Checklist AI Act : les étapes de conformité pour les entreprises

Pour vous mettre en conformité avec l’AI Act, recensez vos systèmes d’IA, déterminez votre rôle (fournisseur ou déployeur), classez chaque système par niveau de risque, réglez d’abord ce qui s’applique déjà (interdictions, maîtrise de l’IA, transparence), puis préparez le haut risque pour décembre 2027. Cette checklist reprend les étapes dans l’ordre, avec les dates à jour.

Les points clés

• Trois obligations s’appliquent déjà à presque toutes les entreprises : pas de pratique interdite, mesures de maîtrise de l’IA, transparence de l’article 50.
• Le haut risque de l’annexe III s’applique le 2 décembre 2027 et celui de l’annexe I le 2 août 2028, depuis le règlement (UE) 2026/1744.
• La plupart des entreprises françaises sont déployeurs : leurs obligations sont plus légères que celles des fournisseurs, mais réelles.
• Chaque case cochée doit correspondre à une preuve : document, registre, liste de présence, contrat.
• La loi française qui désigne les autorités n’est pas encore définitive en octobre 2026 ; vos obligations européennes, si.

Étape 0 : poser la gouvernance

• ☐ Un responsable de la conformité IA est désigné, avec un mandat de la direction.
• ☐ Une équipe transverse est constituée : DSI, RSSI, DPO, juridique, achats, RH et métiers utilisateurs.
• ☐ Un circuit de validation existe pour tout nouvel outil ou usage d’IA.
• ☐ Le sujet est inscrit à l’ordre du jour du comité de direction au moins deux fois par an.

Pour savoir rapidement où vous en êtes sur ces points, le diagnostic gratuit de gouvernance IA évalue dix domaines et rédige un cadre de gouvernance de l’IA à partir de vos réponses.

Étape 1 : inventorier

• ☐ Tous les systèmes d’IA développés, achetés ou utilisés sont listés, y compris les fonctions IA intégrées aux logiciels.
• ☐ Les usages non déclarés ont été recherchés (questionnaire, journaux, dépenses, extensions).
• ☐ Pour chaque système : finalité, utilisateurs, données, fournisseur, propriétaire métier.
• ☐ Le registre est relié au registre des traitements RGPD.

Méthode détaillée : shadow AI et cartographie IA.

Étape 2 : déterminer votre rôle

• ☐ Pour chaque système, le rôle est noté : fournisseur, déployeur, importateur, distributeur.
• ☐ Les cas de bascule ont été vérifiés : système mis sur le marché sous votre marque, modification substantielle, changement de destination d’un système à haut risque.
• ☐ Les chatbots construits sur une API et publiés sous votre nom sont identifiés comme des systèmes dont vous êtes fournisseur au sens de l’article 50.

Étape 3 : classer par niveau de risque

• ☐ Aucun système ne relève de l’article 5 (notation sociale, reconnaissance des émotions au travail, manipulation, moissonnage d’images faciales…) ; à défaut, il est arrêté et l’arrêt documenté.
• ☐ Les systèmes relevant de l’annexe III (emploi, crédit, éducation, biométrie, services essentiels…) ou de l’annexe I sont identifiés comme à haut risque, ou l’exception de l’article 6, paragraphe 3, est justifiée par écrit.
• ☐ Les systèmes soumis à l’article 50 sont repérés.
• ☐ Le raisonnement de classification est conservé pour chaque système.

Ce que recouvre chaque niveau est expliqué dans notre guide de l’AI Act.

Étape 4 : ce qui s’applique déjà

Pour la maîtrise de l’IA, voyez formation IA en entreprise et article 4 ; pour la transparence, l’article 50 en détail.

Étape 5 : les règles écrites

• ☐ Une charte d’utilisation de l’IA fixe les outils autorisés, les données interdites, la vérification des résultats, les usages interdits et le signalement des incidents.
• ☐ Son statut est clarifié (simple guide ou adjonction au règlement intérieur, avec consultation du CSE).
• ☐ Une procédure d’évaluation des fournisseurs d’IA existe : données, hébergement, entraînement sur vos données, sécurité, documentation AI Act.
• ☐ Une méthode d’analyse des risques IA est définie et appliquée aux nouveaux usages.

Points de départ : le modèle de charte IA et le modèle d’évaluation des risques IA.

Étape 6 : préparer le haut risque (2 décembre 2027)

Si vous êtes déployeur

• ☐ La notice d’utilisation du fournisseur est obtenue et respectée.
• ☐ Le contrôle humain est confié à des personnes compétentes, formées et disposant de l’autorité nécessaire.
• ☐ Les données d’entrée sous votre contrôle sont pertinentes et suffisamment représentatives.
• ☐ Le fonctionnement est surveillé ; les risques et incidents graves sont signalés au fournisseur et à l’autorité.
• ☐ Les journaux générés automatiquement sont conservés au moins six mois.
• ☐ Les représentants du personnel et les salariés concernés sont informés avant toute utilisation au travail ; le CSE est consulté si nécessaire.
• ☐ Les personnes faisant l’objet de décisions sont informées de l’usage d’un système à haut risque.
• ☐ L’analyse d’impact sur les droits fondamentaux est réalisée si vous êtes un organisme public, un acteur privé fournissant un service public, ou si vous évaluez la solvabilité ou tarifez l’assurance vie ou santé ; elle s’appuie sur l’AIPD existante.

Si vous êtes fournisseur

• ☐ Système de gestion des risques sur tout le cycle de vie.
• ☐ Gouvernance des données d’entraînement, de validation et de test.
• ☐ Documentation technique (annexe IV) et journalisation.
• ☐ Notice d’utilisation, conception permettant le contrôle humain, exactitude, robustesse, cybersécurité.
• ☐ Système de gestion de la qualité.
• ☐ Évaluation de la conformité, déclaration UE de conformité, marquage CE, enregistrement dans la base de données de l’UE.
• ☐ Surveillance après commercialisation et signalement des incidents graves.

L’IA intégrée à un produit réglementé de l’annexe I suit le 2 août 2028 ; les systèmes publics à haut risque déjà en service, le 2 août 2030. Toutes les dates sont dans le calendrier de l’AI Act.

Étape 7 : documenter et suivre

• ☐ Chaque case cochée renvoie à une preuve datée.
• ☐ Les écarts restants figurent dans un plan d’action avec responsables et échéances.
• ☐ La checklist est revue au moins une fois par an et à chaque nouvel outil, incident ou changement réglementaire.
• ☐ Les autorités françaises dont vous relèverez sont identifiées (AI Act en France : qui contrôle quoi).

Pour transformer cette checklist en plan, suivez la méthode de l’analyse d’écarts AI Act. Le texte de référence est le règlement (UE) 2024/1689 sur EUR-Lex, modifié par le règlement (UE) 2026/1744.

Questions fréquentes sur la conformité à l’AI Act

Quelles sont les premières étapes de conformité à l’AI Act ?

Inventorier les systèmes d’IA, déterminer votre rôle pour chacun, les classer par niveau de risque, puis traiter ce qui s’applique déjà : vérifier qu’aucun usage n’est interdit, mettre en place des mesures de maîtrise de l’IA et respecter la transparence de l’article 50. Le haut risque vient ensuite, avec une échéance au 2 décembre 2027.

Quand faut-il être conforme à l’AI Act ?

Cela dépend de l’obligation. Interdictions et maîtrise de l’IA : depuis le 2 février 2025. Transparence : depuis le 2 août 2026. Haut risque de l’annexe III : 2 décembre 2027. Haut risque de l’annexe I : 2 août 2028. Ces dates tiennent compte de l’omnibus numérique, en vigueur depuis le 27 juillet 2026.

Une PME doit-elle suivre toute la checklist ?

Elle doit suivre les étapes qui la concernent. Une PME qui utilise des outils du marché à risque minimal s’arrête pour l’essentiel à l’inventaire, à la charte, à la formation et à la transparence. Les PME bénéficient en outre de plafonds de sanctions plus faibles et d’allègements documentaires si elles fournissent un système à haut risque.

Le marquage CE concerne-t-il les entreprises utilisatrices ?

Non. Le marquage CE, l’évaluation de la conformité et l’enregistrement dans la base de données de l’UE incombent au fournisseur du système à haut risque. Le déployeur doit en revanche vérifier que le système qu’il achète les respecte et appliquer ses propres obligations, notamment le contrôle humain et la conservation des journaux.

Cochez les premières cases en 40 minutes

Inventaire, règles, fournisseurs, risques : le diagnostic gratuit qui rédige votre charte IA et vos documents de gouvernance couvre ces étapes en quatorze étapes de questions, environ 40 minutes, en français. Dès l’envoi, vous recevez quatre documents rédigés à partir de vos réponses (cadre de gouvernance de l’IA, charte d’utilisation de l’IA, checklist d’évaluation des fournisseurs d’IA, modèle d’analyse des risques IA) et un état des lieux sur dix domaines. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent. Gratuit, sans engagement.

Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.

Plus depuis notre base de connaissances: Conformité AI Act : mener une analyse d’écarts en 7 étapes

Plus depuis notre base de connaissances: IA et RGPD : ce que disent l’AI Act et la CNIL