« Audit IA Act » est devenu une offre de marché avant d’être une notion juridique. Le règlement emploie bien le mot « audit », mais jamais pour désigner ce qui se vend sous ce nom : à l’annexe VII, point 5.3, pour la surveillance exercée par un organisme notifié sur un système de gestion de la qualité approuvé, et à l’article 75 bis, paragraphe 7, pour les auditeurs externes indépendants que le Bureau de l’IA peut désigner. Dans les deux cas, l’auditeur agit pour l’autorité. Il ne définit nulle part l’audit de conformité volontaire vendu sous ce nom.
Il vaut ce que valent son référentiel et son auteur. Les seules voies auxquelles le règlement attache un effet sont la présomption des normes harmonisées (article 40), celle des spécifications communes (article 41, paragraphe 3), les présomptions particulières de l’article 42, et la procédure d’évaluation de la conformité elle-même. Un rapport d’audit n’est aucune des quatre. Détail : ce qui vaut preuve, et ce qui n’en vaut pas.
Cette page traite l’audit volontaire : ce qu’il peut établir, et ce qu’il ne peut pas. L’évaluation de conformité réglementaire par un tiers est une procédure distincte, qui ne concerne qu’une partie des systèmes.
Peut-on auditer aujourd’hui la conformité à l’IA Act ?
En partie seulement, et il faut le dire avant de signer un devis. L’essentiel de ce qu’un audit irait vérifier — les sept exigences des articles 9 à 15 — relève des sections 2 et 3 du chapitre III, reportées à décembre 2027 et août 2028. Ce qui est exigible aujourd’hui, et donc réellement auditable, tient en trois points pour tout opérateur — les pratiques interdites, la maîtrise de l’IA et la transparence de l’article 50 — auxquels s’ajoute le chapitre V pour un fournisseur de modèle d’IA à usage général.
L’essentiel de ce qu’un audit irait vérifier n’est pas encore exigible.
Les sept exigences des articles 9 à 15 (gestion des risques, gouvernance des données, documentation technique, journalisation, transparence envers le déployeur, contrôle humain, exactitude et cybersécurité) relèvent des sections 2 et 3 du chapitre III, reportées par le règlement (UE) 2026/1744 au 2 décembre 2027 pour les systèmes de l’annexe III et au 2 août 2028 pour ceux de l’annexe I. Les obligations du fournisseur de l’article 16 et celles du déployeur de l’article 26 suivent le même calendrier.
Et l’article 111, paragraphe 2 va plus loin : un système mis sur le marché ou mis en service avant ces dates n’y est soumis que s’il subit ensuite d’importantes modifications de sa conception. Une limite, portée par la seconde phrase du même paragraphe : les systèmes destinés à être utilisés par des autorités publiques doivent en tout état de cause être conformes au 2 août 2030, qu’ils aient été modifiés ou non.
Conséquence pratique. Un audit mené aujourd’hui contre les exigences du chapitre III mesure un écart par rapport à une cible future. C’est utile : ces chantiers se comptent en trimestres. Ce n’est pas un constat de non-conformité, et un rapport qui le présente ainsi décrit mal l’état du droit.
Qu’est-ce qui est réellement auditable aujourd’hui ?
Trois choses, et ce sont elles qu’un audit devrait regarder en premier.
Les pratiques interdites, article 5, exigibles depuis le 2 février 2025, et portant le plafond de sanction le plus élevé du règlement : jusqu’à 35 000 000 EUR ou, si l’auteur de l’infraction est une entreprise, 7 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 3). Elles ne se lisent pas dans un cahier des charges mais dans un usage : c’est le point où un audit apporte le plus, parce qu’il regarde ce qui se fait et non ce qui est écrit. Deux interdictions supplémentaires s’appliquent le 2 décembre 2026.
La maîtrise de l’IA, article 4, exigible depuis la même date, et rarement formalisée. Elle impose des mesures, pas un résultat, proportionnées aux connaissances techniques, à l’expérience, à l’éducation et à la formation des personnes concernées et au contexte d’utilisation, en tenant compte des personnes à l’égard desquelles le système est utilisé. Un audit peut constater qu’aucune mesure n’existe ; il ne peut pas certifier un « niveau » de maîtrise, la rédaction en vigueur depuis le 27 juillet 2026 disant qu’aucun niveau spécifique n’est exigé. Cette borne est une nouveauté de l’omnibus : elle ne figurait pas dans le texte applicable en 2025.
Les obligations de transparence, article 50, exigibles depuis le 2 août 2026, et la seule échéance courte encore devant certaines entreprises : le 2 décembre 2026 pour les fournisseurs de systèmes générant des contenus de synthèse mis sur le marché avant le 2 août 2026.
Que deviendra-t-il vérifiable, et à quelle date ?
Les sept exigences des articles 9 à 15, au 2 décembre 2027 pour l’annexe III et au 2 août 2028 pour l’annexe I. C’est à ces dates que le chapitre III donnera à un audit une matière précise et opposable.
Quand il deviendra applicable, il donnera à un audit une matière précise. Le tableau ci-dessous n’est pas une méthode d’audit : c’est la liste de ce que le texte impose, et donc de ce qui pourra être opposé.
| Exigence | Ce que le texte demande | Base |
|---|---|---|
| Gestion des risques | « un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie », couvrant l’usage conforme et la mauvaise utilisation raisonnablement prévisible | art. 9 |
| Données et gouvernance | Jeux d’entraînement, de validation et de test « pertinents, suffisamment représentatifs et, dans toute la mesure possible, exempts d’erreurs et complets au regard de la destination », avec examen des biais | art. 10 |
| Documentation technique | Établie avant la mise sur le marché, tenue à jour, neuf blocs à l’annexe IV | art. 11 |
| Journalisation | Enregistrement automatique des événements sur la durée de vie | art. 12 |
| Transparence envers le déployeur | Notice d’utilisation permettant d’interpréter les sorties et de les utiliser correctement | art. 13 |
| Contrôle humain | Conception permettant une supervision effective par des personnes physiques | art. 14 |
| Exactitude, robustesse, cybersécurité | Niveau approprié au regard de la destination et de l’état de la technique | art. 15 |
| Système de gestion de la qualité | Treize aspects documentés « sous la forme de politiques, de procédures et d’instructions écrites » | art. 17 |
| Conservation | Dix ans après mise sur le marché ou mise en service | art. 18 |
Deux tempéraments méritent d’être connus, et un seul vient de l’omnibus. La mise en œuvre du système de gestion de la qualité de l’article 17 « est proportionnée à la taille de l’organisation du fournisseur, en particulier si le fournisseur est une PME, y compris une jeune pousse, ou une petite entreprise à moyenne capitalisation », sans que cela abaisse « le degré de rigueur et le niveau de protection requis » : cet alinéa porte le marqueur de l’omnibus dans le texte consolidé. Le second, en revanche, relève du texte de base de 2024 — les établissements financiers déjà soumis aux exigences de gouvernance du droit européen des services financiers sont réputés y satisfaire, sauf pour la gestion des risques, la surveillance après commercialisation et le signalement des incidents graves.
Un audit peut-il certifier votre conformité à l’IA Act ?
Non, et aucun prestataire ne le peut. Un audit volontaire n’a pas d’effet juridique propre : il ne confère aucune présomption de conformité, il ne remplace ni l’évaluation de la conformité ni la documentation technique de l’annexe IV, et il ne vaut qu’à la date où il est fait. Ce qu’il apporte est un écart mesuré, daté et documenté — ce qui est utile, mais ce n’est pas un certificat.
Il ne confère aucune présomption. Seules l’ouvrent les normes harmonisées de l’article 40, les spécifications communes de l’article 41 et les trois présomptions particulières de l’article 42. Et au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689.
Il ne remplace pas l’évaluation de la conformité. Pour les systèmes de l’annexe III, la procédure est celle des annexes VI ou VII ; pour ceux de l’annexe I, section A, c’est celle du texte sectoriel applicable, l’évaluation du système de gestion de la qualité de l’article 17 étant également effectuée. Elle relève du fournisseur avant la mise sur le marché, sous la réserve de l’article 46, qui permet à une autorité de surveillance du marché d’autoriser à titre exceptionnel et temporaire une mise sur le marché avant l’achèvement de la procédure.
Il ne remplace pas la documentation technique. L’annexe IV fixe ce que celle-ci contient ; un rapport d’audit n’en est pas un substitut, et l’article 18 impose de la conserver dix ans.
Il ne fige rien. La gestion des risques de l’article 9 est un processus continu sur l’ensemble du cycle de vie : un constat à une date donnée ne dit rien de la conformité six mois plus tard.
Quelles questions poser à un prestataire d’audit ?
Quatre, et elles suffisent à situer le sérieux d’une offre. Contre quel référentiel auditez-vous ? Que produit votre rapport, juridiquement ? Quelles obligations regardez-vous en premier ? Comment traitez-vous l’antériorité ? Les réponses attendues sont détaillées ci-dessous.
Elles suffisent à situer le sérieux d’une offre.
Contre quel référentiel auditez-vous ? Si la réponse est une norme, une seule question suit : sa référence est-elle publiée au Journal officiel de l’Union européenne ? Au 24 août 2026, date de notre dernière vérification, aucune référence de norme harmonisée n’a été publiée au Journal officiel de l’Union européenne au titre du règlement (UE) 2024/1689.
Que produit votre rapport, juridiquement ? La réponse honnête est : rien d’opposable. Un prestataire qui promet une « certification de conformité IA Act » décrit quelque chose qui n’existe pas.
Quelles obligations regardez-vous en premier ? Si la réponse ne commence pas par l’article 5, l’article 4 et l’article 50, les trois exigibles pour tout opérateur de systèmes d’IA, l’audit est calé sur un calendrier qui n’est pas celui du droit.
Comment traitez-vous l’antériorité ? Un prestataire qui ne pose pas la question de la date de mise sur le marché ignore l’article 111, paragraphe 2, et donc le fait qu’une grande partie du parc installé n’est pas concernée tant qu’elle ne change pas, sous réserve du butoir du 2 août 2030 pour les systèmes destinés aux autorités publiques.
Par où commencer, concrètement ?
Rien de ce qui précède ne dit qu’il faut attendre. L’absence de normes et le report du chapitre III ne suspendent rien et ne dispensent de rien : ils déplacent la charge de la démonstration sur votre propre documentation, le jour où les exigences deviendront applicables.
Un travail mené aujourd’hui a donc un objet clair : vérifier ce qui est exigible, et construire ce qui le deviendra. Le présenter autrement (comme une mise en conformité achevée, ou comme une certification) serait inexact dans les deux sens.
Sur quoi cette page s’appuie
Les articles 8 à 20, 25, 40 à 43 et 111 du règlement (UE) 2024/1689 dans sa version consolidée au 27 juillet 2026, telle que modifiée par le règlement (UE) 2026/1744, le texte qui fait foi restant celui publié au Journal officiel. Les procédures d’évaluation de la conformité des annexes VI et VII. L’état de la normalisation harmonisée est établi sur quatre sources officielles vérifiées le 24 août 2026 ; c’est une affirmation datée, revérifiée à chaque mise à jour. Le règlement ne définissant pas l’« audit », les questions proposées en fin de page sont une grille de lecture et non une exigence du texte.
Sources. Règlement (UE) 2024/1689, version consolidée au 27 juillet 2026 et règlement (UE) 2026/1744, consultés le 27 août 2026. L’absence de référence de norme harmonisée se vérifie sur le portail des normes harmonisées de la Commission, consulté le 27 août 2026.
Questions fréquentes
Un audit rend-il conforme à l’IA Act ?
Non. Un audit volontaire n’a aucun effet juridique propre : il vaut ce que valent son référentiel et son auteur. Les seules voies auxquelles le règlement attache un effet sont la présomption des normes harmonisées, celle des spécifications communes, les présomptions particulières de l’article 42, et la procédure d’évaluation de la conformité elle-même. Un rapport d’audit n’est aucune des quatre.
Existe-t-il des auditeurs IA Act accrédités ?
Pas au sens du règlement. Le texte connaît les organismes notifiés, qui réalisent l’évaluation de conformité par un tiers dans les cas où elle est requise. Ce n’est pas la même chose qu’un audit volontaire, et cela ne concerne qu’une partie des systèmes. Le texte connaît aussi les auditeurs externes indépendants que le Bureau de l’IA peut désigner pour l’assister dans sa surveillance, article 75 bis, paragraphe 7 : ils agissent pour l’autorité, pas pour l’opérateur audité. En dehors de ces deux cas, toute qualification d’auditeur relève d’un référentiel privé, sans effet au titre du règlement.
Qu’est-ce qui est réellement auditable aujourd’hui ?
Trois choses pour tout opérateur de systèmes d’IA : les pratiques interdites de l’article 5, depuis le 2 février 2025 ; la maîtrise de l’IA de l’article 4, depuis la même date ; et les obligations de transparence de l’article 50, depuis le 2 août 2026. S’y ajoutent, pour un fournisseur de modèle d’IA à usage général, les obligations du chapitre V, applicables depuis le 2 août 2025. Les exigences du chapitre III, gestion des risques, données, documentation technique et journalisation, ne sont pas encore exigibles.
Faut-il auditer avant décembre 2027 ?
La question n’est pas de savoir s’il faut auditer, mais ce qu’un audit peut établir à ce stade. Vérifier aujourd’hui la conformité à des exigences qui ne s’appliquent qu’en décembre 2027 revient à mesurer un écart par rapport à une cible, ce qui est utile ; le présenter comme un constat de non-conformité ne l’est pas, puisqu’il n’y a rien à quoi être non conforme.
Ce contenu est une ressource d’information technique et réglementaire. Il ne constitue pas un conseil juridique.