AI Act conformité entreprise : comment s’organiser pour répondre aux obligations 2025-2026 ?

La conformité AI Act en entreprise est un défi que la majorité des directions générales abordent sans méthode structurée ni cartographie préalable. Les interdictions sont entrées en vigueur en février 2025, les obligations GPAI s’appliquent depuis août 2025, et celles sur les systèmes à haut risque arrivent en août 2026. Ce calendrier resserré concerne aussi les PME et ETI — pas seulement les grands groupes. Cet article donne les repères pour avancer sur l’AI Act conformité entreprise sans attendre d’avoir tout maîtrisé.

Pourquoi la conformité AI Act en entreprise ne concerne pas seulement les grands groupes

Un malentendu persistant veut que l’AI Act soit l’affaire des géants technologiques ou des fournisseurs de plateformes IA. La réalité est plus nuancée : toute organisation qui déploie un système d’intelligence artificielle dans ses process métier — recrutement, scoring crédit, gestion des stocks, assistance client — entre dans le périmètre du règlement, quelle que soit sa taille.

En mars 2025, Sophie AUBERT, directrice générale de Proclima SAS (distribution industrielle, 280 salariés), découvrait que l’outil de scoring fournisseurs qu’elle utilisait depuis deux ans relevait de la catégorie des systèmes à haut risque selon l’annexe III du Règlement UE 2024/1689. Son logiciel évaluait des profils d’entreprises avec un impact direct sur les relations contractuelles. Aucune documentation de conformité n’existait. Aucun registre des systèmes IA n’avait été tenu. La prise de conscience fut brutale — non parce que la situation était illégale, mais parce que l’échéance d’août 2026 était soudain concrète.

Ce scénario est représentatif. Selon la Commission européenne, les PME et ETI représentent une part significative des déploiements d’IA en Europe. Beaucoup utilisent des outils tiers sans avoir évalué leur niveau de risque. L’AI Act conformité entreprise commence précisément par ce diagnostic préalable à toute action.

Ce que font les entreprises qui avancent concrètement sur la conformité AI Act

Les organisations qui progressent sur la conformité AI Act ne partent pas d’une lecture exhaustive du texte réglementaire de 458 pages. Elles commencent par trois chantiers parallèles, menés en interne sur quatre à six semaines.

Premier chantier : l’inventaire des systèmes IA. Toute application qui prend une décision automatisée ou assiste une décision à fort impact humain est référencée. Ce travail mobilise le DSI, le DPO et les directions métier. Sans inventaire, il est impossible de classifier les niveaux de risque.

Deuxième chantier : la classification selon l’annexe III. Le règlement distingue quatre niveaux — systèmes interdits, haut risque, risque limité, risque minimal. Pour chaque système de l’inventaire, la direction juridique évalue l’appartenance à l’une de ces catégories. La CNIL a publié des guides pratiques d’orientation pour les équipes non spécialisées.

Troisième chantier : la désignation d’un responsable conformité IA. Sans propriétaire clairement désigné, le sujet reste en suspens. Dans les PME et ETI, ce rôle revient souvent au DPO existant ou à un référent IA nommé pour la circonstance. La règle est simple : une personne nommée, une feuille de mission écrite, un reporting trimestriel au comité de direction.

Les trois erreurs classiques sur l’AI Act conformité entreprise

• Attendre que les fournisseurs soient conformes pour ne rien faire soi-même. Le règlement impose des obligations aux déployeurs, pas seulement aux développeurs. Utiliser un système IA haut risque sans avoir vérifié sa documentation de conformité engage la responsabilité de l’entreprise utilisatrice. Les fournisseurs livrent la documentation technique ; la conformité d’usage reste à la charge de l’organisation.
• Traiter la conformité comme un projet informatique. L’AI Act est un règlement de gouvernance, pas un standard technique. Il porte sur les décisions, les processus humains, les droits des personnes affectées. La direction générale doit porter le sujet — pas seulement la DSI. Un projet délégué entièrement à l’équipe IT produit des livrables techniques sans gouvernance.
• Confondre conformité RGPD et conformité AI Act. Les deux textes se complètent sans se superposer. Le RGPD porte sur les données personnelles ; l’AI Act porte sur les systèmes d’IA et leurs impacts. Un système peut être conforme RGPD et non conforme AI Act — si la transparence algorithmique ou la supervision humaine font défaut.

Par où commencer : trois actions concrètes dans les 90 jours

Pour un DG, DPO ou DSI qui démarre sur l’AI Act conformité entreprise, trois actions produisent des résultats mesurables en moins de 90 jours.

Action 1 — Cartographier en atelier. Organiser un atelier de deux demi-journées avec les directions métier, la DSI et le DPO. Objectif : lister tous les systèmes IA utilisés, y compris les outils SaaS tiers. Utiliser le cadre NIST AI RMF comme grille d’inventaire — il est compatible avec les exigences du règlement européen.

Action 2 — Prioriser par niveau de risque. Une fois l’inventaire établi, appliquer la grille de l’annexe III pour chaque système. Concentrer les ressources sur les systèmes à haut risque — ceux-là nécessitent documentation, logs, supervision humaine et évaluation de conformité avant déploiement ou maintien en production.

Action 3 — Nommer et mandater. Désigner formellement un responsable conformité IA avant la fin du premier trimestre. Rédiger sa lettre de mission. Prévoir un budget de conformité dans le plan annuel. Un référent sans mandat ni budget ne peut pas agir.

Ce que ce livre aborde en profondeur va au-delà de ces premières étapes. Le tome 2, « Décider & Architecturer », traite les critères de classification des systèmes à haut risque, les obligations de gouvernance documentaires et les scénarios de déploiement conformes. C’est la ressource qui transforme le diagnostic initial en méthode opérationnelle pour les équipes en charge de la conformité IA. Pour cadrer la stratégie globale, consultez aussi le guide Réussir l’IA en entreprise.