Mise en conformité AI Act : Méthode pour auditer usages IA

Pour vous mettre en conformité avec l'AI Act, posez-vous deux questions : 

1. Vos outils d'IA sont-ils « à haut risque » ou simplement « à usage général » ? 
2. Que prévoient réellement vos contrats SaaS sur la conformité ? 

Le règlement (UE) 2024/1689 s'applique déjà par étapes depuis 2025, le RGPD se superpose à lui dès qu'il y a des données personnelles. Mon cabinet d'avocat en droit du numérique Aurore Bonavia vous donne la méthode d'audit qui répond à ces questions avant de produire le moindre document.

RÉSUMÉ DE L'ARTICLE

• Qualifiez votre rôle (fournisseur ou déployeur) : vos obligations AI Act en dépendent entièrement.
• Classez chaque outil par niveau de risque (interdit, haut risque, GPAI, risque limité) avant toute démarche documentaire.
• Auditez vos contrats SaaS IA : localisation des données, sous-traitance RGPD, réutilisation pour l'entraînement, réversibilité.
• Bâtissez un cadre unique RGPD + AI Act plutôt que deux chantiers séparés, en vous appuyant sur la checklist de la CNIL.

Quelles règles s'appliquent à votre IA ?

Deux régimes encadrent l'usage professionnel de l'IA.

1. L'AI Act règle la sécurité et la transparence du système d'IA en tant que produit. 
2. Le RGPD règle le traitement des données personnelles que ce système manipule. 

Une même IA RH relève souvent des deux en même temps. L'AI Act, le règlement (UE) 2024/1689, classe les systèmes par niveau de risque et impose des obligations graduées :

• interdiction pour certaines pratiques, 
• exigences lourdes pour le haut risque, 
• transparence pour l'IA générative. 

Le RGPD, lui, vous impose :

• une base légale, 
• la minimisation des données,
• une analyse d'impact dès que le traitement présente un risque élevé pour les personnes.

La CNIL recommande de construire un cadre de conformité unique. Elle a publié en 2024 et 2025 treize fiches pratiques sur le développement des systèmes d'IA et une checklist structurée autour de sept principes : finalité, minimisation, sécurité, information, droits des personnes, transparence et gouvernance. Ces ressources couvrent le volet données; l'AI Act, elle, complète le volet produit et transparence.

Êtes-vous fournisseur ou déployeur de l'IA ?

Vos obligations dépendent d'abord du rôle que vous jouez. L'AI Act en distingue deux principaux. 

1. Le fournisseur qui développe un système d'IA ou le met sur le marché sous son nom. 
2. Le déployeur qui utilise un système d'IA sous sa propre autorité dans le cadre professionnel.

La majorité des PME sont des déployeurs. Elles utilisent ChatGPT, Copilot ou un logiciel RH intégrant de l'IA sans l'avoir conçu. Les obligations du déployeur restent plus légères que celles du fournisseur mais existent tout de même. notamment l'usage conforme à la notice, la supervision humaine et l'information des personnes concernées.

Attention, car le rôle peut basculer sans que vous le sachiez. Une start-up qui intègre un modèle d'IA dans son propre produit et le commercialise devient fournisseur, avec la documentation technique et les obligations renforcées qui vont avec.

Vos outils relèvent-ils du haut risque ou du GPAI ?

C'est LA question que les entreprises savent le moins trancher. C'est pourtant la plus importante. L'AI Act répartit les systèmes en quatre familles.

• Pratiques interdites (article 5) : notation sociale, manipulation, certaines reconnaissances biométriques. Ces usages sont prohibés depuis le 2 février 2025.
• Haut risque (Annexe III) : recrutement, évaluation du personnel, accès au crédit, à l'éducation ou aux services essentiels. Ces systèmes supportent les obligations les plus lourdes.
• IA à usage général (GPAI) : les modèles génératifs type GPT, Claude ou Mistral que vous utilisez ou intégrez, soumis à des obligations de transparence et de documentation depuis le 2 août 2025.
• Risque limité : la majorité des usages bureautiques, soumis surtout à une obligation de transparence envers les utilisateurs.

Usage concret de l'IA	Catégorie AI Act	Ce que vous devez faire
Noter/classer des personnes selon leur comportement	Interdit (art. 5)	Y renoncer
Présélectionner des CV, trier des candidatures	Haut risque (Annexe III)	Analyse de risque, supervision humaine, doc, info des candidats
Évaluer le personnel, promotion/licenciement	Haut risque (Annexe III)	Mêmes obligations renforcées
Scorer un crédit ou une assurance	Haut risque (Annexe III)	Mêmes obligations renforcées
Rédiger/résumer/traduire avec ChatGPT, Copilot, Mistral	Risque limité (GPAI)	Transparence, supervision, aucune donnée perso/confidentielle
Chatbot client	Risque limité	Informer que c'est une IA (art. 50)
Image/visuel marketing	Risque limité	Signaler le contenu généré par IA (art. 50)
Correcteur orthographique, anti-spam	Risque minimal	Aucune obligation spécifique

Par exemple, un logiciel qui présélectionne des CV relève du haut risque au titre de l'Annexe III, avec analyse de risque, supervision humaine et documentation. Le même éditeur peut vous vendre un assistant de rédaction qui, lui, reste en risque limité. Deux outils du même fournisseur, deux régimes différents.

Comment se mettre en conformité en six étapes

Étape 1. Cartographier vos systèmes d'IA

Recensez tous les outils d'IA utilisés dans l'entreprise, y compris ceux que les équipes emploient sans validation. Cet inventaire est la base de votre registre des systèmes d'IA.

Étape 2. Qualifier le rôle et le risque

Pour chaque outil, déterminez votre rôle (fournisseur ou déployeur) et son niveau de risque.

Étape 3. Analyser les risques

Évaluez l'impact de chaque système à haut risque et menez une analyse d'impact relative à la protection des données (AIPD) dès qu'un traitement présente un risque élevé pour les personnes.

Étape 4. Sécuriser la base RGPD

Vérifiez la base légale de chaque traitement, la minimisation des données et l'information des personnes concernées. C'est le socle que la CNIL contrôle en premier.

Étape 5. Documenter et tenir un registre

Constituez la documentation exigée et tenez un registre des systèmes d'IA. La traçabilité est ce qui démontre votre conformité en cas de contrôle.

Étape 6. Gouverner et former

Désignez un référent IA, articulez son rôle avec celui du DPO et formez vos équipes. L'article 4 de l'AI Act impose cette montée en compétence depuis le 2 février 2025.

Ce que vos contrats SaaS IA doivent prévoir

La conformité dépend aussi de ce que vos fournisseurs ont écrit dans leurs contrats. C'est l'angle mort habituel.

Situation : Vous utilisez un logiciel SaaS intégrant de l'IA pour traiter des données clients. Une fuite survient chez l'éditeur. Qui répond devant la CNIL et sur quel fondement contractuel ?

Solution : L'audit du contrat tranche cette question avant l'incident.

• Localisation et hébergement des données : où sont stockées et traitées les données que vous confiez à l'outil.
• Clause de sous-traitance RGPD (article 28) : le contrat doit encadrer le rôle de l'éditeur comme sous-traitant, faute de quoi votre responsabilité reste pleine et entière.
• Réutilisation pour l'entraînement : vérifiez si l'éditeur se réserve le droit d'utiliser vos données pour entraîner ses modèles, ce qui peut être incompatible avec vos engagements de confidentialité.
• Réversibilité et sort des données : ce que devient votre base le jour où vous changez de prestataire.

Le cabinet d’avocat en contrat informatique Aurore Bonavia analyse ces clauses pour identifier ce que vos fournisseurs prévoient réellement.

Risques et sanctions en cas de non-conformité

Le non-respect de l'AI Act expose à des sanctions parmi les plus élevées du droit européen. L'article 99 du règlement prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, contre 15 millions d'euros ou 3 % pour les autres manquements. Pour une PME, le règlement plafonne l'amende au plus bas des deux montants, mais le risque reste dissuasif.

Le RGPD ajoute son propre régime, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. La CNIL reste l'autorité de contrôle pour le volet données personnelles. 

Une même défaillance (par exemple une IA RH qui traite des candidatures sans base légale ni supervision) peut donc cumuler les deux fondements de sanction.

Au-delà de l'amende, le risque réputationnel et contractuel pèse lourd. Un client grand compte qui découvre que votre outil n'est pas conforme peut rompre la relation ou activer une clause de garantie. La conformité devient alors un argument commercial autant qu'une obligation légale.

Calendrier 2026-2028 : ce que le report change

Le calendrier de l'AI Act a bougé dernièrement. L'accord politique sur le Digital Omnibus du 7 mai 2026 a redistribué les délais sans tout reporter. Certaines échéances jouent même en votre défaveur.

• 2 décembre 2026 : toutes les sorties des systèmes d'IA générative déjà sur le marché doivent être détectables par machine (watermarking).
• 2 décembre 2027 : obligations complètes pour les systèmes à haut risque autonomes de l'Annexe III (RH, crédit, santé, éducation, biométrie), après un report de seize mois.
• 2 août 2028 : obligations pour les systèmes d'IA intégrés à des produits réglementés de l'Annexe I (dispositifs médicaux, machines, véhicules).

Les obligations sur les modèles d'IA générative (GPAI) s'appliquent depuis le 2 août 2025, l'obligation de formation à l'IA depuis le 2 février 2025.

FAQ

Par où commencer pour se mettre en conformité ?

Commencez par la cartographie de vos outils d'IA, puis qualifiez pour chacun votre rôle (fournisseur ou déployeur) et son niveau de risque. Cet inventaire conditionne tout le reste : sans lui, vous documentez une réalité que vous ne connaissez pas. La CNIL et l'AI Act fournissent ensuite le cadre des obligations applicables.

Une PME est-elle concernée par l'AI Act ?

Oui, dès qu'elle utilise un outil d'IA dans son activité, elle est déployeur au sens du règlement. Les obligations du déployeur sont plus légères que celles du fournisseur, mais elles existent : usage conforme, supervision humaine, information des personnes. Le niveau d'exigence dépend ensuite du risque de chaque outil.

Quelle différence entre RGPD et AI Act ?

Le RGPD encadre le traitement des données personnelles, quel que soit l'outil. L'AI Act encadre le système d'IA en tant que produit, selon son niveau de risque. Une IA RH relève souvent des deux : du RGPD pour les données des candidats, de l'AI Act pour sa qualification de système à haut risque.

Faut-il un DPO ou un référent IA ?

Le délégué à la protection des données (DPO) est obligatoire dans certains cas prévus par le RGPD. Le référent IA n'est pas imposé comme tel, mais l'obligation de maîtrise de l'IA de l'article 4 rend nécessaire une fonction de pilotage. Dans la pratique, DPO et référent IA travaillent ensemble sur un cadre commun.

Quelles amendes en cas de non-conformité ?

L'AI Act prévoit jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites, contre 15 millions ou 3 % pour les autres manquements. Le RGPD ajoute jusqu'à 20 millions ou 4 %. Les deux régimes peuvent se cumuler sur une même défaillance.

Les limites de cette analyse

Cet article décrit le cadre applicable au 25 juin 2026 et ne remplace pas un conseil personnalisé. La qualification du rôle et du niveau de risque dépend de chaque outil et de chaque usage : elle exige un examen au cas par cas. Les références à l'AI Act renvoient au règlement (UE) 2024/1689 et à l'accord sur le Digital Omnibus du 7 mai 2026, dont certaines modalités restent soumises à adoption formelle.

Pour cartographier vos usages IA, classer vos outils et auditer vos contrats SaaS, le cabinet vous accompagne sur l'ensemble de la démarche. Contactez le cabinet Aurore Bonavia pour faire le point sur votre exposition réelle.

Sources

• Règlement (UE) 2024/1689 (AI Act), articles 5, 26, 50, 99 et Annexe III : EUR-Lex
• CNIL, « IA : comment se mettre en conformité » : cnil.fr
• CNIL, fiches pratiques IA (treize fiches + checklist 7 principes) : cnil.fr
• Règlement général sur la protection des données (RGPD), articles 28 et 35 : EUR-Lex