Checklist de conformité au règlement IA de l’UE 2026 : ce que les entreprises doivent faire maintenant

Le règlement européen sur l'IA est un cadre réglementaire complet qui classe les systèmes d'IA par niveau de risque et impose des exigences de conformité en conséquence. Les organisations déployant des systèmes d'IA dans l'UE doivent remplir une checklist structurée couvrant la classification des risques, les évaluations de conformité, la documentation technique, les mécanismes de supervision humaine et la surveillance continue. Ce guide fournit la checklist définitive de conformité au règlement européen sur l'IA pour les équipes d'entreprise.

Le règlement européen sur l'IA (Règlement 2024/1689) est le premier cadre juridique complet au monde régissant l'intelligence artificielle. Entièrement appliqué à partir d'août 2026, il s'applique aux fournisseurs et utilisateurs d'IA opérant dans l'UE, ainsi qu'à toute organisation dont les systèmes d'IA affectent les résidents de l'UE, quel que soit le lieu d'implantation. Pour la plupart des entreprises, cela signifie que le règlement européen sur l'IA s'applique dès maintenant.

Cette checklist offre une feuille de route pratique de conformité pour les équipes sécurité, juridiques et GRC en entreprise. Utilisez-la pour évaluer votre posture actuelle et prioriser les actions correctives.

Calendrier d'application : ce qui est actif quand

• Février 2025, Les pratiques d'IA interdites (article 5) sont devenues applicables. Les organisations doivent immédiatement cesser d'utiliser tout système d'IA figurant sur la liste interdite.
• Août 2025, Les obligations liées aux modèles d'IA à usage général (GPAI) entrent en vigueur, incluant les exigences de transparence et la documentation technique pour les fournisseurs de modèles fondamentaux.
• Août 2026, Application complète des obligations pour les systèmes d'IA à haut risque, incluant évaluations de conformité, documentation technique, exigences de supervision humaine et normes de précision/robustesse.
• Août 2027, Entrée en vigueur des obligations pour les systèmes d'IA à haut risque intégrés dans des produits réglementés (dispositifs médicaux, machines, véhicules).

Le système de classification basé sur le risque

Le règlement européen sur l'IA utilise un système à niveaux basé sur le risque. Vos obligations dépendent entièrement du niveau dans lequel vos systèmes d'IA se situent.

IA interdite (risque inacceptable)

Les systèmes d'IA interdits sont totalement prohibés. Ils incluent :

• Les systèmes de notation sociale évaluant les individus selon leur comportement ou caractéristiques personnelles
• L'identification biométrique en temps réel dans les espaces publics (avec des exceptions limitées pour les forces de l'ordre)
• Les systèmes d'IA exploitant des vulnérabilités psychologiques ou utilisant la manipulation subliminale
• La reconnaissance émotionnelle basée sur l'IA dans les milieux professionnels ou éducatifs
• La catégorisation biométrique basée sur des caractéristiques sensibles (race, opinion politique, orientation sexuelle)
• L'IA de police prédictive profilant les individus uniquement sur la base de comportements passés

Sanction pour IA interdite : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé.

IA à haut risque

Les systèmes d'IA à haut risque sont soumis aux obligations les plus étendues. Ils incluent l'IA utilisée dans :

• Les décisions d'embauche, de promotion et de gestion des employés
• Le scoring de crédit et l'accès aux services financiers
• Les décisions d'accès à l'éducation et à la formation professionnelle
• La gestion des infrastructures critiques pour la sécurité
• L'IA pour dispositifs médicaux et l'aide à la décision clinique
• Les forces de l'ordre, le contrôle des frontières et le traitement des migrations
• L'administration de la justice et les processus démocratiques

Pour la plupart des entreprises, l'IA utilisée en RH, finance et évaluation de la solvabilité client est considérée à haut risque selon le règlement.

IA à risque limité

Les systèmes comme les chatbots et générateurs de deepfake sont soumis à des obligations de transparence : les utilisateurs doivent être informés qu'ils interagissent avec une IA, et le contenu synthétique doit être étiqueté.

IA à risque minimal

Les filtres anti-spam, jeux assistés par IA et la plupart des systèmes de recommandation de contenu entrent ici. Aucune obligation spécifique ne s'applique, bien que des codes de conduite volontaires soient encouragés.

Checklist de conformité au règlement européen sur l'IA

Partie 1 : Inventaire et classification des IA

• [ ] Réaliser un inventaire de tous les systèmes d'IA utilisés dans votre organisation, y compris l'IA utilisée par les employés sans approbation informatique (IA fantôme)
• [ ] Classer chaque système d'IA selon son niveau de risque : interdit, haut risque, risque limité ou risque minimal
• [ ] Identifier si votre organisation agit en tant que fournisseur (développe/introduit l’IA sur le marché) ou déployeur (utilise l’IA pour ses propres besoins) pour chaque système
• [ ] Documenter l’objectif, les données d’entrée et les décisions de sortie pour chaque système d’IA à haut risque
• [ ] Examiner les outils d’IA tiers et les applications SaaS pour détecter les fonctionnalités d’IA susceptibles d’être classées à haut risque

Partie 2 : IA interdite, Action immédiate

• [ ] Auditer toute utilisation actuelle d’IA pour le scoring social, la manipulation subliminale ou l’identification biométrique interdite
• [ ] Confirmer qu’aucun système d’identification biométrique à distance en temps réel n’est déployé dans les espaces publics sans autorisation légale
• [ ] Confirmer qu’aucune IA de reconnaissance des émotions n’est utilisée dans la surveillance au travail
• [ ] Mettre hors service ou modifier tout système d’IA relevant des catégories interdites
• [ ] Documenter la revue des interdictions et conserver pour les audits

Partie 3 : IA à haut risque, Exigences techniques

• [ ] Établir un système de gestion de la qualité pour le développement et le déploiement des IA à haut risque
• [ ] Préparer la documentation technique démontrant la conformité avant déploiement
• [ ] Mettre en place un journal automatique des événements du système d’IA (données utilisées, décisions prises, résultats générés)
• [ ] Tester les systèmes d’IA selon les normes de précision, robustesse et cybersécurité
• [ ] Réaliser des tests adverses (red teaming) et documenter les résultats
• [ ] Enregistrer les systèmes d’IA à haut risque dans la base de données publique du règlement IA de l’UE (fournisseurs uniquement)
• [ ] Apposer le marquage CE sur les systèmes d’IA intégrés dans des produits réglementés

Partie 4 : Exigences de supervision humaine

• [ ] Assurer une supervision humaine intégrée aux processus décisionnels des IA à haut risque, les humains doivent pouvoir comprendre, surveiller et annuler les résultats de l’IA
• [ ] Identifier et désigner des responsables qualifiés de la supervision humaine pour chaque système d’IA à haut risque
• [ ] Mettre en œuvre des mécanismes d’arrêt/suspension permettant l’arrêt immédiat des systèmes d’IA à haut risque
• [ ] Former les employés concernés aux limites de l’IA, modes de défaillance et procédures d’escalade

Partie 5 : Transparence et notification des utilisateurs

• [ ] Informer les utilisateurs lorsqu’ils interagissent avec un chatbot ou un système d’IA automatisé
• [ ] Étiqueter correctement les contenus générés par IA et les deepfakes
• [ ] Fournir aux personnes concernées des informations claires sur les décisions d’IA à haut risque les affectant
• [ ] Mettre à jour les avis de confidentialité et les politiques internes pour refléter l’usage de l’IA

Partie 6 : Obligations liées aux modèles GPAI (le cas échéant)

• [ ] Si vous développez ou affinez un modèle d’IA à usage général, préparez la documentation technique conformément à l’article 53
• [ ] Publier un résumé des données d’entraînement utilisées (respectant les droits d’auteur)
• [ ] Mettre en œuvre des politiques de conformité au droit d’auteur pour les données d’entraînement
• [ ] Si votre modèle GPAI présente un risque systémique, réaliser des tests adverses et signaler les incidents à l’Office européen de l’IA

Partie 7 : Gouvernance et documentation

• [ ] Nommer un responsable conformité au règlement IA ou étendre les responsabilités du DPO/CISO existant à l’IA
• [ ] Élaborer une politique d’usage de l’IA que les employés doivent reconnaître
• [ ] Mettre en place une procédure de déclaration et de gestion des incidents liés à l’IA
• [ ] Conserver les registres de conformité IA pendant au moins 10 ans (systèmes à haut risque)
• [ ] Réaliser des revues annuelles de conformité à mesure que les règlements d’application évoluent

À qui s’applique le règlement IA de l’UE ?

Le règlement s’applique aux fournisseurs comme aux déployeurs, et la catégorie déployeur est plus large que ce que beaucoup d’organisations imaginent.

Vous êtes fournisseur si vous développez un système d’IA ou le mettez sur le marché de l’UE, cela inclut la création de modèles IA personnalisés, l’affinage de modèles open source ou le développement de fonctionnalités IA dans vos produits.

Vous êtes déployeur si vous utilisez un système d’IA dans le cadre de vos activités professionnelles, cela concerne la plupart des entreprises utilisant l’IA pour les RH, le service client, l’évaluation de crédit ou les opérations, même si elles ont acheté l’IA auprès d’un fournisseur tiers.

Important : en tant que déployeur, vous ne pouvez pas simplement externaliser la conformité à votre fournisseur d’IA. Vous restez responsable de l’utilisation conforme du système d’IA, de la mise en œuvre de la supervision humaine et de la correspondance entre votre cas d’usage et l’objectif déclaré par le fournisseur.

Amendes et application

• Violations liées aux IA interdites : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (le montant le plus élevé)
• Non-conformité aux exigences des IA à haut risque : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial annuel
• Fourniture d’informations incorrectes ou trompeuses aux régulateurs : jusqu’à 7,5 millions d’euros ou 1,5 % du chiffre d’affaires mondial annuel
• PME et startups : sanctions proportionnellement réduites (plafonnées à des seuils absolus inférieurs)

Les autorités nationales compétentes de chaque État membre de l’UE assureront l’application. L’Office européen de l’IA supervise les fournisseurs GPAI et les cas transfrontaliers. L’application a commencé sérieusement à la mi-2025 avec les interdictions, et l’application complète des systèmes à haut risque est active depuis août 2026.

Comment Aona AI aide à la conformité au règlement IA de l’UE

La première et la plus fondamentale exigence du règlement IA de l’UE, et celle que la plupart des entreprises ne respectent pas, est de maintenir un inventaire complet et précis de tous les systèmes d’IA utilisés. Vous ne pouvez pas classifier, gouverner ou documenter ce que vous ne savez pas exister.

La plateforme de gouvernance IA d’Aona AI : → Plateforme de gouvernance IA

• Découvre automatiquement tous les outils d’IA utilisés dans votre organisation, y compris les IA fantômes utilisées par les employés sans approbation IT
• Classe les outils d’IA découverts selon les niveaux de risque du règlement IA de l’UE, signalant les systèmes à haut risque et potentiellement interdits
• Maintient un inventaire IA vivant qui satisfait aux exigences de documentation de l’article 17 (systèmes de gestion de la qualité)
• Surveille les sorties des modèles IA et les usages pour détecter les comportements anormaux, soutenant les exigences de supervision continue
• Génère des rapports de conformité et des pistes d’audit démontrant la diligence raisonnable auprès des régulateurs
• Fait respecter les politiques d’usage de l’IA, bloquant ou alertant sur l’utilisation d’outils IA interdits ou non approuvés

Pour les organisations confrontées à l’échéance de conformité des IA à haut risque en août 2026, Aona AI offre le chemin le plus rapide de l’exposition à la conformité.

Questions fréquentes

Le règlement européen sur l’IA s’applique-t-il aux entreprises hors UE ?

Oui. Le règlement IA de l’UE s’applique extraterritorialement. Si les résultats de votre système d’IA sont utilisés dans l’UE, ou si vous déployez une IA affectant des résidents de l’UE, le règlement s’applique, peu importe où votre entreprise est basée. C’est similaire au champ d’application territorial du RGPD.

Quand le règlement IA de l’UE s’applique-t-il pleinement aux systèmes d’IA à haut risque ?

Les obligations liées aux systèmes d’IA à haut risque (évaluation de conformité, documentation technique, supervision humaine, journalisation, transparence) sont pleinement applicables depuis août 2026. Les dispositions sur les IA interdites sont applicables depuis février 2025.

Quelle est la différence entre un fournisseur et un déployeur selon le règlement IA de l’UE ?

Un fournisseur développe un système d’IA et le met sur le marché. Un déployeur utilise un système d’IA pour ses propres besoins professionnels. La plupart des entreprises sont déployeurs, même si elles utilisent des outils IA de fournisseurs tiers. Les déployeurs ont leurs propres obligations, distinctes et supplémentaires à celles des fournisseurs.

Dois-je enregistrer nos systèmes d’IA dans une base de données de l’UE ?

Les fournisseurs de systèmes d’IA à haut risque doivent les enregistrer dans la base de données publique du règlement IA de l’UE avant leur mise sur le marché. Les déployeurs de certains systèmes d’IA à haut risque (utilisés dans l’administration publique) doivent aussi enregistrer leur usage. La base est gérée par l’Office européen de l’IA.

Comment découvrir l’IA fantôme pour construire notre inventaire IA ?

L’IA fantôme, outils IA utilisés par les employés sans connaissance de l’IT, est le principal obstacle pratique à la conformité au règlement IA de l’UE. La déclaration manuelle échoue car les employés ne révèlent pas leur usage de l’IA. Aona AI automatise la découverte de l’IA fantôme via l’analyse du trafic réseau et l’intégration avec le fournisseur d’identité, révélant tous les outils IA en usage en quelques minutes après déploiement.

Ressources associées

Découvrez notre solution Logiciel de Gouvernance IA, comparez-la aux concurrents dans nos guides comparatifs de gouvernance IA, téléchargez nos Modèle de politique d’utilisation acceptable de l’IA ou consultez le glossaire de sécurité IA.