IA Act : êtes-vous prêt pour la conformité en 2026 ?

Selon une étude récente, 70 % des entreprises européennes n’ont pas encore engagé de démarche de conformité à l’IA Act. Pourtant, le règlement européen sur l’intelligence artificielle (UE 2024/1689) est entré en vigueur le 1er août 2024, et ses premières obligations s’appliquent déjà depuis février 2025. L’échéance du 2 août 2026 marque l’application générale du texte obligations de transparence et cadre pour les systèmes à haut risque compris. Le temps de la réflexion est révolu. Voici 5 actions concrètes et priorisées pour passer de l’intention à la mise en œuvre, avec la double lecture réglementaire et IT/Data qui caractérise l’approche TVH Consulting.

Ce que l’IA Act change concrètement pour votre organisation

Le règlement européen sur l’intelligence artificielle ne vise pas uniquement les éditeurs de logiciels ou les laboratoires de recherche. Toute organisation qui utilise un système d’IA y compris via un outil SaaS tiers comme Microsoft Copilot, un CRM avec scoring prédictif ou un chatbot de service client est considérée comme « déployeur » au sens du texte. Concrètement, la majorité des ETI et grands comptes français sont déjà déployeurs sans le savoir.

Le règlement repose sur une approche par les risques, structurée en quatre niveaux : risque inacceptable (pratiques interdites), risque élevé (obligations renforcées), risque limité (obligations de transparence) et risque minimal (aucune obligation spécifique). C’est l’usage concret du système et non la nature de l’outil qui détermine le niveau de risque applicable.

Fournisseur, déployeur : quel rôle pour votre structure ?

L’IA Act distingue cinq rôles dans la chaîne de valeur de l’IA : fournisseur, déployeur, importateur, distributeur et mandataire. Pour la grande majorité des organisations françaises, le rôle pertinent est celui de déployeur toute entité qui utilise un système d’IA sous sa propre autorité. Un cabinet de recrutement qui utilise un outil de tri automatisé de CV est déployeur, même s’il n’a pas développé l’algorithme. Cette distinction conditionne directement les obligations qui s’appliquent à votre structure.

Le calendrier d’application : ce qui est déjà exigible

Le déploiement du règlement suit un calendrier progressif qu’il faut maîtriser. Depuis le 2 février 2025, les pratiques d’IA à risque inacceptable sont interdites (scoring social, reconnaissance biométrique en temps réel non autorisée) et l’obligation de littératie IA (Article 4) est en vigueur la littératie IA désigne le niveau minimal de compréhension des systèmes d’IA que tout collaborateur les utilisant doit acquérir. Le 2 août 2025 a marqué l’entrée en application des obligations pour les modèles d’IA à usage général (GPAI) et la mise en place de la gouvernance européenne.

Le 2 août 2026 reste la date pivot pour l’application générale du texte, incluant les obligations de transparence (Article 50) et le cadre de surveillance. L’accord politique provisoire du Digital Omnibus du 7 mai 2026 a reporté les obligations spécifiques aux systèmes à haut risque de l’Annexe III au 2 décembre 2027. Ce report ne vaut pas sursis : les obligations de transparence, de littératie IA et de gouvernance restent pleinement applicables dès août 2026, et la CNIL a déjà intégré l’intelligence artificielle à son programme de contrôles 2026.

Action 1 : Cartographier tous vos systèmes d’IA

La première étape et la plus fondatrice consiste à recenser chaque outil intégrant de l’intelligence artificielle au sein de votre organisation. Sans cette cartographie, aucune classification de risque ni aucune mise en conformité ne peut démarrer. Une ETI utilise en moyenne entre 30 et 100 systèmes d’IA, en comptant les outils SaaS, les modules embarqués dans les ERP et CRM, les chatbots et les outils d’IA générative.

La difficulté principale vient du Shadow AI : 59 % des collaborateurs utilisent des outils d’IA non approuvés par leur entreprise, un chiffre qui monte à 93 % chez les cadres dirigeants. Chaque système identifié doit être documenté avec précision : nom de l’outil, fournisseur, cas d’usage métier, périmètre fonctionnel, nature des données traitées (personnelles ou non), volume d’utilisateurs et processus décisionnel impacté.

Le livrable attendu est un registre des systèmes d’IA, structuré pour alimenter directement la classification de risque (Action 2) et le futur enregistrement dans la base de données de l’Union européenne. Désignez dès cette étape un pilote de la démarche DPO (Délégué à la Protection des Données), RSSI (Responsable de la Sécurité des Systèmes d’Information) ou DSI qui coordonnera l’ensemble du processus. Le piège classique : limiter l’inventaire aux outils « visibles » et oublier les modules IA intégrés dans vos solutions SAP, Microsoft Dynamics 365 ou Salesforce, qui embarquent souvent des fonctionnalités de scoring, de recommandation ou d’automatisation.

Atelier de cartographie des cas d’usage & registre IA
TVH Consulting propose un atelier structuré de cartographie de vos systèmes d’IA, combinant l’expertise réglementaire de Fidens et la connaissance approfondie des écosystèmes ERP/CRM/Data. Résultat : un registre IA exploitable en 10 jours, couvrant l’ensemble de votre parc applicatif, y compris les modules IA embarqués dans vos solutions SAP et Microsoft.

Action 2 : Classifier chaque système selon les 4 niveaux de risque

Une fois la cartographie réalisée, chaque système doit être classifié selon les quatre niveaux de risque définis par le règlement. Cette étape conditionne l’ensemble des obligations applicables. La logique est directe : ce n’est pas la nature de l’outil qui détermine le niveau de risque, c’est l’usage concret qu’en fait votre organisation.

Un outil RH de scoring de candidats ou d’évaluation automatisée des performances bascule en haut risque (Annexe III, point 4). Un chatbot de service client relève du risque limité avec des obligations de transparence. Un correcteur orthographique intégrant de l’IA reste en risque minimal, sans obligation spécifique. Les pratiques à risque inacceptable scoring social, manipulation subliminale, reconnaissance biométrique en temps réel non autorisée sont interdites depuis le 2 février 2025.

Les systèmes à haut risque : ce que cela implique précisément

L’Annexe III du règlement identifie huit domaines dans lesquels les systèmes d’IA sont présumés à haut risque : biométrie, infrastructures critiques, éducation et formation professionnelle, emploi et gestion des ressources humaines, accès aux services essentiels (crédit, assurance), forces de l’ordre, migration et asile, administration de la justice. Pour chaque système classé à haut risque, les obligations sont substantielles : mise en place d’un système de gestion des risques (Article 9), documentation technique (Article 11), conservation des logs et traçabilité (Article 12), supervision humaine effective (Article 14), et pour certains déployeurs, réalisation d’une FRIA Fundamental Rights Impact Assessment, ou évaluation d’impact sur les droits fondamentaux (Article 27).

En cas de doute sur la classification d’un système, une analyse juridique documentée s’impose. Le facteur clé de succès : associer les équipes métiers (RH, finance, juridique) aux équipes IT dès cette étape, car seuls les métiers connaissent les usages réels des outils.

Action 3 : Mettre en place la supervision humaine et la traçabilité

La supervision humaine (Article 14) est l’obligation la plus exigeante sur le plan opérationnel. Le principe est sans ambiguïté : aucune décision à fort impact ne peut reposer exclusivement sur un système d’IA sans qu’un être humain compétent soit en mesure d’intervenir, de corriger ou d’interrompre le processus. Cela suppose de désigner des responsables identifiés pour chaque système à haut risque, de les former aux capacités et aux limites de l’outil, et de documenter les procédures d’intervention et d’arrêt.

Prenons un exemple concret : une ETI du secteur financier utilisant un module de scoring de crédit intégré à son ERP doit pouvoir démontrer qu’un analyste humain valide chaque décision de refus, qu’il dispose d’une interface lui permettant de comprendre les critères de la recommandation algorithmique, et qu’il peut à tout moment suspendre le traitement. Cette exigence se traduit par des procédures documentées, des habilitations formalisées et des formations spécifiques.

La traçabilité est le corollaire indispensable de la supervision : l’Article 12 impose la conservation des logs générés par les systèmes à haut risque, dans des conditions permettant de reconstituer a posteriori le processus décisionnel. Le registre des systèmes IA construit à l’Action 1 doit être enrichi de ces éléments de traçabilité. Le piège classique est de traiter la supervision humaine comme une simple formalité : les autorités de contrôle vérifieront qu’elle est concrète et non théorique, avec des modalités claires sur « qui supervise, comment et avec quels moyens ».

Action 4 : Former vos équipes à la littératie IA

L’Article 4 du règlement impose une obligation universelle de formation à l’IA, en vigueur depuis le 2 février 2025. Tous les collaborateurs utilisant des outils intégrant de l’intelligence artificielle doivent disposer d’un niveau suffisant de maîtrise de l’IA ce que le texte appelle l’« AI literacy » ou littératie IA. Cette obligation s’applique quel que soit le niveau de risque du système utilisé : elle concerne aussi bien l’assistant commercial qui utilise un CRM avec scoring prédictif que le manager qui exploite Microsoft Copilot pour rédiger ses synthèses.

Seulement 15 % des entreprises françaises forment aujourd’hui leurs équipes à l’IA, alors que les sanctions pour manquement à cette obligation peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial. Le contenu de la formation doit être proportionné au rôle et au contexte d’utilisation : compréhension des principes fondamentaux de l’IA, identification des risques et des biais, règles de confidentialité des données, limites des outils utilisés.

En pratique, une formation de 4 à 8 heures est généralement suffisante pour atteindre le niveau de base requis par l’Article 4. Les OPCO (Opérateurs de Compétences) peuvent financer ces formations, ce qui réduit l’investissement pour l’entreprise. Le livrable attendu est un plan de formation documenté, avec des attestations individuelles de suivi, qui constituera une preuve de conformité en cas de contrôle. Pour démarrer vite : concentrez-vous d’abord sur les équipes les plus exposées RH, finance, service client et élargissez progressivement.

Action 5 : Construire une gouvernance IA durable

La conformité à l’IA Act n’est pas un projet ponctuel : c’est un dispositif permanent qui suppose une gouvernance structurée, capable d’absorber l’évolution des usages, des outils et du cadre réglementaire. Cela passe par la mise en place d’un comité IA multidisciplinaire réunissant DPO, RSSI, juriste, représentant de la direction et, le cas échéant, un Chief AI Officer, d’un processus de validation des nouveaux systèmes avant leur déploiement, d’une veille réglementaire continue et d’audits périodiques de conformité.

L’enjeu stratégique est d’articuler l’IA Act avec les autres réglementations auxquelles votre organisation est déjà soumise : RGPD (Règlement Général sur la Protection des Données), directive NIS 2 et DORA (Digital Operational Resilience Act) pour le secteur financier. Ces textes partagent une approche commune par les risques, et NIS 2 et DORA se recoupent sur plus de 80 % de leurs exigences. Les traiter en silos expose votre organisation à des redondances d’efforts et à des incohérences entre les politiques internes.

Le livrable central est une politique IA d’entreprise (ou charte IA), document vivant qui formalise les principes directeurs, les outils autorisés et interdits, les règles d’usage des données, les rôles et responsabilités (sous forme de matrice RACI), et les procédures de contrôle interne. La nomination d’un référent IA DPO, RSSI ou risk manager selon votre structure de gouvernance est le facteur clé de succès de cette action.

Feuille de route et gouvernance IA
Fort de sa double expertise réglementaire (Fidens) et IT/ERP/Data, TVH Consulting accompagne les ETI et grands comptes dans la construction d’une gouvernance IA opérationnelle : comité IA, matrice RACI, politique IA, processus de validation et contrôle interne. Un kit documentaire de conformité complet (politiques, procédures, modèles) est livré clé en main.

IA Act et RGPD : articuler les deux démarches sans doublon

L’IA Act et le RGPD sont intrinsèquement liés : tout système d’IA qui traite des données personnelles doit respecter simultanément les exigences des deux règlements. Les démarches se complètent plutôt qu’elles ne se superposent. L’AIPD (Analyse d’Impact relative à la Protection des Données, Article 35 du RGPD) s’articule avec la FRIA de l’IA Act lorsque des droits fondamentaux sont en jeu : les deux évaluations peuvent être conduites conjointement, en mutualisant l’analyse des risques et les mesures d’atténuation.

Le registre des traitements imposé par le RGPD (Article 30) peut intégrer les systèmes d’IA pour constituer un référentiel unique. La documentation de transparence exigée par l’IA Act peut alimenter les notices d’information du RGPD. L’erreur la plus fréquente est de confier ces deux chantiers à des équipes distinctes, sans coordination. Le conseil opérationnel : confiez la coordination au DPO, qui dispose déjà de la légitimité transverse et de la connaissance des traitements de données.

À retenir

• L’IA Act s’applique à toute organisation utilisant un système d’IA, y compris via des outils SaaS tiers la majorité des entreprises sont déjà « déployeurs » au sens du règlement.
• Les obligations de littératie IA (Article 4) et les pratiques interdites sont en vigueur depuis février 2025 ne pas les respecter expose déjà à des sanctions.
• Le Digital Omnibus du 7 mai 2026 reporte les obligations spécifiques aux systèmes à haut risque (Annexe III) au 2 décembre 2027, mais les obligations de transparence et de gouvernance restent applicables dès août 2026.
• Les 5 actions prioritaires cartographier, classifier, superviser, former, gouverner constituent le socle minimal d’une démarche de conformité structurée.
• L’articulation avec le RGPD, NIS 2 et DORA permet de mutualiser les efforts et d’éviter les redondances, à condition de ne pas traiter ces chantiers en silos.

FAQ – IA Act et conformité

L’IA Act s’applique-t-il à mon entreprise si j’utilise simplement ChatGPT ou Microsoft Copilot ?

Oui. Toute organisation qui utilise un système d’IA, même via un outil tiers, est considérée comme déployeur au sens du règlement (UE) 2024/1689. Les obligations varient selon le niveau de risque de l’usage, mais l’obligation de formation à la littératie IA (Article 4) s’applique à tous depuis le 2 février 2025. Utiliser ChatGPT pour rédiger des synthèses internes relève du risque minimal ; l’utiliser pour évaluer des candidatures pourrait basculer en haut risque.

Quelles sont les sanctions en cas de non-conformité à l’IA Act ?

Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel pour les violations les plus graves (pratiques interdites). Pour les manquements aux obligations de transparence, les sanctions vont jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires. Pour les PME et ETI, les sanctions sont proportionnées à la taille de l’entreprise, mais le risque réputationnel et les contrôles de la CNIL constituent des menaces concrètes dès 2026.

Comment savoir si mes outils RH ou CRM sont classés à haut risque ?

La classification dépend de l’usage concret, pas de la nature de l’outil. Un module de scoring de candidats ou d’évaluation automatisée des performances bascule en haut risque (Annexe III, point 4). Un CRM standard sans fonctionnalité de décision automatisée reste en risque limité ou minimal. En cas de doute, une analyse juridique documentée s’impose, en associant les équipes métiers et le DPO.

Quelle est la différence entre la FRIA de l’IA Act et l’AIPD du RGPD ?

La FRIA (Fundamental Rights Impact Assessment) est imposée par l’Article 27 de l’IA Act à certains déployeurs de systèmes à haut risque principalement les organismes publics, les opérateurs de services essentiels et les établissements d’enseignement. Elle évalue l’impact du système sur l’ensemble des droits fondamentaux (non-discrimination, dignité, vie privée). L’AIPD du RGPD (Article 35) se concentre sur la protection des données personnelles. Lorsque des données personnelles sont traitées, les deux évaluations peuvent être conduites conjointement dans une logique de conformité intégrée.

Comment articuler l’IA Act avec le RGPD et NIS 2 ?

Ces trois réglementations partagent une approche commune par les risques et se complètent mutuellement. Le registre des traitements RGPD peut intégrer les systèmes d’IA. L’AIPD et la FRIA peuvent être mutualisées. Les exigences de cybersécurité de NIS 2 renforcent la robustesse et la résilience exigées par l’IA Act pour les systèmes à haut risque. La clé est de centraliser la gouvernance et de ne pas traiter ces chantiers en silos, en s’appuyant sur un dispositif GRC (Gouvernance, Risques, Conformité) cohérent.

Conclusion : le temps de l’action est maintenant

La mise en conformité à l’IA Act n’est pas un frein à l’innovation c’est un cadre structurant qui distingue les organisations responsables. Pour la majorité des entreprises, les actions prioritaires se résument à trois verbes : cartographier, former, documenter. Le calendrier est clair : les obligations de littératie IA et de transparence sont déjà en vigueur ou le seront au 2 août 2026, et les systèmes à haut risque devront être conformes au 2 décembre 2027. Les organisations qui n’ont pas encore engagé leur démarche sont déjà en retard.

L’approche TVH Consulting combine l’expertise réglementaire et cybersécurité de Fidens avec une connaissance approfondie des écosystèmes IT, ERP et Data. Cette double lecture ancre la conformité dans la réalité opérationnelle de votre système d’information, sans créer de couche bureaucratique déconnectée du terrain.

Vous souhaitez évaluer votre niveau de conformité à l’IA Act ? Les experts TVH Consulting vous accompagnent de la cartographie de vos systèmes d’IA à la mise en œuvre opérationnelle de votre gouvernance. Demandez un diagnostic flash AI Act ou planifiez un premier échange avec nos équipes pour obtenir votre trame de registre IA et votre feuille de route personnalisée.