Cartographie des systèmes d’IA par niveau de risque, intégration aux dispositifs de conformité existants, préparation aux audits : construisons une trajectoire tenable, échéance après échéance.
Aevum Advisory accompagne les organisations dans la mise en conformité avec le cadre européen de l’intelligence artificielle et la régulation numérique. Nous structurons vos obligations, alignons vos pratiques et sécurisons vos décisions à chaque étape.
Cartographie des systèmes d’IA par niveau de risque, intégration aux dispositifs de conformité existants, préparation aux audits : construisons une trajectoire tenable, échéance après échéance.
Aevum Advisory accompagne les organisations dans la mise en conformité avec le cadre européen de l’intelligence artificielle et la régulation numérique. Nous structurons vos obligations, alignons vos pratiques et sécurisons vos décisions à chaque étape.
Le règlement européen sur l’intelligence artificielle n’entre pas en application d’un coup. Ses obligations montent en puissance par vagues successives, selon le niveau de risque des systèmes concernés. Le règlement modificatif Digital Omnibus, entré en vigueur le 27 juillet 2026, a revu ce calendrier à la hausse pour les systèmes à haut risque, sans toucher aux obligations déjà entrées en application.
Concrètement : les pratiques interdites et les obligations de littératie en IA s’appliquent depuis février 2025, les fournisseurs de modèles d’IA à usage général sont en conformité obligatoire depuis août 2025, et l’application générale du règlement, avec les obligations de transparence, est effective depuis le 2 août 2026.
Le Digital Omnibus reporte en revanche les exigences pour les systèmes à haut risque autonomes, recrutement, crédit, éducation, infrastructures critiques, du 2 août 2026 au 2 décembre 2027, et celles des systèmes à haut risque intégrés à des produits déjà réglementés, comme les dispositifs médicaux, du 2 août 2027 au 2 août 2028.
Pour une organisation, la difficulté n’est pas de comprendre le texte une fois, mais de suivre ce calendrier différencié dans la durée et de l’articuler avec les autres obligations déjà en place : RGPD, CSRD, critères ESG.
Le principe
Construire une trajectoire de conformité qui suit le calendrier réel du texte.
Chaque système, chaque niveau de risque et chaque place dans la chaîne de valeur appellent des obligations et des preuves différentes.
Guillaume Lambert suit l’évolution du règlement européen sur l’intelligence artificielle depuis son adoption, et a publié plusieurs analyses sur l’AI Act et sur le Tech Sovereignty Package qui l’entoure.
Ce suivi porte une attention particulière à l’articulation entre le texte européen et les enjeux de souveraineté technologique qui l’accompagnent : qui contrôle les systèmes d’IA utilisés en Europe, sur quelles infrastructures ils reposent, et comment le cadre réglementaire influe sur cette question de contrôle.
Cartographier les systèmes d’IA par niveau de risque.
Recenser les systèmes d’IA développés ou utilisés par l’organisation, et les classer selon les catégories de risque définies par le règlement.
Pourquoi ce choix est structurantIl détermine quelles obligations s’appliquent, qui en répond et quelles preuves doivent être produites pour chaque système.
Ce qu’il faut rendre visibleLes systèmes développés en interne, achetés, intégrés dans un logiciel ou utilisés par une équipe sans validation formelle.
Exemple de décisionDistinguer un assistant de rédaction interne d’un système utilisé pour le recrutement, le crédit ou l’accès à un service essentiel.
02 — ARTICULER
Articuler l’AI Act avec les dispositifs existants.
Intégrer les nouvelles obligations dans les dispositifs de conformité déjà en place : RGPD pour les données, CSRD et critères ESG pour le reporting extra-financier.
Pourquoi ce choix est structurantUn même système d’IA mobilise simultanément la gouvernance des données, la maîtrise des impacts et la responsabilité de l’organisation.
Ce qu’il éviteDes conformités parallèles qui demandent plusieurs fois les mêmes informations, produisent des décisions contradictoires et dispersent les preuves.
Exemple de décisionRéutiliser l’analyse RGPD des données et des décisions automatisées dans le dossier AI Act, puis relier les impacts significatifs au reporting CSRD et ESG.
03 — ANTICIPER
Anticiper le calendrier d’entrée en application.
Suivre les échéances propres à chaque niveau de risque : littératie en IA et pratiques interdites depuis février 2025, obligations GPAI depuis août 2025, transparence générale depuis août 2026, systèmes à haut risque autonomes en décembre 2027, systèmes à haut risque intégrés à des produits réglementés en août 2028.
Pourquoi ce choix est structurantLes obligations n’arrivent ni au même moment ni pour les mêmes systèmes : la trajectoire doit donc organiser les priorités, les budgets et les responsabilités dans le temps.
Ce qu’il éviteDécouvrir trop tard qu’un système déjà déployé nécessite une documentation, des contrôles humains ou une évolution technique difficile à ajouter après coup.
Exemple de décisionTraiter immédiatement les usages déjà concernés, tout en lançant assez tôt les travaux plus lourds requis pour les systèmes à haut risque.
04 — DOCUMENTER
Préparer les audits de conformité.
Documenter les choix de classification et les mesures prises, pour être en mesure de les justifier lors d’un contrôle.
Pourquoi ce choix est structurantLa conformité ne repose pas seulement sur des mesures prises, mais sur la capacité à expliquer les décisions et à démontrer leur application.
Ce qu’il faut conserverLa classification du système, les responsabilités, les versions, les tests, les incidents, les mesures correctives et les validations humaines.
Exemple de décisionAssocier chaque exigence à une preuve maintenue pendant l’exploitation, plutôt que reconstruire le dossier dans l’urgence avant un contrôle.
Environnements d’application
Des obligations différentes selon la place dans la chaîne de valeur de l’IA.
Le même règlement distingue les responsabilités de ceux qui conçoivent ou commercialisent un système et de ceux qui le déploient dans leurs propres activités.
01
Fournisseurs de systèmes d’IA : des obligations à la source.
Accompagner les organisations qui développent ou commercialisent des systèmes d’IA dans la qualification de leur niveau de risque et la documentation exigée par le règlement.
Fournisseurs02
Organisations utilisatrices : des obligations en tant que déployeurs.
Accompagner les organisations qui utilisent des systèmes d’IA à risque élevé dans leurs propres processus, avec des obligations de surveillance et de traçabilité qui leur sont propres.
Déployeurs
Accompagnement
De la cartographie à l’audit, selon notre méthode en 4 étapes.
La trajectoire relie la qualification des systèmes, les dispositifs de conformité existants, les mesures à déployer et les preuves à maintenir.
1
Diagnostiquer
Cartographier les systèmes d’IA de l’organisation et les classer selon les niveaux de risque du règlement.
2
Définir
Construire la trajectoire de mise en conformité et son articulation avec les dispositifs RGPD, CSRD et ESG existants.
3
Intégrer
Déployer les mesures de conformité requises : documentation technique, gouvernance des données, mécanismes de surveillance humaine.
4
Vérifier
Auditer la conformité au regard du calendrier réel d’entrée en application, et ajuster le dispositif à mesure que le Digital Omnibus précise le texte.
Une conformité tenable reste compréhensible, documentée et ajustable à mesure que les systèmes et le cadre réglementaire évoluent.
Que fait le système, et qui peut subir les conséquences d’une erreur ?
Nous observons la situation réelle plutôt que la seule fiche technique. Un outil identique peut demander des contrôles très différents selon la décision qu’il influence.
La décision produiteDécrire simplement l’action, la recommandation ou le contenu généré.
Les personnes concernéesIdentifier celles dont les droits, le travail ou l’accès à un service peuvent être affectés.
Les limites acceptablesPréciser quand le système ne doit pas être utilisé et quand une personne doit reprendre la main.
02 — COMPRENDRE LES DONNÉES
Peut-on expliquer d’où viennent les données et pourquoi elles conviennent ?
Une donnée connue et suivie permet de comprendre les résultats du système. Une donnée mal maîtrisée fragilise à la fois la performance et la conformité.
L’origineDocumenter les sources, les droits d’utilisation et les conditions de collecte.
La qualitéRepérer les erreurs, les absences et les populations insuffisamment représentées.
L’évolutionSurveiller les changements qui peuvent dégrader les résultats avec le temps.
03 — GARDER LA MAIN
Une personne peut-elle comprendre, contester et arrêter le système ?
Le contrôle humain doit donner un pouvoir réel. Nous définissons qui décide, quelles informations lui sont fournies et comment intervenir avant qu’une erreur ne produise ses effets.
Une responsabilité claireNommer les responsables métier et technique de chaque système.
Une information utilePrésenter les résultats et leurs limites dans un langage compréhensible.
Une action possiblePrévoir la correction, la suspension et l’arrêt lorsque la situation l’exige.
04 — POUVOIR DÉMONTRER
L’organisation peut-elle montrer ce qui a été décidé, testé et surveillé ?
Les preuves sont produites au fil du travail. Elles ne sont pas reconstruites dans l’urgence avant un audit et restent disponibles lorsque le système ou les règles évoluent.
Les décisionsConserver les choix de conception, de validation et de mise en service.
Les vérificationsTracer les versions, les tests, les incidents et les corrections.
Les nouvelles revuesRéexaminer le système après un changement important de modèle, de données ou d’usage.
La restitution de l’étude
Chaque constat de conformité conduit à une décision concrète.
L’étude ne se limite pas à classer les systèmes d’IA. Elle indique clairement qui doit agir, ce qui doit être corrigé ou contrôlé et comment démontrer que la mesure fonctionne.
01 / VOIR
Recenser ce qui existe vraiment.
Réunir dans une même vue les systèmes développés, achetés, intégrés à un logiciel ou utilisés sans validation.
Périmètre connu02 / SITUER
Comprendre le risque dans son contexte.
Évaluer l’usage, les personnes concernées et les conséquences possibles plutôt que classer un outil de manière abstraite.
Risque expliqué03 / AGIR
Choisir les contrôles qui changent la situation.
Donner à chaque mesure un responsable, une échéance et un résultat que l’on peut vérifier.
Action attribuée04 / SUIVRE
Maintenir la maîtrise pendant l’exploitation.
Réexaminer le système lorsque son modèle, ses données ou son utilisation évoluent.
Maîtrise durable
Retour d’expérience
Étudier la conformité IA sans perdre de vue le contrôle technologique.
Guillaume Lambert analyse le cadre européen pour en traduire les exigences dans les études de conformité des organisations. Ce travail relie chaque obligation à une question centrale : qui contrôle les systèmes d’IA utilisés, les infrastructures sur lesquelles ils reposent et les décisions qu’ils influencent ?
Une route claire, du recensement des systèmes à l’audit.
Notre étude donne à chaque équipe une prochaine action compréhensible. Elle établit le niveau de conformité, les écarts à traiter et les preuves à maintenir dans la durée.
1
Diagnostiquer
Recenser les systèmes, les usages et les personnes qui en répondent.
Vous savez ce qui existe.2
Définir
Fixer les règles de décision, les contrôles et les preuves nécessaires.
Vous savez quoi faire.3
Intégrer
Relier ces règles aux outils, aux processus et aux responsabilités existantes.
Les équipes peuvent agir.4
Vérifier
Tester le dispositif et l’ajuster lorsque le système ou son usage évolue.
La maîtrise reste démontrable.
La réglementation évoluera. Votre capacité à comprendre, décider et démontrer doit rester stable.
