AI Act et ISO/IEC 42001 : ce qui se mesure aujourd’hui et ce qui est en préparation.
Pour une organisation qui utilise ou intègre de l’IA : nous mesurons votre couverture de l’AI Act, nous notons l’ISO/IEC 42001 et nous traitons vos fournisseurs d’IA comme des tiers. Le registre des systèmes d’IA est un module en préparation, sans date.
- AI Governance : en préparation, sans date ni promesses
- Données dans l’UE (OVH, Gravelines) ; Cloudflare (États-Unis) sur le chemin de la requête
Ce qu’exige l’AI Act, en bref
Il réglemente l’IA selon le risque du système et le rôle que vous jouez : fournisseur ou déployeur.
Résumé informatif, pas de conseil juridique. Les dates ont changé récemment ; consultez la version consolidée sur EUR-Lex.
- Pratiques interdites
- Certains usages de l’IA sont interdits (article 5), et les fournisseurs et déployeurs doivent prendre des mesures pour soutenir la maîtrise de l’IA de leur personnel, sans garantir un niveau précis (article 4).
- Systèmes à haut risque
- Ceux des annexes I et III sont soumis à des exigences de gestion des risques, de données, de documentation technique, d’enregistrement des événements et de surveillance humaine. Celui qui les déploie a ses propres obligations (article 26).
- Transparence et modèles à usage général
- Il existe des obligations d’information de l’utilisateur (article 50) et des exigences spécifiques pour les fournisseurs de modèles à usage général.
- Rôle et calendrier
- Ce qui vous incombe dépend de votre qualité de fournisseur ou de déployeur et du risque du système. Le calendrier du haut risque a été modifié par le règlement (UE) 2026/1744 ; consultez la version consolidée sur EUR-Lex.
Un calendrier échelonné
Dates selon le règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744. Vérifiez-les dans le texte consolidé avant de planifier.
2 févr. 2025
Chapitres I et II : interdictions et maîtrise de l’IA
L’article 5 (pratiques interdites) et l’article 4 (maîtrise de l’IA) s’appliquent. Le règlement (UE) 2026/1744 a remanié l’article 4, qui s’applique dans sa nouvelle rédaction depuis le 27 juillet 2026 : soutenir le développement de la maîtrise de l’IA, sans garantir un niveau précis.
2 août 2025
Sanctions, modèles à usage général et gouvernance
Le chapitre XII sur les sanctions (sauf l’article 101), les obligations des fournisseurs de modèles d’IA à usage général (chapitre V) et les règles de gouvernance s’appliquent ; les infractions à l’article 5 peuvent être sanctionnées à partir de cette date (article 113, point b)).
2 août 2026
Obligations de transparence
Date générale d’application. L’article 50 s’applique : devoirs d’informer les personnes qui interagissent avec un système d’IA ou sont exposées à du contenu généré ou manipulé par l’IA. Les systèmes génératifs mis sur le marché avant cette date bénéficient d’une transition jusqu’au 2 décembre 2026 (article 111, paragraphe 4).
2 déc. 2026
Nouvelles pratiques interdites
Les points ajoutés à l’article 5 par le règlement (UE) 2026/1744 s’appliquent : article 5, paragraphe 1, points ba) et bb), et article 5, paragraphes 1 bis et 1 ter. Ce même jour expire le délai pour que les systèmes génératifs mis sur le marché avant le 2 août 2026 respectent l’article 50, paragraphe 2 (article 111, paragraphe 4).
2 déc. 2027
Haut risque de l’annexe III
Les sections 1 à 3 du chapitre III s’appliquent aux systèmes à haut risque relevant de l’article 6, paragraphe 2, et de l’annexe III, y compris les obligations des déployeurs (article 26) et l’analyse d’impact sur les droits fondamentaux (article 27) (article 113, point c), i)).
2 août 2028
Haut risque de l’annexe I
Les sections 1 à 3 du chapitre III s’appliquent aux systèmes à haut risque relevant de l’article 6, paragraphe 1, et de l’annexe I, c’est-à-dire les composants de sécurité de produits réglementés ou les produits réglementés eux-mêmes (article 113, point c), ii)).
2 août 2030
Autorités publiques
Les fournisseurs et les déployeurs de systèmes d’IA à haut risque destinés à être utilisés par des autorités publiques doivent s’y conformer au plus tard à cette date, même si le système était déjà sur le marché (article 111, paragraphe 2).
HodeiAI : l’IA de la plateforme, décrite avec ses limites
Un exemple de la façon dont une IA se gouverne au sein d’un produit, pas une déclaration de conformité.
- Modèle
- Mistral AI, sous-traitant ultérieur de Hodeitek.
- Pseudonymisation préalable
- HodeiAI et le RSSI virtuel pseudonymisent les données personnelles qu’ils reconnaissent avant l’envoi ; la correspondance n’existe qu’en mémoire. L’analyse de risque du scan des fournisseurs ne pseudonymise pas : elle envoie le domaine du fournisseur et les constats.
- Interrupteur d’administrateur
- Un administrateur de votre organisation peut désactiver HodeiAI ; une fois désactivé, aucun appel au modèle n’est effectué.
- N’agit jamais sans confirmation
- HodeiAI propose ; une personne ayant un rôle en écriture approuve, une seule fois, pendant 15 minutes et liée au hash de la proposition.
De chaque obligation à une capacité de HodeiShield
Avec la phase du cycle. On voit bien ici ce qui existe aujourd’hui et ce qui n’existe pas.
Direct : la plateforme le fait. Partiel : elle apporte des preuves ou une partie, le reste vous incombe. Non couvert : hors du périmètre de HodeiShield.
- Obligation:
Mesurer votre couverture de l’AI Act
Règlement (UE) 2024/1689
Ce que fait HodeiShield:L’AI Act figure parmi les 17 référentiels comme couverture mesurée sur les contrôles canoniques.
Docs · Conformité (s’ouvre dans un nouvel onglet)PhaseSENSEPREDICTPérimètrePartiel - Obligation:
Systématiser la gouvernance de l’IA comme système de management
ISO/IEC 42001
Ce que fait HodeiShield:Notation contrôle par contrôle de l’ISO/IEC 42001 avec des preuves ayant un responsable et une validité. La norme aide à organiser la gouvernance ; elle ne revient pas à se conformer à l’AI Act.
Docs · Conformité (s’ouvre dans un nouvel onglet)PhaseSENSEPREDICTPérimètreDirect - Obligation:
Traiter les fournisseurs d’IA comme des tiers
Art. 25 et 26
Ce que fait HodeiShield:Un fournisseur de modèles ou de services d’IA entre dans le graphe comme n’importe quel fournisseur : questionnaire, analyse externe périodique, CVE et concentration.
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)PhaseSENSEPREDICTPérimètrePartiel - Obligation:
Mesures de maîtrise de l’IA et leurs preuves
Art. 4 (maîtrise de l’IA)
Ce que fait HodeiShield:Bibliothèque de politiques et moteur de preuves avec responsable, validité et statut.
Docs · Conformité (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Inventaire des systèmes d’IA et leur classification par risque
Art. 6 et annexe III
Ce que fait HodeiShield:Le registre des systèmes d’IA relève du module AI Governance, qui est en préparation, sans date. Il n’existe pas aujourd’hui dans la plateforme.
PhaseHors du cyclePérimètreNon couvert - Obligation:
Documentation technique, enregistrement des événements et analyse d’impact
Art. 11, 12 et 27
Ce que fait HodeiShield:Hors de HodeiShield.
PhaseHors du cyclePérimètreNon couvert - Obligation:
Surveillance humaine de l’IA
Art. 14 et 26
Ce que fait HodeiShield:Elle s’applique dans HodeiAI : il propose et une personne approuve. Pour vos propres systèmes d’IA, la surveillance vous revient.
Docs · HodeiAI (s’ouvre dans un nouvel onglet)PhaseACTPérimètreNon couvert
Ce que HodeiShield ne fait pas avec l’AI Act
Plus de limites que dans les autres pages, parce que le module n’existe pas encore.
Il n’y a pas de registre des systèmes d’IA
AI Governance est en préparation. Nous ne donnons pas de date et ne le présentons pas comme disponible.
Il ne classe pas vos systèmes par risque et n’évalue pas la conformité
Cette classification, la documentation technique et l’évaluation de la conformité vous incombent.
La couverture de l’AI Act est mesurée sur les contrôles canoniques
Elle est présentée sur les contrôles canoniques, sans affirmer qu’elle couvre chaque exigence du règlement.
L’ISO/IEC 42001 n’est pas l’AI Act
Elle aide à systématiser la gouvernance de l’IA, mais ne remplace pas les obligations du règlement.
Questions sur l’AI Act
Avec ce qui existe aujourd’hui et ce qui n’existe pas.
HodeiShield dispose-t-il d’un registre des systèmes d’IA ?
Pas encore. Le module AI Governance, qui inclurait ce registre, est en préparation et n’a pas de date. Aujourd’hui, vous pouvez mesurer la couverture de l’AI Act et noter l’ISO/IEC 42001.
Suis-je fournisseur ou déployeur ?
Cela dépend de la façon dont vous utilisez l’IA. Celui qui développe ou commercialise un système est fournisseur ; celui qui l’utilise sous son autorité est déployeur. Votre conseil juridique le précise.
Quelle IA utilise HodeiShield ?
HodeiAI utilise Mistral AI. Avant l’envoi, HodeiAI et le RSSI virtuel pseudonymisent les données personnelles reconnues ; l’analyse de risque du scan des fournisseurs ne pseudonymise pas. Un administrateur peut désactiver HodeiAI.
L’ISO/IEC 42001 me met-elle en conformité avec l’AI Act ?
Pas à elle seule. C’est une norme de système de management qui aide à organiser la gouvernance de l’IA. Les obligations du règlement doivent être respectées malgré tout.
Quand l’AI Act s’applique-t-il ?
De façon échelonnée, selon le règlement (UE) 2024/1689 modifié par le règlement (UE) 2026/1744 : les articles 4 et 5 depuis le 2 février 2025 (l’article 4, dans sa nouvelle rédaction, depuis le 27 juillet 2026), les sanctions et les obligations des modèles à usage général depuis le 2 août 2025, la date générale, avec l’article 50, le 2 août 2026 (avec une transition jusqu’au 2 décembre 2026 pour les systèmes génératifs déjà sur le marché, article 111, paragraphe 4), les nouveaux points de l’article 5 le 2 décembre 2026, le haut risque de l’annexe III le 2 décembre 2027 et celui de l’annexe I le 2 août 2028. Vérifiez le texte consolidé sur EUR-Lex.
Solutions associées
Une session de couverture des référentiels
Pour l’instant, la démo est une session de couverture : ce qui est mesuré de l’AI Act et de l’ISO/IEC 42001, avec quelles preuves, et ce qui reste en préparation.
Sans engagement ni promesses de dates.