La conformité AI Act est perçue pour beaucoup comme un sujet de juristes. Chaque nouvelle échéance réglementaire produit son écosystème d'experts - et l'AI Act n'échappe pas à la règle. 

Pourtant, la question que la réglementation dépasse le simple cadre juridique. Elle est opérationnelle, et assez inconfortable : savez-vous exactement quels systèmes d'IA opèrent aujourd'hui dans votre SI ? Sur quelles données, avec quel niveau d'autonomie décisionnelle, sous la responsabilité de qui ? 

Pour beaucoup de DSI, la réponse (honnête) est “non”. Et c'est précisément là que commence le vrai sujet pour votre entreprise. 

En bref

• L'AI Act s'applique à toute organisation dont l'activité produit des effets sur des utilisateurs situés dans l'UE, peu importe où elle est basée.

• La DSI cumule souvent trois rôles réglementaires (fournisseur, déployeur, distributeur), sans pouvoir déléguer sa conformité à ses fournisseurs.

• Les sanctions financières existent, mais le vrai risque est d'être incapable de répondre à un contrôle faute de documentation.

• Cartographier ne suffit pas : chaque système doit être relié à un responsable, à son contexte architectural et maintenu à jour en continu.

• La conformité AI Act s'appuie sur la gouvernance IT existante, ou révèle brutalement ses lacunes.

Pour aller plus loin et disposer d'un plan d'action complet (niveaux de risque, calendrier, étapes détaillées et checklist opérationnelle), consultez le guide pratique Smoteo. 

En quoi l'AI Act s'applique-t-il à votre organisation ? 

Premier cadre réglementaire mondial sur l'intelligence artificielle, l'Artificial Intelligence Act ne cible pas uniquement les éditeurs de logiciels ou les grandes plateformes technologiques. Il s'applique à toute organisation qui développe, déploie ou utilise des systèmes d'IA produisant des effets sur des personnes situées dans l'Union européenne, quelle que soit sa localisation géographique. 

En d'autres termes : si votre activité produit des effets sur des utilisateurs établis dans l'UE, vous êtes concerné, quel que soit le siège social de votre société. 

En pratique, le règlement distingue trois rôles réglementaires, que la DSI cumule fréquemment :   

• Le fournisseur, qui développe ou met sur le marché un système d'IA. Votre DSI est fournisseur lorsqu'elle développe ses propres outils en interne. 

• Le déployeur, qui utilise un système d'IA dans un contexte professionnel, y compris via un outil SaaS tiers. Votre DSI est déployeur lorsqu'elle intègre un outil tiers – un copilote Microsoft, un outil de scoring RH en SaaS, ou une API d'IA générative connectée à un outil métier, par exemple. 

• L'importateur ou distributeur, qui commercialise des solutions d'origine non-européenne. Votre DSI a ce rôle si elle redistribue en interne des solutions développées hors UE - ce qui est le cas de la quasi-totalité des grands modèles de langage. 

Ce cumul a une conséquence directe : la DSI ne peut pas déléguer la conformité à ses fournisseurs. Même lorsqu'elle achète une solution tierce, elle reste responsable de l'usage qu'elle en fait - de la qualification du risque à la supervision humaine, en passant par la documentation. Le fournisseur est responsable de son système. Le déployeur est responsable de son déploiement et des conditions d'utilisation qu'il en fait dans son contexte. 

Ce que ça change par rapport au RGPD

Le réflexe est compréhensible : beaucoup d'organisations ont abordé l'AI Act comme une extension naturelle du RGPD. La réalité est plus nuancée.  

Le RGPD s'applique à l'entreprise en tant qu'entité. L'AI Act, lui, s'applique système par système. Une même organisation peut donc avoir des obligations très différentes selon les outils qu'elle déploie - y compris au sein d'un même département. Pour vous, cela signifie concrètement qu'il ne suffit pas de disposer d'une gouvernance des données conforme : il faut être capable de qualifier chaque système individuellement, de justifier cette qualification, et de la maintenir à jour.  

Les organisations déjà conformes au RGPD disposent d'une base utile : registre des traitements, analyses d'impact, gouvernance des données. Mais elle ne suffit pas. L'AI Act couvre le système là où le RGPD couvre la donnée. L'un vise la protection des personnes dans leurs interactions avec les systèmes d'IA, l'autre la protection de leurs données personnelles. 

Mais les deux textes se superposent dès qu'un système d'IA traite des données personnelles. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Quelles sanctions en cas de non-conformité à l'AI Act ? 

Le sujet des sanctions est souvent l'un des premiers réflexes que l’on a quand on parle de conformité AI Act. Il mérite d'être posé clairement, mais aussi relativisé. 

Le règlement prévoit trois paliers de sanctions administratives, proportionnés au niveau de risque concerné et à la taille de l'organisation : 

• Les usages interdits (risque inacceptable) exposent à des amendes allant jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial 

• Les manquements aux obligations applicables aux systèmes haut risque : jusqu'à 15 M€ ou 3 % du chiffre d'affaires mondial 

• Les manquements aux obligations de transparence : jusqu'à 7,5 M€ ou 1 % du chiffre d'affaires mondial 

Pour les PME, les sanctions sont plafonnées au montant le plus bas entre le seuil absolu et le pourcentage du chiffre d'affaires - une nuance importante pour les structures de taille intermédiaire. 

Mais les sanctions ne sont pas le vrai risque. Le vrai risque, pour une DSI, c'est d'être incapable de répondre à un contrôle faute de documentation, et de devoir reconstituer sous pression ce qui aurait dû être construit en amont. Si les autorités de contrôle identifient un système haut risque déployé sans qualification préalable, sans registre des usages, sans supervision humaine formalisée, la bonne foi ne suffit pas à couvrir l'absence de démarche. 

Les reports ne sont pas un signal pour attendre 

Vous avez peut-être vu qu'en 2026, l'UE a décalé certaines échéances haut risque. Ce n'est pas un recul politique, mais plutôt une conséquence technique. En effet, les organismes de normalisation européens CEN et CENELEC n'ont pas été en mesure de produire les normes harmonisées dans les délais initialement prévus. Sans ces normes, les entreprises ne savent pas concrètement quoi faire, ni comment le démontrer aux autorités de contrôle. 

La Commission européenne a donc proposé en novembre 2025 (Digital Omnibus) de lier la date d'application des règles haut risque à la disponibilité effective de ces outils de support. Un accord politique a été conclu le 7 mai 2026. L'échéance pour les systèmes haut risque standalone est désormais fixée au 2 décembre 2027. 

“Le délai de mise en conformité de l’AI Act est significatif. Mais les étapes de cartographie, de qualification, de documentation technique et de mise en place de la supervision humaine sont longues : quatre à six mois en moyenne pour les quatre premières étapes, dans une organisation structurée. Commencer maintenant, c'est se donner les moyens d'avancer sans subir.” 

- Fouzia Mahieddine, co-fondatrice @ Smoteo 

Pourquoi la conformité révèle avant tout un problème de gouvernance 

Il y a une question que l'AI Act vous oblige à vous poser : savez-vous exactement ce qui tourne dans votre Système d’Information ? Pas ce qui devrait tourner. Ce qui tourne réellement, aujourd'hui, avec quelles données, sous la responsabilité de qui. 

C'est précisément là que la conformité AI Act cesse d'être un sujet juridique pour devenir un sujet de pilotage. 

L'IA fantôme : ce qu'on ne voit pas ne peut pas être gouverné 

L'IA fantôme, c'est l'ensemble des usages IA déployés dans l'entreprise sans validation ni recensement par la DSI, qui s'installe par accumulation de décisions décentralisées. Il peut s’agit d’un outil SaaS adopté directement par le marketing, d’un copilote activé par un développeur sur son poste, d'un modèle d'apprentissage automatique intégré dans un service client, d’une API d'IA générative intégrée dans un outil métier par un prestataire externe, sans passage en revue Architecture...

Et ce n'est pas un cas de figure isolé ! Selon une étude Flexera 2026, 70 % des responsables estiment que les métiers achètent plus d'applications cloud et SaaS que ce dont l'IT a conscience.

“Réglementairement, chaque outil non recensé représente une exposition non évaluée, non documentée, non gérée. Ce que vous ne voyez pas ne peut pas être gouverné. Et ce que vous ne gouvernez pas, vous ne pouvez pas le défendre.”  

- Fouzia Mahieddine, co-fondatrice @ Smoteo 

La conséquence : cartographier ne suffit pas 

Recenser les systèmes IA est nécessaire, mais ce n'est pas suffisant. 

Ce que l'AI Act exige réellement va bien au-delà du recensement.  

Vous devez :  

• Relier chaque système à son contexte architectural, aux flux de données qu'il mobilise, et aux processus métier qu'il touche.  

• Associer un responsable identifié à chaque système.  

• Documenter la qualité des données.  

• Formaliser les mécanismes de supervision humaine.  

Et bien entendu, maintenir tout cela à jour en continu (pas produire une photo annuelle qui sera périmée dès le prochain déploiement), pour garantir qu'aucun système ne reste sans propriétaire ni documentation à jour. 

C'est précisément là que les approches statiques montrent leurs limites. Un tableur, un audit IA ponctuel ou un registre figé ne tiennent pas sur la durée dans un SI qui évolue en permanence. Les fonctionnalités IA s'activent silencieusement dans des solutions existantes, et les prestataires intègrent des composants IA dans des livrables sans notification. Dans ce contexte, chaque nouveau déploiement SaaS est une potentielle exposition non qualifiée. 

En somme : la conformité à l'AI Act n'est pas un état qu'on atteint, mais une capacité qu'on maintient. 

Vous devez, à tout moment, pouvoir répondre aux questions suivantes :  

• Quels agents IA opèrent dans mon SI ?  

• Sur quelles données ?  

• Avec quels niveaux d'autonomie décisionnelle ? 

• Qui en est responsable ?  

• Leur documentation est-elle à jour ? 

• Sont-ils supervisés humainement, et comment ? 

Ce sont celles que les autorités de contrôle poseront - et que votre COMEX finira, tôt ou tard, par poser aussi. Et si la réponse à l'une de ces questions est "je ne sais pas" : vous avez un problème de gouvernance IA, pas seulement un problème de conformité. 

Comment vous mettre en conformité avec l'AI Act ?

Télécharger le guide

Le lien structurel entre gouvernance IT et conformité IA 

La mise en conformité à l'AI Act n'est pas un projet parallèle à la gouvernance IT existante. Elle s'appuie sur elle... ou elle révèle ses lacunes. 

Si votre organisation a déjà structuré son portefeuille applicatif, sa cartographie des capacités et sa gestion des risques IT, vous partez avec six à douze mois d'avance. A contrario, si vous n'avez pas encore cette base, vous devez construire les deux en parallèle. Ce qui est faisable, mais exigeant. 

En ce sens, l'AI Act fonctionne comme un révélateur. Il met en lumière des lacunes de gouvernance qui existaient avant lui, et qu'il aurait fallu corriger de toute façon. Investir dans un référentiel de gouvernance IT et IA est un actif stratégique qui sert bien au-delà de l'AI Act : alignement stratégique, pilotage du portefeuille, relation COMEX, maîtrise des risques opérationnels...  

Comment structurer une mise en conformité AI Act qui tient dans la durée ? 

La mise en conformité à l'AI Act doit être considérée comme une capacité à construire, avec un sponsor identifié, une équipe constituée, des jalons définis, et un budget alloué. L'échéance du 2 décembre 2027 laisse du temps - à condition de ne pas le laisser filer. 

Commencer par la gouvernance, pas par la cartographie 

La cartographie sans gouvernance produit un registre sans propriétaire ; et un registre sans propriétaire n'est maintenu par personne. 

Avant le mapping, la priorité absolue est de désigner un responsable conformité IA avec un mandat clair, un accès à la direction générale et une légitimité transversale. Ce rôle peut être porté par le DPO, le RSSI, un juriste spécialisé ou une cellule dédiée.  

Autour de lui, un comité de pilotage transversal doit être constitué : DSI, DPO, Juridique, Sécurité, directions métiers... La conformité IA est par nature un sujet transverse, alors tenter de le piloter depuis un seul département est une impasse organisationnelle. 

C'est aussi l'occasion d'engager un programme de formation AI Act pour les équipes : l'obligation Art. 4 sur la culture IA est applicable depuis février 2025, et identifier les individus qui devront monter en compétence est une priorité dès le démarrage. 

Cartographier sans angles morts, puis qualifier usage par usage 

Une fois la gouvernance posée, la cartographie peut commencer. Son périmètre doit être sans angle mort : systèmes développés en interne, solutions SaaS, outils intégrés dans des applications tierces, systèmes en cours de développement, projets planifiés... 

La qualification se fait ensuite usage par usage, pas logiciel par logiciel. Chaque catégorie de système doit être évaluée au regard des critères de l'Annexe III. Les cas ambigus doivent être escaladés au comité de pilotage, et si nécessaire aux autorités ou à un conseil juridique spécialisé. La traçabilité de toute la démarche est en elle-même une exigence de conformité. L'enregistrement des systèmes haut risque dans la base de données UE fait également partie des obligations à anticiper dès cette étape. 

Documenter, superviser, piloter en continu 

Pour chaque système classé haut risque, la documentation technique conforme à l'Annexe IV est la pièce maîtresse. Elle doit couvrir l'ensemble du cycle de vie du système : de sa conception à son déploiement en production, en passant par les travaux de validation, l'évaluation des risques résiduels, et les droits fondamentaux potentiellement impactés.  

La supervision humaine doit être pensée by design : intégrée dès la conception, pas ajoutée en post-production. Et la conformité IA doit être intégrée dans le processus de validation de chaque nouveau projet IT : c'est la condition pour avancer sans créer de dette réglementaire. 

Ce que cette démarche exige concrètement, étape par étape, avec les pièges à éviter et la checklist complète, est détaillé dans notre guide pratique : téléchargez-le ici pour ne rien rater à votre mise en conformité AI Act. 

Et avec Smoteo, ça donne quoi ?

Répondre aux exigences de l'AI Act suppose de déployer une solide infrastructure de gouvernance. 

C’est ce que Smoteo vous permet de faire, grâce à :  

• Un registre des usages, qui structure le recensement continu de tous les outils et initiatives IA actifs par département.  

• Une AI Value Stream Map, pour cartographier visuellement les agents IA dans l'écosystème business et IT.  

• Des Epic Cards qui constituent directement la base documentaire requise par l'Annexe IV - construite au fil du cadrage, sans ressaisie ni reconstitution sous pression.  

• Un module AI Agent Governance, qui structure ce que l'AI Act présuppose : chaque agent positionné dans son contexte réel, avec ses flux de données et ses contraintes associées. 

Le tout connecté par un méta-modèle qui relie stratégie, architecture, portefeuille et delivery dans une vue unifiée.  

La conformité est le point de départ, pas la destination 

Ce que le règlement met en lumière, ce ne sont pas des lacunes juridiques, mais des lacunes de gouvernance qui existaient bien avant lui, et que beaucoup d'organisations auraient dû corriger de toute façon. Les organisations qui sortiront renforcées de cette période réglementaire seront celles qui auront compris que piloter un portefeuille d'agents IA de manière cohérente, traçable et alignée sur la stratégie est un avantage compétitif durable - bien au-delà de la conformité. 

C'est aussi ce que l'AI Act, paradoxalement, rend possible : transformer une contrainte réglementaire en opportunité de structurer ce qui aurait dû l'être.  

Être conforme AI Act, ce n'est pas seulement répondre à une exigence réglementaire : c'est construire une organisation digne de confiance dans son rapport à l'intelligence artificielle - capable de piloter, d'évaluer et de faire évoluer son écosystème numérique avec clarté, éthique et confiance. Une organisation où l'innovation et la gouvernance ne s'opposent pas, mais se renforcent. 

Calendrier des échéances, niveaux de risque détaillés, plan d'action en 7 étapes et checklist opérationnelle : tout ce qu'il faut pour structurer votre mise en conformité AI Act est dans le guide pratique Smoteo : téléchargez-le gratuitement. 

Guide pratique

Comment vous mettre en conformité avec l'AI Act ?

Calendrier des obligations, niveaux de risque et checklist complète pour accompagner votre projet

Télécharger le guide

Télécharger le guide