AI Act : audit de conformité pour PME en 3 semaines

Le contexte

Le règlement européen sur l’IA (AI Act) impose depuis février 2025 un niveau minimal de compétences IA aux collaborateurs concernés. Les sanctions nationales s’appliquent depuis le 2 août 2026, jusqu’à 7 % du chiffre d’affaires mondial pour les pratiques interdites.

La plupart des PME que je croise ont déjà des systèmes IA en production sans le savoir : Copilot dans Microsoft 365, agents Bedrock dans une application cliente, ChatGPT en shadow IT chez les équipes marketing, RAG sur des bases internes, automatisations Zapier avec OpenAI derrière.

Aucun inventaire. Aucune classification. Aucune documentation. C’est ce trou que cet audit comble.

Pour qui

• Un ou plusieurs systèmes IA en production (chatbot, RAG, agent, classification, scoring)
• Du shadow IT IA non cartographié (ChatGPT, Claude, Copilot, Gemini)
• Bedrock, SageMaker, Azure OpenAI ou un LLM auto-hébergé
• Un audit ISO 27001, SOC2 ou DORA à venir intégrant un volet IA
• Des clients ou investisseurs qui demandent la preuve de conformité AI Act

Ce qui est livré

Semaine 1 — Cartographie

• Inventaire des systèmes IA en production (interne et SaaS tiers)
• Détection du shadow IT IA via revue IAM, logs d’invocation, factures cloud et SaaS, et entretiens
• Cartographie des flux de données entrant et sortant des modèles
• Identification des données sensibles (PII, santé, RH, financières) traitées par IA

Semaine 2 — Classification et risques

• Classification de chaque système selon les 4 niveaux AI Act (interdit, haut risque, risque limité, risque minimal)
• Revue sécurité de la plateforme IA : IAM, Guardrails, endpoints privés, chiffrement, logging
• Audit des prompts, du fine-tuning et des sources de données d’entraînement
• Identification des écarts par rapport aux articles 4, 9, 10, 13, 14 et 50

Semaine 3 — Documentation et plan d’action

• Registre AI Act conforme article 4 (formats prêts pour audit)
• Documentation technique des systèmes haut risque
• Plan d’action 30/60/90 jours chiffré et priorisé
• Recommandations sur la formation des équipes (article 4)
• Cadrage optionnel d’une bascule vers Mistral souverain ou self-hosted

Ce qui n’est pas inclus

• La formation des équipes elle-même (orientation vers un organisme Qualiopi partenaire)
• Le suivi de mise en œuvre (relève du retainer sécurité)
• Le conseil juridique sur la qualification des systèmes (à arbitrer avec votre avocat tech ou DPO)
• L’audit sécurité technique approfondi de la plateforme IA (prompt injection, RAG, agents), objet de l’Audit Sécurité IA & Bedrock

Format et délais

Forfait fixé après un appel de cadrage de 15 minutes, 3 semaines entre kick-off et remise du livrable. Le risque réglementaire est documenté quoi qu’il arrive, même si l’audit ne révèle aucun écart significatif.

Pourquoi Distribuée

6 certifications AWS dont 3 Professional/Specialty (Solutions Architect Pro, DevOps Pro, Security Specialty), Generative AI Developer Professional en cours. DevSecOps senior. Distribuée, c’est l’expertise CAC40 sur les sujets cloud et IA sensibles, sans la lourdeur d’un grand cabinet.