EU AI ActDPORSSIConformité IAInventaire IA

    EU AI Act · Ce que votre organisation doit vraiment faire avant août 2026

    15 janvier 2026 8 min de lectureEuroAIGuard team

    Août 2026, ce n'est pas dans longtemps. Pas pour une organisation qui n'a pas encore fait l'inventaire de ses systèmes IA. Pas pour un DPO qui gère déjà trois référentiels en même temps avec les mêmes ressources qu'avant. Pas pour une Direction qui découvrira ce sujet six mois trop tard.

    J'ai passé les deux dernières années à accompagner des organisations européennes sur leur conformité IA. Ce guide n'est pas une synthèse de textes réglementaires. C'est ce que j'ai vu fonctionner, et ce que j'ai vu échouer. Une précision importante : je suis fondatrice d'un outil de conformité IA, pas avocate. Ce que vous lisez est opérationnel, pas juridique.

    La première question à se poser

    Avant les checklists, avant les outils, avant même de lire l'EU AI Act, une seule question compte vraiment :

    Est-ce que votre organisation sait exactement quels systèmes IA elle utilise ?

    Pas les systèmes IA que le service IT a déployés. Tous les systèmes IA. Y compris le plugin LinkedIn qui préqualifie les candidats. L'outil de CRM qui score les prospects. L'assistant IA que le service juridique utilise pour rédiger des contrats. Dans la grande majorité des organisations, la réponse honnête est non.

    Fournisseur ou déployeur · La distinction qui change tout

    Fournisseur
    Vous développez un système IA et le mettez sur le marché européen. Obligations lourdes : documentation technique, marquage CE, registre, tests de robustesse.
    Déployeur
    Vous utilisez un système IA dans votre activité. C'est le cas de la très grande majorité des organisations. Les obligations sont significatives mais différentes.

    Haut risque · Le mot qui change tout

    L'Annexe III du règlement liste les domaines où les systèmes IA sont classés haut risque :

    Recrutement & RHScoring créditServices financiersÉducationAide au diagnostic médicalInfrastructures critiquesJustice

    Exemple concret : "On a 180 salariés, on n'est sûrement pas concernés." Si votre outil de screening CV classe automatiquement des candidats et influence qui passe l'entretien, vous êtes concernés. Peu importe la taille.

    Les 5 obligations que personne ne va faire à votre place

    1. L'AIPD · RGPD Art.35
    L'Analyse d'Impact sur la Protection des Données. Obligatoire si votre système traite des données personnelles à risque élevé. Doit être faite avant le déploiement, validée par le DPO. Comptez 2 à 5 jours selon la complexité.
    2. Gestion des risques · EU AI Act Art.9
    Un processus formalisé pour identifier, évaluer et traiter les risques spécifiques à votre système IA. ISO 23894 est la méthodologie reconnue. Ce n'est pas un document de plus. C'est un registre vivant.
    3. Gouvernance des données · Art.10
    Vos données d'entraînement sont-elles représentatives ? Les biais ont-ils été identifiés et traités avant le déploiement ? C'est souvent la plus technique des obligations et la plus négligée.
    4. Supervision humaine · Art.14
    Le système IA ne peut pas décider seul sur des sujets à impact significatif. Un humain doit pouvoir comprendre, surveiller, et contester la décision. Pas juste en théorie. En pratique, le premier jour.
    5. Formation · Art.4
    Vos équipes doivent être formées, avec des attestations traçables. Art.4 est en vigueur depuis février 2025. Si vous n'avez pas encore lancé de programme de littératie IA, vous avez du retard.

    AIPD et FRIA · Deux évaluations différentes

    AIPD
    RGPD Art.35
    Évalue l'impact sur les données personnelles. Réalisée par le DPO avec la trame CNIL. S'applique à toute organisation traitant des données personnelles à risque élevé.
    FRIA
    EU AI Act Art.27
    Évalue l'impact sur les droits fondamentaux. S'applique spécifiquement aux organismes du secteur public déployant des systèmes haut risque Annexe III.

    Ce que j'ai vu fonctionner

    Les organisations qui avancent le mieux ont un point commun : elles n'ont pas commencé par lire l'EU AI Act. Elles ont commencé par faire l'inventaire.

    Un inventaire honnête, avec tout le monde autour de la table : IT, métiers, DPO, RSSI. Pas juste une liste des outils approuvés par la DSI. Tous les outils réellement utilisés, y compris ceux que les équipes ont adoptés sans validation formelle.

    De cet inventaire naît une classification. De cette classification naît une priorisation. Et de cette priorisation naît un plan d'action réaliste, pas une liste de 47 choses à faire en même temps.

    Commencez par l'inventaire

    Hébergé en France sur OVH · Outil opérationnel, pas prestataire juridique.

    Commencer
    EAG

    EuroAIGuard team

    team@euroaiguard.com