Le Règlement (UE) 2024/1689, plus connu sous le nom d'AI Act, est entré en vigueur le 1er août 2024. Depuis lors, son calendrier d'application s'accélère : les premières obligations ont pris effet dès février 2025, et la pleine application générale est fixée au 2 août 2026. Pour les dirigeants d'entreprises françaises, PME comme ETI, la question n'est plus de savoir si l'AI Act les concerne, mais comment construire un AI Act plan d'action concret avant que les délais ne soient dépassés.

Voici une méthode structurée en cinq étapes pour avancer sans improviser.

AI Act plan d'action | 5 étapes pour être conforme

Temps de lecture : ~14 min

1. Pourquoi votre entreprise est-elle concernée par l'AI Act ?

2. Le calendrier d'application AI Act 2025, 2026 et 2027 : les dates à ne pas manquer

3. Étape 1 : Cartographier les systèmes d'IA de votre entreprise

4. Étape 2 : Classifier les risques selon l'AI Act

5. Étape 3 : Structurer la gouvernance IA et la documentation technique

6. Étape 4 : Déployer la littératie IA dans vos équipes

7. Étape 5 : Mettre en œuvre le plan d'action AI Act et ancrer la veille réglementaire

8. Quelles sanctions en cas de non-conformité à l'AI Act ?

9. Comment Zenextia accompagne ce chantier ?

10. Construire sa conformité AI Act : une démarche de long terme

11. FAQ

Pourquoi votre entreprise est-elle concernée par l'AI Act ?

L'AI Act s'applique à toute organisation qui commercialise, intègre ou exploite un système d'IA sur le marché européen. Concrètement, deux rôles sont définis par le règlement : le fournisseur, qui développe ou met sur le marché un système d'IA, et le déployeur, qui utilise un système d'IA dans un contexte professionnel. La grande majorité des entreprises françaises se trouvent dans la position de déployeur : elles utilisent des outils SaaS intégrant de l'IA, des modèles d'analyse de données, des systèmes de scoring ou des assistants automatisés sans en être les concepteurs.

Cette position de déployeur n'exonère pas de toute obligation. Elle implique notamment de s'assurer que les systèmes utilisés respectent les exigences du règlement, de former les équipes concernées, de documenter les usages à risque élevé et de mettre en place une supervision humaine adaptée. Sur les SI que nous accompagnons chez Zenextia, nous constatons que cette réalité est encore largement sous-estimée : beaucoup de dirigeants pensent que l'AI Act ne concerne que les éditeurs de logiciels ou les grandes plateformes technologiques.

Important — Les importateurs et distributeurs de produits intégrant des systèmes d'IA sont également dans le périmètre du règlement, au même titre que les fournisseurs et déployeurs directs. Si votre entreprise revend ou intègre des solutions IA tierces, vérifiez votre position réglementaire.

Le calendrier d'application AI Act 2025, 2026 et 2027 : les dates à ne pas manquer

L'AI Act suit un phasage progressif qu'il est indispensable d'intégrer dans tout plan de conformité AI Act 2026. Voici les grandes échéances à retenir.

Calendrier d'application progressif du Règlement (UE) 2024/1689 — AI Act

• Date: 2 février 2025 Obligations concernées: Interdiction des pratiques d'IA à risque inacceptable (manipulation, notation sociale, identification biométrique en temps réel dans les espaces publics sauf exceptions) Qui est visé: Tous les acteurs

• Date: 2 août 2025 Obligations concernées: Règles de gouvernance nationale, obligations pour les modèles d'IA à usage général (GPAI) Qui est visé: Fournisseurs de modèles GPAI, États membres

• Date: 2 août 2026 Obligations concernées: Application générale : systèmes à haut risque (Annexe III), obligations de transparence, mesures pro-innovation, sandboxes réglementaires Qui est visé: Fournisseurs et déployeurs de systèmes à haut risque

• Date: 2 août 2027 Obligations concernées: Systèmes d'IA à haut risque couverts par des législations produit existantes (machines, dispositifs médicaux, équipements sous pression) Qui est visé: Secteurs réglementés spécifiques

Source : Communication de la Commission européenne, AI Continent Action Plan, EUR-Lex (CELEX:52025DC0165) et Digital Strategy de la Commission européenne.

La date du 2 août 2026 est celle qui concentre le plus d'obligations pour le plus grand nombre d'entreprises. C'est la référence centrale de tout AI Act plan d'action sérieux.

Étape 1 : Cartographier les systèmes d'IA de votre entreprise

Recenser tous les systèmes d'IA utilisés

Avant de parler de conformité, il faut savoir ce que l'on utilise. Cette première étape consiste à produire une cartographie exhaustive des systèmes d'IA présents dans votre organisation : outils SaaS intégrant des fonctions d'IA (CRM avec scoring prédictif, ATS avec tri automatisé de CV, outils de génération de contenu), modèles développés ou paramétrés en interne, IA embarquée dans des solutions métier tierces, et tout système automatisant une décision ayant un impact sur des personnes physiques.

Pour chaque système recensé, il convient de documenter au minimum : le nom du fournisseur, la finalité de l'usage, les données traitées et leur sensibilité, le volume de personnes concernées, le rôle de votre entreprise (fournisseur ou déployeur), et l'impact potentiel sur les droits fondamentaux ou la sécurité. Ce registre des systèmes d'IA constitue le socle de toute la démarche de mise en conformité AI Act pour votre entreprise.

Selon notre expérience, cette cartographie révèle systématiquement des usages non déclarés ou mal qualifiés, ce que l'on appelle couramment le shadow IT. Des équipes commerciales qui utilisent un outil de scoring client non validé par la DSI, une RH qui automatise le tri de candidatures via un outil SaaS sans évaluation de conformité : ces situations sont la règle, pas l'exception.

Étape 2 : Classifier les risques selon l'AI Act

Appliquer les niveaux de risque de l'AI Act

Une fois la cartographie établie, chaque système doit être classifié selon les quatre niveaux de risque définis par le règlement. Cette classification par niveau de risque est le cœur de la logique de l'AI Act et conditionne l'ensemble des obligations applicables.

Les pratiques interdites (risque inacceptable) comprennent notamment les systèmes de notation sociale, la manipulation comportementale subliminale, l'identification biométrique à distance en temps réel dans les espaces publics sauf exceptions strictement encadrées. Ces usages doivent être identifiés et arrêtés depuis le 2 février 2025.

Les systèmes d'IA à haut risque sont listés à l'Annexe III du règlement. Ils couvrent des domaines comme les infrastructures critiques, l'éducation, l'emploi (recrutement, gestion de la performance), les services essentiels (crédit, assurance), l'application des lois, la gestion des migrations ou l'administration de la justice. Ces systèmes sont soumis aux obligations les plus lourdes : documentation technique détaillée, analyse de conformité, inscription dans la base de données européenne gérée par le Bureau de l'IA européen (AI Office), et marquage CE pour les fournisseurs.

Les systèmes à risque limité, comme les chatbots ou les outils de génération de contenu synthétique, sont principalement soumis à des obligations de transparence algorithmique : l'utilisateur doit savoir qu'il interagit avec une IA. Les systèmes à risque minimal, qui représentent la grande majorité des usages, relèvent de bonnes pratiques volontaires.

Cette classification doit être réalisée par usage et non par outil : un même modèle de langage peut relever du risque minimal s'il rédige un résumé interne, et du risque limité ou élevé s'il génère des communications client ou participe à une décision de recrutement. Pour mieux comprendre les limites et comportements des modèles de langage que vous déployez, notre article sur l'hallucination des LLM offre un éclairage utile.

Bon à savoir — La CNIL est désignée comme l'une des autorités nationales de surveillance de l'AI Act en France, en coordination avec le Bureau de l'IA européen. Elle publie des ressources pratiques sur l'articulation entre le RGPD (UE) 2016/679 et l'AI Act, deux règlements qui se complètent sans se substituer l'un à l'autre.

Étape 3 : Structurer la gouvernance IA et la documentation technique

Mettre en place une gouvernance IA transverse

La mise en conformité AI Act ne se pilote pas depuis une seule direction. Elle nécessite une gouvernance IA transverse, impliquant au minimum un référent AI Act (qui peut être le DPO existant ou un rôle dédié), la DSI pour les questions d'architecture et d'intégration, la direction juridique ou compliance pour les obligations réglementaires, et la direction générale pour les arbitrages stratégiques.

Ce que nous appelons chez Zenextia le comité IA est précisément cette instance de gouvernance qui réunit ces parties prenantes autour d'un agenda régulier : revue du registre des systèmes d'IA, validation des nouveaux usages, suivi des écarts de conformité, et préparation des audits. Le CIGREF, dans son guide de mise en œuvre de l'AI Act publié début 2025, recommande une approche similaire pour les organisations de taille significative.

Structurer la documentation technique

La documentation technique exigée par l'AI Act pour les systèmes à haut risque est substantielle. Elle inclut une description du système et de ses finalités, les données d'entraînement utilisées et les mesures prises pour garantir leur qualité, les mesures de supervision humaine prévues, les résultats des tests de robustesse et de précision, et les procédures de notification d'incident grave. En cas d'incident grave — c'est-à-dire d'un événement portant atteinte à la sécurité ou aux droits fondamentaux — la notification aux autorités compétentes doit intervenir dans un délai de 24 heures.

Pour les systèmes à risque limité ou minimal, la documentation est allégée mais doit exister : politique interne d'usage de l'IA, registre des formations réalisées, clauses contractuelles avec les fournisseurs intégrant les exigences de l'AI Act et du RGPD. Notre article sur la conformité des sous-traitants illustre concrètement comment automatiser ce type de suivi contractuel.

Étape 4 : Déployer la littératie IA dans vos équipes

Former les équipes à la littératie IA

L'AI Act introduit une obligation explicite de littératie IA : les fournisseurs et déployeurs doivent s'assurer que les personnes travaillant avec des systèmes d'IA disposent d'un niveau de compétence suffisant pour comprendre les capacités et les limites de ces systèmes, et pour exercer la supervision humaine requise. Cette obligation est en vigueur depuis le 2 août 2025 pour les modèles GPAI et s'applique de manière générale à partir du 2 août 2026.

Concrètement, cela signifie former les collaborateurs concernés non pas à l'usage d'un outil particulier, mais à la compréhension des risques liés à l'IA : biais algorithmiques, limites des modèles de langage, conditions dans lesquelles une décision automatisée doit être revue par un humain. Cette formation doit être tracée et documentée dans le registre de conformité.

Selon notre expérience sur les projets d'intégration IA que nous accompagnons, la littératie IA est systématiquement sous-estimée dans les plans de conformité. Les entreprises investissent dans la documentation technique et négligent la montée en compétence des équipes opérationnelles, qui sont pourtant le premier rempart contre les usages non conformes. Notre guide anti-hallucinations pour les PME utilisant l'IA générative constitue un point de départ concret pour initier cette montée en compétence.

Étape 5 : Mettre en œuvre le plan d'action AI Act et ancrer la veille réglementaire

Les quatre étapes précédentes produisent un état des lieux. La cinquième étape consiste à transformer cet état des lieux en un AI Act plan d'action opérationnel : actions priorisées, responsables désignés, échéances alignées sur le calendrier réglementaire, et indicateurs de suivi.

Ce plan d'action doit distinguer les actions immédiates (arrêt des pratiques interdites, premiers éléments de documentation), les actions à conduire avant le 2 août 2026 (conformité des systèmes à haut risque, gouvernance formalisée, formation des équipes), et les actions de long terme (amélioration continue, audits périodiques, mise à jour du registre). L'AI Act Service Desk, dispositif mis en place par la Commission européenne dans le cadre de l'AI Continent Action Plan, est une ressource officielle gratuite pour répondre aux questions pratiques de mise en œuvre.

L'amélioration continue n'est pas un slogan : l'AI Act prévoit des mises à jour régulières des annexes et des lignes directrices publiées par le Bureau de l'IA européen. La veille réglementaire IA doit donc être organisée et assignée, pas laissée au hasard des alertes Google.

Quelles sanctions en cas de non-conformité à l'AI Act ?

Les sanctions prévues par le règlement sont significatives. Les violations relatives aux pratiques d'IA interdites peuvent entraîner des amendes allant jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Le non-respect des obligations applicables aux systèmes à haut risque peut exposer l'entreprise à des amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires. Pour les PME et ETI, des dispositions spécifiques permettent de moduler ces montants, mais l'exposition reste réelle dès lors que l'entreprise utilise des systèmes à haut risque sans avoir mis en place les mesures requises.

Ces montants sont à mettre en regard du coût d'un plan de conformité structuré, qui reste très largement inférieur pour la grande majorité des entreprises françaises de taille intermédiaire.

Comment Zenextia accompagne ce chantier ?

Chez Zenextia, nous accompagnons les dirigeants et les CODIR dans la construction de leur plan de conformité AI Act, de la cartographie initiale jusqu'à la mise en place de la gouvernance. Notre méthode d'audit éprouvée permet d'identifier rapidement les systèmes à risque, de qualifier les obligations applicables selon le rôle de l'entreprise, et de produire un plan d'action priorisé et réaliste. Nous travaillons exclusivement dans un périmètre conseil, avec une exécution souveraine hébergée en Europe, ce qui répond directement aux exigences de l'AI Act en matière de traçabilité et de qualité des données.

Si vous souhaitez faire le point sur votre situation, vous pouvez prendre rendez-vous directement ou consulter notre page dédiée à l'identification de vos usages IA.

Construire sa conformité AI Act : une démarche de long terme

L'AI Act n'est pas une contrainte lointaine réservée aux grandes entreprises technologiques. C'est un cadre réglementaire qui s'applique dès aujourd'hui à toute organisation française utilisant des systèmes d'IA dans ses processus métier. Les premières obligations sont déjà effectives, et la date du 2 août 2026 approche à un rythme que beaucoup de dirigeants sous-estiment encore.

Construire un AI Act plan d'action structuré en cinq étapes — cartographie, classification, gouvernance, formation et mise en œuvre continue — c'est transformer une contrainte réglementaire en levier de crédibilité et de maîtrise opérationnelle.

FAQ

Qu'est-ce que le registre des systèmes d'IA et est-il obligatoire pour toutes les entreprises ?

Le registre des systèmes d'IA est un inventaire documenté de l'ensemble des systèmes d'IA utilisés ou développés par une organisation. Il est obligatoire pour les fournisseurs et déployeurs de systèmes à haut risque, qui doivent également inscrire ces systèmes dans la base de données européenne gérée par le Bureau de l'IA européen. Pour les systèmes à risque limité ou minimal, maintenir un registre interne reste une bonne pratique fortement recommandée, notamment pour démontrer une démarche de conformité en cas de contrôle.

L'AI Act s'applique-t-il aux outils SaaS achetés à des éditeurs étrangers ?

Oui. Dès lors qu'un système d'IA est utilisé dans le cadre d'une activité professionnelle sur le territoire européen, l'AI Act s'applique, quelle que soit la nationalité de l'éditeur. En tant que déployeur, votre entreprise est responsable de vérifier que les outils utilisés respectent les exigences du règlement et de contractualiser les obligations correspondantes avec vos fournisseurs.

Comment articuler l'AI Act avec le RGPD déjà en place dans mon entreprise ?

Les deux règlements sont complémentaires et non redondants. Le RGPD (UE) 2016/679 encadre le traitement des données personnelles, tandis que l'AI Act encadre les systèmes d'IA dans leur conception et leur usage. Pour les systèmes d'IA à haut risque traitant des données personnelles, les deux corpus réglementaires s'appliquent simultanément. Le DPO est naturellement un acteur central de la démarche AI Act, mais il ne peut pas en assumer seul la responsabilité : une gouvernance IA dédiée est nécessaire.

Qu'est-ce qu'un sandbox réglementaire et mon entreprise peut-elle y accéder ?

Un sandbox réglementaire est un environnement contrôlé, mis en place par les autorités nationales compétentes, qui permet à des entreprises de tester des systèmes d'IA innovants sous supervision réglementaire, avec des dérogations temporaires à certaines obligations. L'AI Act prévoit explicitement la création de ces sandboxes pour favoriser l'innovation. En France, la CNIL et les autorités sectorielles travaillent à leur mise en place. Ce dispositif est particulièrement pertinent pour les entreprises développant des systèmes d'IA à haut risque dans des secteurs comme la santé ou les services financiers.

Mon entreprise peut-elle être sanctionnée si elle utilise un outil IA non conforme fourni par un tiers ?

Oui, dans certaines conditions. Si vous êtes déployeur d'un système à haut risque et que vous n'avez pas mis en place les mesures de supervision humaine, de documentation et de formation exigées par l'AI Act, vous pouvez être sanctionné indépendamment de la conformité du fournisseur. La responsabilité est partagée : le fournisseur répond de la conception du système, le déployeur répond de son usage. C'est pourquoi les clauses contractuelles avec vos fournisseurs d'IA doivent être revues à l'aune des exigences du règlement.