Checklist de conformité AI Act : 25 contrôles pour une entreprise.
Une checklist utile ne remplace pas la qualification. Elle garantit que les bonnes questions ont été posées, que les décisions ont un propriétaire et que les preuves restent accessibles. Les vingt-cinq contrôles suivants forment un dispositif de pilotage, à adapter à chaque rôle et système.
La conformité commence par cinq blocs : gouvernance, inventaire et qualification, maîtrise des risques, obligations opérationnelles et preuve. Chaque contrôle doit indiquer son périmètre, son responsable, son résultat, l’écart éventuel et la prochaine revue. Une case cochée sans document ni test n’est pas une preuve.
Cluster éditorial : Conformité opérationnelle · Intention : Obtenir une checklist de conformité AI Act pour entreprise
En bref
L’essentiel à retenir
01
25 contrôles répartis en cinq blocs
02
Responsable et preuve pour chaque point
03
Priorisation selon le rôle et le risque
04
Revue continue après changement ou incident
01
Gouvernance : contrôles 1 à 5
1. Un sponsor de direction porte la démarche. 2. Les responsabilités entre métier, technique, juridique, DPO, sécurité, achats et RH sont écrites. 3. Les seuils d’autorisation, de limitation et de suspension sont définis. 4. Un circuit rapide traite les usages courants. 5. Une instance arbitre les cas sensibles et suit les actions en retard.
Pour chaque contrôle, conservez le mandat, les personnes désignées et un exemple de décision. Vérifiez que le processus intervient avant l’achat ou le déploiement. Une gouvernance qui découvre les systèmes après leur mise en production ne maîtrise ni le contrat ni la conception. Mesurez le délai de décision et les dossiers retournés pour information insuffisante.
6. Les systèmes achetés, développés et intégrés sont recensés. 7. Chaque fiche décrit la finalité, les utilisateurs, les personnes affectées et les données. 8. Les rôles fournisseur, déployeur, importateur ou distributeur sont attribués. 9. Les pratiques interdites sont examinées. 10. La classification haut risque, transparence ou autre régime est motivée.
Le registre doit couvrir les fonctions d’IA cachées dans les logiciels et les usages individuels significatifs. Reliez les faits aux articles et annexes, notez les informations manquantes et datez l’approbation. Une conclusion « faible risque » sans analyse n’a pas de valeur. Prévoyez une revue lors d’un changement de version, de finalité, de population ou de fournisseur.
Risques, données et fournisseurs : contrôles 11 à 15
11. Les risques pour la santé, la sécurité et les droits sont analysés. 12. Les données d’entrée et de référence ont des critères de qualité. 13. Les biais et écarts entre groupes pertinents sont testés. 14. Le fournisseur remet les informations, limites et journaux nécessaires. 15. Le contrat couvre changements, incidents, audit, sous-traitants et réversibilité.
Ne réduisez pas le risque à la cybersécurité. Examinez aussi l’erreur, la discrimination, l’automatisation excessive, la confidentialité et l’impossibilité de recours. Testez avec des cas représentatifs et des situations limites. Les réponses du fournisseur sont conservées avec leur date et leur version. Tout manque critique reçoit une mesure compensatoire ou bloque le déploiement.
16. Les instructions sont traduites en procédure. 17. La supervision humaine est réelle. 18. Les utilisateurs sont formés. 19. Les accès suivent le moindre privilège. 20. Les obligations de transparence sont appliquées. 21. Les journaux utiles sont disponibles. 22. La surveillance a des seuils. 23. Les incidents suivent une procédure. 24. Les personnes disposent d’un recours adapté. 25. Les preuves sont versionnées et revues.
Testez le dispositif de bout en bout : une personne sait-elle détecter une sortie douteuse, l’arrêter, préserver les faits et joindre le bon responsable ? Le tableau de bord suit la couverture, les écarts critiques, les incidents et les changements non revus. Une conformité vivante se voit dans les décisions, les interfaces et les habitudes, pas seulement dans un dossier documentaire.
