Point de départ
L’AI Act ne concerne pas uniquement les éditeurs d’IA. Une ETI peut être fournisseur d’un système sur un produit, déployeur d’un outil RH, distributeur d’une solution ou utilisatrice d’un modèle général selon des modalités qui modifient ses responsabilités.
1. Construire l’inventaire qui manque souvent
L’inventaire relie le système, sa finalité, les personnes affectées, le fournisseur, les modèles utilisés, les données, les décisions produites et le rôle juridique de l’entreprise. Il inclut les fonctions IA intégrées dans les SaaS déjà achetés et les expérimentations métiers.
2. Qualifier sans tout classer « haut risque »
La qualification distingue pratiques interdites, transparence, modèles d’IA à usage général, systèmes à haut risque et usages ne relevant pas de ces catégories. La conclusion doit être datée, argumentée et revue lorsque la finalité, le modèle ou le fournisseur change.
3. Relier juridique, data, cyber et métier
Un dossier exploitable couvre qualité et gouvernance des données, documentation, journaux, robustesse, sécurité, contrôle humain, information, incidents et suivi en production. Ces responsabilités doivent rejoindre le cycle de vie produit plutôt qu’un classeur séparé.
4. Maîtriser les fournisseurs et modèles généraux
Contrats et processus d’achat doivent permettre d’obtenir la documentation utile, les limites connues, les changements de modèle, les conditions d’usage, la coopération en cas d’incident et les éléments nécessaires au propre rôle de l’entreprise.
5. Sortie d’un cadrage AI Act
Le premier livrable n’est pas une déclaration générique de conformité : c’est un registre priorisé des systèmes, une matrice de rôles, une qualification des risques, les échéances applicables et un plan de gouvernance avec preuves attendues.