AI Act, ISO 42001, NIST AI RMF, Loi 25 : savoir ce qui s’applique, prouver que vous êtes prêt
Réglementations IA : un cadre clair pour sécuriser vos déploiements d’IA, tenir vos échéances et protéger votre ROI.
- 1AI ActRèglement européen, obligatoire
- 2ISO/IEC 42001Norme de management, certifiable
- 3NIST AI RMFCadre de gestion des risques, volontaire
- 4Loi 25 (Québec)Protection des renseignements personnels, obligatoire
Une réglementation qui touche le budget autant que la conformité
Pour un DSI, un Chief AI Officer ou un DPO, la question n’est plus de savoir si l’IA sera encadrée, mais de pouvoir démontrer, usage par usage, que son déploiement est maîtrisé.
Des obligations sur ce que vous utilisez déjà
L’AI Act ne vise pas que les éditeurs. Une entreprise qui déploie des outils d’IA du marché auprès de ses équipes peut être concernée en tant que déployeur, avec des obligations qui varient selon l’usage et son niveau de risque.
Un risque financier direct
Les sanctions prévues par l’AI Act peuvent atteindre 7 % du chiffre d’affaires mondial pour les pratiques interdites. S’y ajoute le coût d’une mise en conformité menée dans l’urgence, qui pèse sur les budgets IT et IA.
Une condition de la confiance
Clients, donneurs d’ordres et partenaires demandent de plus en plus de preuves sur la manière dont vous gouvernez l’IA. Être prêt devient un argument commercial, pas seulement une contrainte.
Le point commun : on ne peut pas se mettre en conformité sur des usages que l’on ne voit pas.
Découvrir comment repérer le Shadow AI
AI Act : le calendrier à retenir
Le règlement s’applique par étapes. Depuis le 2 août 2026, l’essentiel des règles s’applique et les contrôles ont commencé. Le Digital Omnibus sur l’IA a décalé les échéances du haut risque : les dates changent, les exigences de fond restent.
Définitions, maîtrise de l’IA et pratiques d’IA interdites.
Obligations pour les modèles d’IA à usage général et mise en place de la gouvernance européenne et nationale.
Application de la majorité des règles, dont la transparence (article 50), et début des contrôles au niveau national et européen.
Nouvelles interdictions (deepfakes sexuels non consentis, contenus pédopornographiques) et échéance transitoire du marquage des contenus générés pour les systèmes déjà commercialisés.
Systèmes à haut risque de l’annexe III (emploi, crédit, éducation, biométrie…).
Systèmes à haut risque intégrés à des produits réglementés (annexe I).
Calendrier établi d’après le site officiel de la Commission européenne (AI Act Service Desk), qui tient compte du règlement (UE) 2026/1744, publié au Journal officiel de l’Union européenne le 24 juillet 2026 et entré en vigueur le 27 juillet 2026. Vérifié le 12 octobre 2026. Ces informations sont données à titre indicatif et méritent d’être confirmées par vos équipes juridiques.
Quatre cadres de référence, quatre rôles complémentaires
Il ne s’agit pas de choisir l’un ou l’autre : chacun répond à une question différente, et tous s’appuient sur la même base, savoir précisément quelles IA sont utilisées, par qui et pour quoi.
AI Act
ObligatoireRèglement (UE) 2024/1689, en vigueur depuis le 1er août 2024. Il classe les systèmes d’IA selon leur niveau de risque : pratiques interdites, haut risque, obligations de transparence, risque minimal.
Ce que cela demande
- Recenser ses systèmes d’IA et les classer par niveau de risque
- Pour le haut risque : gestion des risques, qualité des données, documentation technique, supervision humaine, robustesse et cybersécurité
- Informer les personnes concernées et marquer les contenus générés par IA (transparence, article 50)
- Développer la maîtrise de l’IA des équipes, par des mesures adaptées
Point d’attention
Un report n’est pas un allègement. D’après les analyses publiées depuis l’entrée en vigueur du règlement (UE) 2026/1744, les échéances du haut risque sont repoussées, mais les exigences de fond restent inchangées. D’autres règles s’appliquent déjà, comme la transparence depuis le 2 août 2026, avec une échéance transitoire au 2 décembre 2026 pour le marquage des contenus générés par les systèmes déjà commercialisés.
Les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel (le montant le plus élevé s’applique) pour les pratiques interdites, et 15 millions d’euros ou 3 % pour les manquements aux autres obligations des opérateurs, dont la transparence.
Comment Fruggr vous aide
Un registre vivant de vos systèmes d’IA, la classification des risques selon l’AI Act, le suivi des obligations système par système, et des contrôles avec actions correctives pour savoir où vous en êtes à tout moment.
ISO/IEC 42001
Volontaire, certifiableNorme internationale publiée en décembre 2023, première norme de système de management de l’IA. Elle décrit comment une organisation gouverne, développe et utilise l’IA de façon responsable, selon la logique d’amélioration continue des normes ISO.
Ce que cela demande
- Définir le périmètre, une politique IA, les rôles et les responsabilités
- Évaluer les risques et les impacts de chaque système d’IA
- Mettre en place des contrôles, puis les revoir régulièrement
- Auditer, corriger et s’améliorer en continu
Point d’attention
Un signal de confiance, pas un substitut à la loi. La certification par un organisme indépendant rassure clients et donneurs d’ordres, et peut faciliter la démarche AI Act. Elle ne vaut pas, à elle seule, conformité au règlement.
Elle suppose un système de management vivant : c’est la preuve dans la durée qui compte, davantage que la photographie du jour de l’audit.
Comment Fruggr vous aide
Centraliser contrôles, preuves et actions correctives dans un même espace, pour préparer les audits sans repartir de zéro à chaque échéance et garder une vision claire de l’avancement.
NIST AI RMF
VolontaireCadre de gestion des risques de l’IA publié par le NIST (États-Unis) en janvier 2023. Il organise la démarche en quatre fonctions, et un profil dédié à l’IA générative (NIST AI 600-1) a été publié en juillet 2024.
Les quatre fonctions
- Govern : politiques, responsabilités, culture du risque
- Map : contexte, usages et parties prenantes de chaque système
- Measure : analyse et suivi des risques par des indicateurs
- Manage : priorisation, traitement et surveillance dans le temps
Point d’attention
Un cadre en évolution. Le NIST indique que la version 1.0 est en cours de révision. Il est donc préférable de s’appuyer sur la démarche, qui devrait rester utile, plutôt que sur la lettre du texte.
C’est un langage commun entre équipes IT, risques et conformité, sans cadre de certification.
Comment Fruggr vous aide
Une navigation de la plateforme organisée selon la même logique, Govern, Map et Measure, Manage, qui permet de passer de la cartographie des usages au pilotage des risques et du ROI.
Loi 25 (Québec)
ObligatoireLoi québécoise modernisant la protection des renseignements personnels, pleinement en vigueur depuis le 22 septembre 2024. Elle encadre leur collecte, leur utilisation et leur conservation.
Ce que cela demande
- Désigner un responsable et publier une politique de gouvernance
- Obtenir un consentement libre et éclairé, et réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour les projets à risque
- Tenir un registre des incidents et aviser la Commission d’accès à l’information (CAI) en cas de risque de préjudice sérieux
- Respecter les droits des personnes et les informer des décisions fondées sur un traitement automatisé
Point d’attention
Il n’y a plus de délai à attendre. Les trois phases d’entrée en vigueur sont terminées, et la CAI peut imposer elle-même des sanctions administratives pécuniaires.
Elles peuvent atteindre 10 millions de dollars canadiens ou 2 % du chiffre d’affaires mondial, et les amendes pénales 25 millions ou 4 % (le montant le plus élevé s’applique).
Comment Fruggr vous aide
Un registre vivant de vos systèmes d’IA qui traitent des renseignements personnels, et le suivi des obligations de la Loi 25 système par système (EFVP, décisions automatisées, transferts hors Québec).
Un seul socle, quatre lectures
Ces cadres se recoupent largement. En partant d’un registre unique des usages IA, vous réutilisez le même travail pour répondre à chacun, au lieu de le refaire quatre fois.
AI Act
Ce que la loi européenne exige, selon le niveau de risque, pour chacun de vos systèmes d’IA.
Loi 25
Comment protéger les renseignements personnels que traitent vos systèmes d’IA, et le démontrer.
ISO/IEC 42001
Comment organiser une gouvernance de l’IA durable, puis la faire certifier par un tiers indépendant.
NIST AI RMF
Comment raisonner et traiter les risques de l’IA avec méthode, sans passer par une certification.
Ce que cela change selon votre rôle
La gouvernance de l’IA mobilise plusieurs fonctions. Chacune a ses propres questions, et une même plateforme peut y répondre.
DSI
Savoir quelles IA sont déployées, à quel coût, et arbitrer sans perdre de vitesse.
Chief AI Officer et COMEX
Rendre l’IA pilotable : valeur créée, risques assumés, responsabilités claires.
DPO
Articuler le RGPD et l’AI Act sur les mêmes registres et les mêmes preuves.
RSSI
Identifier les usages non maîtrisés et les fournisseurs d’IA qui exposent l’entreprise.
Conformité et juridique
Classer les systèmes, suivre les obligations et disposer de preuves à jour.
Achats
Évaluer les fournisseurs d’IA et sécuriser les contrats avec les bonnes exigences.
Par où commencer
Une démarche en quatre temps, qui sert à la fois la conformité et le pilotage de la valeur.
Recenser
Cartographier tous les usages IA, y compris ceux qui échappent à la DSI.
Classer
Évaluer le niveau de risque, le coût et la valeur de chaque système.
Piloter
Désigner les responsables, mettre en place les contrôles, suivre les coûts et le ROI.
Prouver
Produire les rapports et les preuves attendus par les auditeurs et les clients.
Ce que coûte l’absence de gouvernance de l’IA
Selon IBM, une fuite de données coûte en moyenne 4,99 millions de dollars en 2026. Les sanctions prévues par l’AI Act viennent s’y ajouter, et les organisations touchées manquaient souvent de gouvernance.
Sources : article 99 de l’AI Act ; IBM et Ponemon Institute, Cost of a Data Breach Report 2026.
Questions fréquentes
L’AI Act s’applique-t-il à mon entreprise si je me contente d’utiliser des outils d’IA du marché ?
Potentiellement, oui. Le règlement distingue les fournisseurs des déployeurs, c’est-à-dire ceux qui utilisent un système d’IA dans leur activité. Vos obligations dépendent de l’usage et de son niveau de risque. Un recensement précis de vos usages est la première étape pour le déterminer, avec l’appui de vos équipes juridiques.
Le report des obligations sur le haut risque change-t-il quelque chose ?
Il change les dates, pas le fond. Le règlement (UE) 2026/1744 repousse les obligations sur le haut risque au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. Les exigences restent les mêmes, et d’autres règles s’appliquent déjà, comme la transparence depuis le 2 août 2026. Ce délai est surtout l’occasion de s’organiser sans urgence.
La norme ISO/IEC 42001 est-elle obligatoire ?
Non. Elle est volontaire, mais certifiable par un organisme indépendant. Elle constitue un socle solide pour structurer la gouvernance de l’IA et rassurer clients et partenaires. Elle ne remplace pas la conformité à l’AI Act, qu’elle peut toutefois faciliter.
Le NIST AI RMF concerne-t-il une entreprise européenne ?
Il n’a pas de valeur réglementaire en Europe, mais il est largement utilisé comme méthode de gestion des risques, notamment par les organisations qui travaillent avec des clients ou des filiales nord-américaines. Il se combine bien avec l’AI Act et l’ISO/IEC 42001.
Par où commencer concrètement ?
Par un registre complet de vos usages IA, y compris ceux adoptés sans validation de la DSI (Shadow AI). Sans cette vision, il est difficile de classer les risques, de suivre les coûts et de répondre aux trois référentiels de façon cohérente.
Fruggr garantit-il ma conformité ?
Non, et aucune plateforme ne peut le faire à votre place. Fruggr vous donne la visibilité, le suivi des obligations et les preuves nécessaires pour piloter votre conformité et la démontrer. L’interprétation juridique reste du ressort de vos équipes et de vos conseils.
Sources et mise à jour
- Règlement (UE) 2024/1689 (AI Act) : texte au Journal officiel de l’Union européenne
- Règlement (UE) 2026/1744 (Digital Omnibus sur l’IA), publié au Journal officiel le 24 juillet 2026, en vigueur le 27 juillet 2026
- Calendrier officiel : AI Act Service Desk de la Commission européenne et article 113 de l’AI Act (version consolidée)
- Sanctions : article 99 de l’AI Act (AI Act Service Desk)
- ISO/IEC 42001:2023 : fiche de la norme sur iso.org
- NIST AI Risk Management Framework : page officielle du NIST
- Chiffres de marché : IBM et Ponemon Institute, Cost of a Data Breach Report 2026
- Dernière mise à jour de cette page : 3 novembre 2026. Contenu informatif, qui ne constitue pas un avis juridique.
Voyez où vous en êtes sur vos usages IA
En une démo, découvrez comment Fruggr cartographie vos usages, suit vos obligations et relie conformité, coûts et ROI.