Peut-on être certifié AI Act ? Non, et voici ce qui existe

Il n'existe aucune certification AI Act pour l'usage courant de l'IA en entreprise. Aucun organisme public ou privé ne peut délivrer à une PME qui utilise ChatGPT, Copilot ou Gemini un titre attestant qu'elle satisfait au règlement (UE) 2024/1689. Le règlement ne prévoit pas ce schéma. Trois dispositifs bien réels sont régulièrement confondus avec lui, et cette confusion est parfois entretenue à dessein.

Pourquoi la question se pose, et pourquoi la réponse est non

Le réflexe est compréhensible. Sur d'autres sujets réglementaires, une entreprise obtient un titre reconnu qui clôt le débat. Le dirigeant cherche donc l'équivalent pour l'IA.

Cet équivalent n'existe pas. Le règlement organise des obligations différenciées selon le rôle et le niveau de risque, pas un examen de passage unique.

Une PME qui utilise des outils d'IA générative dans son travail est un déployeur. Deux obligations la concernent aujourd'hui : soutenir la littératie IA de ses équipes et respecter les pratiques interdites de l'article 5. À partir du 2 août 2026 s'y ajoute l'information des personnes lorsqu'une IA interagit avec elles ou lorsqu'un contenu est généré. Aucune de ces trois obligations n'est assortie d'un mécanisme d'attestation officielle.

Pour savoir exactement ce qui vous est dû selon votre situation, commencez par ce que le règlement IA européen impose vraiment à une PME en 2026.

Ce qui existe (1) : l'évaluation de la conformité et le marquage CE des fournisseurs de haut risque

C'est le dispositif le plus proche d'une certification, et il ne concerne presque jamais une PME utilisatrice.

Il s'applique aux fournisseurs de systèmes d'IA à haut risque, c'est-à-dire aux entreprises qui développent et mettent sur le marché ces systèmes sous leur nom. Avant la mise sur le marché, le fournisseur doit faire passer son système par une procédure d'évaluation de la conformité, encadrée par l'article 43 du règlement. Selon le cas, cette procédure repose sur un contrôle interne ou sur l'intervention d'un organisme notifié, désigné par une autorité pour cette mission précise.

L'article 47 encadre ensuite le document formel par lequel le fournisseur engage sa responsabilité sur le résultat de cette évaluation. Le système porte enfin le marquage CE.

Deux points à retenir. D'abord, ce parcours porte sur un produit, pas sur une organisation : il ne dit rien de la façon dont une entreprise utilise l'IA en interne. Ensuite, les obligations haut risque de l'Annexe III ont été reportées au 2 décembre 2027, et celles de l'Annexe I s'appliqueront le 2 août 2028. Si vous achetez un outil d'IA sur étagère, c'est votre éditeur qui est éventuellement concerné, pas vous.

Ce qui existe (2) : la norme ISO/IEC 42001, qui ne porte pas sur le règlement

ISO/IEC 42001 est une norme internationale de management de l'intelligence artificielle. Une entreprise peut se faire auditer par un organisme de certification accrédité et obtenir une certification de son système de management de l'IA.

C'est une démarche sérieuse et utile. Ce n'est pas une reconnaissance de conformité à l'AI Act, et la nuance est décisive.

Une norme de management certifie que vous avez mis en place un dispositif organisé : politiques, rôles, analyse des risques, revue de direction, amélioration continue. Elle ne certifie pas que vous respectez les obligations d'un règlement européen donné. Un règlement s'applique de plein droit ; un audit privé, même selon une norme internationale, ne peut pas s'y substituer.

Dans les faits, les deux se renforcent. Le travail de structuration exigé par la norme produit une grande partie des preuves attendues au titre du règlement. Mais une entreprise certifiée ISO/IEC 42001 qui n'aurait rien fait sur la littératie de ses équipes resterait en défaut sur l'article 4.

Ajoutons le coût. Cette démarche suppose un accompagnement, un audit initial puis des audits de surveillance. Pour une entreprise de 20 à 50 personnes qui cherche simplement à cadrer l'usage de ChatGPT, c'est disproportionné. Une gouvernance IA en quatre documents répond au besoin réel.

Ce qui existe (3) : les attestations privées d'éditeurs

Troisième catégorie : les attestations délivrées par des prestataires ou des éditeurs de logiciels au terme d'une démarche qu'ils ont eux-mêmes conçue.

Ces documents ont une valeur réelle, à condition d'être présentés pour ce qu'ils sont. Une attestation privée dit : cette entreprise a suivi telle méthode, produit tels documents, formé telles personnes, à telle date. C'est une trace datée, opposable dans une relation commerciale, exploitable dans un questionnaire fournisseur ou un dossier d'appel d'offres.

Ce qu'elle ne dit pas : qu'une autorité a validé quoi que ce soit. Aucun éditeur n'a ce pouvoir. Harmonia délivre une attestation de maturité EU AI Act, et il s'agit exactement de cela : un document privé, daté, renouvelé chaque année, qui décrit ce qui a été mis en place. Rien de plus, et c'est déjà beaucoup quand la seule alternative est de n'avoir rien à montrer.

Pourquoi une « certification AI Act » vendue à une PME pose un problème à l'acheteur

Le risque ne pèse pas seulement sur le vendeur. Il retombe sur vous.

Si vous affichez sur votre site ou dans une réponse commerciale que votre entreprise est certifiée AI Act, vous diffusez une information inexacte sur votre situation réglementaire. Face à un client attentif, à un acheteur public ou à une autorité, cette affirmation ne tient pas dix minutes. Vous perdez alors sur les deux tableaux : la crédibilité de votre démarche, et la valeur du travail que vous avez réellement accompli.

Il y a un effet plus insidieux. Un dirigeant qui croit détenir un titre définitif arrête de travailler le sujet. Il ne met pas à jour son registre, ne renouvelle pas sa formation, ne révise pas sa charte. Douze mois plus tard, son dossier ne vaut plus rien, alors qu'il pense être couvert.

Ce qu'une PME peut légitimement montrer

Trois choses, et elles suffisent dans la très grande majorité des situations.

• Un dossier de preuve, c'est-à-dire l'ensemble de vos documents datés : charte d'usage signée, registre des usages tenu à jour, traces de formation, désignation d'un responsable.
• Une attestation privée de maturité, présentée comme telle, qui synthétise ce dossier et porte une date de validité.
• Une trace de renouvellement, qui montre que le dispositif est vivant et pas gelé depuis sa création.

C'est ce triptyque qui répond à la question réellement posée en clientèle ou en appel d'offres. Cette question n'est presque jamais « êtes-vous certifié » : c'est « qu'avez-vous mis en place, et pouvez-vous me le montrer ».

Comment lire une offre du marché sans se faire abuser

Quatre réflexes simples.

Regardez le vocabulaire employé. Un prestataire qui parle d'attestation, de dossier de preuve ou de maturité décrit ce qu'il fait. Un prestataire qui promet un titre officiel de conformité, un label reconnu ou un badge d'apparence réglementaire vous vend une histoire fausse.

Demandez qui délivre. Si la réponse est « nous », c'est une attestation privée. Si la réponse est « un organisme notifié », demandez lequel et pour quel système à haut risque : cette procédure n'a aucun sens pour un usage bureautique de l'IA.

Demandez ce qui se passe dans douze mois. Une démarche crédible prévoit un renouvellement. Une démarche qui se termine sur la remise d'un document ne vous protège pas dans le temps.

Vérifiez enfin que l'offre produit des documents que vous conservez, dans un format que vous pouvez sortir de l'outil. Les autres critères de choix sont détaillés dans la grille de lecture pour choisir un logiciel de conformité AI Act.

Questions fréquentes

Existe-t-il un label officiel européen pour l'usage de l'IA en entreprise ?

Non. Le règlement (UE) 2024/1689 organise des obligations et des sanctions, pas un label d'entreprise. Les seuls parcours de vérification qu'il prévoit portent sur des systèmes à haut risque mis sur le marché par leurs fournisseurs, avec un marquage CE apposé sur le produit.

La certification ISO/IEC 42001 dispense-t-elle des obligations de l'AI Act ?

Non. Elle certifie un système de management de l'IA, ce qui est une autre chose que le respect d'un règlement. Elle fournit en pratique beaucoup de matière utile, mais une entreprise certifiée doit toujours démontrer séparément qu'elle a soutenu la littératie IA de ses équipes et qu'elle informe les personnes lorsque c'est dû.

Que répondre à un client qui demande une attestation de conformité AI Act ?

Envoyez votre dossier de preuve, accompagné d'une attestation privée datée si vous en avez une, et expliquez en deux lignes qu'aucun schéma officiel de certification n'existe pour l'usage courant de l'IA. Cette réponse est mieux reçue qu'un document flou : elle montre que vous maîtrisez le sujet.

Que pouvez-vous montrer aujourd'hui ?

L'audit de maturité IA d'Harmonia évalue vos usages, votre exposition et vos priorités. Gratuit en 5 min.

Lancer l'audit de maturité IA