Attestation de conformité AI Act : que répondre à un client qui la demande ?

Un grand compte vous envoie un questionnaire et vous demande « votre attestation de conformité AI Act ». Ce document n'existe pas pour vous — mais quelque chose d'autre existe, et c'est ce qu'il faut envoyer.

À jour au 20 septembre 2026 — AI Act & PME

Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →

Cela arrive de plus en plus, sans qu’on puisse en mesurer l’ampleur. Un donneur d'ordre, un assureur ou un client public vous adresse une liste de questions sur votre usage de l'intelligence artificielle, et réclame en pièce jointe « l'attestation » ou « le certificat » de conformité au règlement européen sur l'IA. Si vous cherchez ce document, vous ne le trouverez pas : il n'existe pas sous cette forme pour une entreprise qui se contente d'utiliser des outils d'IA du commerce. En revanche, refuser de répondre est la pire des réponses. Voici ce que dit le texte, et les cinq pièces que vous pouvez réellement produire.

Pourquoi ce document n'existe pas pour vous

Le règlement (UE) 2024/1689 prévoit bien deux documents formels de conformité, mais ils ne pèsent ni sur tout le monde, ni sur n'importe quel système.

La déclaration UE de conformité (article 47). C'est le fournisseur qui l'établit, par écrit, pour chaque système d'IA à haut risque. Il la tient à la disposition des autorités nationales compétentes pendant dix ans à compter de la mise sur le marché, et en communique copie sur demande.
Le marquage CE (article 48), apposé de façon visible, lisible et indélébile sur les systèmes d'IA à haut risque — ou, pour un système fourni numériquement, sous forme de marquage CE numérique accessible depuis l'interface.

Deux conditions doivent donc être réunies : être fournisseur, et fournir un système classé à haut risque. Si votre entreprise utilise ChatGPT, Copilot, un CRM qui a ajouté une brique d'IA ou un outil de tri de candidatures acheté sur étagère, vous n'êtes pas fournisseur : vous êtes déployeur, c'est-à-dire une organisation « utilisant sous sa propre autorité un système d'IA » (article 3, point 4). Le règlement ne vous demande aucune déclaration de conformité, et aucun organisme ne délivre de « certificat AI Act » à une PME utilisatrice.

Méfiez-vous d'ailleurs des offres de « certification AI Act » vendues à des entreprises utilisatrices : elles ne correspondent à aucune exigence du règlement.

Les quatre documents, déjà rédigés. Le kit de conformité AI Act réunit la politique d’usage, le registre des systèmes d’IA, le journal des usages sensibles et la note d’information au personnel. Vous saisissez vos informations, chaque document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF.

Essayer un des quatre documents — remplir et voir le résultat →

ou obtenir le kit — 199 €

Facture fournie. Remboursement sous 14 jours, sans justification.

Et les obligations « haut risque » ne sont pas encore applicables

Deuxième raison de ne pas paniquer devant le questionnaire : même les entreprises réellement concernées par le haut risque ont du temps devant elles.

Le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel de l'Union européenne du 24 juillet 2026 et entré en vigueur le 27 juillet 2026, est le « train de mesures omnibus numérique sur l'IA ». Il a reporté l'entrée en application du chapitre III, sections 1, 2 et 3 du règlement de 2024 :

2 décembre 2027 pour les systèmes classés à haut risque au titre de l'article 6, paragraphe 2, et de l'annexe III — c'est la catégorie qui concerne le plus les PME : recrutement, gestion du personnel, accès aux services essentiels ;
2 août 2028 pour les systèmes classés à haut risque au titre de l'article 6, paragraphe 1, et de l'annexe I, c'est-à-dire l'IA intégrée dans des produits déjà soumis à une législation d'harmonisation.

Le motif est explicite dans le règlement : les retards dans la disponibilité des normes, des spécifications communes et des orientations, ainsi que dans la mise en place des autorités nationales compétentes, ne justifiaient pas de maintenir la date initiale du 2 août 2026.

Attention : ce report ne concerne que les obligations « haut risque ». Les interdictions de l'article 5 et l'obligation de maîtrise de l'IA de l'article 4 s'appliquent déjà. Le détail échéance par échéance est dans notre calendrier de l'AI Act pour les PME.

Ce que votre client cherche vraiment

Un acheteur qui réclame une attestation ne cherche presque jamais un tampon. Il sécurise sa propre chaîne : en vous confiant des données, un traitement ou une prestation, il veut savoir s'il importe un risque chez lui. La bonne réponse n'est donc pas « ce document n'existe pas », mais « voici ce que je peux vous montrer ». La première formulation vous fait sortir de la liste des fournisseurs ; la seconde vous y maintient.

Les cinq pièces que vous pouvez réellement fournir

1. Votre politique d'usage de l'IA, écrite et datée

Quels outils sont autorisés, pour quels usages, ce qui est interdit, qui valide une nouvelle utilisation. C'est la pièce la plus demandée et la plus simple à produire. Voir notre modèle de politique d'usage de l'IA en entreprise.

2. La trace de vos mesures de maîtrise de l'IA

L'article 4 a été réécrit par le règlement omnibus. Il demande désormais aux fournisseurs et aux déployeurs de « prendre des mesures pour favoriser le développement de la maîtrise de l'IA » par leur personnel et par les autres personnes qui utilisent ces outils pour leur compte, en tenant compte de leurs connaissances, de leur expérience, de leur formation et du contexte d'utilisation. Le texte précise expressément que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l'IA par un individu ».

Autrement dit : ni certificat, ni quota d'heures, ni test de niveau. Un tableau daté des sessions d'information, des consignes diffusées et des personnes concernées suffit. Nous détaillons le sujet dans Former ses salariés à l'IA : ce qu'exige l'article 4.

3. Votre registre des traitements

Le registre prévu à l'article 30 du RGPD, mentionnant les outils d'IA qui traitent des données personnelles, leur finalité et leurs destinataires. C'est souvent la pièce qui manque. Voir notre modèle de registre des systèmes d'IA.

4. Vos clauses de sous-traitance et la base de vos transferts

L'article 28 du RGPD impose un contrat écrit avec chaque sous-traitant. Si l'outil est américain, il faut aussi pouvoir dire sur quelle base les données sortent de l'Union : certification au Data Privacy Framework, ou clauses contractuelles types de l'article 46. Voir les clauses à prévoir avec vos prestataires et ce qu'il faut vérifier avant d'utiliser une IA américaine.

5. Le respect de l'article 50 sur la transparence

Si un agent conversationnel répond sur votre site, les personnes doivent savoir qu'elles s'adressent à une machine ; si vous diffusez des contenus générés par IA, ils doivent être identifiables comme tels. Voir les obligations d'un chatbot sur votre site.

Le piège : ne signez pas une attestation que vous ne pouvez pas tenir

Rien n'interdit à un client de vous faire signer des engagements contractuels sur l'IA : la liberté contractuelle joue pleinement. Mais une « déclaration de conformité à l'AI Act » signée à l'aveugle est une déclaration sur des faits. Si elle est inexacte, le problème n'est pas réglementaire — il est contractuel, et il se règle en responsabilité.

La position solide consiste à décrire ce que vous faites, précisément et de façon datée, plutôt qu'à certifier un état général de conformité. Une phrase du type « nous ne sommes pas fournisseur au sens du règlement (UE) 2024/1689 ; nous sommes déployeur ; voici les mesures prises et leurs dates » vaut mieux qu'une case cochée.

Un mot sur les sanctions

Le règlement omnibus a également modifié l'article 99. Lorsqu'ils imposent des sanctions, les États membres doivent désormais tenir compte « des intérêts des PME, y compris les jeunes pousses, et des petites entreprises à moyenne capitalisation, ainsi que de leur viabilité économique ». Cela ne supprime aucune obligation, mais cela situe le risque réel pour une entreprise de dix personnes qui documente sérieusement ses usages.

En résumé

Il n'existe pas d'attestation de conformité AI Act pour une entreprise qui utilise des outils d'IA.
La déclaration UE de conformité (article 47) et le marquage CE (article 48) visent les fournisseurs de systèmes à haut risque.
Les obligations « haut risque » s'appliqueront le 2 décembre 2027 (annexe III) et le 2 août 2028 (annexe I).
Répondez par des pièces : politique d'usage, trace des mesures de maîtrise de l'IA, registre, clauses de sous-traitance, transparence.
Décrivez, ne certifiez pas.

Pour aller plus loin. Le kit de conformité AI Act réunit quatre documents à compléter : politique d’usage de l’IA, registre des systèmes d’IA, journal des usages sensibles et note d’information au personnel.

Si le questionnaire porte aussi sur la pièce n° 2, le pack complet conformité AI Act (990 €) ajoute à ces quatre documents la formation Littératie IA & conformité AI Act pour 25 participants et un an de mises à jour : les attestations nominatives datées qu’elle délivre constituent la trace décrite plus haut, à joindre telle quelle à votre réponse.

Vous accompagnez plusieurs PME ? Experts-comptables, DRH externalisés et consultants disposent d’une formule distincte : les mêmes documents pour tout leur portefeuille, à leur en-tête. Voir la page destinée aux cabinets.

Rechercher dans ce blog

IA en Règle