Checklist AI Act pour les entreprises qui utilisent l'IA
Mis à jour le 9 novembre 2026. Libre de copie et d'utilisation. Textes des articles issus d'EUR-Lex et de l'AI Act Service Desk.
Une entreprise qui utilise des systèmes d'IA sous sa propre autorité est un déployeur au sens de l'AI Act (article 3, point 4). Cette checklist reprend ce que le règlement demande aux déployeurs, l'article dont vient chaque obligation et la preuve qui montre qu'elle est remplie : maîtrise de l'IA depuis le 2 février 2025, transparence à partir du 2 août 2026, et obligations des articles 26 et 27 pour les usages à haut risque à partir du 2 décembre 2027.
Téléchargez-la en Markdown ou en CSV avec des colonnes vides pour le responsable, le statut et la preuve, et parcourez-la avec vos équipes juridique et sécurité.
14 octobre 2026 : la première norme harmonisée de l'AI Act, l'EN 18286 (gestion de la qualité pour les fournisseurs de systèmes d'IA à haut risque), a été publiée au Journal officiel. Ce que cela change pour les déployeurs.
Télécharger la checklist (.md)Tableur (.csv)
Le CSV s'ouvre dans Excel, Google Sheets ou Numbers, avec des colonnes pour le responsable, le statut et le lien vers la preuve.
La checklist
Commencez par la section 1, qui concerne toutes les entreprises. La section 2 ne vise que les systèmes d'IA à haut risque au sens de l'article 6 et de l'annexe III. La section 3 dépend de ce que vous publiez, la section 4 des modèles sur lesquels vous construisez.
1. Toute entreprise qui utilise l'IA
Quel que soit l'outil : assistants conversationnels, fonctions d'IA dans d'autres logiciels, agents de code et modèles appelés par API.
| N° | À faire | Article | Comment le prouver |
|---|---|---|---|
| 1 | Maîtrise de l'IA. Prendre des mesures pour favoriser la maîtrise de l'IA du personnel et des autres personnes qui exploitent ou utilisent des systèmes d'IA pour votre compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'utilisation. | ArticleArt. 4 (depuis le 2 fév. 2025, modifié par le règl. 2026/1744) | Comment le prouverRegistres de formation par fonction (date, participants, contenu), la politique d'usage de l'IA acceptée par le personnel et des consignes sur les risques comme les hallucinations. Aucun certificat n'est exigé. |
| 2 | Inventaire. Recenser chaque système d'IA et chaque cas d'usage : finalité, responsable, utilisateurs, modèles et fournisseurs, données saisies. | ArticleBase des art. 4, 6, 26 et 50 | Comment le prouverUn registre de l'IA avec responsable, finalité, utilisateurs, modèles, fournisseurs, catégories de données, publication des résultats et date du dernier contrôle. Un export des modèles et fournisseurs utilisés par application ou par clé. |
| 3 | Classification des risques. Confronter chaque cas d'usage aux huit domaines de l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, services privés et publics essentiels (dont la solvabilité et la tarification en assurance vie et santé), répression, migration et contrôle aux frontières, justice et processus démocratiques. La rédaction, la traduction, la synthèse et l'aide au code ne sont pas des domaines de l'annexe III. Un tel usage devient à haut risque quand l'IA sert une finalité de la liste, par exemple filtrer des candidatures. | ArticleArt. 6, par. 2 et 3, annexe III | Comment le prouverUne note de classification par cas d'usage indiquant le point de l'annexe III examiné et le raisonnement, toute dérogation de l'article 6, paragraphe 3, invoquée, la validation du service juridique et un nouvel examen à chaque changement de finalité. Le profilage de personnes physiques dans un domaine de l'annexe III est toujours à haut risque. |
| 4 | Vérification du rôle. Confirmer que vous restez déployeur. Vous prenez les obligations du fournisseur si vous mettez votre nom ou votre marque sur un système à haut risque, si vous le modifiez substantiellement ou si vous changez la finalité d'un système d'IA de sorte qu'il devienne à haut risque. | ArticleArt. 25, par. 1 | Comment le prouverUne mention au registre pour chaque système : marque propre ou non, modifications apportées, finalité comparée à celle du fournisseur. |
2. Seulement si vous déployez un système d'IA à haut risque
Usages de l'annexe III, à partir du 2 décembre 2027 (article 113 modifié par l'omnibus numérique sur l'IA).
| N° | À faire | Article | Comment le prouver |
|---|---|---|---|
| 5 | Utilisation conforme à la notice. Prendre des mesures techniques et organisationnelles pour utiliser le système conformément à la notice d'utilisation du fournisseur. | ArticleArt. 26, par. 1 | Comment le prouverLa notice d'utilisation archivée avec sa version et une procédure interne qui associe un contrôle à chaque consigne. |
| 6 | Contrôle humain. Confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires, et leur apporter le soutien nécessaire. | ArticleArt. 26, par. 2 | Comment le prouverLes personnes désignées par système, leurs registres de formation, leur pouvoir d'arrêter ou de passer outre le système et la voie d'escalade. |
| 7 | Données d'entrée. Dans la mesure où vous contrôlez les données d'entrée, veiller à ce qu'elles soient pertinentes et suffisamment représentatives au regard de la destination du système. | ArticleArt. 26, par. 4 | Comment le prouverUne description des sources de données et un contrôle daté de leur pertinence et de leur représentativité. |
| 8 | Surveillance. Surveiller le fonctionnement sur la base de la notice d'utilisation. En cas de risque possible, informer le fournisseur ou le distributeur et l'autorité de surveillance du marché et suspendre l'utilisation. Signaler les incidents graves. | ArticleArt. 26, par. 5 | Comment le prouverUn journal de surveillance, une procédure d'incident avec les contacts du fournisseur et de l'autorité, et la trace de toute notification ou suspension. |
| 9 | Conservation des journaux. Conserver les journaux générés automatiquement par le système à haut risque, dans la mesure où vous en avez le contrôle, pendant une période adaptée à sa destination et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, en particulier en matière de protection des données. | ArticleArt. 26, par. 6 | Comment le prouverLe paramètre de conservation et le lieu de stockage des journaux du système, le calendrier de suppression et un export d'exemple couvrant au moins six mois. |
| 10 | Information des travailleurs. Avant de mettre en service ou d'utiliser un système à haut risque sur le lieu de travail, l'employeur informe les représentants des travailleurs et les travailleurs concernés. | ArticleArt. 26, par. 7 | Comment le prouverLa note datée au personnel et le procès-verbal ou le courrier au CSE ou aux autres représentants du personnel. |
| 11 | Information des personnes concernées. Quand un système de l'annexe III prend des décisions concernant des personnes physiques ou aide à les prendre, informer ces personnes qu'elles y sont soumises. | ArticleArt. 26, par. 11 | Comment le prouverLe texte de l'information et le lieu et le moment où il est présenté aux personnes concernées. |
| 12 | Analyse d'impact sur les droits fondamentaux, quand elle est exigée : les organismes de droit public, les entités privées qui fournissent des services publics et les déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé (annexe III, point 5, b et c) évaluent l'impact avant la première utilisation et notifient les résultats à l'autorité de surveillance du marché. Les infrastructures critiques (annexe III, point 2) sont exclues. | ArticleArt. 27, art. 26, par. 9 | Comment le prouverL'analyse réalisée (processus, période et fréquence d'utilisation, groupes concernés, risques, contrôle humain, mesures et mécanismes de plainte), la notification envoyée et les renvois à votre AIPD au titre de l'article 35 du RGPD. |
3. Transparence
L'article 50 s'applique à partir du 2 août 2026.
| N° | À faire | Article | Comment le prouver |
|---|---|---|---|
| 13 | Marquage par le fournisseur. Les fournisseurs de systèmes d'IA qui génèrent des contenus de synthèse audio, image, vidéo ou texte marquent les résultats dans un format lisible par machine comme générés ou manipulés par une IA. C'est une obligation du fournisseur. Pour les systèmes mis sur le marché avant le 2 août 2026, elle s'applique à partir du 2 décembre 2026. | ArticleArt. 50, par. 2, art. 111, par. 4 | Comment le prouverPour chaque outil génératif du registre, la déclaration ou la documentation du fournisseur sur le marquage, avec la date de votre vérification. |
| 14 | Hypertrucages et textes d'intérêt public. Indiquer qu'une image, un son ou une vidéo constituant un hypertrucage a été généré ou manipulé par une IA. Indiquer qu'un texte publié pour informer le public sur des questions d'intérêt public a été généré ou manipulé par une IA, sauf s'il a fait l'objet d'un contrôle humain ou éditorial et qu'une personne en assume la responsabilité éditoriale. | ArticleArt. 50, par. 4 | Comment le prouverUne règle d'étiquetage dans le circuit de publication, des exemples de contenus étiquetés et le nom de la personne qui assume la responsabilité éditoriale des textes relus. |
| 15 | Reconnaissance des émotions et catégorisation biométrique. Informer les personnes exposées au fonctionnement d'un tel système. | ArticleArt. 50, par. 3 | Comment le prouverLe texte de l'information et l'endroit où il est affiché, ou une mention au registre indiquant qu'aucun système de ce type n'est utilisé. |
4. Documents à demander aux fournisseurs de modèles
Les obligations relatives aux modèles d'IA à usage général incombent aux fournisseurs et s'appliquent depuis le 2 août 2025.
| N° | À faire | Article | Comment le prouver |
|---|---|---|---|
| 16 | Documentation des modèles d'IA à usage général. Si vous intégrez un tel modèle dans votre propre système d'IA, demander les informations et la documentation que le fournisseur doit mettre à disposition des fournisseurs en aval, ainsi que le résumé public des contenus d'entraînement et la politique en matière de droit d'auteur. Les modèles open source sont dispensés de l'obligation de documentation, sauf risque systémique. | ArticleArt. 53, par. 1, b, c, d, annexe XII | Comment le prouverUn dossier par modèle avec la documentation du fournisseur, le lien vers le résumé des contenus d'entraînement, la politique de droit d'auteur, les conditions de traitement des données et la date de récupération, lié depuis le registre. |
Comment une passerelle aide à réunir les preuves
Plusieurs lignes ci-dessus demandent la même chose : un relevé à jour des modèles et fournisseurs utilisés par chaque application, et l'historique de qui a modifié les règles. Quand toutes les requêtes d'IA passent par une seule passerelle, ce relevé se constitue tout seul.
Standard Compute réunit Claude, GPT, Gemini et des modèles ouverts dans un seul compte entreprise, avec une clé pour chaque personne et chaque application. Chaque modification d'un administrateur est enregistrée avec l'ancienne et la nouvelle valeur. Vous exportez un enregistrement de chaque requête avec le modèle, le fournisseur qui l'a servie et la règle de région appliquée, conservé 12 mois. Ces enregistrements ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût et statut), jamais vos prompts ni vos réponses.
| Ligne de la checklist | Ce que Standard Compute enregistre ou applique |
|---|---|
| 2. Inventaire | Une clé par personne et par application, les modèles autorisés pour chaque clé, et le modèle et le fournisseur de chaque requête. |
| 3 et 4. Classification et rôle | Des listes de modèles autorisés par clé, pour qu'un cas d'usage ne tourne que sur les modèles validés pour lui. |
| 9. Journaux | Un journal des requêtes avec modèle, fournisseur et règle de région pour chaque appel, conservé 12 mois et exportable. |
| 1 et 16. Politique et choix des fournisseurs | Des listes de fournisseurs autorisés pour l'entreprise, une équipe ou une clé. Aucun nouveau fournisseur n'est ajouté sans l'accord d'un administrateur, et les bascules ne contournent jamais votre liste. |
| Historique de la politique | Un journal d'audit des administrateurs avec l'ancienne et la nouvelle valeur de chaque modification des personnes, clés et règles. |
| Protection des données | Une règle Europe : chaque requête, y compris les nouvelles tentatives et les bascules, n'est servie que par des points de terminaison d'inférence européens approuvés. Conservation zéro des données : les requêtes ne vont qu'à des points de terminaison qui s'engagent à ne garder aucune copie de vos données. |
Ce sont des enregistrements de la passerelle sur l'usage des modèles et des fournisseurs. Les journaux visés à l'article 26, paragraphe 6, sont ceux que le système à haut risque génère lui-même. Ce que le règlement exige de votre entreprise relève de votre service juridique. Cette checklist ne constitue pas un avis juridique.
Questions
- Utiliser ChatGPT, Claude ou un agent de code pour le travail de bureau est-il à haut risque selon l'AI Act ?
- Sont à haut risque les systèmes de l'article 6, paragraphe 1, et les cas d'usage de l'annexe III, comme le recrutement, la gestion des travailleurs, la solvabilité, l'éducation et l'accès aux services essentiels. La rédaction, la traduction, la synthèse et l'aide au code ne figurent pas sur cette liste. Le même outil devient à haut risque s'il sert une finalité de la liste, par exemple filtrer des candidatures ou évaluer des salariés.
- Combien de temps un déployeur doit-il conserver les journaux d'IA ?
- Pour les systèmes à haut risque, l'article 26, paragraphe 6, demande de conserver les journaux générés automatiquement par le système, dans la mesure où le déployeur en a le contrôle, pendant une période adaptée à sa destination et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, en particulier en matière de protection des données.
- Qui doit réaliser une analyse d'impact sur les droits fondamentaux ?
- Selon l'article 27, les organismes de droit public, les entités privées qui fournissent des services publics et les déployeurs de systèmes de l'annexe III pour la solvabilité ou la tarification en assurance vie et santé. L'analyse a lieu avant la première utilisation et ses résultats sont notifiés à l'autorité de surveillance du marché. Elle peut renvoyer à l'AIPD réalisée au titre du RGPD.
- Quand les obligations de transparence de l'article 50 s'appliquent-elles ?
- À partir du 2 août 2026. Les déployeurs signalent les hypertrucages et les textes générés par IA publiés sur des questions d'intérêt public (article 50, paragraphe 4). Les fournisseurs marquent les contenus de synthèse dans un format lisible par machine (article 50, paragraphe 2). Pour les systèmes mis sur le marché avant le 2 août 2026, l'article 111, paragraphe 4, leur laisse jusqu'au 2 décembre 2026.
- Qu'apporte une passerelle d'IA à cette checklist ?
- Un relevé unique des modèles et fournisseurs utilisés par chaque application, et un seul endroit pour appliquer la liste approuvée. Standard Compute exporte un journal des requêtes avec modèle, fournisseur et règle de région, conservé 12 mois, enregistre chaque modification d'administrateur avec l'ancienne et la nouvelle valeur, et applique des listes de modèles et de fournisseurs autorisés.
Sources
- Règlement (UE) 2024/1689 sur l'intelligence artificielle, EUR-Lex
- Règlement (UE) 2026/1744, omnibus numérique sur l'IA, EUR-Lex
- AI Act Service Desk, version consolidée : article 4, article 6, article 25, article 26, article 27, article 50, article 53, article 111, article 113, annexe III
Pages liées
Faites passer chaque requête d'IA par un seul compte entreprise, et gardez l'inventaire et les enregistrements au même endroit.