Sécurité offensive
Gouvernance & conformité
Protection des données
Référentiels & règlementsAccompagnement à la mise en conformité AI Act
Gouvernance & conformité
Accompagnement à la mise en conformité AI Act
L’AI Act encadre les systèmes d’intelligence artificielle selon leur niveau de risque et le rôle de chacun, du fournisseur au déployeur. Ses premières obligations s’appliquent depuis 2025, les plus lourdes à partir de fin 2027. Digitemis qualifie vos usages d’IA et construit avec vous le dossier de preuves.
Le règlement et ses niveaux de risque
Le règlement (UE) 2024/1689, dit AI Act, est entré en vigueur le 1er août 2024. Ses obligations dépendent du niveau de risque du système d’IA et de votre rôle à son égard : le fournisseur porte l’essentiel des exigences, le déployeur des obligations plus légères, détaillées plus bas.
On présente souvent le règlement en quatre niveaux de risque. Les modèles d’IA à usage général, comme les grands modèles de langage, ont leurs propres règles.
Risque inacceptable
Pratiques interdites depuis le 2 février 2025 : notation sociale, manipulation, reconnaissance des émotions au travail ou à l’école, entre autres. De nouvelles interdictions s’appliquent au 2 décembre 2026.
Haut risque
Usages listés à l’annexe III (recrutement, accès au crédit, éducation, infrastructures critiques…), sauf exceptions, et IA intégrée à des produits réglementés soumis à une évaluation par un tiers : gestion des risques, qualité des données, documentation, contrôle humain.
Risque limité
Obligations de transparence de l’article 50 : informer qu’on échange avec une IA, marquer les contenus générés, signaler les hypertrucages.
Risque minimal
Pas d’obligation propre. Fournisseurs et déployeurs prennent des mesures pour favoriser la maîtrise de l’IA par leurs équipes (article 4).
Les amendes peuvent atteindre 35 M€ ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, et 15 M€ ou 3 % pour la plupart des autres obligations, avec des plafonds adaptés pour les PME.
Fournisseur ou déployeur
Pour un système à haut risque, les obligations ne sont pas les mêmes selon que vous le mettez sur le marché ou que vous l’utilisez. Une entreprise qui modifie substantiellement un système acheté, ou qui le commercialise sous son nom, devient fournisseur.
Les échéances
Le règlement s’applique par paliers, revus par le paquet Digital Omnibus signé le 8 juillet 2026.
- 2 févr. 2025
Interdiction des pratiques à risque inacceptable ; maîtrise de l’IA par les équipes
- 2 août 2025
Modèles d’IA à usage général, gouvernance européenne, régime de sanctions
- 2 août 2026
Obligations de transparence de l’article 50
- 2 déc. 2026
Nouvelles interdictions (hypertrucages intimes sans consentement, contenus pédocriminels) ; fin du délai de marquage des contenus pour les systèmes génératifs déjà sur le marché
- 2 déc. 2027
Systèmes à haut risque de l’annexe III
- 2 août 2028
IA intégrée à des produits soumis à une évaluation de la conformité par un tiers (annexe I)
Le report ne vise que les systèmes à haut risque. Les interdictions, les règles des modèles à usage général, la transparence et les sanctions s’appliquent à leurs propres dates.
Démarche
Notre accompagnement AI Act
Diagnostic
En deux à trois semaines, nous recensons vos systèmes et usages d’IA, qualifions leur niveau de risque et votre rôle, fournisseur ou déployeur, puis mesurons l’écart avec les exigences applicables. Vous recevez un plan d’action priorisé.
Mise en conformité
Système de gestion des risques, gouvernance des données d’entraînement, documentation technique, contrôle humain, information des utilisateurs, procédure de signalement des incidents graves. Les travaux s’articulent avec le RGPD et votre système de management de la sécurité.
Validation et preuves
Audit des données d’entraînement, évaluation des biais et de la dérive, revue des tests de robustesse et de la documentation. Le dossier de preuves répond aux demandes de l’autorité de surveillance et à celles de vos clients.
Ils nous font confiance
informations
Contactez-nous
Vous lancez une solution IA classée « haut risque », devez constituer votre dossier technique ou tester la robustesse de votre modèle ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Notre IA est-elle à haut risque ?
Elle peut l’être si elle relève d’un usage listé à l’annexe III du règlement (recrutement et gestion du personnel, accès au crédit, éducation, infrastructures critiques, biométrie, accès aux services publics essentiels…), sauf si elle ne présente pas de risque important au sens de l’article 6, ou si elle constitue un composant de sécurité d’un produit réglementé soumis à une évaluation de la conformité par un tiers. Le diagnostic qualifie chaque système et votre rôle à son égard.
Nous utilisons une IA achetée à un éditeur : sommes-nous concernés ?
Oui, en tant que déployeur. Vos obligations sont plus légères que celles du fournisseur : mesures pour la maîtrise de l’IA par les équipes, transparence envers les personnes et, pour un système à haut risque, contrôle humain, surveillance du fonctionnement et conservation des journaux.
Une certification ISO 42001 suffit-elle ?
Elle structure la gouvernance de l’IA et facilite la démonstration, sans remplacer les exigences du règlement : documentation technique, évaluation de la conformité, transparence, signalement des incidents graves.
Dans quel délai signaler un incident grave ?
Le fournisseur d’un système à haut risque le signale à l’autorité de surveillance dès qu’il établit le lien avec son système, et au plus tard sous 15 jours. Le délai passe à 10 jours en cas de décès, et à 2 jours pour une perturbation grave et irréversible d’une infrastructure critique ou une infraction de grande ampleur. Cette obligation s’applique avec le régime des systèmes à haut risque.
cas client
Découvrez notre approche
cas client
