Maturité AI Act · Conformité à la loi européenne sur l’IA (usage de l’IA en entreprise)
Vos usages de l’IA classés, votre maturité AI Act mesurée, votre plan d’action chiffré.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité AI Act · Conformité à la loi européenne sur l’IA (usage de l’IA en entreprise)
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act) lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les systèmes d’IA utilisés dans l’organisation sont-ils recensés et qualifiés selon leur niveau de risque ?
- N1
Aucun recensement. Les usages d’IA sont connus au cas par cas, selon les personnes qui les ont mis en place.
- N2
Une liste existe, constituée lors d’une collecte ponctuelle. Elle couvre les projets portés par la DSI et ne mentionne pas de niveau de risque.
- N3
L’inventaire couvre l’ensemble des entités, chaque système porte une qualification de risque et un responsable identifié. La mise à jour est régulière.
- N4
L’inventaire est alimenté par un processus déclaratif obligatoire à la mise en service. Les qualifications sont validées par l’instance de gouvernance et tracées.
- N5
L’inventaire est réexaminé périodiquement à l’occasion des évolutions fonctionnelles et réglementaires, avec un historique des reclassements et de leurs motifs.
Action pour passer de N2 à N3
Étendre la collecte aux outils introduits par les métiers et aux fonctions d’IA embarquées dans les logiciels existants, ajouter à chaque ligne un responsable et une qualification de risque, et inscrire la revue de l’inventaire à l’ordre du jour du comité data trimestriel.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur AI ACT.
De quoi parle ce référentiel
Le règlement (UE) 2024/1689, publié en juillet 2024 et entré en vigueur le 1er août 2024, classe les systèmes d’IA selon le risque qu’ils présentent : pratiques interdites, systèmes à haut risque soumis à un jeu d’exigences complet, systèmes à obligations de transparence, modèles d’IA à usage général avec leurs propres règles. Il distingue aussi les rôles : fournisseur, déployeur, importateur, distributeur. Pour une entreprise qui achète et déploie de l’IA plutôt qu’elle n’en développe, l’essentiel des obligations relève du statut de déployeur, avec un basculement possible vers le statut de fournisseur en cas de modification substantielle ou de mise sous sa propre marque.
La difficulté n’est pas de lire le texte, elle est de le rattacher à des usages réels, souvent arrivés par les métiers sans passer par la DSI. Combien de systèmes d’IA sont effectivement en production dans vos entités, et qui en tient l’inventaire ? Lesquels relèvent de l’annexe III, notamment en ressources humaines, en accès au crédit ou en gestion des travailleurs ? Qui valide la mise en service d’un nouvel usage, et sur quels critères ? Les réponses sont rarement centralisées, et le périmètre bouge plus vite que la documentation.
Un point de contexte mérite d’être posé. Le calendrier est échelonné : interdictions et obligations de littératie en matière d’IA applicables depuis février 2025, règles sur les modèles à usage général depuis août 2025, gros des exigences sur les systèmes à haut risque à partir d’août 2026, avec un report pour certains systèmes intégrés à des produits réglementés. Autre confusion fréquente : l’AI Act ne remplace pas le RGPD et ne s’y substitue pas. Les deux textes se cumulent, et une analyse d’impact sur les droits fondamentaux ne dispense pas d’une analyse d’impact relative à la protection des données.
L’audit de conformité tranche : l’obligation est satisfaite ou elle ne l’est pas. Le diagnostic de maturité répond à une autre question. À quel niveau de maîtrise se situe l’inventaire des systèmes, la classification par risque, la supervision humaine, la documentation ou la formation des équipes, et quelle action précise fait passer au niveau suivant. C’est cette lecture qui permet de séquencer un programme de transformation sur plusieurs entités, plutôt que de traiter tous les écarts en même temps.
Dans Datamensio, le référentiel est prêt à l’emploi. Vous pouvez aussi l’adapter : l’IA ajuste les thématiques, les questions et les niveaux selon votre secteur et votre statut au sens du règlement, ou construit une déclinaison à partir de vos politiques internes et de votre inventaire d’usages existant.
Norme de référence : Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle (AI Act)
Les thématiques évaluées
Gouvernance de l’IA et rôles
Instance de décision, rattachement hiérarchique, rôles et responsabilités, qualification du statut de fournisseur ou de déployeur pour chaque système, politique interne d’usage de l’IA.
Inventaire des systèmes d’IA
Recensement des usages en production et en projet, périmètre couvert, informations tenues à jour, prise en compte des outils introduits par les métiers et des fonctions d’IA embarquées dans les logiciels du marché.
Classification par niveau de risque
Méthode de qualification, identification des pratiques interdites, examen des cas de l’annexe III, systèmes soumis aux obligations de transparence, traçabilité et révision des décisions de classification.
Gestion des risques et qualité des données
Analyse des risques par système, jeux de données d’entraînement et de test, représentativité, biais identifiés et mesures correctives, robustesse et exactitude attendues.
Documentation technique et traçabilité
Documentation exigée selon le rôle, instructions d’utilisation du fournisseur, journalisation des événements, durée de conservation des enregistrements, éléments mobilisables en cas de demande d’une autorité.
Supervision humaine
Points de contrôle humain effectifs, autorité de la personne chargée de la supervision, capacité à interrompre le système, compétence et disponibilité réelles des superviseurs.
Transparence et information des personnes
Information des personnes exposées à un système d’IA, marquage des contenus générés, information des travailleurs et de leurs représentants, explicabilité des décisions individuelles.
Chaîne d’approvisionnement et fournisseurs
Clauses contractuelles avec les fournisseurs de systèmes et de modèles à usage général, éléments de conformité obtenus, dépendances techniques, conditions de réversibilité.
Littératie et compétences
Sensibilisation des utilisateurs, formation adaptée aux usages, compétences internes en évaluation de modèles, dispositif d’accompagnement des métiers.
Surveillance après déploiement et incidents
Suivi du comportement des systèmes en exploitation, détection des dérives, procédure de remontée et de traitement des incidents graves, boucle de retour vers le fournisseur et vers la gouvernance.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
Ce diagnostic rend-il mon organisation conforme à l’AI Act ?
Non. Il mesure la maturité de votre dispositif et identifie les écarts à traiter. La conformité s’établit au regard du règlement, système par système, et la démonstration relève de vos propres travaux et le cas échéant d’une évaluation de conformité. Le diagnostic prépare et structure ce chemin.
Quelle différence entre ce diagnostic de maturité et un audit de conformité ?
L’audit conclut par un écart ou une conformité sur une exigence donnée. Le diagnostic situe vos pratiques sur une échelle progressive et indique l’action qui fait monter d’un niveau. Les deux sont complémentaires : le diagnostic sert à séquencer, l’audit à valider.
Le référentiel s’adresse-t-il aux fournisseurs ou aux utilisateurs de systèmes d’IA ?
Il est construit pour les organisations qui déploient de l’IA dans leurs opérations, statut de déployeur au sens du règlement. Les thématiques couvrent aussi les situations de bascule vers le statut de fournisseur, fréquentes en cas de modification substantielle ou de mise sous sa propre marque.
Combien de temps prend l’évaluation ?
La version courte se remplit en 20 à 30 minutes. La version complète, en mode collaboratif, s’étale généralement sur une à deux semaines : l’essentiel du temps sert à collecter les éléments auprès des métiers, du juridique et de la DSI.
Peut-on adapter le référentiel à notre contexte ?
Oui. Vous modifiez les questions, les niveaux et les thématiques, ou vous partez d’une base vierge. L’IA peut aussi produire une déclinaison sectorielle à partir de vos politiques internes. La maîtrise du référentiel vous appartient.
Comment ce diagnostic s’articule-t-il avec ISO/IEC 42001 et le RGPD ?
ISO/IEC 42001 fournit le système de management qui permet de tenir les obligations dans le temps, le RGPD s’applique dès qu’il y a des données personnelles. Une feuille de route transversale consolide les trois évaluations et évite de dupliquer les actions communes, notamment sur la gouvernance et la documentation.
Peut-on comparer plusieurs entités entre elles ?
Oui. Les audits peuvent être lancés à l’échelle industrielle sur plusieurs business units, avec un benchmark entre entités et par rapport aux campagnes précédentes. L’IA regroupe les écarts récurrents en une feuille de route priorisée à l’échelle du groupe.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.