.svg)
.svg)
.svg)
.svg)
La plupart des dirigeants savent maintenant que l'IA Act les concerne. La vraie question a changé. Ce n'est plus « suis-je concerné », c'est « par où je commence, et dans quel ordre ».
Et c'est là que ça coince. Savoir qu'on est concerné ne dit pas quoi faire en premier, ni qui doit s'en charger. Les obligations s'empilent comme une liste sans ordre de priorité. Résultat, le sujet reste sur un coin de bureau. Personne ne le pilote vraiment.
Ce qui suit est un plan d'action, pas un cours de droit. Cinq étapes, des livrables concrets à chaque étape, et une logique simple : on ne corrige rien tant qu'on n'a pas cartographié. Si vous avez encore un doute sur votre statut de déployeur ou de fournisseur, ou sur les quatre niveaux de risque, le détail est dans notre décryptage de l'IA Act en entreprise. Ce plan suppose ces bases acquises.
Pour se conformer à l'IA Act, une entreprise commence par cartographier tous ses outils d'IA, classe chaque usage par niveau de risque, identifie son rôle de déployeur ou de fournisseur, puis formalise un registre, une charte interne et la formation de ses équipes.
Un plan de conformité échoue presque toujours pour la même raison. Pas la complexité juridique. L'absence de pilote et de périmètre clair. On règle ça d'abord.
Trois dates structurent votre travail.
Ce report change le rythme, pas la direction. Les usages interdits restent sanctionnés depuis février 2025. La transparence, elle, n'a pas bougé d'août 2026. Et le délai accordé au haut risque correspond au temps qu'il faut pour faire le travail correctement, pas à une pause.
L'erreur classique consiste à rédiger une charte ou à acheter un outil de mise en conformité avant même de savoir ce qu'on utilise. C'est mettre la charrue avant les bœufs.
Vous ne pouvez pas classer, documenter ni sécuriser un usage que vous n'avez pas recensé. La cartographie passe donc en premier, toujours. Tout le reste en découle. Une charte rédigée sans inventaire couvre des outils que vous croyez utiliser, pas ceux que vos équipes utilisent réellement.
La conformité IA n'appartient pas au service juridique seul. Elle croise quatre regards. La direction arbitre et donne le mandat. L'informatique connaît les outils et les accès. Le juridique qualifie les risques. Les métiers savent ce qui tourne vraiment sur le terrain.
Désignez un responsable unique du dossier, même à temps partiel. Sans une personne clairement nommée, le sujet se dilue entre les services et personne ne le porte. Ce responsable n'a pas besoin d'être juriste. Il a besoin d'un mandat et d'un accès aux quatre regards.
C'est le socle de tout. Sans cet inventaire, les étapes suivantes reposent sur du vide.
Listez d'abord les outils validés : le CRM, l'ERP, le logiciel RH, les assistants conversationnels souscrits par l'entreprise. Puis attaquez la partie difficile, les outils que personne n'a déclarés.
Le Shadow AI, c'est l'usage d'outils d'IA par vos équipes en dehors de tout circuit officiel. Un commercial qui copie ses contrats dans un assistant gratuit, une assistante qui génère des visuels sur un service grand public. Ces usages échappent au radar et concentrent le risque. Pour les débusquer, un questionnaire interne anonyme donne souvent de meilleurs résultats qu'un audit informatique seul. Les gens disent ce qu'ils utilisent quand ils ne se sentent pas pris en faute.
Pour chaque outil recensé, posez une question simple. À quoi sert-il, et qui peut-il affecter ? Un assistant qui reformule des emails relève du risque limité. Un outil qui trie des candidatures, qui note la performance ou qui évalue une demande de crédit bascule en haut risque.
Le classement ne se fait pas sur le nom de l'outil mais sur son usage. Le même assistant conversationnel peut être à risque limité pour la rédaction marketing et plus sensible s'il sert à présélectionner des CV. C'est l'usage qui décide, pas l'éditeur.
Dernier élément de la cartographie : êtes-vous déployeur ou fournisseur de cet outil ? Pour 95 % des entreprises et la quasi-totalité des outils achetés sur étagère, vous êtes déployeur. Vous le devenez dès que vous utilisez l'outil dans un cadre professionnel. La distinction précise entre les deux rôles et leurs obligations est détaillée dans notre décryptage de l'IA Act en entreprise.
Le statut de fournisseur, plus lourd, vous concerne si vous développez votre propre IA, ou si vous diffusez un outil sous votre marque, y compris à des filiales. À la fin de cette étape, vous avez un tableau : par outil, son usage, son niveau de risque, votre rôle. C'est votre point de départ pour tout le reste.
La cartographie produit une photo. Le socle documentaire la transforme en preuve. Car en cas de contrôle, ce qui n'est pas écrit n'existe pas.
Le registre des systèmes d'IA est le document central de votre conformité. Il reprend votre cartographie et la fige : pour chaque système, sa finalité, son niveau de risque, son fournisseur, votre rôle, les mesures de supervision en place.
Ce n'est pas un document figé qu'on remplit une fois. C'est un registre vivant, mis à jour à chaque nouvel outil. Dans un groupe, il se tient au niveau central mais s'alimente par entité. Il sert aussi de base à votre conformité RGPD, puisque la plupart de ces outils traitent des données personnelles. Un seul document, deux réglementations couvertes.
La charte IA en entreprise traduit vos règles en pratiques quotidiennes. Outils autorisés, données interdites de saisie, obligation de vérification humaine, nom du référent. Ce n'est pas une obligation formelle du règlement, mais c'est l'outil qui rend la conformité opérationnelle plutôt que théorique.
En parallèle, préparez les mentions de transparence. Un chatbot doit signaler qu'il est piloté par une IA. Un contenu généré (image, voix synthétique) doit être identifiable comme tel. Ces mentions deviennent pleinement applicables en août 2026, une échéance qui n'a pas été reportée. Autant les poser maintenant, pendant que vous rédigez la charte.
Le report de décembre 2027 crée une illusion de temps. Plusieurs obligations s'appliquent déjà, sans attendre. On les active tout de suite.
C'est l'obligation la plus ignorée, et pourtant elle est applicable depuis le 2 février 2025. L'article 4 du règlement impose de garantir un niveau suffisant de compréhension de l'IA à toute personne qui utilise ces outils pour le compte de l'entreprise. Vos équipes doivent connaître le fonctionnement, les limites et les risques des outils qu'elles manipulent.
Ce n'est pas une recommandation, c'est une obligation légale, et elle vaut même pour une structure de quinze personnes. C'est la raison pour laquelle former ses équipes à l'IA est devenu un sujet de conformité, et plus seulement de productivité. Une équipe formée commet moins d'erreurs sensibles et alimente naturellement votre registre, parce qu'elle comprend ce qu'elle déclare.
Sur tout usage qui affecte une personne, un humain doit pouvoir comprendre, contrôler et corriger la décision. Un candidat écarté par un outil de tri doit pouvoir obtenir une explication et un réexamen humain. Un salarié évalué par une IA a le droit de savoir sur quels critères.
Concrètement, identifiez vos usages sensibles dans la cartographie, puis nommez pour chacun la personne qui garde la main. La supervision n'est pas un principe abstrait. C'est un nom en face d'un usage, avec le pouvoir réel de dire non à la machine.
Vos outils viennent en grande partie d'éditeurs tiers. Mais en tant que déployeur, vous restez responsable de leur usage. Cette étape verrouille ce maillon.
Interrogez chaque éditeur dont l'outil touche aux RH, aux finances ou à la notation client. La question est simple : votre module d'IA est-il conforme à l'IA Act, et pouvez-vous le documenter ? Exigez une réponse écrite.
Cette trace compte doublement. Elle vous protège en cas de contrôle, en montrant votre diligence, et elle écarte les fournisseurs incapables de répondre, qui sont un risque pour vous. Un éditeur sérieux a déjà préparé cette documentation. Un éditeur qui élude la question vous signale exactement où regarder.
Pour les usages à haut risque, le règlement prévoit une analyse d'impact sur les droits fondamentaux, la FRIA. Elle évalue, avant le déploiement, les effets de l'outil sur les personnes concernées. Son échéance suit le calendrier haut risque de décembre 2027, mais l'analyse demande du temps : commencez par recenser les usages qui la déclencheront.
Si vous opérez en groupe, une difficulté s'ajoute. Chaque filiale est un déployeur distinct, et la maison mère qui diffuse un outil sous sa marque peut devenir fournisseur. La répartition des responsabilités entre entités mérite son propre traitement (voir notre article sur la conformité d'un groupe face à l'IA Act). Le principe à retenir ici : ne déclarez pas une conformité « groupe » globale, elle ne tient pas juridiquement.
Une conformité figée vieillit en quelques mois. Vos outils changent, vos usages aussi. Cette dernière étape installe le suivi.
Le référent IA est la personne qui fait vivre le dispositif au quotidien. Il met à jour le registre, répond aux questions des équipes, alerte en cas de dérive. Dans une grande structure, il s'appuie sur un relais par service.
Au-dessus, une gouvernance de l'IA en entreprise pose le cadre durable : qui valide un nouvel outil, selon quels critères, avec quels garde-fous. Sans cette instance, chaque nouvel usage rouvre les mêmes débats et la conformité se défait aussi vite qu'elle s'est construite.
Fixez un rythme de révision, par exemple deux fois par an, pour passer en revue les nouveaux outils, retirer ceux qui ont disparu et reclasser les usages qui ont changé. Un nouvel assistant déployé sans passer par le registre, c'est une faille qui s'ouvre.
L'audit interne complète le dispositif. Il vérifie que les mentions de transparence sont en place, que les éditeurs ont répondu, que les équipes sont formées. Ce contrôle régulier transforme un classeur de procédures en conformité réelle, celle qui tient devant une autorité de contrôle.
La mise en conformité à l'IA Act prend généralement plusieurs mois. Recenser les outils, classer les usages et formaliser le registre demande le plus de temps dans une organisation. Le report des obligations haut risque à décembre 2027 sert justement à mener ce travail sans précipitation.
Le report de décembre 2027 a détendu les calendriers. Il n'a pas supprimé le travail. Les entreprises qui s'y prennent maintenant abordent l'échéance avec un registre à jour, des équipes formées et des fournisseurs vérifiés. Les autres découvriront en 2027 que cartographier, classer et documenter prend des mois, pas des jours.
La conformité bien menée n'est pas qu'une protection. Sur un marché où la confiance se raréfie, une IA maîtrisée et documentée devient un argument face à vos grands donneurs d'ordre. Vous transformez une contrainte réglementaire en preuve de sérieux.
Vous voulez savoir où votre entreprise est exposée et par quelle étape commencer concrètement ? Un cadrage avec Bloom fait le point sur vos outils, vos obligations et la formation à prévoir pour vos équipes.
Expliquez-nous vos objectifs, nous vous guiderons vers la formation IA la plus adaptée.
On construit la formation à partir de votre quotidien.
.svg)
Formations IA concrètes et accompagnement sur mesure pour les entreprises françaises.
.svg){kind=small}
.svg)
.svg){kind=small}
.svg){kind=small}
.svg){kind=small}