Conformité AI Act : mener une analyse d’écarts en 7 étapes

Les sept étapes d’une analyse d’écarts AI Act

1. Fixer le périmètre et l’équipe

Décidez si l’analyse couvre tout le groupe ou une entité, et nommez un responsable. Constituez une petite équipe : un représentant de la DSI, le DPO, le RSSI, un juriste, les achats et un ou deux métiers gros consommateurs d’IA (RH, relation client, marketing). Sans les métiers, vous passerez à côté de la moitié des usages.

2. Recenser les systèmes d’IA

Listez tout ce qui répond à la définition de système d’IA : outils génératifs (Copilot, ChatGPT, Le Chat), fonctions IA intégrées à vos logiciels (SIRH, CRM, outil de ticketing), développements internes, chatbots, scoring, vision industrielle. N’oubliez pas les usages non déclarés : un questionnaire anonyme et l’analyse des journaux réseau révèlent souvent le shadow AI. La méthode détaillée est dans notre article shadow AI et cartographie IA.

3. Déterminer votre rôle pour chaque système

Fournisseur, déployeur, importateur, distributeur : c’est la variable qui pèse le plus sur vos obligations. Une entreprise qui utilise un logiciel de tri de CV est déployeur ; si elle le revend sous sa marque ou le modifie substantiellement, elle devient fournisseur. Un chatbot construit sur une API et publié sous votre nom fait de vous le fournisseur du système au sens de l’article 50.

4. Classer chaque système par niveau de risque

Pratique interdite, haut risque (annexe I ou III), transparence, risque minimal. Vérifiez d’abord les interdictions de l’article 5, puis les domaines de l’annexe III (emploi, crédit, éducation, biométrie, services essentiels…), puis l’article 50. Documentez le raisonnement, surtout quand vous concluez qu’un système de l’annexe III n’est pas à haut risque au titre de l’article 6, paragraphe 3.

5. Lister les obligations applicables

Pour chaque couple système-rôle, dressez la liste des obligations : article 4 pour tous, article 50 si interaction ou génération de contenu, articles 16 et suivants pour un fournisseur à haut risque, article 26 et éventuellement 27 pour un déployeur à haut risque. Ajoutez le RGPD, qui s’applique en parallèle.

6. Mesurer l’écart

Pour chaque obligation, notez ce qui existe (preuve à l’appui), ce qui manque et l’effort nécessaire. Un barème simple suffit : conforme, partiellement conforme, non conforme, non applicable.

7. Construire le plan d’action

Classez les écarts par gravité (pratique interdite d’abord), par échéance et par effort. Attribuez un responsable et une date à chaque action. Présentez le résultat à la direction, puis suivez-le comme n’importe quel projet.

Exemple de grille d’analyse d’écarts

Voici le format que nous recommandons, avec des lignes types tirées de situations courantes.

Les écarts que l’on retrouve le plus souvent

D’une organisation à l’autre, les mêmes manques reviennent. Ils sont rarement techniques ; ils sont presque toujours organisationnels.

• Pas d’inventaire. Personne ne sait combien d’outils d’IA sont utilisés, ni par qui.
• Pas de règles écrites. Ni charte IA, ni liste d’outils autorisés, ni règle sur les données à ne pas saisir. Un modèle de charte IA permet de combler ce manque rapidement.
• Formation non documentée. Il y a eu des sessions, mais aucune trace exploitable au titre de l’article 4.
• Transparence oubliée. Chatbots et voicebots sans mention, visuels générés sans étiquette.
• Contrats muets. Les contrats fournisseurs ne disent rien de l’entraînement sur vos données, de la localisation, de la documentation AI Act ou du marquage des contenus.
• Pas de méthode d’analyse des risques propre à l’IA. Le modèle d’évaluation des risques IA en propose une.
• Gouvernance floue. Pas de responsable désigné, pas de circuit de validation pour un nouvel outil.

Prioriser : ce qui s’applique déjà d’abord

Le haut risque arrive en dernier, mais c’est le chantier le plus long : documentation, négociation avec les éditeurs, consultation du CSE, adaptation des processus. Lancez-le en 2026 pour être prêt fin 2027. Toutes les dates sont reprises dans le calendrier de l’AI Act.

Le cas français : trois points à intégrer

Le dialogue social. L’introduction d’outils d’IA qui modifient le travail relève souvent de la consultation du CSE (article L2312-8 du Code du travail). Prévoyez-le dans le plan d’action, pas après coup.

Les autorités. La loi française qui désigne la DGCCRF, la CNIL et les autres régulateurs n’est pas définitivement adoptée en octobre 2026. Votre analyse d’écarts doit indiquer, pour chaque système, l’autorité dont vous relèverez probablement : notre article AI Act en France donne la répartition prévue.

Le RGPD et la CNIL. Intégrez les recommandations de la CNIL sur l’IA dans la grille, pour éviter deux analyses parallèles.

Les livrables d’une analyse d’écarts réussie

1. Un registre des systèmes d’IA avec rôle, niveau de risque et responsable.
2. La grille d’écarts complétée, avec preuves.
3. Un plan d’action priorisé et daté.
4. Une note de synthèse pour la direction (une à deux pages).
5. Les premiers documents de gouvernance : cadre de gouvernance, charte IA, procédure d’évaluation des fournisseurs, méthode d’analyse des risques.

Pour la suite, la checklist de conformité AI Act sert de fil conducteur, et notre guide de l’AI Act de référence sur le fond. Si vous préférez être accompagné, l’équipe conseil en gouvernance de l’IA d’Opsio peut mener l’analyse avec vous.

Questions fréquentes sur la mise en conformité AI Act

Par où commencer la mise en conformité à l’AI Act ?

Par l’inventaire des systèmes d’IA que vous développez, achetez ou utilisez, y compris les fonctions intégrées aux logiciels et les usages non déclarés. Sans inventaire, impossible de déterminer votre rôle, le niveau de risque et les obligations applicables. Viennent ensuite la classification, la mesure des écarts et un plan d’action daté.

Combien de temps prend une analyse d’écarts AI Act ?

Cela dépend du nombre de systèmes et de la qualité de la documentation existante. Pour une PME qui utilise surtout des outils du marché, quelques semaines suffisent souvent. Pour un groupe avec des développements internes et des usages à haut risque, comptez davantage, surtout pour obtenir les informations des fournisseurs.

Quelle différence entre conformité IA et gouvernance de l’IA ?

La conformité vise le respect des textes : AI Act, RGPD, droit du travail. La gouvernance de l’IA est le dispositif permanent qui permet d’y arriver et d’aller au-delà : responsabilités, règles, circuits de validation, suivi des risques. Une analyse d’écarts fait le lien entre les deux.

Faut-il un cabinet externe pour l’analyse d’écarts ?

Pas nécessairement. Une équipe interne qui associe DSI, DPO, juridique et métiers peut la mener avec une méthode claire. Un regard extérieur aide surtout pour les systèmes à haut risque, la négociation avec les fournisseurs ou lorsque les ressources internes manquent. Ni l’une ni l’autre option ne garantit la conformité à elle seule.

L’analyse d’écarts doit-elle être refaite ?

Oui. Mettez-la à jour à chaque nouvel outil important, à chaque changement réglementaire (le règlement omnibus 2026/1744 en est un bon exemple) et au moins une fois par an. Une grille tenue à jour devient votre registre de conformité.

Commencez votre analyse d’écarts aujourd’hui, gratuitement

Le plus difficile est de démarrer. Le diagnostic gratuit qui rédige votre charte IA et vos documents de gouvernance fait une grande partie du premier tour : quatorze étapes, environ 40 minutes, questions en français sur vos outils, vos données, vos fournisseurs et vos règles. Dès l’envoi, vous recevez un état des lieux sur dix domaines et cinq niveaux de maturité, et quatre documents rédigés à partir de vos réponses : cadre de gouvernance de l’IA, charte d’utilisation de l’IA, checklist d’évaluation des fournisseurs d’IA et modèle d’analyse des risques IA. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent. Gratuit, sans carte bancaire, sans engagement.

Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.