Audit de conformité AI Act
Où en est réellement votre organisation ?
L'audit de conformité AI Act établit quels systèmes d'intelligence artificielle votre organisation utilise, à quel titre (fournisseur ou déployeur) et quelles obligations du règlement (UE) 2024/1689 vous incombent réellement.
SILEXO le conduit en tant que tiers de confiance, dans le prolongement du rôle de délégué à la protection des données. Vous repartez avec une cartographie, une analyse d'écarts et un plan d'action daté.
Références
Trois questions structurent l'audit : quels systèmes, quel rôle, quelles obligations
Un audit AI Act utile répond à trois questions dans cet ordre, parce que chacune conditionne la suivante. Sauter la première produit un plan d'action hors sujet.
Quels systèmes d'IA utilisez-vous vraiment
L'inventaire précède tout le reste, et il est presque toujours plus large que ce que la direction imagine. Un système d'IA au sens de l'article 3 du règlement ne se limite pas aux outils achetés comme tels : la fonction d'IA embarquée dans un logiciel métier, dans un CRM ou dans une suite bureautique entre dans le périmètre. S'y ajoute ce que les équipes utilisent sans l'avoir déclaré — le shadow IA — qui engage l'organisation exactement comme un outil validé.
Fournisseur ou déployeur : la qualification qui commande tout
La qualification détermine l'intégralité de vos obligations, et une même organisation peut relever des deux statuts selon le système considéré. Utiliser un outil du marché fait de vous un déployeur. Le mettre sur le marché sous votre nom, ou modifier substantiellement un système existant, fait de vous un fournisseur, avec un régime bien plus lourd. Beaucoup d'organisations se croient déployeurs sur un système où elles sont devenues fournisseurs sans s'en apercevoir.
Quelles obligations s'appliquent, à quelle échéance
Une fois les systèmes qualifiés, l'analyse d'écarts devient mécanique : chaque système reçoit sa liste d'obligations et sa date. C'est cette granularité qui permet d'arbitrer ce qui se traite ce trimestre et ce qui peut attendre décembre 2027.
Le report de décembre 2027 ne suspend pas vos obligations actuelles
Le Digital Omnibus a repoussé les obligations relatives aux systèmes à haut risque, pas le reste du règlement. Le règlement (UE) 2026/1744, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, décale les obligations des systèmes autonomes de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles de l'IA intégrée à des produits déjà couverts par la réglementation européenne (annexe I) au 2 août 2028. Ces dates sont fermes.
Tout ce qui suit continue de s'appliquer, indépendamment de ce report :
| Obligation | Applicable depuis | Sanction maximale |
| Pratiques interdites (article 5) | 2 février 2025 | 35 M€ ou 7 % du CA mondial |
| Maîtrise de l'IA (article 4) | 2 février 2025 | Pas de plafond dédié ; facteur aggravant |
| Modèles d'IA à usage général (articles 51 à 55) | 2 août 2025 | - |
| Transparence (article 50) | 2 août 2026 | 15 M€ ou 3 % du CA mondial |
| Transparence des systèmes déjà en service (article 50-2) et nouvelles interdictions | 2 décembre 2026 | - |
| Haut risque, annexe III | 2 décembre 2027 | - |
| Haut risque, annexe I | 2 août 2028 | - |
Le Digital Omnibus a par ailleurs réécrit l'article 4 : l'obligation de garantir un niveau suffisant de maîtrise de l'IA devient une obligation de prendre des mesures pour en soutenir le développement. Elle reste contraignante pour tout déployeur, et les autorités nationales la supervisent depuis août 2026. Concrètement, une organisation qui utilise un assistant conversationnel, un outil de tri de candidatures ou un générateur de contenu doit pouvoir montrer ce qu'elle a fait pour former ceux qui s'en servent.
Ce que ça change pour vous : Si vous aviez calé votre feuille de route sur le 2 août 2026, elle est à refaire, pas à annuler. Les obligations qui touchent le plus grand nombre d'organisations sont précisément celles que le report ne concerne pas.
Comment se déroule l'audit
L'audit se conduit en quatre temps sur 12 semaines, avec 4 demi-journées mobilisées côté client. Il démarre par des entretiens avec les fonctions qui utilisent l'IA (direction, RH, marketing, informatique, métiers) et non par un questionnaire envoyé au service informatique. Suit l'inventaire des systèmes et de leurs usages réels, puis la qualification et l'analyse d'écarts, et enfin la restitution en comité de direction.
✅ La qualification de votre rôle système par système, et le niveau de risque associé
✅ Une analyse d'écarts obligation par obligation, avec la date d'exigibilité de chacune
✅ Un plan d'action priorisé et daté, exploitable par votre direction
✅ Le dossier de preuve de l'article 4 : mesures prises, dates, périmètre des personnes couvertes
✅ L'identification de l'autorité compétente pour vos usages
La France a retenu un modèle éclaté : la surveillance est répartie entre les autorités déjà compétentes dans leur secteur, sous la coordination de la DGCCRF, désignée point de contact unique au sens de l'article 70 du règlement. La CNIL reste l'autorité de référence pour les usages touchant aux données personnelles, à la biométrie et à l'emploi ; l'Arcom intervient sur les contenus ; l'ACPR, l'ANSSI, la HAS et l'ANSM sur leurs domaines respectifs.
[À VÉRIFIER avant publication — au 24 août 2026, le schéma français reposait sur un projet de désignation publié le 9 septembre 2025 par la DGE et la DGCCRF, dont l'adoption définitive par le Parlement restait en cours. Contrôler l'état du texte avant de mettre la page en ligne : c'est le point qui bougera le plus vite.]
Conséquence pratique : identifier qui vous contrôle fait partie du travail d'audit. Une organisation qui déploie de l'IA en RH, en relation client et en analyse financière ne relève pas du même interlocuteur sur les trois périmètres.
[À VALIDER — publication du prix public]
L'audit de maturité et de conformité AI Act est facturé 5 500 € HT au forfait, sans décompte horaire. Le prix couvre les entretiens, l'inventaire, la qualification, l'analyse d'écarts, le plan d'action et la restitution.
Trois facteurs le font varier : le nombre de systèmes d'IA en service, le nombre de fonctions concernées, et le fait que l'organisation soit ou non fournisseur d'un système qu'elle met sur le marché. Un déployeur de trois outils du commerce et un éditeur intégrant un modèle dans son produit ne relèvent pas du même effort.
En amont de l'audit, la session de sensibilisation à la conformité AI Act répond à l'obligation de l'article 4 et constitue le dossier de preuve correspondant : 2 400 € HT pour trois heures, jusqu'à douze participants [À VALIDER].
Le recouvrement entre le RGPD et l'AI Act est massif, et c'est ce recouvrement qui décide de la qualité de l'audit. Analyse d'impact, gouvernance des données, registre des traitements devenant registre des systèmes d'IA, transparence, supervision humaine : les objets se répondent. Un auditeur qui connaît déjà vos traitements, vos sous-traitants et vos flux de données ne redécouvre pas votre organisation — il qualifie vos systèmes d'IA sur une base déjà établie.
SILEXO exerce comme délégué à la protection des données pour des organisations privées et publiques [À VALIDER — insérer ici le nombre d'organisations accompagnées et l'ancienneté : c'est la donnée qui ancre la page]. L'audit AI Act est un prolongement de ce mandat, pas une prestation nouvelle greffée sur un sujet à la mode.
Trois précisions, parce que le marché entretient la confusion.
Ce n'est pas une évaluation de conformité au sens du règlement. Les systèmes à haut risque relevant d'une procédure d'évaluation formelle passent par un organisme notifié. SILEXO n'en est pas un et ne délivre pas de marquage CE. Notre audit prépare cette procédure et la rend praticable ; il ne s'y substitue pas.
Ce n'est pas une certification. Le rapport d'audit est un constat de tiers, documenté et opposable en interne. Il n'a pas la valeur d'un certificat délivré par un organisme accrédité.
Ce n'est pas une action de formation finançable. La prestation relève du conseil et de l'accompagnement. Elle n'est imputable ni au CPF ni à un OPCO. C'est un choix assumé : il nous laisse construire la mission sur vos usages réels plutôt que sur un format pédagogique contraint.
Trois précisions, parce que le marché entretient la confusion.
Ce n'est pas une évaluation de conformité au sens du règlement. Les systèmes à haut risque relevant d'une procédure d'évaluation formelle passent par un organisme notifié. SILEXO n'en est pas un et ne délivre pas de marquage CE. Notre audit prépare cette procédure et la rend praticable ; il ne s'y substitue pas.
Ce n'est pas une certification. Le rapport d'audit est un constat de tiers, documenté et opposable en interne. Il n'a pas la valeur d'un certificat délivré par un organisme accrédité.
Ce n'est pas une action de formation finançable. La prestation relève du conseil et de l'accompagnement. Elle n'est imputable ni au CPF ni à un OPCO. C'est un choix assumé : il nous laisse construire la mission sur vos usages réels plutôt que sur un format pédagogique contraint.
Notre organisation n'utilise pas d'IA. Sommes-nous concernés ?
Presque toutes les organisations en utilisent sans l'avoir décidé. Une fonction de rédaction assistée dans une suite bureautique, un filtre anti-spam prédictif ou un module de scoring dans un CRM constituent des systèmes d'IA au sens du règlement. L'audit commence justement par établir ce que vous utilisez réellement.
Faut-il attendre décembre 2027 pour lancer la démarche ?
Non. Les obligations qui touchent le plus grand nombre d'organisations — maîtrise de l'IA, pratiques interdites, transparence — s'appliquent déjà. Et l'inventaire des systèmes, qui représente l'essentiel de la charge, ne devient pas plus facile en attendant.
Notre DPO interne peut-il conduire l'audit lui-même ?
Oui, et c'est même la meilleure base de départ. La limite d'un audit interne est l'absence de regard extérieur : la tendance naturelle est de minimiser les écarts qui coûtent cher à corriger. Un audit externe apporte l'indépendance et un constat opposable en comité de direction.
Que se passe-t-il si nous découvrons un système à haut risque ?
L'audit vous donne la date d'exigibilité applicable — 2 décembre 2027 pour l'annexe III, 2 août 2028 pour l'annexe I — et le chemin à parcourir d'ici là. La découverte tardive d'un système à haut risque est le scénario coûteux ; c'est précisément ce que l'audit évite.
Quelle articulation avec notre conformité RGPD existante ?
L'audit s'appuie sur votre registre des traitements et vos analyses d'impact quand ils existent, et signale les traitements qui devront être mis à jour. Les deux réglementations s'appliquent simultanément dès qu'un système d'IA traite des données personnelles.
Sommes-nous fournisseur si nous personnalisons un modèle du marché ?
Cela dépend du degré de modification et de la manière dont le système est ensuite mis à disposition. Une modification substantielle ou une mise sur le marché sous votre nom peut vous faire basculer du statut de déployeur à celui de fournisseur, avec un régime nettement plus lourd. C'est un des points que l'audit tranche système par système.
L'audit couvre-t-il nos prestataires et éditeurs ?
Il établit ce que vos contrats prévoient déjà en matière d'IA et ce qu'ils devraient prévoir. La chaîne de responsabilité entre fournisseur et déployeur repose largement sur le contrat.
