Checklist de conformité au règlement européen sur l'IA : ce que les entreprises doivent faire avant 2026
Le règlement européen sur l'IA est le premier cadre juridique complet au monde régissant l'intelligence artificielle, et sa date limite d'application complète est août 2026. Pour les équipes juridiques d'entreprise, les responsables conformité et les CTO, ce n'est pas un risque futur : c'est un programme de conformité actif qui doit être lancé dès maintenant. Avec des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le coût de la non-conformité dépasse presque toutes les autres expositions réglementaires à l'agenda des entreprises.
Cette checklist couvre les quatre niveaux de risque, les 12 étapes que chaque entreprise doit accomplir, et ce que les entreprises australiennes opérant dans l'UE doivent savoir.
Calendrier du règlement européen sur l'IA : ce qui a déjà changé
Le règlement européen sur l’IA est entré en vigueur le 1er août 2024. Cela a déclenché un déploiement progressif :
- **Février 2025**, Les interdictions sur les systèmes d'IA à risque inacceptable sont entrées en vigueur. Toute entreprise déployant une IA interdite dans l'UE est en infraction depuis plus d'un an.
- **Août 2025**, Les règles pour les modèles d'IA à usage général (GPAI), incluant les obligations de transparence et de droits d'auteur, deviennent applicables.
- **Août 2026**, Application complète. Les obligations pour les systèmes d'IA à haut risque, les évaluations de conformité et les exigences d'enregistrement s'appliquent à tous les systèmes concernés.
Si votre organisation n'a pas encore lancé de programme de conformité IA, vous êtes en retard. La fenêtre de 12 mois jusqu'à août 2026 est une échéance ferme, pas un objectif souple.
Comprendre les quatre niveaux de risque
Le règlement européen sur l'IA classe les systèmes d'IA en quatre niveaux. Savoir où se situe chaque système détermine les obligations de conformité applicables.
Niveau 1 : Risque inacceptable (interdit)
Ces systèmes sont purement et simplement interdits. Depuis février 2025, leur déploiement dans l'UE constitue une infraction réglementaire.
Exemples : systèmes d'IA manipulant les individus par des techniques subliminales, systèmes de notation sociale gérés par des gouvernements, identification biométrique à distance en temps réel dans les espaces publics (avec exceptions limitées), et IA exploitant des vulnérabilités liées à l'âge, au handicap ou aux circonstances socio-économiques.
Pertinence pour l’entreprise : Si vous utilisez des outils IA pour la rétention client optimisés par des techniques de dark pattern, ou tout système qui évalue des individus selon des caractéristiques protégées, procédez à une revue immédiate.
Niveau 2 : Haut risque
Les systèmes à haut risque supportent la charge de conformité la plus importante : évaluations de conformité, documentation technique, mécanismes de supervision humaine et enregistrement dans la base de données de l'UE. Ce niveau couvre :
- Systèmes d'IA utilisés dans les infrastructures critiques (énergie, eau, finance, transport)
- IA dans l'éducation et la formation professionnelle (systèmes déterminant l'accès à l'éducation ou évaluant les étudiants)
- Décisions d'emploi : tri de CV, notation des entretiens, suivi de performance, répartition des tâches
- Services essentiels : notation de crédit, évaluation des risques d'assurance, souscription d'assurance vie et santé
- Applications pour les forces de l'ordre et le contrôle des frontières
- Administration de la justice
Pertinence pour l’entreprise : Si votre équipe RH utilise l’IA pour présélectionner des candidats ou surveiller la productivité des employés, vous exploitez un système à haut risque. Si votre service financier utilise l’IA pour les décisions de crédit, c’est aussi un système à haut risque. Ces systèmes nécessitent une attention immédiate à la conformité.
Niveau 3 : Risque limité
Les systèmes à risque limité ont uniquement des obligations de transparence. Les utilisateurs doivent être informés lorsqu'ils interagissent avec une IA.
Exemples : chatbots IA et assistants virtuels, contenu généré par IA (images, audio, vidéo), systèmes de reconnaissance des émotions.
Pertinence pour l’entreprise : Votre chatbot de service client et vos outils de génération de contenu IA sont concernés ici. L’exigence de conformité est la transparence, assurez-vous que votre interface indique clairement que les utilisateurs interagissent avec une IA.
Niveau 4 : Risque minimal
La grande majorité des applications IA relèvent de ce niveau : filtres anti-spam, recherche assistée par IA, moteurs de recommandation, fonctionnalités IA dans les outils de productivité. Aucune obligation obligatoire ne s'applique, bien que le règlement encourage les codes de conduite volontaires.
Checklist de conformité en 12 étapes au règlement européen sur l'IA
Étape 1 : Réaliser un inventaire des systèmes d'IA
On ne peut pas se conformer à ce qu'on ne voit pas. Cartographiez chaque système d'IA utilisé dans l'entreprise, y compris les outils fournis par des tiers, les plateformes SaaS avec fonctionnalités IA intégrées et les modèles développés en interne. Cela inclut l'IA fantôme : les outils IA utilisés par les employés sans approbation informatique.
La [plateforme de gouvernance IA](/governance) d'Aona offre une découverte continue de l'IA à travers le cloud, le réseau et les terminaux, fournissant aux équipes conformité un inventaire en temps réel.
Étape 2 : Classifier chaque système selon le niveau de risque
Pour chaque système de votre inventaire, déterminez le niveau applicable. Utilisez l'annexe III du règlement européen sur l'IA comme référence pour les classifications à haut risque. Considérez si votre usage d'un système (et pas seulement le système lui-même) modifie sa classification, un modèle d'IA à usage général utilisé pour le tri de CV est à haut risque dans ce contexte.
Documentez votre justification de classification. Les régulateurs s'attendront à la voir.
Étape 3 : Désigner des responsables du risque IA
Chaque système d'IA concerné doit avoir un responsable nommé, une personne spécifique responsable des obligations de conformité. Pour les systèmes à haut risque, cette personne doit avoir l'autorité suffisante pour arrêter le déploiement si la conformité ne peut être maintenue. Définissez la responsabilité dans votre politique de gouvernance IA et mettez à jour les descriptions de poste en conséquence.
Étape 4 : Réaliser les évaluations de conformité pour les systèmes à haut risque
Les systèmes d'IA à haut risque nécessitent une évaluation de conformité avant déploiement. Cette évaluation doit vérifier que le système respecte les exigences du règlement européen sur l'IA : qualité des données, documentation technique, précision, robustesse, cybersécurité et supervision humaine. Pour la plupart des systèmes d'entreprise, il s'agit d'un processus d'auto-évaluation, mais il doit être documenté et auditable.
L'évaluation de conformité par un tiers est obligatoire pour certaines catégories (par exemple, identification biométrique à distance, IA dans les infrastructures critiques). Consultez votre conseiller juridique pour déterminer la voie applicable.
Étape 5 : Mettre en place des mécanismes de supervision humaine
Les systèmes d'IA à haut risque doivent être conçus et déployés pour permettre une supervision humaine efficace. Cela signifie que les humains doivent pouvoir comprendre ce que fait le système, intervenir si nécessaire et annuler ses résultats. Documentez le processus de supervision, qui révise les décisions pilotées par l'IA, à quelle fréquence, et comment les annulations sont enregistrées.
Pour les outils d'IA en emploi, c'est particulièrement important : les rejets de candidats assistés par IA doivent pouvoir être examinés par un humain avant d'être appliqués.
Étape 6 : Établir la documentation et la tenue des registres de l'IA
Le règlement européen sur l'IA impose une documentation technique pour les systèmes à haut risque couvrant la conception du système, les données d'entraînement, les méthodes de test, les métriques de précision et les limitations connues. Cette documentation doit être maintenue et mise à jour tout au long du cycle de vie du système.
Pour tous les systèmes concernés, conservez les enregistrements suivants : inventaire des systèmes, classifications des risques, résultats des évaluations de conformité, procédures de surveillance et journaux d'incidents. Les enregistrements doivent être conservés au minimum 10 ans pour les systèmes à haut risque.
Étape 7 : Effectuer des tests de biais et de précision
Les systèmes à haut risque doivent être testés pour les biais et la précision avant leur déploiement et de manière continue. Les tests doivent couvrir l'ensemble des individus et groupes affectés par le système, y compris les impacts différenciés selon le genre, l'origine ethnique, l'âge et le statut de handicap.
Documentez votre méthodologie de test, les jeux de données utilisés, les résultats et les mesures d'atténuation appliquées. Si votre système ne peut pas être testé de manière adéquate, il ne doit pas être déployé.
Étape 8 : Mettre en place des processus de déclaration des incidents
Les opérateurs de systèmes d'IA à haut risque doivent signaler les incidents graves à l'autorité nationale compétente. Un incident grave est un événement entraînant la mort, des dommages graves à la santé, des dégâts matériels importants ou des effets sociétaux graves.
Établissez un processus interne pour détecter les dysfonctionnements du système IA, escalader les incidents potentiels à votre équipe conformité, évaluer si un seuil de notification est atteint et déposer les rapports dans les délais requis. L'obligation de déclaration est active à partir d'août 2026.
Étape 9 : Former le personnel aux politiques d'IA
Toute personne utilisant, gérant ou supervisant un système d'IA soumis au règlement européen doit posséder une littératie suffisante en IA, une obligation spécifique introduite par l'article 4. Cela implique une formation formelle sur : les systèmes IA utilisés, leur fonctionnement, leurs limites et risques, les politiques applicables et la manière de signaler les préoccupations.
Les formations doivent être documentées et renouvelées lors de changements des systèmes. Une formation unique d'intégration n'est pas suffisante.
Étape 10 : Mettre en œuvre des mesures de robustesse technique
Les systèmes d'IA à haut risque doivent être résilients aux erreurs, pannes et cyberattaques. Les exigences techniques incluent : mécanismes de détection d'erreurs, processus de basculement, protection contre les entrées adverses et contrôles d'intégrité des données. Collaborez avec vos équipes sécurité et ingénierie pour évaluer chaque système à haut risque selon ces critères et documenter les plans de remédiation en cas de lacunes.
Étape 11 : Enregistrer les systèmes à haut risque dans la base de données européenne
Les fournisseurs de systèmes d'IA à haut risque, ainsi que certains déployeurs, doivent enregistrer leurs systèmes dans la base de données IA européenne gérée par l'Office européen de l'IA. L'enregistrement inclut le nom du système, les détails du fournisseur, l'usage prévu, la catégorie de risque et les informations sur l'évaluation de conformité.
Consultez les directives actuelles de l'Office européen de l'IA pour savoir quelles catégories de déploiement exigent l'enregistrement du déployeur (en plus de celui du fournisseur), ces directives sont mises à jour au fur et à mesure de la maturation des guides d'application.
Étape 12 : Consulter un conseiller juridique pour les implications transfrontalières
Le règlement européen sur l’IA s’applique en fonction du lieu où les systèmes IA sont déployés et utilisés, pas du siège social de l’entreprise. Si votre système IA affecte des personnes dans l’UE, le règlement s’applique, que votre organisation soit basée à Bruxelles, Sydney ou San Francisco. Faites appel à un conseil juridique qualifié dans l’UE pour évaluer vos obligations spécifiques, notamment autour de :
- Votre classification en tant que « fournisseur », « déployeur » ou les deux
- Autorité nationale compétente applicable dans chaque État membre de l'UE
- Transferts transfrontaliers de données et interaction avec les obligations RGPD
- Obligations contractuelles de transmettre les exigences de conformité aux fournisseurs d'IA
Sanctions : les enjeux sont élevés
Le non-respect du règlement européen sur l'IA entraîne certaines des amendes réglementaires les plus lourdes de l'histoire :
- **Systèmes IA interdits :** jusqu'à **35 millions d'euros** ou **7 % du chiffre d'affaires mondial annuel** (le montant le plus élevé étant retenu)
- **Infractions aux systèmes à haut risque :** jusqu'à **15 millions d'euros** ou **3 % du chiffre d'affaires mondial annuel**
- **Fourniture d'informations incorrectes aux régulateurs :** jusqu'à **7,5 millions d'euros** ou **1,5 % du chiffre d'affaires mondial annuel**
Ce ne sont pas des plafonds théoriques, ce sont des limites d'application par les autorités nationales qui mènent des enquêtes actives. L'expérience de l'UE en matière d'application du RGPD (4,5 milliards d'euros d'amendes depuis 2018) indique que l'application du règlement IA sera prise au sérieux.
Entreprises australiennes : vous êtes concernées
Si votre entreprise australienne déploie des systèmes IA affectant des personnes dans l'UE, ou si vous opérez dans l'UE, servez des clients européens ou employez des Européens, le règlement européen sur l'IA s'applique à vous. La compétence réglementaire est déterminée par le lieu d'effet, pas par le lieu d'incorporation.
Cela importe car beaucoup d'entreprises australiennes pensent être exemptées de la réglementation européenne. Ce n'est pas le cas. Les sociétés financières australiennes desservant des investisseurs européens, les entreprises SaaS australiennes avec clients européens et les détaillants australiens ayant des opérations e-commerce vers l'UE sont toutes potentiellement concernées.
L'interaction entre le règlement européen sur l'IA et le paysage émergent de gouvernance de l'IA en Australie, incluant la [Norme volontaire de sécurité IA](/compliance) et les propositions d'amendements à la loi sur la protection de la vie privée concernant la prise de décision automatisée, signifie que les programmes de conformité doivent couvrir les deux cadres. Une stratégie unifiée de gouvernance IA réduit les doublons et garantit qu'aucun cadre n'est négligé.
Comment Aona aide
La [plateforme de gouvernance IA](/governance) d'Aona est conçue spécifiquement pour les entreprises confrontées à des exigences complexes de conformité IA. Elle offre :
- **Découverte continue des systèmes IA**, inventaire en temps réel de tous les outils IA utilisés, y compris l'IA fantôme
- **Flux de classification des risques**, classification structurée selon les niveaux du règlement européen sur l'IA
- **Application des politiques**, contrôles empêchant l'utilisation non conforme de l'IA en temps réel
- **Documentation prête pour audit**, enregistrements automatiquement maintenus pour les évaluations de conformité et la déclaration d'incidents
- **Rapports au niveau du conseil d'administration**, tableaux de bord exposant la posture de conformité IA pour les dirigeants et régulateurs
Commencez par un essai gratuit d'Aona Governance et visualisez votre inventaire complet d'IA en 24 heures.
Vous pouvez aussi télécharger notre [modèle de liste de contrôle de conformité au règlement européen sur l'IA](/resources/templates/eu-ai-act-checklist), une feuille de travail structurée pour suivre votre programme de conformité selon chaque obligation.
Questions fréquentes
Qu’est-ce que le règlement européen sur l’IA ? Le règlement européen sur l’IA (Règlement 2024/1689) est le premier cadre juridique complet au monde pour l’intelligence artificielle. Il classe les systèmes IA par niveau de risque et impose des exigences allant de la transparence à des évaluations de conformité complètes. Il est entré en vigueur le 1er août 2024 et sera pleinement applicable en août 2026.
Quand les obligations du règlement européen sur l’IA s’appliquent-elles ? Étapes clés : les interdictions sur les IA à risque inacceptable sont effectives depuis février 2025 ; les règles modèles GPAI depuis août 2025 ; l’application complète (obligations pour systèmes à haut risque) débute en août 2026.
Quelles sont les sanctions maximales prévues par le règlement européen sur l’IA ? Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial pour le déploiement de systèmes IA interdits. Les violations des systèmes à haut risque peuvent entraîner des sanctions allant jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires mondial.
Les entreprises australiennes doivent-elles se conformer à la loi européenne sur l'IA ? Oui, si elles déploient des systèmes d'IA qui affectent des individus dans l'UE. Le champ d'application de la loi dépend de l'endroit où le système est utilisé et de ses effets, pas du siège social de l'entreprise. Les entreprises australiennes desservant des clients ou employés dans l'UE doivent évaluer leurs obligations au regard de cette loi.
