Mise en conformité AI Act et formation de vos équipes à l’IA
Le règlement européen sur l’IA (UE) 2024/1689 s’applique de façon générale depuis le 2 août 2026. Deux obligations touchent déjà toutes les entreprises qui utilisent l’IA : former les équipes et informer les utilisateurs. Castelis cartographie vos systèmes d’IA, qualifie vos obligations réelles et forme vos équipes.
/ Nos Clients
Vos obligations dépendent du niveau de risque de vos systèmes d’IA
L’AI Act ne régule pas la technologie mais l’usage. Quatre niveaux de risque, et les obligations lourdes ne concernent qu’une minorité de systèmes. Une mise en conformité AI Act commence donc par savoir où se situent les vôtres.
Risque inacceptable : usages interdits
Notation sociale, manipulation, extraction non ciblée d’images faciales, reconnaissance des émotions au travail. Ces pratiques de l’article 5 sont interdites depuis le 2 février 2025.
Haut risque : les exigences les plus fortes
Huit domaines à l’annexe III, dont le recrutement, l’éducation, la notation de crédit et les infrastructures critiques. Gestion des risques, documentation, journalisation et contrôle humain sont exigés.
Risque limité : obligations de transparence
Le cas le plus fréquent en entreprise. L’article 50 impose d’informer les personnes qu’elles interagissent avec une IA et de marquer les contenus générés dans un format lisible par machine.
Risque minimal et modèles à usage général
La majorité des usages internes ne relève d’aucune obligation spécifique. Les fournisseurs de modèles à usage général ont, eux, un régime dédié applicable depuis le 2 août 2025.
/
Où en est le calendrier de l’AI Act en 2026 ?
Le règlement est entré en vigueur le 1er août 2024 et s’applique par étapes : interdictions et maîtrise de l’IA depuis le 2 février 2025, modèles à usage général et sanctions depuis le 2 août 2025, application générale et transparence de l’article 50 depuis le 2 août 2026.
Le règlement (UE) 2026/1744, dit digital omnibus, a décalé les exigences applicables aux systèmes à haut risque : 2 décembre 2027 pour l’annexe III, 2 août 2028 pour l’annexe I. Rien de ce qui est déjà applicable n’est suspendu. Ce délai sert à cartographier et documenter, pas à attendre.
Notre accompagnement à la conformité AI Act
Nous traitons la conformité AI Act comme un sujet d’ingénierie autant que de gouvernance. Concrètement, cela veut dire regarder ce que vos systèmes font réellement, avec quelles données et sous quel contrôle humain, puis corriger ce qui doit l’être dans les applications elles-mêmes.
Inventaire de vos systèmes d’IA
Recensement de tous les systèmes en production ou en projet, y compris les briques d’IA embarquées dans vos logiciels du marché et les usages apparus sans validation de la DSI.
Qualification du rôle et du risque
Détermination de votre statut de fournisseur ou de déployeur pour chaque système, classification au regard des annexes du règlement et identification des obligations qui en découlent réellement.
Analyse d’écart et feuille de route
Comparaison entre vos pratiques actuelles et les exigences applicables, puis plan d’actions priorisé et calé sur les échéances réelles de chaque catégorie de système.
Mise en conformité de l’article 50
Implémentation des mesures de transparence dans vos applications : information des utilisateurs de vos agents conversationnels, marquage des contenus générés, mentions au premier contact.
Documentation technique et traçabilité
Constitution de la documentation exigée pour les systèmes à haut risque : description du système, gouvernance des données d’entraînement, journalisation, tests et mesures de contrôle humain.
Gouvernance de l’IA
Définition de votre politique d’usage de l’IA, du circuit de validation des nouveaux cas d’usage, des rôles et responsabilités, en articulation avec vos obligations RGPD et votre gouvernance cybersécurité.
Sécurité des systèmes d’IA
Traitement des risques propres à l’IA en production : fuite de données via les prompts, injection de requêtes, contrôle des accès aux modèles et cloisonnement des environnements.
Conformité par conception
Intégration des exigences dès la conception de vos nouveaux projets d’IA, pour éviter d’avoir à reprendre en aval un système déjà déployé et adopté par les métiers.
Suivi réglementaire
Veille sur les évolutions du règlement, les lignes directrices de la Commission et les codes de bonnes pratiques, avec mise à jour de votre feuille de route quand le cadre bouge.
/ Notre méthode de mise en conformité AI Act
Une démarche en cinq temps qui part de vos usages réels de l’IA plutôt que du texte, pour concentrer l’effort là où le règlement l’exige vraiment.
Inventaire
Recensement des systèmes d’IA utilisés ou développés dans l’organisation, y compris ceux embarqués dans vos outils du marché.
Classification
Qualification du niveau de risque de chaque système et de votre rôle de fournisseur ou de déployeur.
Analyse d’écart
Confrontation de vos pratiques aux exigences applicables et priorisation des actions selon les échéances réelles.
Mise en œuvre
Correction dans les applications, constitution de la documentation, mise en place du contrôle humain et de la journalisation.
Formation et pilotage
Montée en compétence des équipes, ancrage de la gouvernance et suivi des évolutions réglementaires dans la durée.
/
Formation IA Act : une obligation légale, pas une option
L’article 4 impose aux fournisseurs comme aux déployeurs d’assurer un niveau suffisant de maîtrise de l’IA chez les personnes qui utilisent ces systèmes pour leur compte. Applicable depuis le 2 février 2025, sans seuil de taille, pour le personnel interne comme pour les prestataires.
Nous construisons un parcours par public : les obligations pour la direction et le juridique, la classification et la documentation pour les équipes produit et data, les usages sûrs de l’IA générative pour les métiers. Chaque session part de vos cas d’usage, ce qui rend la trace de formation défendable en cas de contrôle.
/
Questions fréquentes sur la conformité AI Act
L’AI Act est le règlement (UE) 2024/1689 sur l’intelligence artificielle, premier cadre juridique complet consacré à l’IA. Il ne régule pas la technologie en elle-même mais les usages, en classant les systèmes selon quatre niveaux de risque : inacceptable, haut risque, risque limité et risque minimal. Plus le risque pour la santé, la sécurité ou les droits fondamentaux est élevé, plus les obligations sont fortes. S’agissant d’un règlement, il s’applique directement dans tous les États membres sans transposition nationale.
Le règlement distingue principalement deux rôles. Le fournisseur développe un système d’IA ou le met sur le marché sous son propre nom. Le déployeur utilise un système d’IA sous sa propre autorité dans un cadre professionnel. La plupart des entreprises sont déployeurs, mais une organisation qui personnalise fortement un système ou le commercialise sous sa marque peut basculer dans le statut de fournisseur, avec des obligations nettement plus lourdes. Le règlement s’applique aussi aux acteurs établis hors de l’Union dès lors que les résultats du système sont utilisés dans l’Union.
L’article 99 prévoit trois niveaux d’amendes administratives. Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour le recours à une pratique interdite par l’article 5. Jusqu’à 15 millions d’euros ou 3 % pour le manquement aux autres obligations, notamment celles pesant sur les systèmes à haut risque. Jusqu’à 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes ou trompeuses aux autorités. Pour les PME et les jeunes entreprises, c’est le montant le plus bas des deux qui s’applique.
Il n’existe pas de label officiel de conformité générale à l’AI Act pour une entreprise. Le règlement prévoit une évaluation de conformité pour les systèmes à haut risque, suivie d’une déclaration UE de conformité au titre de l’article 47 et de l’apposition du marquage CE. Pour les autres catégories, la conformité se démontre par la documentation, la gouvernance et les mesures effectivement mises en place, pas par un certificat. Attention aux offres commerciales qui présentent une certification AI Act comme un prérequis obligatoire.
L’article 50 porte sur la transparence et concerne beaucoup d’entreprises qui ne relèvent pas du haut risque. Les personnes doivent être informées qu’elles interagissent avec un système d’IA, sauf si cela est évident. Les contenus de synthèse audio, image, vidéo ou texte doivent être marqués comme générés ou manipulés artificiellement, dans un format lisible par machine. Les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique doivent en être averties. L’information doit être donnée clairement, au plus tard lors de la première interaction.
Il déplace une échéance, il n’annule aucune obligation. Le règlement (UE) 2026/1744 reporte les exigences de fond applicables aux systèmes à haut risque autonomes au 2 décembre 2027, et au 2 août 2028 pour ceux intégrés à des produits déjà réglementés. En revanche, les pratiques interdites, l’obligation de maîtrise de l’IA, les règles sur les modèles à usage général et les obligations de transparence restent applicables. Le vrai bénéfice de ce report est le temps gagné pour cartographier et documenter, à condition de l’utiliser.
Faisons le point sur votre conformité AI Act
