Mise en conformité EU AI Act : la feuille de route en 6 étapes

Se mettre en conformité avec l'EU AI Act n'est pas un grand chantier flou : c'est une suite de six étapes, dans un ordre précis, où chaque étape prépare la suivante et rend la dernière atteignable. Le problème n'est presque jamais la difficulté d'une action isolée, mais le fait de ne pas savoir par quoi commencer ni comment les enchaîner. Voici la feuille de route que je déroule avec mes clients pour passer d'un état exposé à un dossier de conformité tenable, sans tout traiter en même temps ni dans le désordre.

Le problème : « on sait qu'il faut faire quelque chose », mais pas dans quel ordre

La plupart des dirigeants que je rencontre ont compris qu'ils sont concernés. Ce qui les bloque, c'est l'absence de séquence. On se jette sur la documentation avant même de savoir quels systèmes sont à haut risque, ou on nomme un responsable sans lui donner de cartographie à piloter. Résultat : beaucoup d'énergie dépensée, peu de conformité réelle, et un sentiment de ne jamais avancer.

La conformité à l'AI Act se construit dans un ordre logique. Chaque étape produit un livrable qui alimente la suivante. Sautez-en une, et vous refaites deux fois le travail. Voici la chaîne complète.

Étape 1 : faites l'inventaire de vos usages d'IA

On ne met pas en conformité ce qu'on ne voit pas. La première étape consiste à lister tous les systèmes d'IA en circulation dans l'entreprise : les outils validés par la DSI, mais aussi ceux que vos équipes utilisent de leur côté, sans autorisation. Ce dernier point, le « Shadow AI », est souvent le plus gros angle mort, et c'est presque toujours là que se cachent les risques les plus concrets.

Pour chaque usage, notez trois choses : à quoi il sert, quelles données il traite, et qui l'a mis en place. Ce tableau est la fondation de tout le reste. Si vous ne savez pas comment débusquer les outils invisibles, je détaille la méthode dans comment savoir ce que vos équipes utilisent vraiment.

Étape 2 : classez chaque usage par niveau de risque

L'AI Act range chaque système dans l'un de quatre niveaux : inacceptable (interdit), haut risque, risque limité, risque minimal. Toute la charge réglementaire se concentre sur le haut risque. C'est donc le tri décisif : il vous dit où porter votre effort et ce que vous pouvez laisser de côté.

Les usages qui touchent au recrutement, au crédit, à la tarification d'assurance ou à l'accès aux soins basculent presque systématiquement en haut risque. Avant de vous lancer, vérifiez d'abord votre périmètre avec la méthode d'auto-évaluation détaillée dans êtes-vous concerné par l'AI Act, puis confirmez le classement haut risque avec la méthode en quatre étapes.

Étape 3 : désignez un responsable de la conformité IA

Un sujet sans porteur n'avance pas. Il faut une personne clairement identifiée, souvent votre DPO, épaulée par la direction, qui pilote la feuille de route et arbitre les priorités. Ce responsable n'a pas besoin d'être un expert de l'IA : il doit être capable de faire le lien entre les métiers, la technique et le droit, et de tenir le calendrier.

Étape 4 : mesurez l'écart entre l'exigence et l'existant

Pour chaque usage à haut risque, mettez en face deux colonnes : ce que la loi exige, et ce que vous faites déjà. La différence, ce sont vos écarts. Cette analyse transforme un texte réglementaire abstrait en une liste de tâches concrètes et priorisées. C'est exactement ce que produit un audit.

Chaque « non » est une tâche pour l'étape suivante. Vous obtenez ainsi une feuille de route priorisée plutôt qu'une intention vague. Si vous préférez la faire mener de bout en bout, c'est précisément le déroulé d'un audit Sécurité et Conformité IA.

Étape 5 : constituez le dossier de conformité

C'est le cœur du travail : combler les écarts et matérialiser la preuve. Pour chaque système à haut risque, vous constituez un dossier qui rassemble la description de l'usage, l'analyse des risques, la gouvernance des données, les points de supervision humaine et les journaux. Ce dossier n'est pas un document mort : c'est ce que vous présenterez en cas de contrôle, et ce qui rend chaque décision de votre IA défendable.

Étape 6 : mettez en place le contrôle continu

La conformité n'est pas un état figé. Un modèle évolue, de nouveaux usages apparaissent, vos équipes adoptent de nouveaux outils. La dernière étape installe une routine : revue périodique de l'inventaire, surveillance des performances et des dérives, mise à jour de la documentation à chaque changement. Sans cette boucle, votre dossier se périme en quelques mois et vous repartez de zéro.

Le résultat : une conformité tenable, pas un sprint

Au bout de cette chaîne, vous ne détenez pas seulement des documents. Vous savez précisément quels systèmes vous exploitez, lesquels sont sensibles, qui en répond, et vous pouvez le prouver. Vous avez transformé une obligation subie en dispositif maîtrisé. Et surtout, vous avez réparti l'effort dans le temps au lieu de tout affronter dans l'urgence à l'approche d'une échéance.

L'anticipation coûte plusieurs fois moins cher que le rattrapage. Une entreprise qui déroule cette feuille de route sereinement dépense bien moins qu'une entreprise qui découvre ses écarts sous la pression d'un contrôle ou d'un incident.

Questions fréquentes

Combien de temps prend cette mise en conformité ?

L'inventaire et la classification (étapes 1 et 2) prennent en général une à deux semaines. La constitution des dossiers dépend du nombre de systèmes à haut risque : de quelques semaines à quelques mois. L'important est de commencer par le haut de la chaîne, car c'est lui qui dimensionne tout le reste.

Faut-il tout faire d'un coup ?

Non, et c'est justement l'intérêt de la séquence. Vous traitez d'abord les usages à haut risque, puis vous étendez la démarche. Une conformité progressive et documentée vaut mieux qu'un chantier total jamais terminé.

Peut-on s'en occuper sans juriste interne ?

Oui. La feuille de route est avant tout une démarche d'organisation et de sécurité. Le rôle d'un accompagnant n'est pas de vous transformer en juriste, mais de traduire l'exigence réglementaire en actions concrètes et de vous éviter les pièges.

Par quoi commencer si je n'ai encore rien fait ?

Par l'étape 1. Tant que vous n'avez pas la liste de vos usages d'IA, aucune autre action n'est fiable. En quelques jours, l'inventaire vous donne déjà une vision claire de votre exposition.

C'est exactement le livrable de mon audit Sécurité & Conformité IA : en une à deux semaines, vous repartez avec votre inventaire, la classification de vos usages et une feuille de route priorisée. Pour en parler sur votre cas précis, un premier échange de trente minutes suffit à cadrer le point de départ.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.