votre cartographie initiale.
Ce registre n'a rien d'un dossier lourd. Un tableur bien tenu fait l'affaire pour la plupart des structures.
Il devient précieux le jour où un client, un donneur d'ordre ou une autorité vous demande de démontrer votre sérieux. Une entreprise qui documente inspire confiance.
Mettez-le à jour à chaque nouvel outil déployé. C'est un réflexe à installer, pas un projet ponctuel.
Point 8 : avez-vous désigné un référent IA ?
Sans pilote, la conformité s'effrite. Désignez une personne responsable des sujets IA : elle tient le registre, met à jour la charte, veille aux échéances et centralise les questions. Dans une PME, ce peut être le dirigeant, un responsable qualité ou le DPO existant.
Ce n'est pas forcément un poste à temps plein. C'est un rôle, une casquette confiée à quelqu'un déjà en place.
Son intérêt : éviter que la conformité soit l'affaire de personne, donc de personne le jour du contrôle. Un référent, c'est un fil rouge.
Il devient aussi le relais naturel pour diffuser les bonnes pratiques et faire monter l'ensemble de l'équipe en compétence.
Point 9 : connaissez-vous vos échéances et vos risques ?
L'AI Act se déploie par paliers jusqu'en 2027. Sachez lesquels vous concernent et ce que vous risquez : les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements les plus graves. Pour la plupart, l'échéance qui compte reste février 2025.
Toutes les dates ne s'appliquent pas à tout le monde. Un utilisateur d'outils du marché n'est pas logé à la même enseigne qu'un fabricant de dispositifs médicaux.
Le vrai risque, au quotidien, n'est pas l'amende maximale : c'est la perte de crédibilité, le litige avec un salarié, ou le donneur d'ordre qui exige la conformité de ses prestataires.
Pour situer précisément votre entreprise, consultez notre calendrier de l'AI Act et notre page sur les sanctions encourues.
Point 10 : votre démarche est-elle prouvable et à jour ?
La conformité n'est pas une case cochée une fois pour toutes. Elle vit avec vos outils. Le dernier point consiste à garder l'ensemble à jour et documenté : formation renouvelée, charte révisée, registre alimenté. Une démarche prouvable vaut mieux qu'une conformité parfaite mais invisible.
Les outils d'IA évoluent vite. Un usage anodin aujourd'hui peut devenir sensible demain quand une nouvelle fonctionnalité apparaît.
Prévoyez un point annuel : relire la charte, refaire un tour des usages, vérifier que les nouveaux arrivants ont été sensibilisés.
En cas de contrôle, ce qui compte, c'est la preuve d'une démarche sérieuse et suivie. La documentation est votre meilleure alliée.
Par où commencer concrètement cette checklist ?
Attaquez dans l'ordre : cartographie (point 1), formation (point 2), charte (point 3). Ces trois actions couvrent l'essentiel du risque pour 90 % des entreprises. Le reste se traite ensuite, selon votre exposition. Inutile de tout mener de front dès le premier jour.
La formation reste la priorité absolue : c'est l'obligation la plus large, la plus ancienne et la plus simple à financer.
Nous montons le dossier OPCO ou FNE avec vous et estimons votre reste à charge, souvent nul. Un échange de 15 minutes suffit à situer votre entreprise et à cadrer les priorités. Notre page dédiée à la formation AI Act obligatoire détaille toute la démarche.
- Semaine 1 : recensez vos usages d'IA (point 1)
- Semaines 2 à 4 : formez vos équipes utilisatrices (point 2)
- En parallèle : rédigez et diffusez votre charte IA (point 3)
- Ensuite : traitez haut risque, RGPD, registre et supervision selon votre situation
Questions fréquentes
Comment savoir si mon entreprise est conforme à l'AI Act ?
Passez en revue les 10 points de cette checklist. Si vos usages sont cartographiés, vos équipes formées et une charte diffusée, vous couvrez l'essentiel du risque pour une entreprise qui utilise l'IA sans la développer. Un diagnostic rapide confirme votre situation en quelques minutes.
Quel est le point de conformité le plus urgent ?
La formation des équipes. L'obligation d'« AI literacy » de l'article 4 s'applique depuis le 2 février 2025 et concerne quasiment tout employeur dont les collaborateurs utilisent l'IA. C'est aussi le point le plus simple à traiter et le mieux financé.
Une PME doit-elle vraiment suivre toute la checklist ?
Non, pas nécessairement. Pour la majorité des PME et des cabinets, les trois premiers points (cartographie, formation, charte) couvrent l'essentiel. Les points sur le haut risque ou les systèmes complexes ne concernent que certaines activités précises.
Faut-il un juriste pour se mettre en conformité ?
Pas pour la plupart des points. La cartographie, la formation et la charte se traitent en interne avec un accompagnement adapté. Un appui juridique devient utile seulement si vous utilisez des systèmes classés à haut risque ou développez vos propres IA.
Combien de temps prend une mise en conformité AI Act ?
Pour une PME sans système à haut risque, comptez quelques semaines : quelques heures de cartographie, une action de formation planifiée sous deux à quatre semaines, et une charte rédigée en parallèle. L'essentiel est de démarrer dans le bon ordre.
La formation à l'AI Act est-elle finançable ?
Oui. Grâce à notre certification Qualiopi, elle est finançable par votre OPCO — jusqu'à 100 % pour les PME — et par le FNE-Formation, cumulables. Nous montons le dossier de financement avec vous et estimons votre reste à charge, souvent nul.
Que risque-t-on si on ignore la checklist ?
Les amendes peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements graves. Au-delà, le vrai risque est la perte de crédibilité, un litige avec un salarié ou le refus d'un donneur d'ordre exigeant la conformité de ses prestataires.
Qu'est-ce qu'une charte d'usage de l'IA ?
C'est un document court (deux à trois pages) qui fixe les règles internes : outils autorisés, données interdites de saisie, obligation de relecture, validation humaine sur les actions sensibles. Elle formalise votre démarche et prouve votre bonne foi en cas de contrôle.
Mon logiciel de tri de CV est-il un système à haut risque ?
Souvent oui. Le tri automatisé de candidatures figure parmi les usages classés à haut risque par l'AI Act, même si le logiciel vient d'un éditeur du marché. Ces systèmes relèvent d'obligations renforcées applicables au 2 août 2026, à anticiper dès maintenant.
Faut-il refaire la checklist chaque année ?
Oui, un point annuel est recommandé. Les outils d'IA évoluent vite et de nouveaux usages apparaissent. Relire la charte, refaire un tour des usages et vérifier que les nouveaux arrivants sont sensibilisés garde votre démarche à jour et prouvable.
Par quoi commencer si je pars de zéro ?
Par la cartographie de vos usages, puis la formation de vos équipes, puis la charte. Ces trois actions dans cet ordre couvrent l'essentiel. Un échange de 15 minutes avec nos équipes suffit à situer votre entreprise et à prioriser les étapes suivantes.
Où en êtes-vous sur la checklist de conformité AI Act ?
Diagnostic gratuit de votre conformité, étude de financement OPCO/FNE offerte. Devis sous 24 h.