Audit de conformité IA :
vos écarts AI Act et RGPD, et le plan daté pour les corriger

Que vérifie un audit de conformité IA en 2026 ?

Quatre blocs d'obligations, quatre dates. Trois sont déjà opposables : les articles 5 et 4 s'appliquent depuis février 2025, l'article 50 depuis août 2026. Le quatrième, le haut risque, a été reporté par le règlement (UE) 2026/1744 au 2 décembre 2027 (usages de l'annexe III), puis au 2 août 2028 (produits de l'annexe I). L'audit contrôle les trois premiers et prépare le dernier.

Le RGPD vient s'y ajouter, et c'est lui qui déclenche aujourd'hui les contrôles : fichiers clients copiés dans une version gratuite d'assistant, personnes concernées jamais informées, sous-traitant sans contrat. Le cadre complet, normes publiées comprises, est développé dans notre guide de l'audit IA.

Vous cherchez plutôt les gains possibles de l'IA dans vos processus ? Il vous faut un audit de maturité : notre audit IA d'entreprise couvre ce terrain et traite la conformité en chemin. La mission décrite ici sert quand la conformité est la question centrale.

Recenser les systèmes d'IA

Abonnements souscrits par l'informatique, fonctions d'IA apparues avec une mise à jour de logiciel, comptes gratuits ouverts par les salariés. Sans cette liste, aucun niveau de risque ne peut être attribué, et elle réserve en général des surprises.

Attribuer un niveau de risque

Chaque usage est placé sur l'échelle à quatre niveaux du texte européen : pratique interdite, haut risque, risque limité, risque minimal. Le classement dépend de l'usage : le même assistant relève du risque minimal pour rédiger un courrier, du haut risque pour trier des candidatures.

Relever les écarts RGPD

Base légale, information des personnes, contrats de sous-traitance et transferts hors UE, durées de conservation, décisions automatisées (article 22), analyse d'impact quand elle s'impose. En 2026, c'est sur ces points que la CNIL contrôle.

Formation et contrôle humain

Qui a été formé, à quoi, avec quelle trace. Qui relit les résultats des systèmes et peut les écarter. L'article 4 s'applique déjà ; l'article 14, consacré au contrôle humain, visera les systèmes à haut risque.

Transparence des contenus

Chatbots ouverts au public, visuels et vidéos générés, campagnes marketing, courriers automatisés : ce qui doit être annoncé ou marqué en vertu de l'article 50, et ce que vos circuits de publication font aujourd'hui.

Documentation et traces

Ce que vous pourriez produire si on vous le demandait demain : fiches des systèmes, journaux, contrats fournisseurs, politique d'usage. Ce socle prépare les obligations du haut risque et vous sert dès aujourd'hui si un litige survient.

Trois exigences que la loi ne contient pas

Un système à haut risque n'exige pas, dans la majorité des cas, d'audit externe : l'AI Act se contente d'un contrôle interne documenté par l'entreprise. Aucun registre universel n'est imposé : l'inscription dans la base européenne concerne les fournisseurs de systèmes classés à haut risque et les déployeurs qui sont des autorités publiques. Aucune certification n'est possible à ce jour. Nous auditons pour que vous sachiez où vous en êtes, sans brandir une obligation inexistante.

Un registre de vos systèmes d'IA

Pour chaque système en service : l'usage, les données traitées, le fournisseur, le niveau de risque, votre rôle au regard du texte. Le registre vous appartient et s'enrichit à chaque nouvel usage : toutes les autres pièces en dépendent.

Une matrice de risque

Les usages placés selon leur niveau de risque AI Act et leur exposition RGPD, avec les dates qui s'y rattachent. Une page pour la direction, une annexe argumentée pour le DPO.

Des écarts classés par gravité

Chaque écart avec l'obligation concernée, l'article cité, la preuve attendue et le délai pour corriger. Ce qui est conforme est noté comme conforme : aucun écart n'est grossi pour vendre une suite.

Un plan de correction daté

Chaque action reçoit un porteur, une date et un critère de réussite, sur trois horizons : les corrections immédiates, la préparation de 2027 et 2028, les questions à confier à votre avocat.

Des trames de documents

Mentions de transparence pour vos chatbots et contenus, procédure de validation d'un nouvel usage, fiche de contrôle humain, registre des formations suivies. De quoi fournir une preuve le jour où on vous la demande.

Une séance d'arbitrage

Le rapport est présenté à la direction, au DPO et à la DSI. La séance sert à décider : ce qui se corrige, ce qui s'arrête, ce qui s'assume en connaissance de cause. Son support vous reste.

Un audit qui invente des obligations vous fait payer deux fois

La conformité IA attire les discours alarmistes : certifications qui n'existent pas, calendriers périmés, registres présentés comme obligatoires pour tous. On paie l'audit, puis des corrections inutiles. Nos engagements se contrôlent dans le rapport, ligne par ligne.

• Aucune certification promise, et la raison écrite dans le rapport
• Chaque écart relevé cite son article et sa date d'application
• Aucun avis d'avocat : sur l'interprétation, nous travaillons avec votre conseil
• Le devis couvre l'audit seul ; une suite éventuelle se chiffre après la restitution

Le nombre de systèmes et de traitements pèse plus que l'effectif. Une PME de quatre-vingts personnes équipée d'un assistant bureautique et d'un chatbot public se traite vite ; une ETI qui a construit un outil de scoring interne demande davantage, et le devis le montre. Seul l'audit est chiffré : une mise en conformité accompagnée, si vous la souhaitez, fait l'objet d'un devis séparé après la restitution.

La mission relève du conseil ; elle n'est donc pas finançable par votre OPCO, lequel couvre la formation. Côté aides, certaines subventions publiques au conseil existent selon l'effectif, le secteur et la région ; le cadrage fait le tri. La formation souvent décidée après l'audit ouvre droit, elle, à un financement de l'OPCO compétent, dans les limites qu'il fixe.

Conformité de l'IA : les questions des DPO et des directions

Un cas particulier, un texte dont la lecture vous échappe ? Envoyez-le, nous répondons par écrit.

Des auditeurs qui déploient ces outils toute l'année

Mathias Nizan pilote chaque audit de conformité. Selon les systèmes à examiner, il fait intervenir des consultants IA (une dizaine dans le réseau), des développeurs (cinq environ) pour lire un système construit en interne, et des formateurs (une vingtaine) quand il faut évaluer la formation des équipes ; tous sont indépendants. Ces intervenants installent et enseignent ces outils au quotidien et savent où se logent les écarts. Pour l'interprétation juridique, nous travaillons avec votre avocat ou votre juriste. Nos études de cas et notre revue de presse donnent des exemples datés.