AI Act : préparer ton entreprise à un contrôle, sans rallonger le délai de sanction

Scénario réaliste : le mail qui te tombe dessus

Un mardi 8h12. Objet : “Demande d’informations dans le cadre de l’AI Act”. Ce n’est pas une attaque. Ce n’est pas non plus un “simple échange”. C’est le début d’une enquête. Et ton vrai risque n’est pas seulement l’amende.

Ton vrai risque, c’est le dossier qui s’étire parce que tu réponds trop lentement, trop flou, ou contradictoire. Chaque aller-retour peut déclencher de nouveaux actes d’enquête, de nouvelles demandes, des auditions. Et selon le régime applicable, ces actes peuvent interrompre ou rallonger de fait le délai de sanction. En clair : tu offres du temps à l’autorité, et tu immobilises ton équipe.

La bonne nouvelle : un contrôle, ça se prépare comme un audit qualité. Tu ne “prouves” pas avec des promesses. Tu prouves avec des documents, des traces, et des décisions datées.

Ce qui change “maintenant” (et pourquoi tu dois t’en occuper avant 2026)

Le point clé : le cadre devient réellement contrôlable à partir du 2 août 2026, avec l’entrée en application des pouvoirs d’enquête et d’exécution (AI Office et autorités nationales compétentes).

À la même date, l’article 50 (transparence) devient applicable et contrôlable : informer quand une personne interagit avec une IA, étiqueter certains contenus générés ou manipulés (deepfakes…), et gérer des cas spécifiques.

Et les obligations “haut risque” ? Elles sont repoussées : 2 décembre 2027 (haut risque annexe III) et 2 août 2028 (haut risque intégré à des produits annexe I). Donc en PME/ETI, un contrôle en 2026 portera très souvent d’abord sur :

• Transparence (article 50).
• Gouvernance des outils et fournisseurs (qui fournit quoi, sous quelles conditions, quelles garanties).
• Capacité à produire des preuves rapidement, proprement, sans contradictions.

Les mots-clés que l’autorité a en tête (et toi aussi)

Tu peux appeler ça comme tu veux en interne. Mais le jour J, ça devient :

• AI Act contrôle entreprise : l’autorité vérifie des obligations, pas ton “niveau d’innovation”.
• Audit conformité IA : on te demande un système, pas un PDF marketing.
• Dossier de conformité IA : un pack de preuves, versionné, daté, reproductible.
• Enquête AI Act délai prescription : un délai existe (ex. 5 ans côté Commission sur certains pouvoirs), mais les actes d’enquête peuvent interrompre le compteur. Donc ton objectif : répondre vite et bien, pour éviter l’escalade.

Ce qu’un contrôle va te demander, concrètement

Oublie les grands discours. Un contrôle, c’est une liste. Et c’est normal : l’AI Act est fait pour être vérifiable.

1) Ta cartographie des usages IA (pas ton opinion)

L’autorité va vouloir savoir où l’IA est utilisée, par qui, pour quoi. Incluant :

• ChatGPT, Claude, Gemini, Copilot, outils “dans les logiciels” (CRM, support, marketing, RH, BI).
• Automatisations et agents connectés à des outils internes.
• Shadow AI : comptes perso, extensions navigateur, outils gratuits.

Et elle va regarder ton rôle : tu es simple utilisateur (deployer) ou tu “fournis” un système (provider) parce que tu le mets sous ta marque, tu l’intègres, tu le distribues à tes clients, ou tu le fais opérer pour eux.

2) Ton registre fournisseurs, modèles, versions, paramétrages

Un contrôle aime les inventaires. Tu dois pouvoir dire :

• Quel fournisseur, quel produit, quelle version (ou gamme), quelles options activées.
• Quels connecteurs (Drive, SharePoint, CRM, messagerie), quelles permissions.
• Quelles clauses contractuelles : usage des données, entraînement, sous-traitants, localisation, réversibilité.

3) Tes preuves de transparence (article 50)

Pas des intentions. Des preuves observables :

• Captures d’écran de bandeaux “vous interagissez avec une IA”.
• Scripts de centre d’appels si une IA intervient dans l’échange.
• Procédures de publication et d’étiquetage des contenus générés ou manipulés.
• Règles internes “qui valide quoi” avant diffusion externe.

4) Ta traçabilité (logs) et ta capacité à reconstituer une décision

Pour le haut risque, l’AI Act impose des capacités de journalisation adaptées. Hors haut risque, pendant une enquête, c’est quand même ce qu’on attend d’une entreprise sérieuse.

Le minimum utile :

• Qui a utilisé quel outil et quand (métadonnées).
• Sur quels types de données (catégories, pas forcément le contenu brut).
• Quelle sortie a été réutilisée (ex. un texte envoyé à un client, une décision interne, une publication).
• Durée de conservation, suppression, accès.

5) Ton système d’incidents et de changements

Un contrôle va tester ta maturité. On va te demander :

• Comment tu déclares un incident IA (fuite, erreur, hallucination publiée, deepfake, biais).
• Qui décide l’arrêt d’un usage, qui décide la reprise.
• Comment tu gères les changements : nouveau modèle, nouveau connecteur, nouvelle automatisation.

Pourquoi un dossier incomplet rallonge tout (et te coûte cher)

Les sanctions, tu connais les ordres de grandeur : jusqu’à 35 M€ ou 7% du CA mondial pour des pratiques interdites, et jusqu’à 15 M€ ou 3% du CA mondial pour d’autres non-conformités selon la catégorie.

Mais la réalité terrain en PME, c’est souvent ça :

• Coût interne : 10 personnes mobilisées, réunions, extraction de preuves, rework.
• Coût business : projets gelés, clients inquiets, com interne à gérer.
• Risque d’image : tu passes pour une boîte qui “bricole”.

Et surtout : plus tu génères d’incohérences, plus l’autorité a de raisons de relancer. Donc ton objectif n’est pas “répondre”. C’est répondre une fois, proprement.

La méthode 10 actions en 30 jours pour tenir un contrôle AI Act

Objectif : construire un dossier de conformité IA utilisable en contrôle, et réduire le risque qu’une enquête multiplie les actes et rallonge le délai.

Action 1 (Jour 1-2) : nomme un responsable “AI Act dossier”

Une seule tête de pont. Pas un comité.

• Owner : responsable conformité IA (souvent DPO, RSSI, RAF, ou DG en PME).
• Relais : IT, RH, marketing, commerce, support.
• Règle : toute réponse externe passe par lui. Zéro réponse “au fil de l’eau” par une équipe.

Action 2 (Jour 2-5) : fais l’inventaire brutal des usages (y compris Shadow AI)

Tu veux une cartographie utilisable en contrôle. Simple tableau :

• Équipe.
• Outil IA.
• Usage (résumer, rédiger, classer, décider, automatiser).
• Données traitées (catégories : clients, RH, finances, santé, juridique).
• Sortie utilisée où (interne, client, public).
• Niveau d’autonomie (assistant, semi-auto, agent qui agit).
• Owner métier.

Si tu veux un cadre pour éviter de connecter n’importe quoi à n’importe quoi, lis aussi : https://jimmymanin.com/blog/agents-ia-en-entreprise-checklist-securite-en-12-points-anti-fuite-avant-deploiement

Action 3 (Jour 5-7) : qualifie ton rôle (provider vs deployer) et tes cas sensibles

Tu n’as pas besoin d’un mémoire juridique. Tu as besoin d’une position écrite :

• “Nous sommes deployer pour X, Y, Z.”
• “Nous sommes provider si nous livrons un système sous notre marque à des clients.”
• Liste des usages à risque réputationnel : RH, scoring, décision crédit, sélection, surveillance, biométrie, émotion, etc.

Cette page “position” évite les contradictions plus tard.

Action 4 (Jour 7-10) : monte le registre fournisseurs et configurations

Le but : répondre vite à “quel outil, quelle version, quelles garanties”.

• Contrat, DPA si applicable, clauses data.
• Options : training on/off, retention, région, chiffrement.
• Connecteurs activés, scopes, comptes techniques.
• Sous-traitants connus, procédure de sortie (réversibilité).

Pour cadrer la décision “local vs cloud” quand la confidentialité compte, tu peux t’appuyer sur : https://jimmymanin.com/blog/assistant-ia-hybride-local-cloud-decider-en-90-min-quoi-garder-en-interne

Action 5 (Jour 10-14) : crée ton dossier “article 50 transparence”

Tu fabriques des preuves, pas une politique.

• Liste des points de contact où une personne peut interagir avec une IA (site, chat, mail, téléphone, appli, bornes, documents).
• Pour chaque point : texte exact d’information + emplacement (capture).
• Process étiquetage contenus IA : quand, comment, par qui.
• Règles deepfake (image, audio, vidéo) si tu en produis ou si tu peux en diffuser.

Check-list utile : https://jimmymanin.com/blog/ai-act-article-50-la-checklist-transparence-pour-chatbots-agents-et-contenus-ia

Action 6 (Jour 14-18) : décide ce que tu logges (et ce que tu refuses de logguer)

Les logs, c’est un compromis. Tu veux être auditable, sans créer une bombe RGPD/sécurité.

Décisions à écrire :

• On conserve : identifiant utilisateur, outil, horodatage, workflow, source de données (catégorie), destination (interne/client/public), ID de conversation si dispo.
• On ne conserve pas : contenu sensible en clair, secrets, mots de passe, données santé, sauf nécessité documentée.
• Durée de rétention : 30, 90, 180 jours selon risque.
• Accès aux logs : restreint (IT, conformité), traçabilité des accès.

Et oui : tes prompts peuvent devenir des preuves. Donc cadre qui a le droit de faire quoi : https://jimmymanin.com/blog/vos-prompts-peuvent-devenir-des-preuves-ce-que-tout-dirigeant-doit-cadrer

Action 7 (Jour 18-21) : formalise un “process de réponse enquête” en 1 page

But : éviter le mode panique qui génère des contradictions.

• Canal unique de réception (mail conformité).
• Accusé de réception en 24h.
• Collecte centralisée des pièces.
• Versioning (v1, v2) et journal des réponses envoyées.
• Relecture croisée : juridique + IT + métier.

Tu viens de réduire fortement le risque “enquête AI Act délai prescription” qui s’étire par relances.

Action 8 (Jour 21-24) : fais un mini-audit interne sur 3 usages

Tu prends 3 cas représentatifs (marketing, support, finance par exemple) et tu testes :

• Es-tu capable de décrire l’usage en 5 minutes ?
• As-tu la preuve de transparence si interaction externe ?
• As-tu le contrat fournisseur et la config ?
• Peux-tu reconstituer qui a produit quoi (logs) ?
• As-tu une décision “go/no-go” datée ?

Ce test te dit si ton audit conformité IA tiendra ou pas.

Action 9 (Jour 24-27) : verrouille les usages “agents” et automatisations

Les contrôles vont s’intéresser aux systèmes qui agissent. Parce que le risque monte vite : erreurs, dépenses, fuites.

• Liste des agents et automatisations.
• Droits et accès (principe du moindre privilège).
• Niveau d’autonomie, validation humaine obligatoire, garde-fous.
• Kill switch : qui coupe, comment, en combien de temps.

Si tu déploies des agents, garde un cadre : https://jimmymanin.com/blog/agents-ia-en-entreprise-le-plan-pilote-controle-en-21-jours-sans-ouvrir-les-vannes

Action 10 (Jour 27-30) : assemble le “dossier de conformité IA” prêt à envoyer

Tu crées un dossier unique, structuré, avec index. Exemple :

• 00_README : contact responsable, périmètre, date de dernière mise à jour.
• 01_Cartographie_usages : tableau + owners + date.
• 02_Registre_fournisseurs : contrats, versions, configs.
• 03_Transparence_article50 : preuves (captures, scripts, process).
• 04_Logs_et_traçabilité : politique de logs, exemples de exports, rétention.
• 05_Gouvernance : RACI, process changement, process incident.
• 06_Audits_internes : résultats des 3 tests, actions correctives.

Et tu mets une règle de survie : mise à jour mensuelle (15 minutes). Sinon ton dossier pourrit.

Les erreurs qui déclenchent les relances (et rallongent ton dossier)

• Réponses incomplètes : “on n’a pas la liste des outils” = nouvelle demande.
• Contradictions internes : marketing dit “tout est relu”, support dit “l’IA répond seule”.
• Pas de versioning : tu envoies 3 fichiers différents avec 3 vérités.
• Pas de preuves : “on informe les utilisateurs” sans capture ni script = demande de démonstration.
• Logs inexistants : impossible de reconstituer un incident = escalade.

Check final : tu es prêt si tu peux répondre à ces 12 questions en 30 minutes

• Où utilise-t-on de l’IA, et pour quoi ?
• Qui est responsable du dossier AI Act ?
• Quels outils, versions, connecteurs, options ?
• Quelles données sont exposées à ces outils ?
• Quelles sorties sont envoyées à des clients ou publiées ?
• Où sont les preuves de transparence (article 50) ?
• Qui valide les contenus générés avant diffusion ?
• Que logge-t-on, combien de temps, et qui y accède ?
• Comment coupe-t-on un agent ou une automatisation ?
• Quel est le process incident IA ?
• Quel est le process changement (nouveau modèle, nouveau connecteur) ?
• Peux-tu reconstituer un cas réel sur les 90 derniers jours ?

Ce que tu fais cette semaine (3 mouvements, pas plus)

1) Nomme l’owner et ouvre un dossier partagé “Conformité IA”.

2) Fais la cartographie des usages en 2 heures avec les responsables d’équipe. Même si elle est moche au début. Il te faut une base.

3) Monte le pack article 50 sur tes points de contact externes. C’est le plus contrôlable, le plus “visible”, et c’est applicable dès 2 août 2026.

Si tu veux un cadre complet orienté audit, tu peux t’appuyer sur : https://jimmymanin.com/blog/ai-act-entreprise-2-aout-2026-le-protocole-en-7-livrables-pour-passer-un-audit-ia

Ton objectif n’est pas d’être parfait. Ton objectif, c’est d’être auditable. Et de répondre vite, sans te contredire. C’est ça qui évite que le dossier s’éternise.