# Checklist AI Act pour les entreprises qui utilisent l'IA

Mis à jour le 9 novembre 2026. Libre de copie et d'utilisation. Textes des articles issus d'EUR-Lex et de l'AI Act Service Desk.

Une entreprise qui utilise des systèmes d'IA sous sa propre autorité est un déployeur au sens de l'AI Act (article 3, point 4). Cette checklist reprend ce que le règlement demande aux déployeurs, l'article dont vient chaque obligation et la preuve qui montre qu'elle est remplie : maîtrise de l'IA depuis le 2 février 2025, transparence à partir du 2 août 2026, et obligations des articles 26 et 27 pour les usages à haut risque à partir du 2 décembre 2027.

14 octobre 2026 : la première norme harmonisée de l'AI Act, l'EN 18286 (gestion de la qualité pour les fournisseurs de systèmes d'IA à haut risque), a été publiée au Journal officiel. [Ce que cela change pour les déployeurs](https://standardcompute.com/en-18286-norme-harmonisee-ai-act).

## 1. Toute entreprise qui utilise l'IA

_Quel que soit l'outil : assistants conversationnels, fonctions d'IA dans d'autres logiciels, agents de code et modèles appelés par API._

| Fait | N° | À faire | Article | Comment le prouver |
| --- | --- | --- | --- | --- |
| [ ] | 1 | Maîtrise de l'IA. Prendre des mesures pour favoriser la maîtrise de l'IA du personnel et des autres personnes qui exploitent ou utilisent des systèmes d'IA pour votre compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'utilisation. | Art. 4 (depuis le 2 fév. 2025, modifié par le règl. 2026/1744) | Registres de formation par fonction (date, participants, contenu), la politique d'usage de l'IA acceptée par le personnel et des consignes sur les risques comme les hallucinations. Aucun certificat n'est exigé. |
| [ ] | 2 | Inventaire. Recenser chaque système d'IA et chaque cas d'usage : finalité, responsable, utilisateurs, modèles et fournisseurs, données saisies. | Base des art. 4, 6, 26 et 50 | Un registre de l'IA avec responsable, finalité, utilisateurs, modèles, fournisseurs, catégories de données, publication des résultats et date du dernier contrôle. Un export des modèles et fournisseurs utilisés par application ou par clé. |
| [ ] | 3 | Classification des risques. Confronter chaque cas d'usage aux huit domaines de l'annexe III : biométrie, infrastructures critiques, éducation, emploi et gestion des travailleurs, services privés et publics essentiels (dont la solvabilité et la tarification en assurance vie et santé), répression, migration et contrôle aux frontières, justice et processus démocratiques. La rédaction, la traduction, la synthèse et l'aide au code ne sont pas des domaines de l'annexe III. Un tel usage devient à haut risque quand l'IA sert une finalité de la liste, par exemple filtrer des candidatures. | Art. 6, par. 2 et 3, annexe III | Une note de classification par cas d'usage indiquant le point de l'annexe III examiné et le raisonnement, toute dérogation de l'article 6, paragraphe 3, invoquée, la validation du service juridique et un nouvel examen à chaque changement de finalité. Le profilage de personnes physiques dans un domaine de l'annexe III est toujours à haut risque. |
| [ ] | 4 | Vérification du rôle. Confirmer que vous restez déployeur. Vous prenez les obligations du fournisseur si vous mettez votre nom ou votre marque sur un système à haut risque, si vous le modifiez substantiellement ou si vous changez la finalité d'un système d'IA de sorte qu'il devienne à haut risque. | Art. 25, par. 1 | Une mention au registre pour chaque système : marque propre ou non, modifications apportées, finalité comparée à celle du fournisseur. |

## 2. Seulement si vous déployez un système d'IA à haut risque

_Usages de l'annexe III, à partir du 2 décembre 2027 (article 113 modifié par l'omnibus numérique sur l'IA)._

| Fait | N° | À faire | Article | Comment le prouver |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Utilisation conforme à la notice. Prendre des mesures techniques et organisationnelles pour utiliser le système conformément à la notice d'utilisation du fournisseur. | Art. 26, par. 1 | La notice d'utilisation archivée avec sa version et une procédure interne qui associe un contrôle à chaque consigne. |
| [ ] | 6 | Contrôle humain. Confier le contrôle humain à des personnes qui ont la compétence, la formation et l'autorité nécessaires, et leur apporter le soutien nécessaire. | Art. 26, par. 2 | Les personnes désignées par système, leurs registres de formation, leur pouvoir d'arrêter ou de passer outre le système et la voie d'escalade. |
| [ ] | 7 | Données d'entrée. Dans la mesure où vous contrôlez les données d'entrée, veiller à ce qu'elles soient pertinentes et suffisamment représentatives au regard de la destination du système. | Art. 26, par. 4 | Une description des sources de données et un contrôle daté de leur pertinence et de leur représentativité. |
| [ ] | 8 | Surveillance. Surveiller le fonctionnement sur la base de la notice d'utilisation. En cas de risque possible, informer le fournisseur ou le distributeur et l'autorité de surveillance du marché et suspendre l'utilisation. Signaler les incidents graves. | Art. 26, par. 5 | Un journal de surveillance, une procédure d'incident avec les contacts du fournisseur et de l'autorité, et la trace de toute notification ou suspension. |
| [ ] | 9 | Conservation des journaux. Conserver les journaux générés automatiquement par le système à haut risque, dans la mesure où vous en avez le contrôle, pendant une période adaptée à sa destination et d'au moins six mois, sauf disposition contraire du droit de l'Union ou du droit national, en particulier en matière de protection des données. | Art. 26, par. 6 | Le paramètre de conservation et le lieu de stockage des journaux du système, le calendrier de suppression et un export d'exemple couvrant au moins six mois. |
| [ ] | 10 | Information des travailleurs. Avant de mettre en service ou d'utiliser un système à haut risque sur le lieu de travail, l'employeur informe les représentants des travailleurs et les travailleurs concernés. | Art. 26, par. 7 | La note datée au personnel et le procès-verbal ou le courrier au CSE ou aux autres représentants du personnel. |
| [ ] | 11 | Information des personnes concernées. Quand un système de l'annexe III prend des décisions concernant des personnes physiques ou aide à les prendre, informer ces personnes qu'elles y sont soumises. | Art. 26, par. 11 | Le texte de l'information et le lieu et le moment où il est présenté aux personnes concernées. |
| [ ] | 12 | Analyse d'impact sur les droits fondamentaux, quand elle est exigée : les organismes de droit public, les entités privées qui fournissent des services publics et les déployeurs de systèmes d'évaluation de la solvabilité ou de tarification en assurance vie et santé (annexe III, point 5, b et c) évaluent l'impact avant la première utilisation et notifient les résultats à l'autorité de surveillance du marché. Les infrastructures critiques (annexe III, point 2) sont exclues. | Art. 27, art. 26, par. 9 | L'analyse réalisée (processus, période et fréquence d'utilisation, groupes concernés, risques, contrôle humain, mesures et mécanismes de plainte), la notification envoyée et les renvois à votre AIPD au titre de l'article 35 du RGPD. |

## 3. Transparence

_L'article 50 s'applique à partir du 2 août 2026._

| Fait | N° | À faire | Article | Comment le prouver |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Marquage par le fournisseur. Les fournisseurs de systèmes d'IA qui génèrent des contenus de synthèse audio, image, vidéo ou texte marquent les résultats dans un format lisible par machine comme générés ou manipulés par une IA. C'est une obligation du fournisseur. Pour les systèmes mis sur le marché avant le 2 août 2026, elle s'applique à partir du 2 décembre 2026. | Art. 50, par. 2, art. 111, par. 4 | Pour chaque outil génératif du registre, la déclaration ou la documentation du fournisseur sur le marquage, avec la date de votre vérification. |
| [ ] | 14 | Hypertrucages et textes d'intérêt public. Indiquer qu'une image, un son ou une vidéo constituant un hypertrucage a été généré ou manipulé par une IA. Indiquer qu'un texte publié pour informer le public sur des questions d'intérêt public a été généré ou manipulé par une IA, sauf s'il a fait l'objet d'un contrôle humain ou éditorial et qu'une personne en assume la responsabilité éditoriale. | Art. 50, par. 4 | Une règle d'étiquetage dans le circuit de publication, des exemples de contenus étiquetés et le nom de la personne qui assume la responsabilité éditoriale des textes relus. |
| [ ] | 15 | Reconnaissance des émotions et catégorisation biométrique. Informer les personnes exposées au fonctionnement d'un tel système. | Art. 50, par. 3 | Le texte de l'information et l'endroit où il est affiché, ou une mention au registre indiquant qu'aucun système de ce type n'est utilisé. |

## 4. Documents à demander aux fournisseurs de modèles

_Les obligations relatives aux modèles d'IA à usage général incombent aux fournisseurs et s'appliquent depuis le 2 août 2025._

| Fait | N° | À faire | Article | Comment le prouver |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Documentation des modèles d'IA à usage général. Si vous intégrez un tel modèle dans votre propre système d'IA, demander les informations et la documentation que le fournisseur doit mettre à disposition des fournisseurs en aval, ainsi que le résumé public des contenus d'entraînement et la politique en matière de droit d'auteur. Les modèles open source sont dispensés de l'obligation de documentation, sauf risque systémique. | Art. 53, par. 1, b, c, d, annexe XII | Un dossier par modèle avec la documentation du fournisseur, le lien vers le résumé des contenus d'entraînement, la politique de droit d'auteur, les conditions de traitement des données et la date de récupération, lié depuis le registre. |

---

## Sources

- [Règlement (UE) 2024/1689 sur l'intelligence artificielle, EUR-Lex](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32024R1689)
- [Règlement (UE) 2026/1744, omnibus numérique sur l'IA, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj)
- AI Act Service Desk, version consolidée : [article 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [article 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [article 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [article 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [article 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [article 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [article 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [article 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [article 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [annexe III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Checklist gratuite du déployeur selon l'AI Act, disponible sur https://standardcompute.com/checklist-ai-act-deployeur (version du 9 novembre 2026). Libre de copie et de modification. Ne constitue pas un avis juridique._