Pourquoi agir maintenant ?
L'AI Act n'est pas une échéance unique mais un calendrier échelonné. Les pratiques interdites (article 5) et l'obligation de littératie IA (article 4) sont applicables depuis le 2 février 2025. Les obligations relatives aux modèles à usage général et le régime de sanctions le sont depuis le 2 août 2025. Les obligations de transparence deviennent applicables le 2 août 2026, et les systèmes à haut risque de l'annexe III le 2 décembre 2027, après le report opéré par le règlement (UE) 2026/1744. Attendre, c'est accumuler une dette de conformité qu'il faudra rembourser dans l'urgence, et sous le regard d'autorités déjà dotées de leur pouvoir de sanction.
Les 8 étapes pour se mettre en conformité
- 01
Cartographier vos usages d'IA
Recensez l'ensemble des systèmes et usages d'IA de l'organisation — outils métiers, fonctionnalités embarquées, IA générative grand public utilisée par les équipes (le « shadow AI »). Un simple tableau (outil, usage, données, service) suffit pour démarrer. Sans inventaire, aucune obligation ne peut être respectée.
- 02
Qualifier votre rôle
Déterminez, usage par usage, si vous êtes fournisseur, déployeur, importateur ou distributeur au sens de l'article 3. Ce rôle conditionne l'intégralité de vos obligations. Attention à l'article 25, qui peut transformer un déployeur en fournisseur.
- 03
Classer chaque usage par niveau de risque
Confrontez chaque usage à l'article 5 (interdit), à l'article 6 et aux annexes I & III (haut risque), à l'article 50 (transparence) ou au risque minimal. Documentez la qualification : c'est un élément de preuve.
- 04
Traiter en priorité les pratiques interdites
Si un usage relève potentiellement de l'article 5, il doit faire l'objet d'une vérification juridique immédiate : ces pratiques sont prohibées depuis février 2025 et exposent aux sanctions maximales.
- 05
Structurer la gouvernance IA
Désignez un référent, définissez une matrice de responsabilités, instaurez un processus de validation des nouveaux usages et une politique d'usage de l'IA générative.
- 06
Déployer la littératie IA
Formez vos équipes à un niveau suffisant de maîtrise de l'IA, adapté à leurs fonctions — obligation de l'article 4, déjà applicable et rapide à mettre en œuvre.
- 07
Documenter et outiller les systèmes à haut risque
Pour les usages à haut risque : gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, information des personnes.
- 08
Constituer des preuves auditables
Rassemblez, au fil de l'eau, les éléments qui démontrent votre conformité : une conformité non documentée est, pour l'autorité, une conformité inexistante.
Comment prioriser quand on a peu de moyens ?
Toutes les obligations n'ont pas la même urgence ni le même poids. Concentrez l'effort selon deux axes : ce qui est déjà exigible et ce qui présente le risque le plus élevé.
| Priorité | Action | Pourquoi |
|---|---|---|
| Immédiate | Écarter les pratiques interdites (art. 5) | Exigible depuis 2025, sanctions max. |
| Immédiate | Déployer la littératie IA (art. 4) | Exigible, rapide, réduit le shadow AI |
| Haute | Identifier les systèmes à haut risque | Échéance 2 décembre 2027 |
| Continue | Cartographie + gouvernance + veille | Socle de toute la démarche |
Les erreurs les plus fréquentes
- Croire que l'AI Act ne concerne que les développeurs d'IA — les [déployeurs](/ressources/fournisseur-ou-deployeur) (simples utilisateurs professionnels) ont eux aussi des obligations substantielles.
- Confondre RGPD et AI Act : ils se complètent mais ne se substituent pas l'un à l'autre.
- Négliger le shadow AI : les usages non encadrés d'IA générative engagent la responsabilité de l'organisation.
- Repousser la [littératie](/ressources/litteratie-ia-article-4) IA, alors qu'elle est déjà applicable et relativement rapide à mettre en œuvre.
- Traiter l'AI Act comme un projet ponctuel plutôt que comme une démarche pilotée dans la durée.
Questions fréquentes
Par où commencer concrètement ?
Par la cartographie de vos usages d'IA et la désignation d'un référent. Sans savoir ce que vous utilisez ni qui pilote, aucune autre étape n'est possible. Ces deux actions peuvent être engagées immédiatement, sans budget particulier.
Combien de temps prend une mise en conformité ?
Cela dépend de la complexité de vos usages. Une organisation aux usages simples (déployeur d'outils à faible risque) peut couvrir l'essentiel en quelques semaines. Une organisation déployant ou développant des systèmes à haut risque doit prévoir un projet structuré sur plusieurs mois.
Faut-il un budget important ?
Pas nécessairement pour démarrer. La cartographie, la gouvernance et la littératie IA reposent surtout sur de l'organisation et de la formation. Les coûts significatifs concernent les systèmes à haut risque (documentation, évaluation de conformité), c'est-à-dire une minorité d'usages.
Peut-on se faire accompagner ?
Oui, et c'est souvent judicieux sur les points durs : qualification des usages sensibles, systèmes à haut risque, articulation avec le RGPD. Un accompagnement ciblé évite les erreurs coûteuses tout en montant les équipes en compétence.
Ressource gratuite
Accédez à la ressource complète
Renseignez vos coordonnées professionnelles pour déverrouiller l’intégralité du contenu, téléchargeable en PDF.