AI Act : le guide de conformité du DSI
— la feuille de route en 6 étapes

Le 2 août 2026, le règlement européen sur l'intelligence artificielle entre en application générale : obligations « haut risque », registres, et régimes de sanctions nationaux à plein régime. Ce n'est pas une échéance de juriste — c'est une échéance de DSI : l'inventaire des systèmes, la gouvernance des usages, les contrats fournisseurs et la formation des équipes passent tous par votre direction. Ce guide rassemble ce qu'il faut savoir et, surtout, ce qu'il faut faire, dans l'ordre.

1 · Le calendrier — où en est-on, qu'est-ce qui tombe le 2 août ?

L'AI Act s'applique par vagues. Trois jalons sont déjà derrière nous, le quatrième est imminent :

Deux conséquences pratiques. D'abord, vous êtes déjà dans la période d'obligation : la maîtrise de l'IA (article 4) et l'interdiction de certaines pratiques s'appliquent depuis février 2025. Ensuite, des aménagements du calendrier sont régulièrement discutés à Bruxelles (paquet de simplification, délais sur certaines obligations haut risque) — mais aucun DSI sérieux n'indexe son plan de conformité sur un report hypothétique.

2 · La logique du texte : l'usage, pas l'outil

L'AI Act ne réglemente pas « l'IA » en bloc — il classe chaque usage sur une pyramide de quatre niveaux de risque. Le même Copilot peut être anodin pour résumer une réunion et « haut risque » s'il pré-trie des candidatures. Retenez la question de classification qui règle 90 % des cas : « cet usage influence-t-il une décision sur une personne — recruter, évaluer, promouvoir, accorder, sanctionner ? » Si oui, vous êtes probablement en haut risque.

• Inacceptable — interdit depuis février 2025 : notation sociale, manipulation exploitant la vulnérabilité, reconnaissance des émotions au travail (hors sécurité/médical), scraping massif de visages…
• Haut risque — encadré : recrutement et gestion RH, accès au crédit ou à l'assurance, éducation et examens, infrastructures critiques, services publics essentiels. Obligations lourdes : documentation, supervision humaine, journalisation, analyse d'impact.
• Risque limité — transparence : chatbots (dire que c'est une IA), contenus générés (les signaler), deepfakes (les marquer).
• Risque minimal — libre : la grande majorité des usages bureautiques et de productivité. Libre ne veut pas dire sans règles internes : la sécurité des données et l'article 4 s'appliquent quand même.

Pour la pyramide détaillée avec quiz de classification, voir notre article dédié : l'IA Act appliqué au SI.

3 · Vos deux casquettes : déployeur… et parfois fournisseur sans le savoir

Le règlement distingue le fournisseur (qui développe ou met sur le marché un système d'IA) du déployeur (qui l'utilise sous son autorité). Votre organisation est déployeur dès qu'un salarié utilise un outil d'IA dans un cadre professionnel — ChatGPT, Copilot, un module IA dans votre SIRH. C'est la casquette qui concentre vos obligations : usage conforme à la destination prévue, supervision humaine, données d'entrée pertinentes, information des personnes concernées, et maîtrise de l'IA des équipes.

Attention au piège du DSI bâtisseur : vous devenez fournisseur — avec les obligations lourdes qui vont avec — si vous mettez sur le marché un système sous votre marque, si vous modifiez substantiellement un système existant, ou si vous détournez un système de sa destination prévue. Un chatbot client développé en interne et exposé sous votre marque, un modèle fine-tuné redistribué à des filiales : dans ces zones grises, faites valider la qualification par votre juriste avant la mise en production.

4 · L'article 4 : l'obligation que toutes les entreprises ont déjà

C'est l'obligation la plus universelle du texte, et la plus simple à auditer pour un contrôleur. L'article 4 impose aux fournisseurs et aux déployeurs de garantir un « niveau suffisant de maîtrise de l'IA » à leur personnel et à toute personne utilisant les systèmes pour leur compte — en tenant compte de leur rôle, du contexte et des personnes affectées. En clair :

• Qui : toute organisation qui utilise de l'IA, sans seuil d'effectif ni de chiffre d'affaires. La PME de 15 personnes qui utilise Copilot est concernée.
• Quoi : une formation adaptée au rôle — le recruteur qui utilise un outil de pré-tri n'a pas besoin de la même maîtrise que le développeur qui intègre une API de LLM, ni que le dirigeant qui arbitre les budgets.
• Depuis quand : le 2 février 2025.
• Avec quelles preuves : le texte n'impose pas de format, mais en cas de contrôle ou de litige, il faudra démontrer qui a été formé, à quoi, quand, avec quel résultat. Un registre nominatif avec attestations datées est le standard qui s'installe — c'est exactement ce que demandent déjà les acheteurs dans les appels d'offres.

5 · La feuille de route en 6 étapes

Voici la trame que nous recommandons à un DSI qui part de zéro ou presque. Chaque étape produit un livrable — c'est le livrable qui fait la conformité, pas l'intention.

Étape 1 — Inventorier tous les usages IA (semaine 1-2)

Listez les systèmes d'IA utilisés dans l'organisation : outils dédiés (ChatGPT, Copilot, Midjourney…), fonctions IA embarquées dans vos SaaS existants (SIRH, CRM, ITSM — souvent activées sans décision explicite), développements internes, et shadow AI — les usages officieux, qui existent partout. Un sondage anonyme interne révèle généralement 2 à 3 fois plus d'usages que la liste officielle.
Livrable : le registre des systèmes d'IA (outil, usage, données traitées, population utilisatrice, fournisseur).

Étape 2 — Classer chaque usage par niveau de risque (semaine 2-3)

Passez chaque ligne du registre sur la pyramide, avec la question décisionnelle (« décision sur une personne ? ») en premier filtre. Marquez trois catégories d'action : conforme en l'état (minimal/limité avec transparence), à encadrer (haut risque → analyse détaillée avec DPO/juridique), à arrêter (pratique interdite — rare, mais l'analyse d'émotions au travail traîne dans certains outils RH).
Livrable : le registre enrichi du niveau de risque et du statut.

Étape 3 — Poser la gouvernance (semaine 3-4)

Désignez un responsable IA (souvent DSI ou DPO, avec un binôme métier), publiez une politique d'usage de l'IA d'une page — outils autorisés, données interdites en saisie, obligation de relecture humaine, signalement des incidents — et installez un circuit d'entrée : tout nouvel usage IA passe par une qualification rapide avant déploiement. Sans circuit d'entrée, votre registre est périmé en trois mois.
Livrables : politique d'usage signée, processus de qualification, responsable nommé.

Étape 4 — Sécuriser les fournisseurs (semaine 4-6)

Pour chaque outil du registre : vos données servent-elles à entraîner les modèles de l'éditeur ? Où sont-elles hébergées ? L'éditeur fournit-il la documentation de conformité (particulièrement pour les usages haut risque, où sa documentation technique conditionne VOS obligations) ? Ajoutez une clause IA à vos modèles de contrat et à vos grilles d'achat.
Livrable : la revue fournisseurs annotée + clause contractuelle type.

Étape 5 — Former et tracer (article 4) (semaine 4-8)

C'est l'étape la plus visible en contrôle et la plus rentable en interne. Trois principes : par rôle (un socle commun court pour tous — ce qu'est un LLM, hallucinations, données confidentielles, transparence — puis des modules adaptés : RH, développeurs, acheteurs, direction) ; courte et réelle (90 minutes bien conçues valent mieux qu'une journée subie — l'objectif légal est la maîtrise suffisante, pas l'expertise) ; tracée (attestation nominative datée par salarié, registre consolidé côté employeur, renouvellement lors des changements majeurs d'outils).
Livrables : plan de formation par rôle, attestations nominatives, registre de formation exportable.

Le « par rôle » est précisément ce que fait le moteur IAPLC : le parcours de chaque salarié est généré à partir de son poste et de son contexte — RH, marketing, juridique, finance, achats, commerce, comme les métiers du SI — et tout autre métier en champ libre. Un seul déploiement couvre l'organisation entière.

Étape 6 — Surveiller en continu (permanent)

Une revue trimestrielle du registre (nouveaux usages, nouveaux modules IA activés par vos éditeurs), un canal de signalement des incidents IA (une adresse suffit pour commencer), et une veille sur les actes d'exécution et lignes directrices — le texte continue de se préciser.
Livrable : rituel de revue inscrit dans la comitologie SI existante.

6 · Auto-diagnostic : où en êtes-vous ?

Huit questions, deux minutes. Répondez honnêtement — le score vous situe et vous dit quoi faire en premier.

7 · Les sanctions — et les vrais risques

Le barème du règlement est dissuasif par construction : jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, jusqu'à 15 M€ ou 3 % pour les manquements aux autres obligations, jusqu'à 7,5 M€ ou 1 % pour les informations inexactes fournies aux autorités — avec des plafonds aménagés pour les PME. Les régimes nationaux de sanction sont en place depuis août 2025 et montent en puissance avec l'application générale du 2 août 2026.

Mais pour la plupart des DSI, le risque le plus probable n'est pas l'amende record — c'est la cascade ordinaire : l'appel d'offres perdu parce que la grille acheteur demande vos preuves de conformité, l'incident (fuite de données via un outil non cadré, décision RH contestée) où l'absence de formation tracée aggrave la responsabilité, et le coût du rattrapage en urgence, toujours supérieur au coût de la mise en conformité planifiée.

8 · La checklist du DSI

À imprimer, à cocher, à mettre à l'ordre du jour du prochain comité SI :

Ce guide est une vulgarisation à visée pédagogique et ne constitue pas un conseil juridique. Pour la qualification d'un usage à haut risque ou d'un rôle de fournisseur, faites valider votre analyse par votre DPO ou un juriste spécialisé.