Règlement UE · Règlement sur l’IA
Sightadel vous guide de l’inventaire de vos systèmes d’IA jusqu’aux obligations qui en découlent, en passant par votre rôle et le niveau de risque – avec des modèles issus de la pratique, une aide à la rédaction et de vrais consultants pour les points difficiles. Ce qui s’applique à vous, vous le décidez avec une justification documentée.
De quoi s’agit-il
Le règlement sur l’intelligence artificielle, règlement (UE) 2024/1689, encadre l’utilisation de l’IA dans l’UE. Il s’applique directement, sans loi de transposition. Son approche est fondée sur les risques : plus les conséquences possibles pour la santé, la sécurité et les droits fondamentaux sont importantes, plus les obligations sont strictes. Certaines pratiques sont totalement interdites, les systèmes à haut risque sont soumis à des exigences étendues, certains systèmes sont soumis à des obligations de transparence, le reste demeure largement libre.
Votre rôle est déterminant. Les fournisseurs développent un système d’IA ou le mettent sur le marché sous leur propre nom et portent la plupart des obligations. Les déployeurs utilisent un système sous leur propre responsabilité, par exemple dans les ressources humaines ou le service client. Les déployeurs ont eux aussi des obligations : ils doivent utiliser le système conformément à sa destination, assurer un contrôle humain et, dans certains cas, informer les personnes concernées.
Les obligations entrent en application par étapes. Les interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis février 2025, les règles relatives aux modèles d’IA à usage général depuis août 2025, les obligations de transparence depuis août 2026. Un règlement modificatif de 2026 a reporté les obligations relatives au haut risque : à décembre 2027 pour les systèmes autonomes à haut risque, à août 2028 pour l’IA intégrée à des produits réglementés. Il n’existe pas de certificat pour le règlement dans son ensemble.
L’IA est présente dans les logiciels standard, les chatbots et les analyses. En tant que déployeur, il vous faut un inventaire, des salariés formés et une réponse claire sur le classement éventuel d’un système dans un domaine à haut risque, par exemple pour la sélection des candidats ou l’évaluation de la solvabilité.
En tant que fournisseur, vous portez l’essentiel de la charge : gestion des risques, documentation technique, management de la qualité et, pour les systèmes à haut risque, évaluation de la conformité avant la mise sur le marché.
Les donneurs d’ordre veulent savoir comment vous pilotez l’IA avant d’utiliser votre produit. Un ensemble de preuves tenu à jour et un Trust Center y répondent une fois pour toutes, au lieu de recommencer à chaque questionnaire.
Exigences
Résumé avec nos propres mots. Seul le texte original dans sa version en vigueur fait foi.
Vous savez quels systèmes d’IA vous fournissez ou utilisez, quel est votre rôle pour chacun et dans quel niveau de risque un système se classe.
Dans SightadelL’inventaire de l’IA recense chaque système avec sa finalité, son responsable, votre rôle et sa classification. Des questions guides vous mènent à travers la classification ; vous consignez la décision et sa justification.
Certaines applications sont interdites, par exemple les techniques manipulatrices, la notation sociale ou la reconnaissance des émotions sur le lieu de travail, sauf exceptions étroitement définies.
Dans SightadelUn contrôle par pratique interdite, renseigné pour chaque système de l’inventaire. Le résultat est archivé avec sa date et soumis à nouveau en cas de modification.
Les fournisseurs et les déployeurs prennent des mesures pour que leurs salariés acquièrent les connaissances nécessaires à l’utilisation des systèmes employés. La modification de 2026 a reformulé cette exigence, sans la supprimer.
Dans SightadelDes formations sous forme de cycles récurrents avec preuve de participation et date d’expiration. Les mêmes preuves valent pour ISO 42001.
Pour les systèmes à haut risque, une gestion des risques sur l’ensemble du cycle de vie ainsi que des exigences relatives à l’origine, à la qualité et à la représentativité des données d’entraînement, de validation et de test.
Dans SightadelUn registre des risques par système, lié aux mesures et aux réexamens planifiés. Les informations sur les sources et la qualité des données sont recueillies de manière guidée et archivées comme preuves.
Une documentation technique attestant du respect des exigences et un enregistrement automatique des événements pendant le fonctionnement.
Dans SightadelLe plan de la documentation sous forme de contrôles avec modèle. Les parties manquantes deviennent des tâches avec échéance, les versions restent traçables.
Des notices d’utilisation compréhensibles pour les déployeurs, un contrôle humain effectif ainsi qu’un niveau approprié d’exactitude, de robustesse et de cybersécurité.
Dans SightadelPour le contrôle et la cybersécurité, vous reliez les preuves existantes issues d’ISO 27001. Vous définissez qui supervise le système et à quel moment intervenir.
Les fournisseurs de systèmes à haut risque exploitent un système de management de la qualité, se soumettent à une évaluation de la conformité, apposent le marquage CE, enregistrent le système dans la base de données de l’UE et le surveillent après sa mise sur le marché.
Dans SightadelChaque étape sous forme de contrôle avec preuve. La déclaration de conformité et l’enregistrement sont archivés avec leur date ; la surveillance après commercialisation fonctionne comme un cycle avec échéance.
Les déployeurs de systèmes à haut risque les utilisent conformément à la notice d’utilisation, assurent le contrôle humain, conservent les journaux et réalisent, dans certains cas, une analyse d’impact sur les droits fondamentaux.
Dans SightadelDes contrôles propres aux déployeurs, distincts de ceux des fournisseurs. L’analyse d’impact est recueillie de manière guidée et archivée à côté de l’analyse d’impact relative à la protection des données (AIPD).
Les personnes sont informées qu’elles interagissent avec une IA. Les contenus générés ou modifiés artificiellement sont identifiables comme tels.
Dans SightadelDes contrôles pour chaque système concerné ; des éléments tels que les textes d’information ou les procédés de marquage sont reliés comme preuves.
Déroulement
L’inventaire, la classification et les obligations de base sont documentés en deux à quatre mois. Les fournisseurs de systèmes à haut risque doivent plutôt prévoir un an, à boucler avant décembre 2027.
Recenser tous les systèmes d’IA, y compris ceux intégrés dans des logiciels standard et des services cloud. Sans inventaire, aucune classification n’est possible.
Déterminer pour chaque système le rôle de fournisseur ou de déployeur, exclure les pratiques interdites et consigner le niveau de risque. Faire clarifier juridiquement les cas limites.
Former les salariés, mettre en place les mentions de transparence, adopter les responsabilités et une politique d’IA. Ces obligations s’appliquent déjà.
Uniquement si vous êtes concerné : mettre en œuvre et documenter la gestion des risques, les exigences relatives aux données, la documentation technique, la journalisation et le contrôle humain.
Les fournisseurs de systèmes à haut risque se soumettent à l’évaluation de la conformité, établissent la déclaration de conformité et enregistrent le système.
Compléter l’inventaire à chaque nouvelle application, répéter les formations, enregistrer les incidents, assurer la surveillance après commercialisation et réexaminer la classification.
Prêt à démarrer
Clarifier ces questions tôt fait gagner des semaines par la suite. Dans Sightadel, elles sont prévues comme premières tâches.
Répartition des rôles
Si un logiciel remplissait tout, la norme manquerait son but – et l’auditeur s’en apercevrait. C’est pourquoi ce qui reste de votre ressort est clairement défini.
Retours du terrain
Tirés de longues années de conseil et de certification : ce sont les points qui coûtent le plus de temps ou mènent à des non-conformités lors de l’audit.
L’IA se trouve aussi dans les logiciels standard, les services cloud et les extensions de navigateur. Interrogez de manière ciblée les métiers et les achats, et recensez aussi les fonctions intégrées.
Une même entreprise peut être fournisseur pour un système et déployeur pour un autre. Déterminez le rôle pour chaque système séparément et justifiez-le.
Qui fait valoir qu’un système relevant d’un domaine de l’annexe III ne présente pas de risque important doit le prouver. Consignez l’évaluation par écrit avant la mise en service du système.
Un message à tous ne remplace pas une formation liée aux missions. Différenciez selon les rôles, répétez la formation lors de nouveaux systèmes et documentez la participation.
Les échéances relatives au haut risque ont été reportées, mais les interdictions, la maîtrise de l’IA et la transparence s’appliquent. Remplissez dès maintenant les obligations en vigueur et planifiez les travaux relatifs au haut risque à rebours à partir de l’échéance.
Qui modifie substantiellement un système à haut risque ou le propose sous son propre nom peut devenir fournisseur. Vérifiez avant chaque adaptation si votre rôle change.
Une preuve, plusieurs frameworks
Nous ne donnons volontairement aucun pourcentage – il dépend de votre périmètre. Là où les exigences se recoupent, une même preuve est rattachée à toutes.
Le système de management de l’IA fournit la structure : inventaire, responsabilités, appréciation des risques, analyse d’impact, cycle de vie. De nombreuses obligations organisationnelles du règlement peuvent être remplies par ce biais. Il ne remplace ni l’évaluation de la conformité ni l’enregistrement.
RGPDLorsqu’un système d’IA traite des données à caractère personnel, le RGPD s’applique en parallèle. Le registre des activités de traitement, l’analyse d’impact relative à la protection des données et l’analyse d’impact sur les droits fondamentaux s’articulent entre eux.
ISO/IEC 27001La cybersécurité, la gestion des accès, la journalisation et l’évaluation des fournisseurs y sont déjà documentées. Ces preuves contribuent aux exigences de robustesse et de sécurité.
ISO 9001Les fournisseurs de systèmes à haut risque ont besoin d’un système de management de la qualité. Avec ISO 9001, vous continuez d’utiliser la maîtrise documentaire, les approbations et les actions correctives.
Audit et preuve
Personne ne délivre de certificat pour le règlement dans son ensemble. Les fournisseurs de systèmes à haut risque démontrent la conformité avant la mise sur le marché, selon le système dans le cadre d’un contrôle interne ou par l’intermédiaire d’un organisme notifié, puis apposent le marquage CE. La surveillance du marché relève des autorités nationales. Sightadel ne délivre pas de certification et ne fournit pas de conseil juridique.
Les personnes chargées du contrôle obtiennent dans Sightadel leur propre accès, sans droit de suppression. Une certification ISO/IEC 42001 est une base structurée, mais pas une obligation. Si vous souhaitez un contrôle externe, vous choisissez un auditeur dans notre réseau de partenaires indépendants ou le vôtre. Aucune commission n’est versée pour les audits – ni à nous, ni aux partenaires.
Vers le réseau d’auditeurs indépendantsLe règlement sur l’IA est entré en vigueur en août 2024 et s’applique depuis par étapes. Depuis février 2025, les interdictions de certaines pratiques et les exigences de maîtrise de l’IA s’appliquent. Depuis août 2025, les règles relatives aux modèles d’IA à usage général, les structures de gouvernance et les dispositions relatives aux sanctions s’appliquent. Depuis août 2026, les obligations de transparence s’appliquent à certains systèmes d’IA, par exemple l’information des utilisateurs de chatbots et le marquage des contenus générés artificiellement.
À l’été 2026 est entré en vigueur un règlement modificatif issu de l’« omnibus numérique » de l’UE. Il a surtout reporté les obligations relatives au haut risque : au 2 décembre 2027 pour les systèmes autonomes à haut risque relevant de l’annexe III, au 2 août 2028 pour l’IA intégrée à des produits déjà soumis à une législation d’harmonisation de l’UE relevant de l’annexe I. Pour certaines obligations, comme le marquage lisible par machine pour les systèmes génératifs déjà proposés, de courtes périodes transitoires s’appliquent. Les allègements pour les petites et moyennes entreprises ont en outre été étendus et l’exigence de maîtrise de l’IA reformulée.
Ce report n’est pas une raison d’attendre. L’expérience montre qu’un fournisseur de système à haut risque a besoin de nettement plus d’un an pour la gestion des risques, les exigences relatives aux données, la documentation technique et le management de la qualité. Et les obligations déjà applicables en matière d’interdictions, de maîtrise de l’IA et de transparence touchent presque toutes les entreprises. En cas de doute, vérifiez les dates exactes et les dispositions transitoires dans le texte en vigueur du règlement.
Le règlement répartit les obligations selon les rôles. Les fournisseurs développent un système d’IA ou le font développer et le mettent sur le marché ou en service sous leur propre nom ou leur propre marque. Les déployeurs utilisent un système d’IA sous leur propre responsabilité, sauf à des fins purement privées. S’y ajoutent les importateurs, qui introduisent dans l’UE des systèmes provenant de pays tiers, les distributeurs, qui les revendent, et les fabricants de produits, qui intègrent l’IA dans leurs produits.
Une entreprise peut avoir des rôles différents selon les systèmes. Qui développe son propre outil d’évaluation pour ses clients en est le fournisseur. Qui, dans la même maison, utilise un logiciel standard doté d’IA pour le recrutement en est le déployeur. Le rôle est donc déterminé par système, et non par entreprise.
La prudence s’impose en cas d’adaptation. Qui modifie substantiellement un système à haut risque, en change la destination de sorte qu’il devient un système à haut risque, ou le distribue sous son propre nom peut devenir lui-même fournisseur et en assumer alors les obligations. Cela concerne par exemple les entreprises qui réentraînent un modèle acheté avec leurs propres données et le proposent comme leur propre produit.
Dans Sightadel, vous consignez le rôle par système dans l’inventaire de l’IA, avec sa justification. Les contrôles adaptés s’affichent selon le rôle. Vous faites clarifier juridiquement les cas limites et archivez le résultat comme preuve.
Un système d’IA est à haut risque par deux voies. Premièrement, lorsqu’il est un composant de sécurité d’un produit, ou lui-même un produit, relevant de certaines législations de l’UE sur les produits et nécessitant une évaluation de la conformité par un tiers, par exemple les dispositifs médicaux, les machines ou les jouets. Ces législations figurent à l’annexe I. Deuxièmement, lorsqu’il est utilisé dans l’un des domaines de l’annexe III.
L’annexe III cite notamment certaines applications biométriques, les infrastructures critiques, l’éducation et la formation professionnelle, l’emploi et la gestion du personnel, l’accès aux services privés et publics essentiels comme l’évaluation de la solvabilité et certaines assurances, les activités répressives, la migration et le contrôle aux frontières ainsi que la justice et les processus démocratiques. Pour les entreprises hors secteur public, les ressources humaines, le crédit et l’assurance sont les points de contact les plus fréquents.
Tout système relevant de l’un de ces domaines n’est pas automatiquement à haut risque. Le règlement prévoit des exceptions lorsqu’un système ne présente pas de risque important, par exemple parce qu’il n’accomplit qu’une tâche procédurale étroite ou améliore le résultat d’une activité humaine déjà achevée. Les systèmes qui effectuent un profilage de personnes physiques ne bénéficient pas de cette exception. Qui invoque l’exception doit documenter son évaluation.
Dans Sightadel, des questions guides vous mènent à travers la classification. Vous consignez la décision et sa justification ; en cas de modification du système, la classification est soumise à nouveau.
Il n’existe pas de prix catalogue pour l’EU AI Act dans Sightadel. Nous établissons une offre adaptée au nombre de systèmes, à votre rôle et à l’édition. Si votre licence comprend ISO 27001 ou ISO 9001, la remise permanente s’applique aussi à l’EU AI Act. Vous pouvez faire un essai gratuit de 14 jours sans données de paiement.
La charge dépend presque exclusivement de la question de savoir si vous fournissez des systèmes à haut risque. Pour les déployeurs qui utilisent l’IA dans des logiciels standard, l’inventaire, la classification, la formation et les mentions de transparence se réalisent en quelques semaines. Sont généralement impliqués l’informatique, la protection des données, les ressources humaines, les achats et les métiers qui utilisent réellement l’IA.
Les fournisseurs de systèmes à haut risque font face à un projet qui rappelle une homologation de produit : gestion des risques sur le cycle de vie, exigences relatives aux données d’entraînement et de test, documentation technique, journalisation, contrôle humain, système de management de la qualité, évaluation de la conformité, enregistrement et surveillance après commercialisation. Lorsqu’un organisme notifié doit intervenir, il facture ses prestations de manière indépendante. Pour les questions de classification et les cas particuliers difficiles, vous ajoutez un forfait de conseil dans l’application. Cela ne remplace pas un conseil juridique.
La plupart des entreprises sont des déployeurs. Deux obligations s’appliquent d’abord à elles, quel que soit le niveau de risque. Premièrement, des mesures de maîtrise de l’IA : les personnes qui utilisent des systèmes d’IA ou en exploitent les résultats doivent disposer des connaissances nécessaires, adaptées à leur mission et au contexte. Avec la modification de 2026, l’exigence a été formulée de sorte que les entreprises prennent des mesures pour favoriser cette maîtrise, au lieu de garantir un niveau déterminé. Vous devriez néanmoins documenter ces mesures. Deuxièmement, la transparence : lorsqu’un système génère ou modifie des contenus image, audio ou vidéo d’apparence authentique, ou des textes destinés à informer le public, cela doit être signalé dans certains cas.
Si vous utilisez un système à haut risque, d’autres obligations s’y ajoutent. Vous l’utilisez conformément à la notice d’utilisation, confiez le contrôle humain à des personnes compétentes, veillez à ce que les données d’entrée correspondent à la finalité, surveillez le fonctionnement, conservez les journaux générés automatiquement pendant au moins six mois et signalez les incidents graves. Avant une utilisation sur le lieu de travail, vous informez les salariés et leurs représentants. Les organismes publics et certains déployeurs privés, par exemple pour l’évaluation de la solvabilité ou l’assurance vie et maladie, réalisent en outre une analyse d’impact sur les droits fondamentaux.
Dans Sightadel, les obligations des déployeurs sont des contrôles à part, distincts de ceux des fournisseurs. Les formations fonctionnent comme des cycles avec preuve de participation ; l’analyse d’impact se trouve à côté de l’analyse d’impact relative à la protection des données.
Les fournisseurs de systèmes à haut risque établissent une documentation technique avant la mise sur le marché du système. Elle décrit notamment la finalité, l’architecture, le développement, les données, les tests, les limites de performance, la gestion des risques, le contrôle humain et les modifications au cours du cycle de vie. S’y ajoutent la notice d’utilisation, le système de management de la qualité, la déclaration UE de conformité, le marquage CE, l’enregistrement dans la base de données de l’UE et un plan de surveillance après commercialisation. Les petites et moyennes entreprises peuvent tenir la documentation sous une forme simplifiée.
Pour la plupart des systèmes de l’annexe III, le fournisseur réalise lui-même l’évaluation de la conformité, selon la procédure de contrôle interne. Pour certains systèmes biométriques et pour les produits relevant de l’annexe I, un organisme notifié intervient. Des normes harmonisées, dont le respect confère une présomption de conformité, sont en cours d’élaboration au niveau européen. Là où elles font encore défaut, la démonstration est plus lourde.
La surveillance du marché relève des autorités nationales. En Allemagne, selon la loi d’application adoptée en 2026, l’Agence fédérale des réseaux (Bundesnetzagentur) est l’autorité centrale de surveillance du marché ; les autorités de contrôle sectorielles conservent leurs compétences dans leurs domaines. Pour les modèles d’IA à usage général, le Bureau de l’IA de la Commission européenne est compétent. Les personnes chargées du contrôle obtiennent dans Sightadel leur propre accès, sans droit de suppression, à l’inventaire, aux classifications et aux preuves.
Ce que cela coûte
Vous ne payez que les frameworks dont vous avez réellement besoin. Les éditions diffèrent par leur capacité et leur délai de réponse, pas par leur contenu métier. Gérer plusieurs frameworks vous fait économiser durablement. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs.
L’organisme de certification ou d’audit vous facture directement ses honoraires. Si besoin, vous ajoutez un accompagnement sous forme de forfait dans l’application.
Documents de travail
Vous trouverez des check-lists et modèles pour d’autres frameworks dans la rubrique Ressources.
Aides pratiques, pas de conseil juridique.
Notions clés
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Très probablement, dès que vous fournissez des systèmes d’IA ou les utilisez à titre professionnel. L’obligation de maîtrise de l’IA s’applique à tous les fournisseurs et déployeurs. Ce qui s’y ajoute dépend de votre rôle et du niveau de risque des systèmes. L’usage purement privé n’est pas concerné.
Interdictions et maîtrise de l’IA depuis février 2025, règles relatives aux modèles d’IA à usage général depuis août 2025, obligations de transparence depuis août 2026, avec des périodes transitoires pour certains systèmes déjà proposés. Les obligations relatives au haut risque ont été reportées en 2026 : à décembre 2027 pour les systèmes autonomes, à août 2028 pour l’IA intégrée à des produits réglementés.
Pour les pratiques interdites, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial ; pour les manquements aux autres obligations, jusqu’à 15 millions d’euros ou 3 % ; pour la fourniture d’informations inexactes aux autorités, jusqu’à 7,5 millions d’euros ou 1 %. Pour les grandes entreprises, le montant le plus élevé s’applique ; pour les PME, le plus faible.
Non, pas pour le règlement dans son ensemble. Les systèmes à haut risque font l’objet d’une évaluation de la conformité et portent le marquage CE. Pour le système de management sous-jacent, vous pouvez vous faire certifier selon ISO/IEC 42001. Un « certificat AI Act » proposé sur le marché n’a aucune valeur juridique.
Vous êtes en règle générale déployeur. Recensez les systèmes, formez les salariés et vérifiez si une utilisation relève d’un domaine à haut risque, par exemple les décisions relatives au personnel. Pour la plupart des applications, les obligations se limitent à la maîtrise de l’IA et à la transparence.
Oui. La norme fournit l’inventaire, les responsabilités, l’appréciation des risques et l’analyse d’impact, c’est-à-dire le socle organisationnel. Les étapes légales comme l’évaluation de la conformité, l’enregistrement ou certaines obligations de transparence sont à vérifier séparément.
Dans la grille tarifaire actuelle, le règlement sur l’IA ne figure pas comme référentiel distinct. Contactez-nous, nous vous dirons comment l’utiliser dans Sightadel.
Non, et c’est voulu. Elle fournit des projets à partir de modèles et aide à la rédaction. Le rôle, le niveau de risque et les risques résiduels, c’est vous qui en décidez. Sightadel ne fournit pas de conseil juridique à ce sujet.
En principe, oui. Vous êtes alors en règle générale déployeur. Inscrivez le service dans l’inventaire, formez les utilisateurs, fixez des règles pour les données confidentielles et personnelles, et vérifiez si une utilisation relève d’un domaine à haut risque ou déclenche des obligations de transparence. Le RGPD s’applique en parallèle.
Selon la loi d’application adoptée en 2026, l’Agence fédérale des réseaux (Bundesnetzagentur) est l’autorité centrale de surveillance du marché. Les autorités de contrôle sectorielles conservent leurs compétences dans leurs domaines. Pour les modèles d’IA à usage général, le Bureau de l’IA de la Commission européenne est compétent.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
