AI Act sur AWS : audit de conformité pour PME en 3 semaines

Le contexte

Le règlement européen sur l’IA (AI Act) impose depuis février 2025 un niveau minimal de compétences IA aux collaborateurs concernés. Les sanctions nationales s’appliquent depuis le 2 août 2026, jusqu’à 7 % du chiffre d’affaires mondial pour les pratiques interdites.

La plupart des PME que je croise ont déjà des systèmes IA en production sans le savoir : Copilot dans Microsoft 365, agents Bedrock dans une application cliente, ChatGPT en shadow IT chez les équipes marketing, RAG sur des bases internes, automatisations Zapier avec OpenAI derrière.

Aucun inventaire. Aucune classification. Aucune documentation. C’est ce trou que cet audit comble.

Pour qui

• Un ou plusieurs systèmes IA en production (chatbot, RAG, agent, classification, scoring)
• Du shadow IT IA non cartographié (ChatGPT, Claude, Copilot, Gemini)
• Bedrock, SageMaker ou un LLM auto-hébergé sur AWS
• Un audit ISO 27001, SOC2 ou DORA à venir intégrant un volet IA
• Des clients ou investisseurs qui demandent la preuve de conformité AI Act

Ce qui est livré

Semaine 1 — Cartographie

• Inventaire des systèmes IA en production (interne et SaaS tiers)
• Détection du shadow IT IA via revue IAM, logs Bedrock, factures AWS et entretiens
• Cartographie des flux de données entrant et sortant des modèles
• Identification des données sensibles (PII, santé, RH, financières) traitées par IA

Semaine 2 — Classification et risques

• Classification de chaque système selon les 4 niveaux AI Act (interdit, haut risque, risque limité, risque minimal)
• Revue sécurité Bedrock : IAM, Guardrails, PrivateLink, encryption, logging
• Audit des prompts, du fine-tuning et des sources de données d’entraînement
• Identification des écarts par rapport aux articles 4, 9, 10, 13, 14 et 50

Semaine 3 — Documentation et plan d’action

• Registre AI Act conforme article 4 (formats prêts pour audit)
• Documentation technique des systèmes haut risque
• Plan d’action 30/60/90 jours chiffré et priorisé
• Recommandations sur la formation des équipes (article 4)
• Cadrage optionnel d’une bascule vers Mistral souverain ou self-hosted

Ce qui n’est pas inclus

• La formation des équipes elle-même (orientation vers un organisme Qualiopi partenaire)
• Le suivi de mise en œuvre (relève du retainer mensuel)
• Le conseil juridique sur la qualification des systèmes (à arbitrer avec votre avocat tech ou DPO)

Prix et délais

6 500 € forfait, 3 semaines entre kick-off et remise du livrable.

Engagement : si l’audit n’identifie aucun écart de conformité significatif sur vos systèmes IA en production, je rembourse 50 % du prix. Le risque réglementaire reste documenté quoi qu’il arrive.

Pourquoi Distribuée

6 certifications AWS dont 3 Professional/Specialty (Solutions Architect Pro, DevOps Pro, Security Specialty), Generative AI Developer Professional en cours. DevSecOps senior. Distribuée, c’est l’expertise CAC40 sur les sujets cloud sensibles, sans la lourdeur d’un grand cabinet.