CONFORMITÉ
Gouvernance & AI Act
Le règlement européen sur l'IA ne demande pas d'arrêter d'innover. Il demande de savoir ce que vous faites tourner, à quel niveau de risque, et de pouvoir le prouver.
Le problème que ça résout
Dans la plupart des organisations, personne ne sait combien de systèmes d'IA sont réellement en service : un module de scoring dans l'ERP, une brique de tri des candidatures, trois assistants montés par des équipes métier sans passer par la DSI. La conformité commence par cet inventaire, et c'est presque toujours l'étape que l'on saute.
Notre approche
- Recensement de tous les systèmes en service, y compris ceux montés hors DSI — c'est là que se trouvent les surprises.
- Classification par niveau de risque au sens du règlement : inacceptable, haut risque, risque limité, risque minimal.
- Analyse d'impact pour les systèmes à haut risque, avec les mesures d'atténuation associées.
- Rédaction de la documentation technique exigible et mise en place du registre des usages, tenu à jour par vos équipes.
Ce que vous recevez
- Un registre des systèmes d'IA, classés et documentés, maintenable en interne.
- Les analyses de risque et d'impact pour les systèmes concernés.
- La documentation technique et les mentions d'information exigées pour vos utilisateurs.
- Une procédure de qualification pour les futurs systèmes : tout nouveau projet est classé avant d'être lancé.
FAQ
Questions fréquentes
L'AI Act s'applique-t-il à une PME qui utilise seulement ChatGPT ?
Oui, mais avec des obligations légères. Utiliser un assistant conversationnel pour de la rédaction relève du risque limité : l'obligation principale est la transparence — informer les personnes qu'elles interagissent avec une IA ou que le contenu est généré. Les obligations lourdes visent les systèmes à haut risque, notamment en recrutement, crédit, éducation et accès aux services essentiels.
Comment savoir si un de nos systèmes est classé « à haut risque » ?
Le règlement liste les domaines concernés en annexe. En pratique, dans une entreprise ordinaire, les trois cas les plus fréquents sont le tri automatisé de candidatures, l'aide à la décision d'octroi de crédit ou d'assurance, et l'évaluation des salariés. Si un système décide ou influence fortement l'accès d'une personne à un emploi, un droit ou un service, il faut le regarder de près.
Que risque-t-on concrètement en cas de non-conformité ?
Le règlement prévoit des amendes administratives pouvant atteindre plusieurs pourcents du chiffre d'affaires mondial selon la gravité du manquement. Au-delà de la sanction, le risque immédiat pour une PME est contractuel : les grands donneurs d'ordre exigent désormais des garanties de conformité de leurs fournisseurs.
Faut-il un délégué à l'IA comme il existe un DPO ?
Le règlement n'impose pas de fonction équivalente au délégué à la protection des données. Il impose en revanche que les personnes qui utilisent ces systèmes aient un niveau de maîtrise suffisant, ce qui suppose une désignation claire des responsables et un plan de formation.
Contact
Parlons de votre prochain cas d'usage.
Trente minutes suffisent pour évaluer ensemble si un diagnostic aumia a du sens pour votre organisation. Sans engagement, sans jargon.