L'EU AI Act est en vigueur — votre entreprise est-elle conforme ?
La première réglementation intégrale de l'intelligence artificielle au monde a déjà des échéances actives. La formation en alphabétisation IA est obligatoire depuis février 2025 (Article 4). Les systèmes IA à haut risque doivent être conformes en août 2026. Les amendes vont jusqu'à 35 M EUR ou 7 % du chiffre d'affaires global. Seules 25 % des organisations ont un programme de gouvernance IA — et 88 % utilisent déjà l'IA.
Ce que comprend notre service
De l'inventaire à la conformité documentée.
Chronologie de l'EU AI Act : des échéances déjà actives
Connaître ce qui s'applique maintenant et ce qui arrive.
Février 2025 (DÉJÀ ACTIF) : Alphabétisation IA obligatoire pour tout le personnel (Art. 4) et interdiction des pratiques IA inacceptables (manipulation subliminale, scoring social, surveillance biométrique de masse). Août 2025 (DÉJÀ ACTIF) : Obligations pour les modèles IA à usage général (GPAI) — transparence, documentation technique, conformité copyright. Août 2026 : L'échéance principale — exigences complètes pour les systèmes IA à haut risque : gestion des risques, qualité des données, transparence, supervision humaine, robustesse. Août 2027 : Obligations pour les produits réglementés intégrant l'IA (machines, dispositifs médicaux, jouets).
Résumé exécutif
Ce que vous devez savoir pour agir.
L'EU AI Act a déjà deux échéances actives : depuis février 2025, la formation en alphabétisation IA (Art. 4) est obligatoire et les pratiques IA inacceptables sont interdites. Depuis août 2025, les modèles GPAI ont des obligations de transparence. Août 2026 est l'échéance principale : les systèmes IA à haut risque doivent satisfaire aux exigences complètes de gestion des risques, qualité des données, transparence et supervision humaine.
Les amendes sont les plus sévères du paysage réglementaire européen : jusqu'à 35 M EUR ou 7 % du chiffre d'affaires global (plus que le RGPD). Seules 25 % des organisations ont un programme de gouvernance IA en place, alors que 88 % utilisent déjà l'IA. Le marché de la conformité réglementaire IA est estimé à 17 milliards EUR pour 2030. Ne pas agir maintenant, c'est s'exposer à des sanctions et perdre l'avantage concurrentiel face aux concurrents qui se préparent déjà.
Résumé pour CTO / équipe technique
Exigences techniques et cadre de conformité.
L'EU AI Act exige un système de gestion des risques continu pour l'IA à haut risque : documentation du dataset d'entraînement (provenance, qualité, biais), métriques de performance et d'équité (fairness), logging des décisions automatisées, mécanismes de supervision humaine (human-in-the-loop), et tests de robustesse face aux attaques adversariales.
Pour les chatbots et fonctionnalités IA visibles par l'utilisateur, la loi exige une transparence claire : l'utilisateur doit savoir qu'il interagit avec une IA, le contenu généré par IA doit être identifié comme tel (y compris les deepfakes), et un mécanisme pour demander l'intervention humaine doit exister. Les modèles GPAI nécessitent une documentation technique complète incluant des model cards.
Est-ce fait pour vous ?
L'EU AI Act concerne toute organisation qui utilise ou développe des systèmes d'IA sur le marché européen.
Pour qui
- Entreprises utilisant des chatbots, assistants virtuels ou IA générative en service client.
- Organisations utilisant l'IA pour des décisions RH (recrutement, évaluation de performance).
- Entreprises financières utilisant l'IA pour le scoring de crédit ou la détection de fraude.
- Toute organisation utilisant l'IA et ayant l'obligation d'alphabétisation IA (Art. 4).
- Éditeurs de logiciels intégrant des modèles d'IA dans leurs produits.
- Entreprises de santé utilisant l'IA pour le diagnostic, le triage ou le traitement.
Pour qui pas
- Systèmes d'IA utilisés exclusivement pour la recherche scientifique (exemptés).
- IA open-source à risque minimal sans usage commercial direct.
- Systèmes d'IA purement militaires ou de défense nationale (hors du champ de l'EU AI Act).
Services de conformité EU AI Act
Offres adaptées à chaque phase du règlement.
Formation en alphabétisation IA
Obligation déjà active (Art. 4). Programme de formation adapté au rôle de chaque employé : qu'est-ce que l'IA, comment elle fonctionne, risques, usage éthique, et obligations légales. Format atelier présentiel ou e-learning. Certification de participation pour documenter la conformité.
Inventaire et classification des risques
Cartographie complète de tous les systèmes d'IA utilisés (propres et tiers). Classification par niveau de risque selon l'Annexe III : inacceptable, élevé, limité ou minimal. Identification des écarts de conformité et feuille de route priorisée.
Évaluation d'impact et documentation
Pour les systèmes à haut risque : évaluation d'impact sur les droits fondamentaux, documentation technique conforme à l'Annexe IV (données d'entraînement, métriques, biais, mesures d'atténuation), et préparation du dossier de conformité.
Gouvernance et surveillance IA
Conception et mise en place d'un programme de gouvernance IA : politiques internes, AI Risk Registry, comité d'éthique IA, workflows d'approbation pour les nouveaux systèmes, et surveillance continue de la performance et de l'équité.
Conformité des chatbots et fonctionnalités IA
Audit spécifique des chatbots, assistants virtuels et fonctionnalités d'IA générative : transparence, identification du contenu généré par IA, mécanisme de demande d'intervention humaine, et conformité des obligations pour les systèmes à risque limité.
Processus de conformité
De l'inventaire à la conformité documentée.
Inventaire
Nous cartographions tous les systèmes d'IA de votre organisation : chatbots, modèles prédictifs, outils RH, scoring, automatisations. Nous incluons l'IA de tiers (APIs d'OpenAI, Google, Azure AI) que vous utilisez.
Classification
Nous classons chaque système par niveau de risque selon l'Annexe III. Nous identifions les obligations spécifiques : transparence pour le risque limité, exigences complètes pour le haut risque, et vérification qu'aucun système ne relève des pratiques interdites.
Remédiation
Nous mettons en oeuvre les mesures techniques et organisationnelles nécessaires : documentation technique, évaluation d'impact, politiques de gouvernance, formation de l'équipe, mécanismes de supervision humaine, et logging des décisions.
Documentation et surveillance
Nous préparons le dossier de conformité complet : documentation technique (Annexe IV), évaluation d'impact, enregistrement dans la base de données de l'UE (pour le haut risque), et système de surveillance continue post-déploiement.
Risques que nous atténuons
De l'exposition réglementaire à la conformité vérifiée.
Amendes pour non-conformité (jusqu'à 35 M EUR / 7 % du CA)
Programme complet de conformité : inventaire, classification, documentation et surveillance. Dossier de conformité prêt pour l'inspection réglementaire.
Non-conformité en alphabétisation IA (obligation déjà active)
Programme de formation adapté à chaque rôle avec certification de participation. Contenu mis à jour conformément aux directives de l'Office européen de l'IA.
Systèmes IA à haut risque non documentés
Inventaire exhaustif + documentation technique conforme à l'Annexe IV : données d'entraînement, métriques de performance, analyse des biais, et mesures d'atténuation.
Chatbots et IA générative sans transparence
Audit de toutes les interfaces IA : identification claire de l'interaction avec l'IA, marquage du contenu généré, et mécanisme de demande d'intervention humaine.
Expérience réelle en IA appliquée et conformité
Chez Kiwop, nous développons et intégrons des solutions d'IA pour les entreprises depuis des années : chatbots intelligents, RAG entreprise, intégration de LLMs, et automatisation avec IA. Cette expérience technique de première main nous permet de comprendre la réglementation du point de vue du développeur — pas seulement du consultant juridique. Nous savons ce qu'implique la conformité parce que nous construisons les systèmes qui doivent s'y conformer.
EU AI Act vs RGPD : ce qui change et ce qui s'accumule
L'EU AI Act ne remplace pas le RGPD — elle le complète.
Si votre organisation est déjà conforme au RGPD, vous avez une base, mais l'EU AI Act ajoute des exigences spécifiques aux systèmes d'IA que le RGPD ne couvre pas : classification des risques, documentation technique du modèle, évaluation des biais algorithmiques, supervision humaine obligatoire, et transparence spécifique à l'IA. Les amendes de l'EU AI Act sont supérieures au RGPD : jusqu'à 7 % du chiffre d'affaires global vs 4 % pour le RGPD. Les deux réglementations s'appliquent simultanément — un chatbot qui traite des données personnelles doit se conformer aux deux.
Questions fréquentes
Ce que les entreprises demandent sur l'EU AI Act.
Qu'est-ce que l'EU AI Act et quand s'applique-t-elle ?
L'EU AI Act (Règlement 2024/1689) est la première réglementation intégrale de l'intelligence artificielle au monde. Elle s'applique de manière échelonnée : février 2025 (alphabétisation IA + pratiques interdites), août 2025 (GPAI), août 2026 (IA à haut risque), et août 2027 (produits réglementés). Elle s'applique à toute organisation qui fournit ou utilise l'IA sur le marché de l'UE.
Mon entreprise a-t-elle déjà des obligations actives ?
Oui, depuis février 2025. L'Article 4 oblige toutes les organisations utilisant des systèmes d'IA à garantir l'alphabétisation IA de leur personnel. De plus, les pratiques IA interdites (scoring social, manipulation subliminale, surveillance biométrique de masse) ne peuvent plus être utilisées. Si vous utilisez ChatGPT, Copilot, ou n'importe quelle IA — la formation est obligatoire.
Quels systèmes d'IA sont considérés à haut risque ?
L'Annexe III définit les catégories : IA en recrutement et gestion RH (filtrage de CVs, évaluation de performance), scoring de crédit et assurances, administration de la justice, contrôle aux frontières, infrastructures critiques, éducation (admissions, évaluations), et santé (diagnostic, triage). Si votre IA influence des décisions affectant les droits fondamentaux des personnes, elle est probablement à haut risque.
Qu'en est-il des chatbots et de l'IA générative ?
Les chatbots sont classés comme risque limité avec des obligations de transparence : l'utilisateur doit savoir qu'il interagit avec une IA, le contenu généré doit être identifié comme tel (y compris les deepfakes), et un mécanisme pour demander l'intervention humaine doit exister. Si le chatbot traite des données personnelles, le RGPD s'applique également.
Quel est le montant des amendes ?
Les amendes sont les plus sévères du paysage réglementaire européen : jusqu'à 35 M EUR ou 7 % du chiffre d'affaires global pour l'usage de pratiques interdites. Pour les systèmes à haut risque non conformes : jusqu'à 15 M EUR ou 3 % du CA. Pour des informations incorrectes : jusqu'à 7,5 M EUR ou 1 %. Pour les PME, les amendes sont calculées proportionnellement.
Combien coûte la préparation à la conformité ?
Formation en alphabétisation IA : à partir de 3 000 EUR (programme adapté à l'organisation). Inventaire + classification : à partir de 5 000 EUR. Programme complet de conformité (inventaire + documentation + gouvernance) : à partir de 15 000 EUR. Le coût dépend du nombre de systèmes IA, de la complexité et de la taille de l'organisation. Nettement inférieur à une amende de 7 % du chiffre d'affaires.
Ai-je besoin de la certification ISO 42001 ?
Ce n'est pas obligatoire, mais fortement recommandé. ISO 42001 est le standard international pour les systèmes de gestion de l'IA et est aligné sur les exigences de l'EU AI Act. L'obtenir démontre la diligence raisonnable auprès des régulateurs et des clients. Nous préparons votre organisation à la certification dans le cadre du programme de gouvernance IA.
Comment cela affecte-t-il les entreprises hors UE ?
Comme le RGPD : l'EU AI Act s'applique à toute organisation qui fournit ou utilise des systèmes d'IA sur le marché de l'UE, quel que soit son siège. Si votre entreprise est aux États-Unis ou en Amérique latine mais que vous avez des clients ou utilisateurs dans l'UE, vous devez vous conformer. Les importateurs et distributeurs ont également des obligations spécifiques.
Quelle est la différence entre fournisseur et déployeur ?
Le fournisseur est celui qui développe ou commande le système d'IA (plus d'obligations : documentation technique, conformité, surveillance). Le déployeur est celui qui l'utilise dans son activité (obligations de supervision humaine, transparence, évaluation d'impact). De nombreuses entreprises sont des déployeurs d'IA de tiers (OpenAI, Google, Microsoft) et ont des obligations propres qui ne peuvent pas être déléguées au fournisseur.
Investissement
Proposition adaptée au périmètre de vos systèmes d'IA.
Août 2026 est dans 6 mois — la formation IA est déjà obligatoire
75 % des organisations utilisant l'IA n'ont pas de programme de gouvernance. Les amendes vont jusqu'à 7 % du chiffre d'affaires global. N'attendez pas l'inspection : évaluez votre conformité maintenant.
Évaluer la conformité EU AI Act Audit
technique initial.
IA, sécurité et performance. Diagnostic avec proposition par phases.
Votre premier rendez-vous est avec un Architecte Solutions, pas un commercial.
Demander un diagnostic