AI Act européen / gouvernance / audit
L’AI Act s’applique à l’IA que vous exploitez déjà.
Anduril est un cabinet de conseil en conformité et gouvernance de l’IA. Nous inventorions, auditons et mettons en conformité les systèmes d’IA des grandes organisations, puis nous accompagnons leur déploiement. Vous repartez avec une position défendable et les preuves qui la soutiennent.
- Systèmes d’IA audités
- 250+
- Organisations accompagnées
- 25+
- Référentiels réglementaires couverts
- 5
Le constat
L’IA entre dans l’entreprise plus vite qu’elle n’est recensée : modèles en production, outils achetés par les équipes, automatisations que personne n’a déclarées. Le règlement européen vise ces systèmes, pas seulement vos projets à venir, selon le rôle que vous y jouez et le niveau de risque de chacun.
Notre position
La conformité n’est pas un frein au déploiement. C’est ce qui permet de mettre un système en production et de défendre cette décision devant un comité des risques, un client ou une autorité de contrôle. Chaque conclusion que nous rendons repose sur une preuve vérifiable.
Exposition
Deux questions fixent vos obligations.
Le règlement vous oblige selon le rôle que vous jouez et selon le niveau de risque du système. Acheter un outil d’IA ne fait pas de vous un simple déployeur : apposez votre marque dessus, ou réentraînez-le sur vos données, et vous pouvez devenir fournisseur, avec la documentation et l’évaluation de conformité que cela emporte.
Risque inacceptable
Des pratiques interdites, sans voie de mise en conformité. C’est le palier de sanction le plus lourd du règlement, jusqu’à 7 % du chiffre d’affaires annuel mondial.
Notation sociale, moissonnage non ciblé d’images faciales, inférence des émotions sur le lieu de travail, ce qui atteint plus d’outils RH et de productivité que les acheteurs ne le pensent.
Haut risque
Système de gestion des risques, gouvernance des données, documentation technique, journalisation, contrôle humain, exigences d’exactitude et de robustesse, évaluation de conformité avant la mise sur le marché.
Recrutement et gestion du personnel, solvabilité, éducation, accès aux services essentiels, tarification en assurance vie et santé, IA embarquée dans des produits réglementés.
Risque limité
Des obligations d’information qui pèsent aussi sur le déployeur. Les personnes doivent savoir qu’elles échangent avec une machine, et les contenus synthétiques doivent être signalés comme tels.
Assistants en contact avec le public, reconnaissance des émotions, catégorisation biométrique, textes, images, sons et vidéos générés.
Risque minimal
Aucune obligation propre au système, mais deux exigences demeurent : la maîtrise de l’IA par les équipes qui l’utilisent ou la supervisent, et votre capacité à prouver que la classification a été faite délibérément.
Le palier où la plupart des organisations pensent se trouver. C’est aussi celui qu’elles savent le moins démontrer.
Les modèles d’IA à usage général suivent un régime distinct, dont les obligations se transmettent à quiconque les modifie substantiellement. La classification n’est pas une formalité : elle fixe toutes les obligations qui suivent, et c’est la première chose qu’un auditeur, un client ou un régulateur vous demandera de justifier.
Conformité de l’IA
De l’inventaire à la preuve, un parcours en six étapes.
Chaque service se suffit à lui-même. Vous entrez à l’étape qui correspond à votre maturité.
Inventaire et registre des systèmes d’IA
Tous les systèmes d’IA de l’organisation réunis dans un registre unique, IA non déclarée et IA embarquée dans les outils fournisseurs comprises : responsable, finalité, données utilisées, rôle au sens du règlement, niveau de risque. Rien de ce qui suit ne tient sans lui.
2 · Évaluer Mission de référenceAudit de conformité d’un système d’IA
L’audit d’un système donné, sur la conformité et sur le risque : classification, biais, robustesse, explicabilité, contrôle humain, gouvernance des données. Vous recevez une opinion formelle, les preuves qui la fondent et une feuille de route de remédiation, sans accès au modèle.
3 · RemédierMise en conformité AI Act
L’exécution du plan d’action issu de l’audit : documentation technique, classification, obligations du fournisseur et du déployeur, conception du contrôle humain, contrôles compensatoires, jusqu’à une position que vous pouvez défendre.
4 · StructurerCadre de gouvernance de l’IA
Le dispositif permanent : comité, corpus de politiques, RACI, circuits de décision et d’escalade, gestion des incidents. Un référentiel de contrôles unique répond en une fois à l’AI Act, à l’ISO/IEC 42001, au NIST AI RMF et à vos règles sectorielles.
5 · OutillerChoix d’une plateforme de gouvernance IA
Matrice d’exigences, appel d’offres, preuve de concept comparative et dossier de coût complet. La décision repose sur des preuves testées, pas sur une démonstration.
6 · FormerFormation et maîtrise de l’IA
Des parcours par public, dirigeants, métiers, équipes data et juridiques, qui répondent à l’obligation de maîtrise de l’IA de l’article 4, avec une évaluation avant et après et un registre des attestations.
Verticale
IA dans les ressources humaines. Tri de CV, notation des candidats, appariement de profils, mobilité interne : ces usages relèvent du haut risque. Un audit dédié aux directions RH et SIRH, qui croise AI Act, RGPD et droit du travail. Voir l’audit RH
À la une
L’audit de conformité d’un système d’IA.
Notre mission de référence, et souvent le meilleur point d’entrée : un diagnostic rendu par un tiers, qui dit où vous en êtes et ce qu’il reste à faire.
- Durée
- 2 à 6 semaines
- Accès requis
- Aucun aux poids du modèle
- Référentiels
- AI Act, ISO/IEC 42001, NIST AI RMF
- Livrable
- Opinion formelle et feuille de route
Pourquoi un regard tiers
Le règlement admet une auto-évaluation pour la plupart des systèmes à haut risque. Une auto-évaluation se défend mal le jour où une autorité, un client ou un comité la conteste. Une opinion formelle, selon la logique d’un audit financier, rend votre position défendable.
Ce que nous examinons
Huit piliers, de la gestion des risques à l’alignement réglementaire, et pas une liste de documents à cocher : nous vérifions que chacun tient réellement en pratique.
Le détail de l’audit →Pour les fournisseurs établis hors de l’Union
Entrer sur le marché européen sans y être établi.
Un fournisseur établi hors de l’Union ne peut pas traiter directement avec les autorités européennes. Le règlement lui impose de désigner d’abord un mandataire dans l’Union, et l’obligation pèse sur le fournisseur, pas sur ses distributeurs ni sur ses clients.
Mandat permanent
Mandataire dans l’Union européenne
Nous tenons le mandat. Nous conservons la documentation technique et la déclaration de conformité pendant toute sa durée, nous sommes le point de contact nommé des autorités de surveillance du marché et des autorités nationales compétentes, nous coopérons avec elles sur demande, et nous tenons le mandat enregistré et à jour.
Un mandat n’est pas une boîte aux lettres. Le mandataire porte des obligations propres et doit mettre fin au mandat s’il considère que le fournisseur agit contre les siennes. Nous examinons donc le dossier avant de signer, et nous vous disons ce qui manque à ce moment-là plutôt que le jour où une autorité le demande.
- Qui est concerné
- Fournisseurs établis hors UE
- Base légale
- Articles 22 et 54
- Périmètre
- Systèmes à haut risque, modèles d’IA à usage général
- Forme
- Mandat écrit, tenu à l’année
Projets IA
Déployer, pas seulement contrôler.
Un système conforme qui n’arrive jamais en production ne sert à personne. Nous mettons à votre disposition des product owners IA et des directeurs de projets IA qui conduisent vos projets jusqu’au déploiement, avec les exigences de conformité intégrées dès le cadrage.
Product owner IA
Porte la vision du produit, arbitre le backlog et tient le lien entre les métiers, les équipes data et la conformité.
Directeur de projet IA
Pilote le programme : jalons, risques, budget, comitologie et reporting à la direction.
Cadrage et priorisation
Un portefeuille de cas d’usage classés par valeur et par faisabilité, réglementaire comprise, avant d’engager le budget.
Le cabinet
Une équipe senior, spécialisée en conformité de l’IA.
Nous intervenons auprès de groupes régulés qui cumulent plusieurs régimes de conformité, là où une même décision d’IA doit satisfaire le règlement européen, un superviseur sectoriel et une fonction de risque interne.
Stratégie et delivery
Des praticiens qui ont conduit des programmes d’IA en entreprise de bout en bout.
Droit et régulation
Régulation de l’IA, protection des données et règles sectorielles.
Conformité opérationnelle
La conformité de l’IA exercée au quotidien, au sein de grands groupes cotés.
Une opinion ne vaut que ce à quoi elle résiste.
Des opinions défendables. Chaque conclusion renvoie à la preuve qui la fonde, et nous le disons quand la preuve ne suffit pas.
Sans accès au modèle. Notre évaluation fonctionne en boîte noire. C’est décisif quand le système est un produit fournisseur, quand l’éditeur refuse de l’ouvrir ou quand l’équipe qui l’a construit est partie.
Des praticiens, pas seulement des relecteurs. L’équipe construit elle-même des modèles, des pipelines de données et des agents. Elle audite avec une compréhension réelle de la technique, pas seulement de la documentation.
Référentiels
Un seul programme de contrôles, plusieurs référentiels.
Plutôt que de conduire des exercices de conformité parallèles, nous construisons un jeu de contrôles unique qui répond à tous en même temps.
EU AI Act
Le règlement contraignant : classification par niveau de risque, obligations du fournisseur et du déployeur, documentation technique, contrôle humain.
ISO/IEC 42001
La norme de système de management de l’IA, la seule des trois à ouvrir une certification par un tiers, de plus en plus demandée pour qualifier un fournisseur.
NIST AI RMF
Le cadre de gestion des risques le plus répandu, utile comme langage de contrôle commun entre équipes et entre pays.
Un même contrôle de supervision humaine satisfait les trois. Nous rattachons chaque contrôle aux obligations qu’il couvre, RGPD et règles sectorielles comprises, de sorte que la même preuve serve à tous vos interlocuteurs.
Prochaine étape
Commencez par un système.
Choisissez le système d’IA qui serait le plus difficile à défendre si une autorité de contrôle, un client ou votre audit interne vous interrogeait demain. Nous cadrons son audit et vous disons précisément ce que la mise en conformité implique.