Un audit AI Act volontaire n’a aucun effet juridique. Il ne rend pas conforme, il ne certifie rien, et le règlement ne le prévoit pas. Ce qu’il peut faire : vérifier ce qui est exigible aujourd’hui, les pratiques interdites, la maîtrise de l’IA, la transparence de l’article 50, et pour les fournisseurs de modèles le chapitre V. Le haut risque n’est auditable comme obligation qu’à partir du 2 décembre 2027.
Aucune certification AI Act n’existe. Une chose a changé le 14 octobre 2026 : une première norme harmonisée, EN 18286:2026, donne un référentiel à l’audit du système de gestion de la qualité. Avec une réserve, expliquée plus bas.
Il vaut ce que valent son référentiel et son auteur. Les seules voies auxquelles le règlement attache un effet sont la présomption des normes harmonisées (article 40), celle des spécifications communes (article 41, paragraphe 3), les présomptions particulières de l’article 42, et la procédure d’évaluation de la conformité elle-même. Un rapport d’audit n’est aucune des quatre. Détail : ce qui vaut preuve, et ce qui n’en vaut pas.
Cette page traite l’audit volontaire. L’évaluation de conformité par un tiers est une procédure distincte, réservée à certains systèmes à haut risque, traitée sur la page consacrée aux organismes notifiés.
Faut-il faire un audit AI Act maintenant ?
Rien ne l’impose. Le règlement n’oblige aucun opérateur à se faire auditer. Il oblige à respecter des obligations, et c’est l’autorité de surveillance du marché qui contrôle.
Un audit est utile s’il porte sur ce qui est exigible : les trois obligations qui pèsent déjà sur tout le monde, et le chapitre V pour les fournisseurs de modèles. Il est utile aussi pour mesurer l’écart avec le haut risque de 2027 et 2028, à condition de le présenter comme un écart, pas comme une non-conformité.
Il est inutile s’il vous promet une attestation. Aucune n’existe. Avant tout audit, le point de départ est l’inventaire de vos systèmes d’IA : sans lui, l’auditeur ne sait pas ce qu’il regarde.
Que peut vérifier un audit aujourd’hui ?
Quatre blocs d’obligations sont exigibles. Ce sont eux qu’un audit devrait regarder en premier.
Les pratiques interdites, article 5
Exigibles depuis le 2 février 2025, avec le plafond de sanction le plus élevé du règlement : jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 3).
Elles ne se lisent pas dans un cahier des charges mais dans un usage. C’est le point où un audit apporte le plus : il regarde ce qui se fait, pas ce qui est écrit. Deux interdictions supplémentaires s’appliquent le 2 décembre 2026. Le détail est sur la page consacrée aux pratiques interdites.
La maîtrise de l’IA, article 4
Exigible depuis la même date, et rarement formalisée. Elle impose des mesures, pas un résultat, proportionnées aux connaissances techniques, à l’expérience, à l’éducation et à la formation des personnes concernées et au contexte d’utilisation.
Un audit peut constater qu’aucune mesure n’existe. Il ne peut pas certifier un « niveau » de maîtrise : la rédaction en vigueur depuis le 27 juillet 2026 dit qu’aucun niveau spécifique n’est exigé. Cette borne vient de l’omnibus ; elle ne figurait pas dans le texte applicable en 2025.
La transparence, article 50
Exigible depuis le 2 août 2026. Un audit vérifie, système par système, qui est redevable de quoi : le fournisseur pour l’information des personnes et le marquage des contenus, le déployeur pour l’étiquetage des hypertrucages et des textes d’intérêt public.
C’est la seule échéance courte encore devant certaines entreprises : le 2 décembre 2026, pour les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026. Le détail est sur la page consacrée à l’article 50.
Les modèles d’IA à usage général, chapitre V
Exigible depuis le 2 août 2025, pour les seuls fournisseurs de modèles : documentation technique, information des fournisseurs en aval, politique de respect du droit d’auteur, résumé des contenus d’entraînement. Un audit vérifie l’existence et le contenu de ces quatre pièces. Le détail est sur la page consacrée aux modèles à usage général.
Que ne peut-il pas encore vérifier ?
L’essentiel de ce qu’un audit irait regarder n’est pas encore exigible. Les sept exigences des articles 9 à 15 relèvent des sections 2 et 3 du chapitre III, reportées par le règlement (UE) 2026/1744 au 2 décembre 2027 pour les systèmes de l’annexe III et au 2 août 2028 pour ceux de l’annexe I. Les obligations du fournisseur de l’article 16 et celles du déployeur de l’article 26 suivent le même calendrier.
Un audit mené aujourd’hui contre ces exigences mesure un écart par rapport à une cible future. C’est utile : ces chantiers se comptent en trimestres. Ce n’est pas un constat de non-conformité, et un rapport qui le présente ainsi décrit mal l’état du droit.
Le tableau n’est pas une méthode d’audit. C’est la liste de ce que le texte imposera, donc de ce qui pourra être opposé.
| Exigence | Ce que le texte demande | Base |
|---|---|---|
| Gestion des risques | « un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie », couvrant l’usage conforme et la mauvaise utilisation raisonnablement prévisible | art. 9 |
| Données et gouvernance | Jeux d’entraînement, de validation et de test « pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la destination », avec examen des biais | art. 10 |
| Documentation technique | Établie avant la mise sur le marché, tenue à jour, neuf blocs à l’annexe IV | art. 11 |
| Journalisation | Enregistrement automatique des événements sur la durée de vie | art. 12 |
| Transparence envers le déployeur | Notice d’utilisation permettant d’interpréter les sorties et de les utiliser correctement | art. 13 |
| Contrôle humain | Conception permettant une supervision effective par des personnes physiques | art. 14 |
| Exactitude, robustesse, cybersécurité | Niveau approprié au regard de la destination et de l’état de la technique | art. 15 |
| Système de gestion de la qualité | Treize aspects documentés « sous la forme de politiques, de procédures et d’instructions écrites » | art. 17 |
| Conservation | Dix ans après mise sur le marché ou mise en service | art. 18 |
Deux tempéraments, dont un seul vient de l’omnibus. La mise en œuvre du système de gestion de la qualité de l’article 17 « est proportionnée à la taille de l’organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation », sans que cela abaisse « le degré de rigueur et le niveau de protection requis » : cet alinéa porte le marqueur de l’omnibus dans le texte consolidé. Le second relève du texte de 2024 : les établissements financiers déjà soumis aux exigences de gouvernance du droit européen des services financiers sont réputés y satisfaire, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves.
Et l’antériorité change le périmètre. L’article 111, paragraphe 2 ne soumet un système mis sur le marché ou mis en service avant ces dates que s’il subit ensuite d’importantes modifications de sa conception. Une limite : les systèmes destinés aux autorités publiques doivent être conformes au 2 août 2030, modifiés ou non. Un auditeur qui ne demande pas la date de mise sur le marché de chaque système audite un parc qui, pour une large part, n’est pas concerné.
Un audit peut-il certifier votre conformité à l’AI Act ?
Non, et aucun prestataire ne le peut. Un audit volontaire ne confère aucune présomption de conformité, ne remplace ni l’évaluation de la conformité ni la documentation technique, et ne vaut qu’à la date où il est fait. Ce qu’il apporte est un écart mesuré, daté et documenté. C’est utile. Ce n’est pas un certificat.
Ce que change EN 18286:2026 depuis le 14 octobre 2026
Jusqu’au 14 octobre 2026, aucun référentiel d’audit n’avait de portée juridique au titre du règlement. Au 5 novembre 2026, date de notre dernière vérification, une seule référence de norme harmonisée a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689 : EN 18286:2026, le 14 octobre 2026, rattachée au système de gestion de la qualité de l’article 17.
Concrètement : un audit du système de gestion de la qualité de l’article 17 peut désormais s’adosser à une norme harmonisée. La Commission présente cette norme comme ouvrant la présomption de conformité pour l’article 17. L’article 40, paragraphe 1, ne vise pourtant que les exigences de la section 2 du chapitre III, dont l’article 17 ne fait pas partie : ce que la norme présume exactement n’est pas tranché par le texte. Pour les neuf autres lignes du tableau, aucune norme n’est publiée. Le détail est sur la page consacrée aux normes harmonisées.
ISO/IEC 42001 n’est pas dans ce cas : sa référence n’est pas au Journal officiel, et elle n’a pas été écrite pour le règlement. Ce qu’une certification ISO 42001 prouve, et ce qu’elle ne prouve pas.
Ce qu’un audit ne remplace pas
L’évaluation de la conformité. Pour les systèmes de l’annexe III, la procédure est celle des annexes VI ou VII ; pour ceux de l’annexe I, section A, c’est celle du texte sectoriel applicable, l’évaluation du système de gestion de la qualité de l’article 17 étant également effectuée. Elle relève du fournisseur avant la mise sur le marché, sous la réserve de l’article 46, qui permet à une autorité de surveillance du marché d’autoriser à titre exceptionnel et temporaire une mise sur le marché avant l’achèvement de la procédure.
La documentation technique. L’annexe IV fixe ce qu’elle contient ; un rapport d’audit n’en est pas un substitut, et l’article 18 impose de la conserver dix ans.
Le suivi dans le temps. La gestion des risques de l’article 9 est un processus continu sur l’ensemble du cycle de vie. Un constat à une date donnée ne dit rien de la conformité six mois plus tard.
Quelles questions poser à un prestataire d’audit ?
Cinq questions suffisent à situer le sérieux d’une offre.
Contre quel référentiel auditez-vous ? Si la réponse est une norme, une seule question suit : sa référence est-elle publiée au Journal officiel de l’Union européenne ? Au 5 novembre 2026, une seule l’est, EN 18286:2026, pour le système de gestion de la qualité. Pour toute autre norme, la réponse est non.
Auditez-vous le système de gestion de la qualité contre EN 18286:2026 ? Depuis le 14 octobre 2026, c’est le seul référentiel qui s’adosse au règlement. Un prestataire qui audite l’article 17 sans elle audite contre sa propre grille.
Que produit votre rapport, juridiquement ? La réponse honnête est : rien d’opposable. Un prestataire qui promet une « certification de conformité AI Act » décrit quelque chose qui n’existe pas.
Quelles obligations regardez-vous en premier ? Si la réponse ne commence pas par l’article 5, l’article 4 et l’article 50, les trois exigibles pour tout opérateur, l’audit est calé sur un calendrier qui n’est pas celui du droit.
Comment traitez-vous l’antériorité ? Un prestataire qui ne pose pas la question de la date de mise sur le marché ignore l’article 111, paragraphe 2, et donc le fait qu’une grande partie du parc installé n’est pas concernée tant qu’elle ne change pas, sous réserve du butoir du 2 août 2030 pour les systèmes destinés aux autorités publiques.
Qu’est-ce que le règlement appelle « audit » ?
Le mot « audit » figure dans le texte, jamais pour désigner ce qui se vend sous ce nom. À l’annexe VII, point 5.3, il désigne la surveillance exercée par un organisme notifié sur un système de gestion de la qualité approuvé. À l’article 75 bis, paragraphe 7, il désigne les auditeurs externes indépendants que le Bureau de l’IA peut désigner pour l’assister. Dans les deux cas, l’auditeur agit pour l’autorité.
L’audit de conformité volontaire, lui, n’est défini nulle part. Les questions proposées ci-dessus sont une grille de lecture, pas une exigence du texte.
Sur quoi cette page s’appuie
Les articles 4, 5, 8 à 20, 25, 40 à 43, 46, 50, 75 bis, 99 et 111 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Les procédures d’évaluation de la conformité des annexes VI et VII. La décision d’exécution (UE) 2026/2274 du 12 octobre 2026, qui publie la référence d’EN 18286:2026. L’état de la normalisation harmonisée est une affirmation datée, revérifiée à chaque mise à jour.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026, règlement (UE) 2026/1744 et décision d’exécution (UE) 2026/2274, consultés le 5 novembre 2026.
Questions fréquentes
Un audit rend-il conforme à l'AI Act ?
Non. Un audit volontaire n'a aucun effet juridique propre : il vaut ce que valent son référentiel et son auteur. Les seules voies auxquelles le règlement attache un effet sont la présomption des normes harmonisées, celle des spécifications communes, les présomptions particulières de l'article 42, et la procédure d'évaluation de la conformité elle-même. Un rapport d'audit n'est aucune des quatre.
Existe-t-il une certification AI Act ?
Non. Le règlement ne prévoit aucune certification de conformité délivrée à un opérateur. Il connaît l'évaluation de la conformité, menée par le fournisseur lui-même ou par un organisme notifié selon le système, et la présomption de conformité attachée aux normes harmonisées. Un prestataire qui vend une « certification AI Act » décrit quelque chose qui n'existe pas dans le texte.
Existe-t-il des auditeurs AI Act accrédités ?
Pas au sens du règlement. Le texte connaît les organismes notifiés, qui réalisent l'évaluation de conformité par un tiers dans les cas où elle est requise. Ce n'est pas la même chose qu'un audit volontaire, et cela ne concerne qu'une partie des systèmes. Le texte connaît aussi les auditeurs externes indépendants que le Bureau de l'IA peut désigner pour l'assister dans sa surveillance, article 75 bis, paragraphe 7 : ils agissent pour l'autorité, pas pour l'opérateur audité. En dehors de ces deux cas, toute qualification d'auditeur relève d'un référentiel privé, sans effet au titre du règlement.
Qu'est-ce qui est réellement auditable aujourd'hui ?
Trois choses pour tout opérateur de systèmes d'IA : les pratiques interdites de l'article 5, depuis le 2 février 2025 ; la maîtrise de l'IA de l'article 4, depuis la même date ; et les obligations de transparence de l'article 50, depuis le 2 août 2026. S'y ajoutent, pour un fournisseur de modèle d'IA à usage général, les obligations du chapitre V, applicables depuis le 2 août 2025. Les exigences du chapitre III, gestion des risques, données, documentation technique et journalisation, ne sont pas encore exigibles.
Faut-il auditer avant décembre 2027 ?
La question n'est pas de savoir s'il faut auditer, mais ce qu'un audit peut établir à ce stade. Vérifier aujourd'hui la conformité à des exigences qui ne s'appliquent qu'en décembre 2027 revient à mesurer un écart par rapport à une cible, ce qui est utile ; le présenter comme un constat de non-conformité ne l'est pas, puisqu'il n'y a rien à quoi être non conforme.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.