Plan d’action AI Act en 90 jours : obtenir une première maîtrise vérifiable.
L’objectif des 90 premiers jours n’est pas de terminer toute la conformité. Il est d’obtenir un périmètre maîtrisé, des responsabilités actives et des décisions documentées.
Un plan de 90 jours doit produire des décisions et des preuves : gouvernance, inventaire, premières qualifications, contrôles prioritaires, compétences et feuille de route financée.
Cluster éditorial : Gouvernance et mise en conformité · Intention : Lancer un plan de conformité AI Act en 90 jours
En bref
L’essentiel à retenir
01
Sécuriser les pratiques interdites et les usages critiques dès le début.
02
Installer une gouvernance légère avec des responsabilités et un circuit de décision.
03
Construire un inventaire exploitable et qualifier un premier portefeuille.
04
Terminer par une feuille de route, des preuves et des indicateurs approuvés.
01
Jours 1 à 30 — rendre les usages visibles
Nommer un sponsor et un pilote, lancer l’inventaire, identifier les systèmes sensibles, vérifier les pratiques interdites et définir un canal d’escalade.
Attribuer les rôles, classer les risques, analyser les informations fournisseurs, mesurer les écarts et identifier les décisions nécessitant une revue experte.
Le premier mois établit le mandat, le périmètre et les règles d’escalade. Nommez un sponsor, un pilote et un groupe de travail associant métiers, juridique ou conformité, DSI, données, sécurité, achats et RH. Diffusez une consigne provisoire sur les pratiques interdites, les données sensibles, les outils non validés et le signalement des incidents. Cette consigne doit être courte et reliée à un canal de réponse.
Lancez l’inventaire à partir des contrats, applications, entretiens métiers et projets. Ne cherchez pas l’exhaustivité parfaite avant d’agir. Identifiez un premier portefeuille représentatif et les zones d’incertitude. Le livrable attendu est une liste priorisée avec propriétaires, finalités, fournisseurs, populations concernées et prochaines actions.
Jours 31 à 60 : qualifier et traiter les écarts majeurs
Appliquez une méthode commune de qualification aux usages prioritaires. Vérifiez les pratiques interdites, les cas de haut risque, les obligations de transparence, les rôles et la présence éventuelle de modèles à usage général. Chaque conclusion cite les faits et le texte pertinent. Les décisions inconnues sont visibles dans un journal d’arbitrage.
En parallèle, examinez les contrats et informations fournisseurs, les données, la supervision, les journaux, la procédure d’incident et les compétences. Traitez d’abord les écarts susceptibles de causer un dommage, d’empêcher une décision éclairée ou de faire perdre une preuve. Les autres entrent dans la feuille de route.
Jours 61 à 90 : passer du projet au système de management
Formalisez les responsabilités, le circuit d’approbation d’un nouvel usage, la revue des changements, la gestion des incidents et le calendrier des contrôles. Définissez des modèles simples et testez-les sur les usages déjà étudiés. Une procédure qui n’a jamais été appliquée reste une hypothèse.
Le comité de clôture examine les risques résiduels, les besoins de ressources, le programme de maîtrise de l’IA et les priorités des deux trimestres suivants. Il approuve une feuille de route avec responsables, budgets, échéances et preuves attendues. Les résultats doivent être compréhensibles par la direction sans perdre la traçabilité réglementaire.
Une PME peut réunir plusieurs rôles dans une même personne, à condition que les décisions et les contrôles restent clairs. Un groupe international aura besoin de relais locaux, d’un standard commun et d’un mécanisme d’exception. Un éditeur ajoute la documentation produit et l’information des clients. Une organisation utilisatrice concentre ses efforts sur les usages, les fournisseurs, la supervision et la preuve.
Le plan n’a pas pour but de produire le plus de documents possible. Il doit rendre les risques visibles, permettre des décisions cohérentes et créer des preuves proportionnées. Un tableau de suivi bien tenu vaut mieux qu’une politique ambitieuse sans propriétaire ni application.
Le délai permet d’installer les fondations et de traiter les urgences. La conformité durable demande ensuite un pilotage continu et des travaux proportionnés au portefeuille.
Commencez par les achats, le catalogue applicatif, les processus sensibles et des entretiens ciblés avec les directions.
Non. Sécurisez les pratiques interdites, les usages critiques et les décisions irréversibles pendant que l’inventaire progresse.
Utilisez si possible une instance existante, avec un mandat clair, les compétences utiles et un journal de décisions.
Un portefeuille priorisé, les décisions majeures, les risques résiduels, la feuille de route, les ressources requises et les indicateurs.
