Mise en conformité IA Act :
encadrer les usages de l'IA dans votre organisation
La mise en conformité IA Act consiste à qualifier chaque usage de l'intelligence artificielle de l'organisation au regard du règlement européen sur l'IA, du RGPD et du droit du travail, puis à poser les documents qui le rendent opposable : registre des systèmes d'IA, politique IA, charte d'usage, consultation du CSE.
Vos équipes utilisent déjà l'IA. La question n'est plus de savoir si vous êtes concerné, mais lesquels de ces usages tiennent devant un contrôle, devant un salarié, devant un donneur d'ordre.
✅ Chaque usage de l'IA qualifié au regard de l'IA Act, du RGPD et du droit du travail
✅ Registre des systèmes d'IA, politique IA et charte d'usage opposable à vos équipes
✅ Consultation du CSE préparée et actions de maîtrise de l'IA en place
Mis à jour le 6 novembre 2026.
Ce que l'IA Act impose à une organisation qui déploie l'IA
Le règlement européen sur l'intelligence artificielle vise le déployeur, c'est-à-dire l'organisation qui utilise un système d'IA, et pas seulement le fournisseur qui le met sur le marché.
Le règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle s'applique par étapes : les pratiques interdites (article 5) et l'obligation de maîtrise de l'IA (article 4) depuis le 2 février 2025, les règles des modèles d'IA à usage général depuis le 2 août 2025. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a reporté les obligations des systèmes à haut risque de l'annexe III au 2 décembre 2027, et celles des systèmes intégrés à des produits réglementés (annexe I) au 2 août 2028 : ce report ne suspend aucune obligation déjà applicable. En 2025, 19,95 % des entreprises de l'Union européenne et 55,03 % des grandes entreprises utilisaient des technologies d'IA (Eurostat, enquête ICT usage in enterprises, données extraites en décembre 2025). La Commission a publié deux lignes directrices, sur la définition d'un système d'IA et sur les pratiques interdites ; le texte est détaillé dans le guide complet du règlement européen sur l'IA.
Un usage qui relève de l'article 5 ne se corrige pas : il se retire. Un test d'outil RH lancé sans information des représentants du personnel s'arrête. La qualification se fait avant l'achat, la consultation du comité avant le test.
Qualifier un usage de l'IA : trois grilles de lecture à tenir ensemble
Trois questions se posent sur chaque usage en même temps : celle de l'IA Act, celle du RGPD, celle du droit du travail.
| Usage | Question posée par l'IA Act | Question posée par le RGPD | Question posée par le droit du travail |
|---|---|---|---|
| Assistant de rédaction | Système d'IA au sens de l'article 3 ? Fournisseur ou déployeur ? | Quelles données saisies, dans quel traitement déjà inscrit au registre ? | Modification des conditions de travail (L. 2312-8, II, 4°) ? |
| Agent conversationnel | Information de l'interlocuteur qu'il parle à une IA (article 50). | Durée de conservation des échanges, information des personnes. | Aucun, tant qu'aucun salarié n'est évalué. |
| Tri de candidatures | Usage relevant de l'annexe III (emploi, gestion des travailleurs) ? | Décision individuelle automatisée (article 22) ? Analyse d'impact (article 35) ? | Information préalable du CSE sur les techniques d'aide au recrutement (L. 2312-38). |
| Suivi d'activité | Inférence des émotions au travail : pratique interdite (article 5). | Proportionnalité du contrôle, analyse d'impact (article 35). | Information et consultation préalables sur les moyens de contrôle (L. 2312-38). |
Un outil automatisé n'est pas nécessairement un système d'IA au sens de l'article 3 : la qualification se conduit outil par outil. Pour un agent conversationnel, l'article 50 du règlement (UE) 2024/1689 impose de signaler à la personne qu'elle interagit avec un système d'IA : nous détaillons ces obligations de conformité d'un agent IA conversationnel à part.
DéfinitionDéployeur : organisation qui utilise un système d'IA sous sa propre autorité, par opposition au fournisseur qui le développe ou le met sur le marché (article 3 du règlement (UE) 2024/1689).
Le registre des systèmes d'IA, articulé à votre registre des traitements
Le registre des systèmes d'IA recense chaque outil déployé et se raccorde, ligne à ligne, au registre des traitements imposé par l'article 30 du RGPD.
- Finalité et service : ce que l'outil produit, pour qui, dans quel processus.
- Fournisseur et rôle : éditeur, version, qualification en déployeur.
- Données traitées : catégories saisies, personnes concernées, traitement correspondant.
- Décisions produites : aide à la décision ou décision automatisée au sens de l'article 22.
- Qualification retenue : interdit, haut risque, transparence, hors champ.
Le règlement n'impose pas de registre général des systèmes d'IA comparable au registre de l'article 30 du RGPD : l'enregistrement dans la base de données de l'Union ne vise que certains systèmes à haut risque. Tenir cet inventaire reste le moyen le plus simple de montrer ce qui a été qualifié et les mesures prises au titre de l'article 4.
Un même outil figure dans les deux registres sous deux angles. Quand le registre RGPD n'est pas à jour, le travail commence là : notre accompagnement de mise en conformité RGPD et un exemple de registre des traitements rempli en donnent la trame.
Politique IA et charte d'usage : ce que vos équipes ont le droit de faire
La politique IA interne fixe les règles, la charte d'usage de l'IA les rend opposables aux salariés.
- Usages autorisés : les outils admis, service par service, et ce qu'ils peuvent traiter.
- Usages soumis à validation : tout nouvel outil, toute fonction d'IA activée chez un éditeur en place.
- Usages proscrits : données de santé, dossiers de salariés, pièces couvertes par un secret contractuel.
- Relecture humaine : qui valide une production d'IA avant diffusion.
- Point d'entrée : l'interlocuteur interne à saisir avant d'ouvrir un compte.
Ces règles se traduisent en consignes concrètes : les données qui ne sont pas saisies dans un outil tiers, la personne qui valide un nouvel usage, et l'information des personnes qui interagissent avec un système d'IA, exigée par l'article 50 du règlement (UE) 2024/1689.
Préparer la consultation du comité social et économique
Un déploiement d'IA qui touche les salariés passe par le comité social et économique, sur deux fondements distincts du code du travail.
L'article L. 2312-8, II, 4° range « l'introduction de nouvelles technologies, tout aménagement important modifiant les conditions de santé et de sécurité ou les conditions de travail » parmi les sujets d'information et de consultation du comité. L'article L. 2312-38 prévoit que le comité est informé préalablement sur les traitements automatisés de gestion du personnel, et informé et consulté préalablement à la décision de mise en œuvre des moyens permettant un contrôle de l'activité des salariés. Ces deux fondements se vérifient avant tout test, pas après.
Les actions de maîtrise de l'IA attendues par l'article 4
Depuis le règlement (UE) 2026/1744, l'article 4 impose aux fournisseurs et aux déployeurs de prendre des mesures pour favoriser le développement de la maîtrise de l'IA de leur personnel et des personnes qui utilisent les systèmes d'IA pour leur compte : une obligation de moyens, qui n'exige plus de garantir un niveau donné pour chaque personne, mais qui reste due depuis le 2 février 2025.
Sensibilisation par métier
RH, achats et relation client n'ont pas les mêmes risques.
Consignes écrites
Ce qui se saisit, ce qui ne se saisit pas, qui relit.
Traçabilité
Qui a été sensibilisé, quand, sur quel contenu.
Le Bureau de l'IA de la Commission publie un référentiel vivant des pratiques de maîtrise de l'IA, recueil issu d'une enquête auprès des signataires du Pacte sur l'IA. Côté données personnelles, la CNIL réunit ses publications sur l'intelligence artificielle sur sa page dédiée, qui recense notamment la note exploratoire sur l'IA agentique et les données personnelles publiée avec le Conseil de l'IA et du Numérique le 20 juillet 2026.
Déployer sans retour en arrière : les décisions qu'un cadre évite
Deux décisions coûtent cher à défaire : un usage déployé qu'il faut retirer, un test suspendu faute d'avis du comité.
Un usage qui relève de l'article 5 — l'inférence des émotions sur le lieu de travail en est une — ne se corrige pas : il se retire. Le point de contrôle qui l'évite est la qualification avant l'achat. Un test d'outil RH lancé sans information des représentants du personnel s'arrête le jour où ils le découvrent : le point de contrôle est le calendrier.
SILEXO est un cabinet de juristes indépendant des éditeurs : aucun outil n'est recommandé sur catalogue. Le périmètre d'une mission varie selon le nombre d'usages réellement recensés, l'existence ou non d'un registre des traitements à jour, la présence d'un comité social et économique à consulter et le fait qu'un audit de maturité IA ait déjà été mené ou non. Quand le cabinet porte déjà le mandat de délégué à la protection des données, la mission prolonge ce mandat sans refaire ce qui est couvert. Elle ne vaut pas audit technique des modèles et ne décide pas à la place de la direction : la conformité reste celle de l'organisation, au titre de l'article 24 du RGPD. Elle ne délivre ni marquage CE ni certification : lorsqu'un système à haut risque relève d'une évaluation de conformité par un organisme notifié, elle prépare cette procédure sans s'y substituer.
Découvrir l'audit de maturité IA →Découvrir notre offre de DPO externe →
Questions fréquentes sur la mise en conformité IA Act
Nous n'utilisons que des outils d'IA grand public : sommes-nous quand même concernés ?
Oui. Le règlement européen sur l'IA s'applique selon l'usage qui est fait du système, pas selon son prix ni son mode d'accès. Un assistant conversationnel utilisé pour rédiger une réponse client, trier des candidatures ou résumer un dossier RH engage l'organisation : données transmises à un tiers, finalité, information des personnes, droit du travail. L'absence de contrat spécifique ne retire aucune obligation, elle en complique la démonstration.
Qui doit porter le sujet IA Act en interne : la direction, la DSI ou le DPO ?
La décision appartient à la direction : c'est elle qui arbitre les usages et en répond, comme pour toute conformité au titre de l'article 24 du RGPD. La DSI documente les systèmes et leurs flux. Le délégué à la protection des données informe, conseille et contrôle le volet données à caractère personnel, sans décider à la place de la direction ni garantir la conformité. Dans les faits, un référent nommé et un arbitrage écrit évitent que chaque service tranche seul.
Une fonction d'IA est intégrée dans un logiciel que nous achetons : qui porte la conformité, nous ou l'éditeur ?
Les deux, mais pas sur les mêmes obligations : le règlement n'impose pas la même chose à celui qui met un système sur le marché et à celui qui l'utilise dans son organisation. Vous restez tenu de savoir ce que fait la fonction, sur quelles données, avec quelle décision à la clé. Côté données personnelles, le contrat doit porter les garanties exigibles d'un sous-traitant au titre de l'article 28 du RGPD. Exigez une documentation écrite avant le déploiement, pas après.
Qu'est-ce qui fait varier l'ampleur d'une mission de mise en conformité IA Act ?
Le volume de jours dépend du nombre d'usages réellement en place et de leur nature : un assistant de rédaction se qualifie vite, un outil qui intervient dans le recrutement, l'évaluation ou l'accès à un service demande une analyse plus lourde. Pèsent aussi l'existence d'un registre des traitements à jour, la présence d'un comité social et économique à consulter, le nombre d'éditeurs à interroger, et le fait qu'un audit de maturité IA ait déjà été mené ou non.
Nos équipes utilisent déjà des IA génératives sans aucun cadre : que faire en premier ?
Trois gestes immédiats : recenser honnêtement ce qui est utilisé, service par service, y compris les comptes personnels ; geler les usages qui injectent des données sensibles, des données de santé, des dossiers de salariés ou des éléments couverts par un secret contractuel ; écrire une règle provisoire signée par la direction, le temps de qualifier chaque usage. Recenser avant d'interdire : une interdiction générale sans alternative déplace l'usage hors de votre visibilité.
Un donneur d'ordre nous interroge sur notre usage de l'IA dans un appel d'offres : que lui montrer ?
Des pièces, pas des intentions : la liste des systèmes d'IA utilisés pour la prestation concernée et leur qualification, la politique IA validée par la direction, la charte d'usage diffusée aux équipes, les clauses obtenues des éditeurs sur les données traitées, et la trace des actions de sensibilisation menées. Ces éléments se préparent avant la consultation : reconstitués dans l'urgence du dossier, ils sont rarement cohérents avec ce que font réellement les équipes.
Une fois la politique et la charte posées, comment traite-t-on les nouveaux usages qui apparaissent ?
Par un point d'entrée unique : tout nouvel outil ou nouvelle fonction d'IA activée chez un éditeur existant passe par une qualification avant déploiement, et vient compléter le registre des systèmes d'IA. L'accompagnement peut se poursuivre dans la durée pour tenir ce rythme et suivre l'évolution du cadre européen.
Sommes-nous fournisseur si nous personnalisons un outil d'IA du marché ?
Cela dépend de ce que vous changez. L'article 25 du règlement fait basculer un déployeur dans le rôle de fournisseur d'un système à haut risque dans trois cas : il le commercialise sous son nom ou sa marque, il le modifie substantiellement, ou il en change la destination de sorte qu'il devient à haut risque. Paramétrer un assistant du marché pour un usage courant ne suffit pas ; un outil interne bâti sur un modèle et affecté au tri des candidatures, si. La qualification se fait outil par outil.
Nos prestations
DPO Externe
Mise en conformité RGPD
Mise en conformité IA Act
