Audit de conformité IA :
RGPD et AI Act, les écarts réels et le plan pour les corriger

Que vérifie un audit de conformité IA en 2026 ?

Quatre blocs d'obligations, à des dates différentes. Trois s'appliquent déjà : les pratiques interdites et la littératie IA depuis le 2 février 2025, la transparence des contenus et des agents conversationnels depuis le 2 août 2026. Le quatrième, les systèmes à haut risque, est reporté au 2 décembre 2027 et au 2 août 2028 par le règlement (UE) 2026/1744. L'audit contrôle les trois premiers et prépare le quatrième.

Le RGPD s'ajoute à ces quatre blocs, et c'est lui qui déclenche les contrôles aujourd'hui : données personnelles saisies dans un outil grand public, absence d'information des personnes, sous-traitant hors contrat. Pour le fond des textes et les normes publiées, lisez notre guide de l'audit IA.

Si votre question est « où en sommes-nous et que pouvons-nous automatiser », c'est un audit de maturité qu'il vous faut : notre audit IA d'entreprise couvre ce périmètre et intègre la conformité au passage. Cette page décrit la mission dédiée, quand la conformité est la question principale.

Inventaire des systèmes d'IA

Tout ce qui est en service : outils souscrits par la DSI, fonctions IA activées dans vos logiciels métier et vos suites bureautiques, comptes personnels utilisés par les équipes. Sans inventaire, aucune qualification n'est possible, et l'inventaire réserve toujours des surprises.

Qualification par niveau de risque

Chaque usage est classé selon les quatre niveaux du règlement : interdit, haut risque, risque limité, risque minimal. La qualification tient à l'usage, pas à l'outil : le même assistant est à risque minimal pour rédiger un courrier et à haut risque pour trier des candidatures.

Écarts RGPD

Base légale, information des personnes, sous-traitance et transferts, durées de conservation, décisions automatisées de l'article 22, analyse d'impact quand elle est requise. En 2026, les contrôles de la CNIL viennent de là, pas du règlement IA.

Littératie et supervision humaine

Qui a été formé, sur quoi, avec quelle trace. Qui supervise les sorties des systèmes, avec quel pouvoir de les écarter. L'article 4 s'applique déjà ; l'article 14 sur la supervision humaine s'appliquera aux systèmes à haut risque.

Transparence et contenus générés

Chatbots publics, contenus marketing, images et vidéos générées, courriers automatisés : ce qui doit être annoncé, marqué ou signalé au titre de l'article 50, et ce qui est effectivement fait dans vos processus de publication.

Documentation et traçabilité

Ce que vous pouvez produire aujourd'hui si on vous le demande : documentation des systèmes, journaux, contrats fournisseurs, politique d'usage. C'est le socle de l'auditabilité, exigée demain pour le haut risque et utile dès maintenant pour tout litige.

Ce que la loi n'impose pas

Aucun audit externe obligatoire pour la plupart des systèmes à haut risque : le règlement prévoit une évaluation par contrôle interne, documentée par l'entreprise. Aucun registre général des systèmes d'IA : l'enregistrement dans la base européenne vise les fournisseurs de systèmes à haut risque et les déployeurs qui sont des autorités publiques. Aucune certification possible à ce jour. Nous auditons pour que vous sachiez où vous en êtes, jamais en agitant une obligation qui n'existe pas.

Un registre des systèmes d'IA

Chaque système en service avec son usage, ses données, son fournisseur, son niveau de risque et votre rôle réglementaire. Le registre reste à vous et se met à jour à chaque nouvel usage : c'est la pièce que tout le reste suppose.

Une matrice de risque

Les usages positionnés par niveau de risque au sens du règlement et par exposition RGPD, avec les échéances qui s'y attachent. Une lecture d'une page pour la direction, argumentée en annexe pour le DPO.

Les écarts, hiérarchisés

Chaque écart constaté avec sa gravité, l'obligation concernée, l'article cité, la preuve attendue et le délai de correction. Aucun écart inventé pour vendre la suite : les points conformes sont écrits comme tels.

Un plan de mise en conformité daté

Par action : un porteur, une échéance, une condition de réussite. Trois horizons : les corrections immédiates, la préparation des échéances 2027 et 2028, et les points à porter à votre conseil juridique.

Un kit documentaire

Trames prêtes à adapter : mentions de transparence pour vos chatbots et contenus, procédure de validation d'un nouvel usage, fiche de supervision humaine, attestation de littératie. De quoi produire une preuve quand on vous la demande.

Une restitution en direction

Le rapport se présente et se discute avec la direction, le DPO et la DSI. La séance sert à arbitrer : ce qu'on corrige, ce qu'on arrête, ce qu'on assume en connaissance de cause. Le support fait partie du livrable.

Un audit de conformité qui invente des obligations vous coûte deux fois

Le marché de la conformité IA vend beaucoup de peur : questionnaires qui promettent une certification qui n'existe pas, dates d'application déjà périmées, registres obligatoires pour tout le monde. Vous payez l'audit, puis vous payez des corrections inutiles. Nos engagements se vérifient dans le rapport, ligne à ligne.

• Aucune certification promise : rien n'est certifiable au titre du règlement IA à ce jour, et nous vous l'écrivons
• Aucune obligation inventée : le rapport cite l'article et la date d'application de chaque point relevé
• Pas d'avis juridique : sur les questions d'interprétation, nous travaillons avec votre conseil, jamais à sa place
• Le plan est exécutable par votre DPO, votre DSI ou un autre prestataire : il ne dépend pas de nous

Le nombre de systèmes et de traitements fait le prix, pas la taille de l'entreprise. Une PME de quatre-vingts personnes avec un assistant bureautique et un chatbot public se traite vite ; une ETI qui a développé un outil de scoring interne demande davantage, et cela se lit dans le devis. Nous ne publions pas de fourchette de marché : aucune n'est vérifiable.

Le conseil n'est pas finançable par votre OPCO, qui couvre la formation. Selon votre taille, votre secteur et votre région, des dispositifs publics de soutien au conseil peuvent s'appliquer : nous faisons le point au cadrage. Le volet formation qui suit l'audit, la littératie IA de l'article 4 en particulier, reste finançable par votre OPCO : Masteria est certifiée Qualiopi.

Audit de conformité IA : les questions fréquentes

Vous ne trouvez pas votre réponse ici ?

Un cabinet qui connaît les outils autant que les textes

Masteria, cabinet spécialisé en intelligence artificielle fondé à Lyon en 2022 par Mathias Nizan, audite, construit et forme, sans dépendre d'un éditeur. La conformité IA se joue dans les usages réels des équipes, pas seulement dans les textes : nos auditeurs forment et déploient ces outils toute l'année, ils savent où les écarts se logent. Sur les points d'interprétation juridique, nous travaillons avec votre conseil. Nos études de cas et notre revue de presse montrent ce travail en situation.

Mathias Nizan

Fondateur de Masteria, cabinet de conseil et développement IA

Mathias Nizan a fondé Masteria en 2022 à Lyon. Cabinet spécialisé uniquement sur l'intelligence artificielle et indépendant des éditeurs, Masteria a formé plus de 1 500 professionnels et accompagne PME, ETI et grands groupes, du cadrage stratégique au développement des solutions sur mesure, en France, en Suisse et en Belgique.

« L'intelligence artificielle ne remplace pas les humains. Elle décuple leur potentiel. »