Avant de commencer

Depuis deux ans, deux discours se partagent le terrain sur ce texte.

Le premier vend la peur. Sanctions colossales, conformité impossible, urgence permanente. Il est porté par des gens qui vendent de la conformité, et il produit chez les dirigeants un mélange d’angoisse et de paralysie qui n’aide personne.

Le second balaie tout d’un revers de main. Un texte européen de plus, inapplicable, qui ne concerne que les géants américains. Il est confortable et il conduit à découvrir trop tard qu’une partie s’applique bel et bien, y compris à une PME de trente personnes.

Cette journée ne fait ni l’un ni l’autre.

Le pari de la formation

La plupart des organisations que je rencontre sont dans la même situation : elles utilisent des systèmes d’IA achetés ailleurs, elles n’en fabriquent aucun, et leurs obligations réelles sont beaucoup plus légères que ce qu’on leur raconte.

Mais elles ont aussi deux ou trois usages précis qui, eux, sont sérieusement encadrés, et qu’elles n’ont pas identifiés.

L’essentiel du travail consiste donc à trier. Savoir ce qui vous concerne, et surtout savoir ce qui ne vous concerne pas, pour concentrer l’effort là où il compte.

Ce que tu sauras faire à la fin

Dire ce que ce règlement est et ce qu’il n’est pas, ce qui évite les trois quarts des malentendus.

Déterminer votre rôle : fournisseur, déployeur, ou les deux. C’est la question qui décide de presque tout le reste, et elle est mal comprise.

Ranger n’importe quel système dans le bon niveau de risque, avec un test qui tient sur une page.

Faire l’inventaire de ce qui tourne réellement chez vous, y compris ce que personne n’a déclaré.

Distinguer les obligations qui s’appliquent déjà de celles qui viendront, et savoir dire pourquoi tu donnes une date avec réserve.

Articuler ce texte avec ce que vous faites déjà en protection des données, plutôt que de construire un dispositif parallèle.

Et repartir avec un plan d’une page, hiérarchisé, chiffré, présentable en comité de direction.

Ce que la formation ne fera pas

Elle ne remplace pas un avocat. Je ne suis pas juriste, et sur une qualification difficile, la bonne réponse est de demander à quelqu’un dont c’est le métier. La formation te dit précisément à quel moment.

Elle ne te donnera pas de modèle de documentation à remplir. Ces modèles existent, ils dépendent de votre situation, et un modèle rempli sans compréhension ne protège de rien.

Elle ne fera pas de vos systèmes des systèmes conformes en une journée. Elle te dira lesquels demandent du travail, combien, et dans quel ordre.

Et elle ne citera pas de montants de sanctions en argument. Le module 3 explique pourquoi, et ce n’est pas par pudeur.

Sur les dates, une réserve que j’assume

Ce règlement s’applique par étapes. Deux repères que je donne avec confiance : les interdictions et l’obligation de maîtrise de l’IA s’appliquent depuis février 2025 ; les obligations relatives aux systèmes à haut risque de l’annexe III étaient prévues pour août 2026.

Ce calendrier a fait l’objet de discussions et d’ajustements proposés au niveau européen. Vérifie l’état du droit applicable au moment où tu lis cette page, auprès de ton conseil, de ta fédération professionnelle ou des sources officielles.

Une formation qui affirme des dates avec aplomb sur ce sujet est une formation qui ne les a pas vérifiées récemment. En revanche, le contenu des obligations ne dépend pas du calendrier, et je l’affirme sans réserve : ce qui est interdit l’est, ce qui est classé à haut risque le reste.

À qui elle s’adresse

Aux dirigeants de PME et d’ETI qui veulent savoir ce que ça leur coûte réellement.

Aux délégués à la protection des données, à qui ce sujet atterrit naturellement, souvent sans mandat formel et sans moyens supplémentaires.

Aux responsables conformité et qualité, y compris ceux engagés dans une démarche de certification, pour qui ce texte devient un chapitre à traiter.

Aux directions des systèmes d’information, qui découvrent ce qui a été souscrit sans elles.

Et aux collectivités et établissements publics, dont plusieurs usages relèvent directement des catégories les plus encadrées.

Aucun prérequis technique, aucun prérequis juridique. Si tu veux d’abord comprendre comment fonctionnent ces outils, L’IA sans jargon répond à la question en quatre heures.

Le déroulé de la journée

Matin, module 1. De quoi on parle. Ce que le règlement est, la question du rôle, ce qui ne s’applique pas à vous, et le calendrier.

Matin, module 2. Les quatre niveaux. Interdit, haut risque, transparence, usage courant. Se termine par l’inventaire de vos systèmes, noté.

Après-midi, module 3. Ce que vous devez faire. La maîtrise de l’IA, les obligations du déployeur, et la gouvernance. Se termine par le plan en une page, noté.

En intra, les deux ateliers se font sur vos systèmes réels. C’est ce qui distingue cette journée d’un exposé, et c’est la condition pour repartir avec quelque chose d’utilisable.

De quoi tu as besoin

La liste des logiciels et services utilisés dans l’organisation, même approximative. Le service informatique en a une partie, la comptabilité en a une autre, et les deux ne coïncident jamais.

Les contrats et conditions des principaux prestataires, ou au moins leur nom.

Le nom de votre délégué à la protection des données s’il existe, et votre registre des traitements s’il est tenu.

Et, si possible, une personne de la direction dans la salle. Une partie des décisions de l’atelier 2 ne se prend pas au niveau du responsable conformité.