Conformité IA : AI Act et RGPD
DPO 101 cartographie vos systèmes d’IA, qualifie vos obligations AI Act et RGPD, rédige votre documentation et forme vos équipes — avec la même méthode que pour le RGPD, dans le même outil.
- ✓Inventaire et classification de vos systèmes d’IA
- ✓Obligations applicables selon votre rôle
- ✓Formation des équipes (article 4)
- ✓Charte IA et documentation
- ✓AIPD, FRIA et registre unifié dans Comply101
Vous développez une IA ?
Fournisseur
Vous utilisez une IA ?
Déployeur
Vous revendez ou intégrez une IA ?
Distributeur / importateur
Trois façons de commencer
Selon votre situation : savoir où vous en êtes, former vos équipes, ou confier la gouvernance de vos IA à un interlocuteur unique.
Audit de conformité IA
Inventaire de vos systèmes d’IA, classification des risques, analyse RGPD, plan d’action daté.
dès 990 € HT · 2 semaines
Formation IA des équipes
Sensibilisation de 2 heures à l’usage conforme de ChatGPT, Copilot et des IA métier. Obligation de l’article 4.
450 € HT la session
DPO + référent IA
Registre des systèmes d’IA, charte, qualification des usages, veille, AIPD et FRIA — avec votre DPO.
option + 100 € HT/mois · seul dès 200 € HT/mois
Demandez à avoir plus d'informations
Décrivez nous votre besoin
Contactez DPO101 pour toute demande de renseignement sur la protection des données.
Vous pouvez nous écrire à partir de ce formulaire, nous vous recontacterons dans les plus brefs délais.
L'AI Act en 60 secondes
| Date | Ce qui s’applique |
|---|---|
| 1er août 2024 | Entrée en vigueur du règlement. |
| 2 février 2025 | Interdiction des pratiques à risque inacceptable (notation sociale, manipulation, reconnaissance des émotions au travail…) et obligation de maîtrise de l’IA (article 4). |
| 2 août 2025 | Obligations des fournisseurs de modèles d’IA à usage général (GPAI) ; désignation des autorités nationales. |
| 2 août 2026 | Obligations de transparence de l’article 50 (chatbots, deepfakes, contenus générés), autorités opérationnelles, régime de sanctions actif : jusqu’à 35 M€ ou 7 % du chiffre d’affaires mondial. |
| 2 décembre 2027 | Obligations complètes pour les systèmes à haut risque de l’annexe III (RH, crédit, éducation, biométrie, services essentiels) — échéance reportée par le Digital Omnibus IA (règlement (UE) 2026/1744). |
| 2 août 2028 | Systèmes à haut risque intégrés dans des produits réglementés (annexe I : dispositifs médicaux, machines, jouets…). |
Pour le détail : ce que le Digital Omnibus change (et ne change pas) et le calendrier pour les PME et ETI.
Êtes-vous concerné ? Votre rôle détermine vos obligations
La première question n’est pas « quelle IA utilisons-nous ? » mais « quel est notre rôle ? ». Le règlement en distingue plusieurs ; trois concernent la quasi-totalité des organisations. La plupart des entreprises et des administrations se croient simples utilisatrices : elles sont en réalité déployeurs, avec des obligations propres.
Fournisseur
Vous développez ou faites développer un système d’IA mis sur le marché ou en service sous votre nom — y compris une IA interne construite sur un modèle tiers que vous modifiez substantiellement. Pour le haut risque : système de gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, évaluation de conformité, marquage CE, surveillance après commercialisation. La norme harmonisée EN 18286 donne la présomption de conformité pour le système de management de la qualité (article 17).
Déployeur
Vous utilisez un système d’IA sous votre autorité : tri de candidatures, scoring, chatbot client, outil de productivité générative, vidéosurveillance intelligente. Obligations : usage conforme aux instructions du fournisseur, contrôle humain effectif, qualité des données d’entrée, conservation des journaux, information des salariés et des personnes concernées, maîtrise de l’IA des équipes et, pour certains déployeurs du haut risque (organismes publics, banques, assureurs), analyse d’impact sur les droits fondamentaux (FRIA, article 27).
Distributeur, importateur, intégrateur
Vous revendez, importez ou intégrez une IA dans vos propres solutions. Vous devez vérifier la conformité du fournisseur (marquage, documentation, instructions), ne pas mettre à disposition un système non conforme, coopérer avec les autorités — et vous devenez fournisseur si vous apposez votre marque ou modifiez le système de façon substantielle.
Quel niveau de risque pour vos systèmes d'IA ?
Risque inacceptable — interdit
Notation sociale, manipulation subliminale, exploitation des vulnérabilités, reconnaissance des émotions au travail ou à l’école, catégorisation biométrique sensible, extraction massive d’images faciales. Interdit depuis le 2 février 2025.
Haut risque — obligations lourdes
Annexe III : recrutement et gestion RH, éducation, accès au crédit et à l’assurance, services publics essentiels, biométrie, infrastructures critiques, justice et migration. Annexe I : IA composant de sécurité d’un produit réglementé. Échéances : 2 décembre 2027 et 2 août 2028.
Risque de transparence — en vigueur
Chatbots et agents conversationnels, contenus générés (texte, image, audio, vidéo), deepfakes, reconnaissance des émotions autorisée : information des personnes et marquage des contenus, applicables depuis le 2 août 2026 (article 50).
Risque minimal — bonnes pratiques
La majorité des usages (filtres anti-spam, assistants bureautiques, recommandations). Pas d’obligation spécifique, mais la maîtrise de l’IA (article 4), le RGPD et la gouvernance interne s’appliquent dès qu’il y a des données personnelles ou des décisions sur des personnes.
Ce que l'AI Act vous impose, selon votre rôle
| Obligation | Fournisseur | Déployeur |
|---|---|---|
| Inventaire et classification des systèmes d’IA | Oui — pour chaque système mis sur le marché | Oui — pour chaque IA utilisée, y compris les outils SaaS et génératifs |
| Maîtrise de l’IA des équipes (art. 4) | Oui | Oui — mesures de formation et de sensibilisation adaptées aux usages |
| Transparence (art. 50) | Marquage des contenus générés, détection | Information des personnes face à un chatbot, mention des deepfakes et des textes d’intérêt public générés |
| Gestion des risques, documentation technique, journalisation (haut risque) | Oui — chapitre III, sections 2 et 3 | Conservation des journaux (6 mois minimum), usage conforme aux instructions |
| Contrôle humain et qualité des données (haut risque) | Conception permettant le contrôle | Personnes compétentes désignées, données d’entrée pertinentes |
| Analyse d’impact sur les droits fondamentaux — FRIA (art. 27) | — | Organismes publics, banques et assureurs déployant un système de l’annexe III ; à articuler avec l’AIPD du RGPD |
| Information des salariés et des personnes | — | Avant mise en service d’un système à haut risque au travail ; droit à l’explication des décisions |
| Incidents graves et coopération avec les autorités | Notification, surveillance après commercialisation, actions correctives | Signalement au fournisseur et à l’autorité, suspension de l’usage |
| Enregistrement dans la base de données de l’UE (haut risque) | Oui | Déployeurs publics |
Notre accompagnement AI Act
Un seul interlocuteur pour le RGPD et l’AI Act : les deux textes se recouvrent (données personnelles, décisions automatisées, analyses d’impact, information des personnes) et se traitent dans une démarche commune, documentée dans Comply101, qui tient votre registre des traitements et votre registre des systèmes d’IA au même endroit.
Audit AI Act
à partir de 990 € HT
Inventaire de vos systèmes d’IA (y compris les outils génératifs et les fonctions IA de vos logiciels), qualification de votre rôle et du niveau de risque pour chacun, analyse des écarts, plan d’actions priorisé avec les échéances applicables. Rapport sous 3 semaines.
FRIA et AIPD
sur devis
Analyse d’impact sur les droits fondamentaux (article 27) pour les déployeurs qui y sont tenus, conduite conjointement avec l’AIPD du RGPD lorsque le système traite des données personnelles — un seul exercice, deux conformités.
Mise en conformité AI Act
sur devis
Politique d’usage de l’IA, registre des systèmes d’IA, procédures de contrôle humain et de journalisation, mentions de transparence (article 50), clauses contractuelles avec vos fournisseurs d’IA, procédure d’incident. Pour les fournisseurs : documentation technique et système de management de la qualité aligné sur EN 18286.
Formation et maîtrise de l’IA (article 4)
sur devis
Sessions de sensibilisation pour l’ensemble des équipes, formation approfondie des managers, RH, DSI et référents, attestation de participation à verser au dossier de conformité.
Référent IA externalisé
inclus dans le DPO externalisé ou sur devis
Suivi continu : veille (actes d’exécution, normes harmonisées, lignes directrices de la Commission et de la CNIL), avis sur chaque nouveau projet d’IA, gestion des incidents, mise à jour du registre. Pour nos clients DPO, l’AI Act s’intègre à la mission existante.
Comply101 — registre unifié RGPD + IA
inclus
Fiches systèmes d’IA, classification des risques, liens avec les traitements RGPD, AIPD et FRIA, tableau de bord et documents générés. Pourquoi un registre unifié.
Ils nous ont fait confiance !
Pourquoi confier l'AI Act à un cabinet de DPO
RGPD + AI Act
Une démarche unique : les systèmes d’IA traitent presque toujours des données personnelles. Nos DPO portent les deux règlements, sans doublon de documentation.
944
structures accompagnées, dont des collectivités, des groupes et des éditeurs qui déploient déjà de l’IA dans les RH, la relation client ou la sécurité.
Comply101
la plateforme conçue par le cabinet, qui unifie registre des traitements et registre des systèmes d’IA, AIPD et FRIA.
Presse
Un cabinet consulté par BFMTV et Libération sur la régulation de l’IA et des objets connectés.
Ressources AI Act : nos analyses
Digital Omnibus IA : ce que le report de l’AI Act change (ou pas)
Les nouvelles échéances du haut risque, ce qui reste applicable dès maintenant, et l’erreur la plus répandue.
EN 18286 : la première norme harmonisée de l’AI Act
Système de management de la qualité des fournisseurs à haut risque et présomption de conformité (article 17).
Le calendrier de l’AI Act pour les PME et ETI
Fournisseur ou déployeur, haut risque ou non : par où commencer quand on est une PME.
AIPD et FRIA : 7 différences clés
Article 35 du RGPD contre article 27 de l’AI Act : qui, quand, quoi, et comment ne faire qu’un seul exercice.
Checklist de conformité AI Act (Excel à télécharger)
Le guide pratique et la checklist pour auditer vos systèmes d’IA point par point.
Responsabilité des agents IA autonomes : qui paie en cas d’erreur ?
Co-responsabilité fournisseur-déployeur, contrôle humain et journaux : ce qui protège le déployeur.
Pourquoi un registre unifié RGPD + AI Act
Diviser par deux le temps de conformité en gérant traitements et systèmes d’IA dans un seul registre.
Recevez aussi notre newsletter « Réglementation IA » et la checklist AI Act : inscription et téléchargement.
Questions fréquentes sur l'AI Act
L’AI Act est-il déjà applicable ?+
Oui. Depuis le 2 février 2025, les pratiques à risque inacceptable sont interdites et l’obligation de maîtrise de l’IA s’applique ; depuis le 2 août 2025, les fournisseurs de modèles à usage général ont leurs obligations ; depuis le 2 août 2026, les obligations de transparence de l’article 50 s’appliquent et les sanctions sont actives. Seules les obligations propres aux systèmes à haut risque ont été reportées par le Digital Omnibus IA au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I).
Une PME qui utilise ChatGPT ou Copilot est-elle concernée ?+
Oui, en tant que déployeur. Les obligations restent proportionnées : inventorier les usages, former les équipes (article 4), informer les personnes lorsqu’un chatbot ou un contenu généré leur est adressé (article 50), encadrer les données personnelles saisies dans ces outils au titre du RGPD, et vérifier qu’aucun usage ne relève du haut risque (par exemple le tri de candidatures).
Qu’est-ce qu’un système d’IA à haut risque ?+
Un système listé à l’annexe III (recrutement et gestion RH, éducation, accès au crédit et à l’assurance, services publics essentiels, biométrie, infrastructures critiques, justice, migration) ou un composant de sécurité d’un produit réglementé de l’annexe I. Pour ces systèmes, le fournisseur doit respecter le chapitre III du règlement et le déployeur assurer contrôle humain, journalisation, information et, dans certains cas, une FRIA.
Quelles sont les sanctions de l’AI Act ?+
Jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites, 15 millions d’euros ou 3 % pour les autres manquements, 7,5 millions d’euros ou 1 % pour la fourniture d’informations inexactes aux autorités. Les PME se voient appliquer le montant le plus bas des deux. En France, la CNIL fait partie des autorités désignées.
FRIA et AIPD, est-ce la même chose ?+
Non. L’AIPD (article 35 du RGPD) évalue les risques pour les droits des personnes liés à un traitement de données personnelles ; la FRIA (article 27 de l’AI Act) évalue l’impact d’un système à haut risque sur les droits fondamentaux, et ne concerne que certains déployeurs (organismes publics, banques, assureurs). Les deux se recoupent largement et se conduisent ensemble ; DPO 101 les documente dans un seul dossier.
Quel est le rôle du DPO dans l’AI Act ?+
Le règlement ne crée pas de fonction obligatoire équivalente au DPO, mais la quasi-totalité des systèmes d’IA traitent des données personnelles : le DPO est donc en première ligne pour la cartographie, les analyses d’impact, l’information des personnes et le dialogue avec la CNIL. Chez DPO 101, la mission de DPO externalisé intègre l’AI Act.
La formation des équipes à l’IA est-elle obligatoire ?+
L’article 4 impose aux fournisseurs et déployeurs de prendre des mesures pour assurer un niveau suffisant de maîtrise de l’IA de leur personnel, adapté au contexte et aux personnes concernées. Une sensibilisation générale, une formation approfondie des utilisateurs de systèmes sensibles et une trace écrite des actions menées constituent la réponse attendue.
Par où commencer ?+
Par l’inventaire : lister chaque système d’IA utilisé ou fourni, y compris les fonctions IA intégrées dans vos logiciels, qualifier votre rôle et le niveau de risque, puis traiter d’abord ce qui est déjà applicable (interdictions, transparence, maîtrise de l’IA, RGPD) avant de planifier le haut risque pour 2027. C’est exactement le périmètre de notre audit AI Act.
Faites l’inventaire de vos IA avant que la CNIL ne le demande
Décrivez-nous vos usages de l’IA : nous vous répondons sous 24 h avec un périmètre d’audit et un devis, sans engagement.
Votre devis AI Act sous 24 h
Décrivez vos usages de l’IA en deux minutes. Un DPO du cabinet vous recontacte sous 24 h ouvrées avec un périmètre d’audit et un prix, sans engagement.
Vos données sont utilisées uniquement pour traiter votre demande de devis et vous recontacter. Responsable de traitement : DPO 101 SAS. Vous disposez d’un droit d’accès, de rectification et d’opposition à contact@dpo101.fr. Politique de confidentialité.