RÉGLEMENTATION · AI ACT
Les obligations de l’AI Act, pilotées comme le reste de votre risque.
Les interdictions s’appliquent depuis février 2025, les obligations des IA à usage général depuis août 2025, les obligations de transparence depuis le 2 août 2026, et l’essentiel du haut risque arrive désormais le 2 décembre 2027 après l’omnibus numérique sur l’IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026). Mindlapse fait entrer vos systèmes d’IA dans le même registre vérifié que chaque risque que vous pilotez : inventoriés, évalués, prouvés.
QU’EST-CE QUE L’AI ACT ?
Le cadre européen de l’intelligence artificielle, fondé sur le risque.
L’AI Act (règlement (UE) 2024/1689) est le cadre horizontal européen de l’intelligence artificielle, en vigueur depuis le 1er août 2024 et applicable par étapes : pratiques interdites et maîtrise de l’IA depuis le 2 février 2025, IA à usage général et gouvernance depuis le 2 août 2025, obligations de transparence depuis le 2 août 2026, l’essentiel des obligations haut risque à partir du 2 décembre 2027 (report décidé par l’omnibus numérique sur l’IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026)), et l’IA haut risque embarquée dans des produits déjà réglementés d’ici le 2 août 2028.
Il est fondé sur le risque : une courte liste de pratiques interdites ; les systèmes d’IA à haut risque (domaines de l’annexe III comme l’emploi, le crédit ou les services essentiels) soumis aux obligations les plus lourdes ; des obligations de transparence pour le risque limité ; la liberté pour le reste. Les obligations dépendent du rôle : les fournisseurs qui mettent les systèmes sur le marché en portent l’essentiel, les déployeurs qui les utilisent portent les leurs, de la supervision à la journalisation.
Pour le haut risque, le règlement exige un système de gestion des risques, une gouvernance des données, une documentation technique, la journalisation des événements, une supervision humaine, l’exactitude, la robustesse et la cybersécurité, plus une surveillance après commercialisation. Les amendes atteignent 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour les pratiques interdites.
LES OBLIGATIONS
Ce que l’AI Act vous demande vraiment.
Connaître son IA (inventaire & classification)
On ne se conforme pas à des obligations qu’on n’a pas localisées : chaque système d’IA utilisé ou en construction, classé par niveau de risque et par votre rôle, fournisseur ou déployeur.
Système de gestion des risques (art. 9)
Pour l’IA à haut risque : identifier, évaluer et traiter les risques de chaque système sur tout son cycle de vie, en processus continu et documenté, pas en évaluation ponctuelle.
Supervision humaine & transparence (art. 13-14)
Les systèmes à haut risque fonctionnent sous supervision humaine effective, avec des instructions utilisables ; les systèmes à risque limité disent aux personnes qu’elles font face à une IA.
Documentation & journalisation (art. 11-12)
Une documentation technique qui démontre la conformité, et des journaux enregistrés automatiquement qui rendent le fonctionnement traçable, conservés et exploitables.
Robustesse & cybersécurité (art. 15)
Exactitude et résilience face aux erreurs et aux attaques (empoisonnement de données ou de modèle, entrées adverses) au niveau qu’exige la finalité du système, avec une surveillance après commercialisation qui apprend du réel.
CE QUE FAIT MINDLAPSE
Les obligations IA, dans la gouvernance que vous opérez déjà.
L’AI Act n’appelle pas un programme de conformité parallèle : il appelle vos systèmes d’IA dans l’inventaire, le registre et le jeu de contrôles que votre organisation pilote déjà.
Les systèmes d’IA dans la chaîne de valeur
La chaîne de valeur cartographie quelles fonctions métier reposent sur quels systèmes d’IA et quels fournisseurs se tiennent derrière : le périmètre est une carte maintenue, pas une enquête annuelle.
Le risque IA dans le même registre
Risk Intelligence tient les risques IA avec vraisemblance, impact et décisions de traitement aux côtés de chaque autre risque cyber : un registre, une appétence, un chemin d’escalade.
Des obligations en contrôles vérifiés
Smart Compliance porte les obligations de l’AI Act dans votre jeu de contrôles par mapping inter-référentiels et surveille chaque contrôle en continu, avec des verdicts sourcés et datés.
Les fournisseurs d’IA sous due diligence
TPRM évalue les fournisseurs d’IA comme tout fournisseur critique : questionnaires contextuels, détection des contradictions, réévaluation quand modèles, conditions ou sous-traitants changent.
Une supervision visible du conseil
Le Cyber Cockpit rapporte la posture IA dans les mêmes vues de niveau conseil que le reste de votre risque : ce qui est déployé, ce qui est vérifié, quelles décisions restent ouvertes.
AI ACT - FAQ
Questions fréquentes, réponses directes.
À qui s’applique l’AI Act ?
Aux fournisseurs qui mettent des systèmes d’IA sur le marché européen, aux déployeurs qui les utilisent dans un cadre professionnel, aux importateurs et distributeurs, y compris aux fournisseurs hors UE quand le résultat du système est utilisé dans l’Union. La plupart des entreprises sont d’abord déployeuses d’IA construites par d’autres.
Quelles sont les échéances ?
En vigueur depuis le 1er août 2024. Pratiques interdites et maîtrise de l’IA depuis le 2 février 2025 ; obligations des IA à usage général et cadre de gouvernance depuis le 2 août 2025 ; obligations de transparence de l’article 50 depuis le 2 août 2026 ; l’essentiel des obligations haut risque à partir du 2 décembre 2027, report décidé par l’omnibus numérique sur l’IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026) ; l’IA haut risque embarquée dans des produits réglementés d’ici le 2 août 2028.
Sommes-nous fournisseur ou déployeur ?
Cela se décide système par système, pas entreprise par entreprise. Acheter et utiliser un système fait de vous un déployeur ; le modifier substantiellement, l’affiner pour une nouvelle finalité ou y apposer votre nom peut faire de vous son fournisseur, avec les obligations plus lourdes qui suivent. C’est exactement pourquoi l’inventaire vient en premier.
Qu’est-ce que cela change pour un RSSI ?
L’IA rejoint la gouvernance que vous opérez déjà : un inventaire à maintenir, des risques à évaluer et traiter, des contrôles à faire fonctionner, une supervision à organiser et des preuves à conserver. La discipline est celle que les équipes cyber connaissent, appliquée à une nouvelle classe de systèmes : précisément la mécanique que Mindlapse fait tourner.
Mindlapse est-il lui-même une IA gouvernée ?
Oui, par construction : le moteur ERNEST fonctionne sous des mécanismes explicites (humain dans la boucle pour les actions à conséquence, garde-fous, évaluation LLM-as-a-judge et piste d’audit IA complète) documentés dans notre manifeste IA et notre Trust Center. Nous nous appliquons la discipline que cette page décrit.
GLOSSAIRE
Termes à connaître
AI ACT, OPÉRATIONNALISÉ
Votre IA, dans le registre où elle doit être.
Venez avec votre liste d’outils d’IA, même approximative. Nous montrons à quoi ressemble un inventaire piloté.