Audit de conformité IA Act

L'audit de conformité AI Act établit quels systèmes d'intelligence artificielle votre organisation utilise, à quel titre (fournisseur ou déployeur) et quelles obligations du règlement (UE) 2024/1689 vous incombent réellement, avec la date d'exigibilité de chacune.

SILEXO le conduit en tant que tiers de confiance, dans le prolongement du rôle de délégué à la protection des données. Quatre demi-journées sont mobilisées côté client. Vous repartez avec une cartographie, une analyse d'écarts et un plan d'action daté.

Le texte est aussi appelé « IA Act » en français et « EU AI Act » à l'international : il s'agit du même règlement (UE) 2024/1689, modifié depuis par le règlement (UE) 2026/1744 du 8 juillet 2026.

Page à jour au 25 août 2026.

Le report de décembre 2027 ne suspend pas les obligations déjà applicables

Le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, publié au Journal officiel de l'Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, décale les obligations des systèmes à haut risque de l'annexe III du 2 août 2026 au 2 décembre 2027, et celles des systèmes intégrés à des produits déjà réglementés (annexe I) du 2 août 2027 au 2 août 2028. Ces dates sont fermes : la version finale du texte a abandonné le mécanisme de déclenchement conditionnel lié à la publication des normes harmonisées.

Le reste du règlement n'a pas bougé. Pour une entreprise, le plafond retenu est le plus élevé des deux montants ; les PME et les jeunes entreprises bénéficient de la règle inverse, le plus bas des deux.

Tout ce qui suit s'applique, indépendamment de ce report :

L'obligation de maîtrise de l'IA vise toute organisation qui utilise l'IA, même sans « projet IA »

L'article 4 du règlement impose à tout déployeur de prendre des mesures pour soutenir le développement d'un niveau suffisant de maîtrise de l'IA au sein de ses équipes. C'est l'obligation qui concerne le plus grand nombre d'organisations, et l'une de celles que le report ne touche pas. Le Digital Omnibus en a allégé la formulation, d'une obligation de garantir un niveau suffisant à une obligation de prendre des mesures, sans la rendre facultative.

Concrètement, une organisation qui utilise un assistant conversationnel, un outil de tri de candidatures ou un générateur de contenu doit pouvoir montrer ce qu'elle a fait pour former ceux qui s'en servent. Presque toutes en utilisent sans l'avoir décidé : une fonction de rédaction assistée dans une suite bureautique, un filtre anti-spam prédictif ou un module de scoring dans un CRM constituent des systèmes d'IA au sens de l'article 3 du règlement.

Trois questions structurent l'audit : quels systèmes, quel rôle, quelles obligations

Comment se déroule l'audit : quatre étapes, quatre demi-journées côté client

L'audit démarre par des entretiens avec les fonctions qui utilisent l'IA (direction, ressources humaines, marketing, informatique et métiers) et non par un questionnaire envoyé au service informatique. Suivent l'inventaire des systèmes et de leurs usages réels, puis la qualification et l'analyse d'écarts, et enfin la restitution en comité de direction.

Quatre demi-journées suffisent côté client parce que le travail de qualification et de rédaction se fait chez nous, à partir de la matière collectée en entretien.

Ce que vous avez en main à la fin

✅ Un inventaire des systèmes d'IA, avec leur usage, leur fournisseur et les données qu'ils traitent

✅ La qualification de votre rôle système par système, et le niveau de risque associé

✅ Une analyse d'écarts obligation par obligation, avec la date d'exigibilité de chacune

✅ Un plan d'action priorisé et daté, exploitable par votre direction

✅ Le dossier de preuve de l'article 4 : mesures prises, dates, périmètre des personnes couvertes

✅ L'identification de l'autorité compétente pour vos usages

Ce qui fait varier le prix et le délai d'un audit AI Act

Le budget d'un audit AI Act dépend de trois variables, et d'aucune autre : le nombre de systèmes d'IA à qualifier, le nombre de directions à interroger, et l'existence ou non d'une documentation RGPD exploitable.

Une organisation qui dispose déjà d'un registre des traitements tenu à jour fait l'économie de la moitié du travail d'inventaire : c'est la raison pour laquelle un audit conduit dans le prolongement d'une mise en conformité RGPD coûte moins cher qu'un audit mené à froid.

Aucune autorité française n'est encore désignée pour l'AI Act, et cela ne suspend rien

À ce jour, la France n'a pas achevé la désignation de ses autorités de surveillance au titre de l'article 70 du règlement. Le schéma retenu par le Gouvernement, publié le 9 septembre 2025, répartit la surveillance entre une quinzaine d'autorités sectorielles : la DGCCRF comme coordinatrice et point de contact unique, la CNIL pour les données personnelles et la biométrie, l'Arcom pour les contenus, l'ACPR pour la finance, la HAS et l'ANSM pour la santé, l'ANSSI et le PEReN en appui technique. Ce schéma doit être consacré par la loi : le volet numérique du projet de loi DDADUE, adopté par le Sénat en février 2026, était encore en examen à l'Assemblée nationale lorsque les pouvoirs de sanction sont devenus applicables, le 2 août 2026.

Deux conséquences pratiques. L'absence de désignation ne suspend aucune obligation : le règlement européen s'applique directement, et les manquements constatés aujourd'hui restent sanctionnables demain. Et identifier qui vous contrôlera fait partie du travail d'audit : une organisation qui déploie de l'IA en ressources humaines, en relation client et en analyse financière ne relèvera pas du même interlocuteur sur les trois périmètres.

La conformité à l'AI Act prolonge votre conformité RGPD, elle ne la remplace pas

Registre, analyse d'impact, transparence, supervision humaine : les deux règlements décrivent les mêmes objets sous deux angles. C'est pourquoi l'audit AI Act se conduit depuis le mandat de délégué à la protection des données, et non à côté de lui.

Pourquoi confier l'audit à votre DPO plutôt qu'à un cabinet spécialisé en IA

Un auditeur qui connaît déjà vos traitements, vos sous-traitants et vos flux de données ne redécouvre pas votre organisation : il qualifie vos systèmes d'IA sur une base déjà établie. Là où un cabinet spécialisé en IA commence par une phase de découverte facturée, votre délégué à la protection des données commence directement par l'inventaire.

SILEXO exerce comme DPO externe pour des entreprises, des collectivités et des associations en Bourgogne-Franche-Comté et en Île-de-France. Le cabinet est dirigé par Alexis Gabry, juriste en droit du numérique passé par la CNIL, et intervient depuis 2020 auprès d'organisations soumises aux mêmes arbitrages que vous : EHPAD, pharmacies, mutuelles, syndicats mixtes de transport, agences régionales du numérique. L'audit AI Act prolonge ce mandat, il n'est pas une prestation greffée sur un sujet à la mode.

Ce que l'audit ne couvre pas : marquage CE, certification, financement

Ce n'est pas une évaluation de conformité au sens du règlement. Les systèmes à haut risque relevant d'une procédure d'évaluation formelle passent par un organisme notifié. SILEXO n'en est pas un et ne délivre pas de marquage CE. Notre audit prépare cette procédure et la rend praticable, il ne s'y substitue pas.

Ce n'est pas une certification. Le rapport d'audit est un constat de tiers, documenté et opposable en interne. Il n'a pas la valeur d'un certificat délivré par un organisme accrédité.

Ce n'est pas une action de formation finançable. La prestation relève du conseil et de l'accompagnement. Elle n'est imputable ni au compte personnel de formation ni à un OPCO. C'est un choix assumé : il nous laisse construire la mission sur vos usages réels plutôt que sur un format pédagogique contraint.

Questions fréquentes sur l'audit de conformité AI Act