Diagnostic IA.

Ce que c'est

La plupart des organisations utilisent de l'IA sans savoir lesquelles. Ces outils arrivent par la porte de service — un abonnement pris par un service, une fonctionnalité activée par défaut, un essai resté ouvert — sans décision formelle, alors que chacun engage la même personne morale.

Le règlement (UE) 2024/1689, entré en vigueur le 1^er août 2024, s'applique par étapes : dispositions générales, dont l'article 4 sur la littératie IA, et interdictions de l'article 5 depuis le 2 février 2025 ; règles pour les modèles d'IA à usage général depuis le 2 août 2025. Depuis le 2 août 2026, la majorité des règles sont en vigueur et marquent le début de l'exécution, l'article 50 sur la transparence s'appliquant à cette même date.

Le diagnostic répond à une question rarement posée : où êtes-vous, vous, dans ce calendrier ? Il établit votre rôle — fournisseur ou déployeur — dont tout le reste découle. L'article 4 concerne les deux ; l'article 26 vise les déployeurs de systèmes à haut risque, dont le personnel doit être suffisamment formé pour la supervision humaine. Ni audit technique, ni avis juridique.

Les trois jours, heure par heure

Trois jours, une vingtaine d'heures. Vous n'êtes présent qu'une partie du temps.

Jour 1 — Cadrage et collecte (sept heures)

Le matin, un entretien de cadrage d'une heure et demie, service par service : ce qui est acheté, utilisé, en projet. L'après-midi, la collecte : questionnaire écrit aux responsables d'équipe, lecture des contrats et notices de vos fournisseurs. En fin de journée, une liste brute volontairement trop large, incluant ce que personne n'a validé.

Jour 2 — Qualification (sept heures, sans vous)

Pour chaque entrée, quatre variables : rôle de l'organisation vis-à-vis du système, données personnelles mobilisées, interaction directe avec des personnes, contenus générés ou diffusés. Un temps est réservé à ce qui n'a pas été déclaré : la fonctionnalité activée par défaut manque presque toujours à la première liste.

Jour 3 — Classement, rédaction, restitution (sept heures)

Chaque système reçoit un niveau de risque et, surtout, la base écrite de ce niveau, article par article : c'est elle qu'on vous opposera ou qui vous protégera. Nous rédigeons la feuille de route, qui ordonne les actions dans le temps, puis tenons une restitution d'une heure et demie et laissons les documents réutilisables.

Ce que donne un classement, concrètement

Deux systèmes fictifs mais typiques : un assistant conversationnel de support client, qui répond à partir d'une base de connaissances, et un outil de tri de candidatures, qui présélectionne des CV. Tous deux déployés par l'entreprise, aucun construit par elle.

L'assistant de support client

Rôle : déployeur. Premier critère, il interagit directement avec des personnes — article 50(1), obligations de transparence, sanctionnables au titre de l'article 99(4)(g) jusqu'à 15 000 000 € ou 3 % du chiffre d'affaires mondial annuel. Deuxième critère : le modèle sous-jacent est-il un modèle d'IA à usage général ? Si oui, ses obligations sont celles de son fournisseur, pas les vôtres. Classement écrit : usage à traiter ce trimestre, avec la base et le motif.

L'outil de tri de candidatures

Rôle : déployeur aussi. Il ne parle à personne, donc l'article 50(1) ne le vise pas de la même manière. Mais il traite des données personnelles et affecte des personnes : le RGPD s'applique en parallèle, la CNIL restant pleinement compétente. Reste le haut risque, et la réponse est conditionnelle : si le système relève des annexes du règlement, l'article 26 impose un personnel suffisamment formé pour la supervision humaine. Le classement n'écrit donc pas « haut risque » : il écrit la condition, l'article qui la porte et l'action qui en dépend.

Un système ne se classe pas selon sa nouveauté, mais selon quatre critères : rôle, interaction avec des personnes, données personnelles, contenus produits. Deux assistants identiques peuvent tomber sous des régimes différents selon qui les fournit et qui les exploite.

Ce que vous devez préparer

Trois jours ne servent que si vous arrivez avec de quoi travailler. Cinq éléments suffisent.

• Un interlocuteur qui décide. Une personne capable de trancher pendant le cadrage, sans consulter trois niveaux.
• La liste des logiciels métier payants. Votre facturation fournisseurs suffit : elle fait apparaître les outils que l'IT ignore.
• Les contrats et notices de vos principaux fournisseurs, pour distinguer un modèle d'IA à usage général d'un système spécifique.
• Les personnes clés, une heure chacune : IT, RH, marketing. Ce sont elles qui révèlent ce qui échappe à la direction.
• Une demi-journée d'agenda : le cadrage et la restitution, étalés sur trois à quatre semaines.

Si ces éléments manquent, nous vous le dirons avant de commencer.

Ce que vous recevez

• La carte de vos usages de l'IA, avec votre rôle au sens du règlement (UE) 2024/1689 : fournisseur ou déployeur.
• Un classement de chaque système par niveau de risque, avec la base de la classification, article par article.
• Les obligations applicables à chaque usage, rattachées à leur article.
• Un éclairage sur l'article 4, la littératie IA, et sur l'article 26 pour les déployeurs de haut risque.
• La lecture des sanctions telles que les fixe l'article 99 — et la mention utile que l'article 4 n'y figure pas parmi les articles passibles d'amende.
• Les autorités françaises susceptibles de contrôler : CNIL, Arcom, DGCCRF, et les autorités sectorielles des produits réglementés de l'annexe I.
• Une feuille de route écrite et hiérarchisée : ce qui se traite ce trimestre, ce qui se prépare, ce qui peut attendre.

Ce que ce n'est pas

Par honnêteté, il faut être précis sur les limites.

• Ce n'est pas un audit de certification. Le diagnostic ne délivre ni certification, ni attestation de conformité, ni label. Le cabinet n'est ni agréé, ni habilité, ni mandaté par une autorité.
• Ce n'est pas une garantie de conformité. Nous ne promettons ni conformité garantie ni immunité, et nous n'affirmons pas qu'une sanction va tomber : nous disons ce qui est exigible et ce qui est risqué.
• Ce n'est pas un devis technologique. Le diagnostic ne vend ni développement, ni intégration, ni licence : il produit une lecture et une feuille de route.
• Ce n'est pas un avis juridique. Il situe les obligations au regard du texte ; l'interprétation d'un cas particulier reste à votre conseil.

Les objections, franchement

« On n'a pas de système IA. »

Presque personne n'en a au sens où vous l'entendez. Vous n'avez probablement pas construit de modèle : vous utilisez des fonctions d'IA intégrées à des outils que vous payez déjà, ou des assistants adoptés par un service. Le règlement nomme votre position « déployeur », et c'est elle qui fait naître des obligations. Le diagnostic sert d'abord à trancher ce qui est, ou non, un système d'IA au sens du texte.

« On sait déjà ce qu'on utilise. »

Vous connaissez ce que vous avez acheté. Le diagnostic s'intéresse à ce qui est utilisé : la fonctionnalité activée sans décision, le connecteur branché chez un fournisseur, l'essai devenu usage, l'outil ouvert sans autorisation. L'écart entre ces deux listes, c'est le travail du jour 2.

« C'est cher pour un document. »

Vous ne payez pas un document, vous payez trois jours de collecte et de qualification. Écrire « haut risque » prend dix secondes ; écrire pourquoi, en citant l'article et le critère, demande un temps réel par système — et c'est cette justification qu'on vous demandera un jour.

« Pourquoi pas gratuit, comme Bpifrance ? »

Il existe un dispositif public, le Diag Data IA, porté par Bpifrance dans le cadre du plan « Osez l'IA » ; ses conditions figurent sur notre page Tarifs. Si vous y êtes admissible, commencez par lui : ce serait absurde de payer ce que l'État finance. Mais le sujet diffère — il évalue le potentiel de l'IA et priorise des cas d'usage, là où nous traitons ce qui vous est déjà opposable. Notre diagnostic en ligne, lui, est réellement gratuit : il calcule dans votre navigateur et ne nous transmet rien.

Conditions et déroulé

Un diagnostic n'est utile que s'il se termine par un document que vous pouvez montrer.

Formule

Forfait 2 400 € HT, trois jours de travail effectif, répartis sur trois à quatre semaines selon vos disponibilités. Aucun coût de déplacement : tout se fait à distance.

Prix ferme, sans remise

Le montant de cette page est celui du devis que nous signons. Pas de prix d'appel, pas de « à partir de » qui double en route. Nous ne faisons pas de remise, pour une raison technique : une remise oblige à retirer quelque chose — un jour, une pièce, une relecture. Si le montant est hors de portée, nous réduisons le périmètre avec vous : deux systèmes traités proprement valent mieux que cinq traités à moitié.

Ce qui n'est pas inclus

La mise en œuvre. Le diagnostic dit quoi faire et dans quel ordre ; il ne le fait pas. L'offre Conformité prend la suite, sans que vous ayez à repayer le diagnostic.

Demander un devis

Et la distance ?

Le cabinet travaille entièrement à distance. Aucun déplacement n'est prévu, aucun n'est facturé, aucun n'est nécessaire. Tout se fait en visioconférence ou par téléphone, selon ce que vous préférez.

Ce n'est pas une contrainte subie : c'est le mode de travail qui convient à cette mission. Quatre raisons, vérifiables.

1. Ce que nous produisons n'a pas besoin d'une salle. Nous lisons des contrats et des notices de fournisseurs, nous interrogeons vos équipes, nous classons des systèmes, nous rédigeons des documents. Aucune de ces étapes n'exige que quelqu'un se trouve dans un même bâtiment.
2. La distance laisse plus de trace, pas moins. Chaque entretien donne lieu à un compte rendu écrit. Les séances de travail peuvent être enregistrées si vous le souhaitez. Une réunion dans un bureau ne laisse aucune preuve ; nos échanges en laissent une — et c'est exactement ce que vous devrez pouvoir présenter.
3. Vos équipes sont plus disponibles. Une heure d'entretien se cale plus facilement qu'une demi-journée bloquée dans un agenda. Dans une structure où personne n'a d'heure à perdre, c'est ce qui fait la différence entre un inventaire complet et un inventaire partiel.
4. Le prix ne dépend pas de votre adresse. Une entreprise à Lille, Marseille ou Bordeaux paie le même montant qu'une entreprise parisienne : aucun frais de déplacement, aucune nuit d'hôtel, aucune journée perdue en trajet.

Ce que cela demande de votre côté : un ordinateur, une connexion, et la disponibilité de vos équipes aux créneaux convenus. Rien d'autre.

Si, dans un cas particulier, une intervention sur place devenait réellement indispensable, elle ferait l'objet d'un devis distinct. En Île-de-France, elle resterait exceptionnelle ; hors Île-de-France, elle serait facturée. Nous n'avons pas eu à le faire à ce jour, et nous ne le proposons pas par défaut — parce que nous n'en voyons pas l'utilité pour ce type de travail.

Et si la visioconférence vous rebute, dites-le simplement : tout ce que nous faisons en visio, nous savons le faire par téléphone.

Questions fréquentes

Vous voulez situer votre point de départ sans rien engager ? Le diagnostic en ligne est gratuit et ne nous transmet rien. Pour aller plus loin, écrivez-nous en précisant votre effectif, les systèmes d'IA déjà en usage — même ceux que personne n'a validés — et l'échéance qui vous préoccupe. Vous recevrez un devis aligné sur le montant de cette page.