La conformité AI Act est perçue pour beaucoup comme un sujet de juristes. Chaque nouvelle échéance réglementaire produit son écosystème d'experts - et l'AI Act n'échappe pas à la règle. 

Pourtant, la question que la réglementation dépasse le simple cadre juridique. Elle est opérationnelle, et assez inconfortable : savez-vous exactement quels systèmes d'IA opèrent aujourd'hui dans votre SI ? Sur quelles données, avec quel niveau d'autonomie décisionnelle, sous la responsabilité de qui ? 

Pour beaucoup de DSI, la réponse (honnête) est “non”. Et c'est précisément là que commence le vrai sujet pour votre entreprise. 

En bref

• L'AI Act s'applique à toute organisation dont l'activité produit des effets sur des utilisateurs situés dans l'UE, peu importe où elle est basée.

• La DSI cumule souvent trois rôles réglementaires (fournisseur, déployeur, distributeur), sans pouvoir déléguer sa conformité à ses fournisseurs.

• Les sanctions financières existent, mais le vrai risque est d'être incapable de répondre à un contrôle faute de documentation.

• Cartographier ne suffit pas : chaque système doit être relié à un responsable, à son contexte architectural et maintenu à jour en continu.

• La conformité AI Act s'appuie sur la gouvernance IT existante, ou révèle brutalement ses lacunes.

Pour aller plus loin et disposer d'un plan d'action complet (niveaux de risque, calendrier, étapes détaillées et checklist opérationnelle), consultez le guide pratique Smoteo. 

En quoi l'AI Act s'applique-t-il à votre organisation ? 

Premier cadre réglementaire mondial sur l'intelligence artificielle, l'Artificial Intelligence Act ne cible pas uniquement les éditeurs de logiciels ou les grandes plateformes technologiques. Il s'applique à toute organisation qui développe, déploie ou utilise des systèmes d'IA produisant des effets sur des personnes situées dans l'Union européenne, quelle que soit sa localisation géographique. 

En d'autres termes : si votre activité produit des effets sur des utilisateurs établis dans l'UE, vous êtes concerné, quel que soit le siège social de votre société. 

En pratique, le règlement distingue trois rôles réglementaires, que la DSI cumule fréquemment :   

• Le fournisseur, qui développe ou met sur le marché un système d'IA. Votre DSI est fournisseur lorsqu'elle développe ses propres outils en interne. 

• Le déployeur, qui utilise un système d'IA dans un contexte professionnel, y compris via un outil SaaS tiers. Votre DSI est déployeur lorsqu'elle intègre un outil tiers – un copilote Microsoft, un outil de scoring RH en SaaS, ou une API d'IA générative connectée à un outil métier, par exemple. 

• L'importateur ou distributeur, qui commercialise des solutions d'origine non-européenne. Votre DSI a ce rôle si elle redistribue en interne des solutions développées hors UE - ce qui est le cas de la quasi-totalité des grands modèles de langage. 

Ce cumul a une conséquence directe : la DSI ne peut pas déléguer la conformité à ses fournisseurs. Même lorsqu'elle achète une solution tierce, elle reste responsable de l'usage qu'elle en fait - de la qualification du risque à la supervision humaine, en passant par la documentation. Le fournisseur est responsable de son système. Le déployeur est responsable de son déploiement et des conditions d'utilisation qu'il en fait dans son contexte. 

Ce que ça change par rapport au RGPD

Beaucoup d’organisations abordent l’AI Act comme une extension du RGPD. La différence est structurelle : le RGPD s’applique à l’entreprise et protège la donnée personnelle, l’AI Act s’applique système par système. Un registre RGPD est une base utile, pas une couverture. Les six différences qui comptent pour une DSI sont détaillées dans AI Governance Act vs RGPD : les 6 différences que votre DSI doit maîtriser.

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Quelles sanctions en cas de non-conformité à l'AI Act ? 

Le sujet des sanctions est souvent l'un des premiers réflexes que l’on a quand on parle de conformité AI Act. Il mérite d'être posé clairement, mais aussi relativisé. 

Le règlement prévoit trois paliers de sanctions administratives, proportionnés au niveau de risque concerné et à la taille de l'organisation : 

• Les usages interdits (risque inacceptable) exposent à des amendes allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial 

• Les manquements aux obligations applicables aux systèmes haut risque : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial 

• Les manquements aux obligations applicables aux systèmes haut risque et aux obligations de transparence : jusqu’à 15 M€ ou 3% du CA mondial

• La fourniture d’informations inexactes, incomplètes ou trompeuses aux autorités compétentes : jusqu’à 7,5 M€ ou 1% du CA mondial

Pour les PME, les sanctions sont plafonnées au montant le plus bas entre le seuil absolu et le pourcentage du chiffre d'affaires - une nuance importante pour les structures de taille intermédiaire. 

Mais les sanctions ne sont pas le vrai risque. Le vrai risque, pour une DSI, c'est d'être incapable de répondre à un contrôle faute de documentation, et de devoir reconstituer sous pression ce qui aurait dû être construit en amont. Si les autorités de contrôle identifient un système haut risque déployé sans qualification préalable, sans registre des usages, sans supervision humaine formalisée, la bonne foi ne suffit pas à couvrir l'absence de démarche. 

Les reports ne sont pas un signal pour attendre 

En 2026, l’UE a décalé les échéances des systèmes à haut risque, faute de normes harmonisées disponibles à temps. Ce report est technique, pas politique, et ne réduit pas le travail à mener. Les dates applicables et ce qu’elles changent pour votre DSI sont détaillées dans notre calendrier de l’AI Act.

“Le délai de mise en conformité de l’AI Act est significatif. Mais les étapes de cartographie, de qualification, de documentation technique et de mise en place de la supervision humaine sont longues : quatre à six mois en moyenne pour les quatre premières étapes, dans une organisation structurée. Commencer maintenant, c'est se donner les moyens d'avancer sans subir.” 

- Fouzia Mahieddine, co-fondatrice @ Smoteo 

Pourquoi la conformité révèle avant tout un problème de gouvernance 

Il y a une question que l'AI Act vous oblige à vous poser : savez-vous exactement ce qui tourne dans votre Système d’Information ? Pas ce qui devrait tourner. Ce qui tourne réellement, aujourd'hui, avec quelles données, sous la responsabilité de qui. 

C'est précisément là que la conformité AI Act cesse d'être un sujet juridique pour devenir un sujet de pilotage. 

L'IA fantôme : ce qu'on ne voit pas ne peut pas être gouverné 

L'IA fantôme, c'est l'ensemble des usages IA déployés dans l'entreprise sans validation ni recensement par la DSI, qui s'installe par accumulation de décisions décentralisées. Il peut s’agit d’un outil SaaS adopté directement par le marketing, d’un copilote activé par un développeur sur son poste, d'un modèle d'apprentissage automatique intégré dans un service client, d’une API d'IA générative intégrée dans un outil métier par un prestataire externe, sans passage en revue Architecture...

Et ce n'est pas un cas de figure isolé ! Selon une étude Flexera 2026, 70 % des responsables estiment que les métiers achètent plus d'applications cloud et SaaS que ce dont l'IT a conscience.

“Réglementairement, chaque outil non recensé représente une exposition non évaluée, non documentée, non gérée. Ce que vous ne voyez pas ne peut pas être gouverné. Et ce que vous ne gouvernez pas, vous ne pouvez pas le défendre.”  

- Fouzia Mahieddine, co-fondatrice @ Smoteo 

La conséquence : cartographier ne suffit pas 

Recenser les systèmes IA est nécessaire, mais ce n'est pas suffisant. 

Ce que l'AI Act exige réellement va bien au-delà du recensement.  

Vous devez :  

• Relier chaque système à son contexte architectural, aux flux de données qu'il mobilise, et aux processus métier qu'il touche.  

• Associer un responsable identifié à chaque système.  

• Documenter la qualité des données.  

• Formaliser les mécanismes de supervision humaine.  

Et bien entendu, maintenir tout cela à jour en continu (pas produire une photo annuelle qui sera périmée dès le prochain déploiement), pour garantir qu'aucun système ne reste sans propriétaire ni documentation à jour. 

C'est précisément là que les approches statiques montrent leurs limites. Un tableur, un audit IA ponctuel ou un registre figé ne tiennent pas sur la durée dans un SI qui évolue en permanence. Les fonctionnalités IA s'activent silencieusement dans des solutions existantes, et les prestataires intègrent des composants IA dans des livrables sans notification. Dans ce contexte, chaque nouveau déploiement SaaS est une potentielle exposition non qualifiée. 

En somme : la conformité à l'AI Act n'est pas un état qu'on atteint, mais une capacité qu'on maintient. 

Vous devez, à tout moment, pouvoir répondre aux questions suivantes :  

• Quels agents IA opèrent dans mon SI ?  

• Sur quelles données ?  

• Avec quels niveaux d'autonomie décisionnelle ? 

• Qui en est responsable ?  

• Leur documentation est-elle à jour ? 

• Sont-ils supervisés humainement, et comment ? 

Ce sont celles que les autorités de contrôle poseront - et que votre COMEX finira, tôt ou tard, par poser aussi. Et si la réponse à l'une de ces questions est "je ne sais pas" : vous avez un problème de gouvernance IA, pas seulement un problème de conformité. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Le lien structurel entre gouvernance IT et conformité IA 

La mise en conformité à l'AI Act n'est pas un projet parallèle à la gouvernance IT existante. Elle s'appuie sur elle... ou elle révèle ses lacunes. 

Si votre organisation a déjà structuré son portefeuille applicatif, sa cartographie des capacités et sa gestion des risques IT, vous partez avec six à douze mois d'avance. A contrario, si vous n'avez pas encore cette base, vous devez construire les deux en parallèle. Ce qui est faisable, mais exigeant. 

En ce sens, l'AI Act fonctionne comme un révélateur. Il met en lumière des lacunes de gouvernance qui existaient avant lui, et qu'il aurait fallu corriger de toute façon. Investir dans un référentiel de gouvernance IT et IA est un actif stratégique qui sert bien au-delà de l'AI Act : alignement stratégique, pilotage du portefeuille, relation COMEX, maîtrise des risques opérationnels...  

Comment structurer une mise en conformité AI Act qui tient dans la durée ? 

La mise en conformité à l'AI Act doit être considérée comme une capacité à construire, avec un sponsor identifié, une équipe constituée, des jalons définis, et un budget alloué. L'échéance du 2 décembre 2027 laisse du temps - à condition de ne pas le laisser filer. 

Commencer par la gouvernance, pas par la cartographie 

La cartographie sans gouvernance produit un registre sans propriétaire ; et un registre sans propriétaire n'est maintenu par personne. 

Avant toute cartographie, nommez un responsable de la conformité IA : il lui faut un mandat explicite, un accès direct à la direction générale et une légitimité auprès de toutes les fonctions concernées. Ce rôle peut être porté par le DPO, le RSSI, un juriste spécialisé ou une cellule dédiée.  

Autour de lui, un comité de pilotage transversal doit être constitué : DSI, DPO, Juridique, Sécurité, directions métiers... La conformité IA est par nature un sujet transverse, alors tenter de le piloter depuis un seul département est une impasse organisationnelle. 

C'est aussi l'occasion d'engager un programme de formation AI Act pour les équipes : l'obligation Art. 4 sur la culture IA est applicable depuis février 2025, et identifier les individus qui devront monter en compétence est une priorité dès le démarrage. 

Cartographier sans angles morts, puis qualifier usage par usage 

Une fois la gouvernance posée, la cartographie couvre tous les systèmes, internes, SaaS, intégrés dans des applications tierces ou en projet. Chaque usage est ensuite qualifié au regard de l’Annexe III, usage par usage et non logiciel par logiciel. La méthode détaillée (sources à croiser, variables à documenter, pièges courants) fait l’objet de notre article sur l’audit IA.

Documenter, superviser, piloter en continu 

Pour chaque système classé haut risque, la documentation technique conforme à l'Annexe IV est la pièce maîtresse. Elle doit couvrir l'ensemble du cycle de vie du système : de sa conception à son déploiement en production, en passant par les travaux de validation, l'évaluation des risques résiduels, et les droits fondamentaux potentiellement impactés.  

La supervision humaine doit être pensée by design : intégrée dès la conception, pas ajoutée en post-production. Et la conformité IA doit être intégrée dans le processus de validation de chaque nouveau projet IT : c'est la condition pour avancer sans créer de dette réglementaire. 

Ce que cette démarche exige concrètement, étape par étape, avec les pièges à éviter et la checklist complète, est détaillé dans notre guide pratique : téléchargez-le ici pour ne rien rater à votre mise en conformité AI Act. 

Et avec Smoteo, ça donne quoi ?

Répondre aux exigences de l'AI Act suppose de déployer une solide infrastructure de gouvernance. 

C’est ce que Smoteo vous permet de faire, grâce à :  

• Un registre des usages, qui structure le recensement continu de tous les outils et initiatives IA actifs par département.  

• Une AI Value Stream Map, pour cartographier visuellement les agents IA dans l'écosystème business et IT.  

• Des Epic Cards qui constituent directement la base documentaire requise par l'Annexe IV - construite au fil du cadrage, sans ressaisie ni reconstitution sous pression.  

• Un module AI Agent Governance, qui structure ce que l'AI Act présuppose : chaque agent positionné dans son contexte réel, avec ses flux de données et ses contraintes associées. 

Le tout connecté par un méta-modèle qui relie stratégie, architecture, portefeuille et delivery dans une vue unifiée.  

La conformité est le point de départ, pas la destination 

Ce que le règlement met en lumière, ce ne sont pas des lacunes juridiques, mais des lacunes de gouvernance qui existaient bien avant lui, et que beaucoup d'organisations auraient dû corriger de toute façon. Les organisations qui sortiront renforcées de cette période réglementaire seront celles qui auront compris que piloter un portefeuille d'agents IA de manière cohérente, traçable et alignée sur la stratégie est un avantage compétitif durable - bien au-delà de la conformité. 

C'est aussi ce que l'AI Act, paradoxalement, rend possible : transformer une contrainte réglementaire en opportunité de structurer ce qui aurait dû l'être.  

Être conforme AI Act, ce n'est pas seulement répondre à une exigence réglementaire : c'est construire une organisation digne de confiance dans son rapport à l'intelligence artificielle - capable de piloter, d'évaluer et de faire évoluer son écosystème numérique avec clarté, éthique et confiance. Une organisation où l'innovation et la gouvernance ne s'opposent pas, mais se renforcent. 

Calendrier des échéances, niveaux de risque détaillés, plan d'action en 7 étapes et checklist opérationnelle : tout ce qu'il faut pour structurer votre mise en conformité AI Act est dans le guide pratique Smoteo : téléchargez-le gratuitement. 

Guide pratique

Comment vous mettre en conformité avec l'AI Act ?

Calendrier des obligations, niveaux de risque et checklist complète pour accompagner votre projet

Télécharger le guide

Télécharger le guide