L'AI Act et son calendrier d'application
Le règlement européen sur l'intelligence artificielle organise les obligations selon le niveau de risque des systèmes : des pratiques interdites aux usages à haut risque, puis aux simples exigences de transparence. Son application est échelonnée entre 2025 et 2026 selon les dispositions : certaines interdictions s'appliquent tôt, tandis que les obligations lourdes pour les systèmes à haut risque arrivent plus progressivement. Cette progressivité laisse aux organisations une fenêtre de préparation courte, qu'il vaut mieux employer dès maintenant que subir le jour où les contrôles commencent réellement.
Un audit ne se contente pas de réciter ce calendrier. Il traduit ces échéances en un plan concret : quels systèmes sont concernés, à quelle date, avec quels livrables et quels responsables. Ce travail de mise en correspondance entre un texte européen et un patrimoine d'outils internes est l'un des apports les plus tangibles d'un audit bien mené, parce qu'il transforme une contrainte abstraite en échéances suivables. Il fait aussi apparaître les dépendances réelles : un fournisseur qui tarde, une documentation indisponible, une ressource interne manquante.
Ce que la réglementation change pour les auditeurs
Le texte européen introduit une logique de preuve. Il ne suffit plus de déclarer qu'un système est fiable : il faut pouvoir le montrer, avec un dossier de gestion des risques, des données documentées, des résultats d'évaluation et un dispositif de surveillance après mise sur le marché. L'auditeur passe ainsi d'un rôle de conseiller à celui de producteur de preuves, étroitement articulé avec les obligations de traçabilité et de journalisation des décisions, y compris lorsque la décision finale reste prise par un humain.
Cette exigence déplace le centre de gravité du travail. Les compétences techniques restent nécessaires, mais la capacité à documenter, à organiser et à maintenir la cohérence dans le temps devient tout aussi déterminante. Un rapport brillant sans traçabilité ne résiste pas à un contrôle ; un dossier modeste mais tenu avec régularité peut, lui, tenir dans la durée et protéger durablement l'organisation. La discipline documentaire, souvent jugée ingrate, devient ici un avantage compétitif réel face aux donneurs d'ordre et aux partenaires. Cette bascule progressive du métier explique pourquoi les profils purement techniques seuls ne suffisent plus sur les sujets de gouvernance.
ISO/IEC 42001 et les référentiels volontaires
À côté de la loi, des normes volontaires structurent la gouvernance de l'intelligence artificielle. La norme ISO/IEC 42001 propose un système de management de l'IA : politique, rôles, analyse des risques, amélioration continue. Elle ne remplace pas les obligations réglementaires, mais fournit le cadre organisationnel qui permet de les tenir dans la durée, avec des revues régulières et des preuves conservées de façon cohérente. C'est ce cadre qui évite de tout reconstruire à chaque nouvelle exigence ou mise à jour du texte européen.
Pour l'auditeur, ces référentiels offrent un langage commun et des points de contrôle éprouvés. Leur adoption volontaire rassure aussi les partenaires et les clients, de plus en plus attentifs à la manière dont leurs fournisseurs gouvernent leurs systèmes. Combiner exigences légales et cadre normatif évite de repartir de zéro à chaque nouvelle obligation et donne aux équipes un référentiel stable sur lequel s'appuyer pour progresser. La démarche devient cumulative plutôt que purement réactive, ce qui change la charge de travail dans la durée.
Anticiper les évolutions nationales et sectorielles
Le cadre européen laisse une place aux déclinaisons nationales et sectorielles. Les autorités de contrôle précisent les attentes, les secteurs régulés ajoutent leurs propres contraintes, et les référentiels d'accessibilité comme le RGAA ou la norme EN 301 549 rappellent que les interfaces doivent rester utilisables par tous. Un audit attentif tient compte de cet empilement plutôt que de s'en tenir au seul texte européen et à une lecture minimale des exigences, qui laisse souvent de côté des obligations pourtant bien contraignantes.
Cette veille demande de la méthode. Suivre les publications des autorités, noter les clarifications, ajuster les procédures en conséquence : autant de gestes simples qui évitent les mauvaises surprises et les corrections tardives. La réglementation de l'IA évolue avec la technique, et une organisation qui se contente d'une lecture figée du texte prendra toujours du retard sur ses obligations réelles et sur les attentes de ses clients. Traiter cette veille comme une compétence à part entière, plutôt que comme une corvée administrative, fait gagner du temps à toute l'organisation. Un simple classeur de veille, tenu à jour et relié aux systèmes concernés, suffit souvent à éviter ce décalage.
Aller plus loin
Le parcours « Auditeur IA » de Cabinet Mara replace ces textes dans une pratique concrète, cas d'usage à l'appui. Le catalogue des 31 formations permet d'ajouter les modules utiles sur la gouvernance, la sécurité et l'accessibilité.
Vous voulez maîtriser ce sujet en pratique ?
Cabinet MARA forme en ligne, sur des cas réels, avec des modules courts et un suivi de progression.
Voir la formation liée Les 31 formations